W skrócie
Europejska firma logistyczna korzystała z usług chmurowych, aplikacji biznesowych, technologii magazynowych, urządzeń mobilnych i usług zewnętrznych dostawców, aby zarządzać dostawami w kilku krajach.
Zespół bezpieczeństwa otrzymywał informacje ze skanerów podatności, ochrony urządzeń końcowych, narzędzi bezpieczeństwa chmury, ocen dostawców, raportów audytowych i centralnego rejestru ryzyka. Każde źródło zawierało istotne dane, ale informacje były aktualizowane przez różne zespoły i w różnych terminach.
System mógł zostać zmieniony lub wycofany bez odpowiedniej aktualizacji rejestru ryzyka. Nowa podatność mogła trafić do technicznej kolejki zadań bez powiązania z usługą biznesową. Zabezpieczenie mogło przestać działać, a w raporcie nadal pozostawać oznaczone jako skuteczne.
Firmie nie brakowało danych. Problemem było utrzymanie aktualnych relacji pomiędzy nimi.
Zespół musiał odpowiadać na praktyczne pytania:
- ?Które krytyczne systemy miały nowe podatności lub alerty?
- ?Czy zmiany dotyczące aktywów lub dostawców wpłynęły na istniejące ryzyka?
- ?Które zabezpieczenia działały prawidłowo?
- ?Czy właściciele ryzyka otrzymywali informacje o istotnych zmianach?
- ?Które zaległe działania wymagały eskalacji?
- ?Czy można ograniczyć ręczne aktualizacje bez osłabiania nadzoru człowieka?
- ?Jak zapewnić kierownictwu aktualny obraz ryzyka bez oczekiwania na kolejny cykl raportowy?
Pomogliśmy klientowi połączyć wybrane źródła danych bezpieczeństwa i danych biznesowych za pomocą kontrolowanej automatyzacji. Zmiany dotyczące ważnych aktywów, podatności, zabezpieczeń, dostawców i działań naprawczych mogły aktualizować powiązane informacje lub uruchamiać przegląd.
Automatyzacja nie decydowała o akceptacji ryzyka. Zbierała zmiany, stosowała ustalone reguły, wskazywała niespójności i kierowała ważne kwestie do odpowiedzialnych osób.
O kliencie
To studium przypadku przedstawia reprezentatywny i zanonimizowany scenariusz. Profil firmy, cytat i rezultaty są realistycznymi przykładami.
Wyzwanie
Informacje o ryzyku cybernetycznym były rozproszone pomiędzy kilkoma systemami. Podatności, aktywa, dostawcy, krytyczne usługi, ryzyka i działania naprawcze znajdowały się w oddzielnych narzędziach i arkuszach.
Zmiana właściciela aplikacji nie zawsze prowadziła do aktualizacji rejestru ryzyka. Nowe zależności od dostawców mogły pozostać niewidoczne. Wycofane aktywa miały czasami nadal otwarte ustalenia, a te same systemy występowały pod różnymi nazwami.
Przed kwartalnym raportowaniem zespół wykonywał ręczne porównania. Zajmowało to dużo czasu, a uzyskany obraz przedstawiał jedynie sytuację z określonego momentu.
Główne problemy obejmowały:
Co klient chciał osiągnąć
Połączyć wiarygodne źródła danych o bezpieczeństwie, aktywach, dostawcach i działalności biznesowej.
Utrzymywać aktualne zależności między ryzykami, aktywami, zabezpieczeniami i właścicielami.
Automatycznie wykrywać istotne zmiany i uruchamiać przeglądy.
Ograniczyć powtarzalne aktualizacje i zduplikowane rekordy.
Zachować zatwierdzenie człowieka dla ocen ryzyka, wyjątków i akceptacji ryzyka.
Zapewnić kierownictwu aktualny i możliwy do prześledzenia obraz ryzyka.
Co zrobiliśmy
Określiliśmy informacje, które musiały pozostać aktualne
Skupiliśmy się na krytycznych usługach, aplikacjach, właścicielach, znaczeniu biznesowym, podatnościach, zabezpieczeniach, dostawcach, otwartych działaniach, wyjątkach i terminach przeglądów.
Ustaliliśmy wiarygodne źródła danych
Dla każdego rodzaju informacji określiliśmy źródło nadrzędne. W przypadku sprzeczności tworzono zadanie do wyjaśnienia zamiast automatycznie nadpisywać dane.
Połączyliśmy aktywa z usługami biznesowymi i ryzykami
Model łączył usługi, aplikacje, infrastrukturę, ustalenia techniczne, właścicieli, dostawców, ryzyka, zabezpieczenia, dowody i działania.
Określiliśmy zmiany wymagające działania
Obejmowały one nową ekspozycję internetową, poważne podatności, nieskuteczne zabezpieczenia, zmiany dostawców, brak właściciela, zaległe działania i incydenty dotyczące powiązanych systemów.
Zautomatyzowaliśmy rutynowe aktualizacje i powiadomienia
Wiarygodne zmiany mogły być przetwarzane automatycznie. W przypadku niepewności system tworzył zadanie do weryfikacji zamiast samodzielnie zmieniać rekord ryzyka.
Zachowaliśmy udział człowieka w podejmowaniu decyzji
Zmiana poziomu ryzyka, akceptacja ryzyka, zatwierdzanie wyjątku, zmiana krytyczności, ocena skuteczności zabezpieczenia, zamknięcie ryzyka i eskalacja nadal wymagały decyzji odpowiedzialnej osoby.
Wprowadziliśmy obsługę wyjątków i kontrole jakości
Niepasujące aktywa, sprzeczne źródła, brakujący właściciele, błędy integracji i istotne zmiany trafiały do ręcznej weryfikacji.
Usprawniliśmy raportowanie i eskalację
Raporty koncentrowały się na zmienionych ryzykach, nowych ekspozycjach, nieskutecznych zabezpieczeniach, zaległych działaniach, wygasłych wyjątkach, zmianach dostawców i decyzjach wymaganych od kierownictwa.
Co dostarczyliśmy
- ✓priorytetową mapę źródeł informacji o ryzyku;
- ✓uzgodnione źródła nadrzędne i zasady odpowiedzialności za dane;
- ✓połączony model usług, aktywów, ryzyk, zabezpieczeń, dostawców i właścicieli;
- ✓automatyczne aktualizacje wybranych pól;
- ✓reguły uruchamiające przegląd;
- ✓automatyczne powiadomienia i tworzenie zadań;
- ✓punkty wymagające zatwierdzenia człowieka;
- ✓obsługę wyjątków i kontrole jakości;
- ✓kryteria eskalacji oraz raporty dla kierownictwa;
- ✓zasady utrzymania i monitorowania automatyzacji.
Rezultaty
W ciągu dziesięciu miesięcy firma:
Rezultaty są częścią reprezentatywnego scenariusza.
Co zmieniło się dla klienta
Informacje o ryzyku stały się bardziej aktualne, a liczba powtarzalnych zadań spadła. Brakujący właściciele i zaległe działania były szybciej wykrywane. Istotne zmiany docierały do odpowiedzialnych osób, natomiast akceptacja ryzyka, wyjątki i ważne decyzje pozostały pod kontrolą człowieka.
Czego się nauczyliśmy
- ✓Automatyzacja nie rozwiąże problemu niejasnej odpowiedzialności.
- ✓Nie każda zmiana techniczna powinna automatycznie zmieniać ocenę ryzyka.
- ✓Wiarygodne źródła są ważniejsze niż duża liczba integracji.
- ✓Niepewność powinna prowadzić do weryfikacji, a nie automatycznej zmiany.
- ✓Nadzór człowieka wymaga jasno określonych punktów decyzyjnych.
- ✓Sama automatyzacja również musi być monitorowana.
Komentarz klienta
„Przed rozpoczęciem projektu nasz zespół poświęcał dużo czasu na porównywanie oddzielnych raportów i sprawdzanie, czy rejestry ryzyka są nadal aktualne. Automatyzacja znacznie wcześniej zwraca teraz naszą uwagę na ważne zmiany. Nadal sami podejmujemy decyzje, ale korzystamy z informacji, które są bardziej aktualne i łatwiejsze do prześledzenia.”
Komentarz został przygotowany dla reprezentatywnego scenariusza.
Podsumowanie
Firma nie automatyzowała zarządzania ryzykiem po to, aby usunąć ludzi z procesu. Zautomatyzowała powtarzalne czynności, które odciągały zespół od ważniejszych decyzji.
Połączenie ustaleń bezpieczeństwa z aktywami, usługami, zabezpieczeniami, dostawcami i właścicielami stworzyło bardziej aktualny obraz ryzyka. Uzgodnione reguły wskazywały znaczące zmiany, natomiast wyjątki i ważne decyzje trafiały do odpowiedzialnych osób.
Automatyzacja wzmocniła proces bez zastępowania profesjonalnej oceny, odpowiedzialności i formalnego zatwierdzania.
Czy Twoja organizacja mierzy się z podobnym problemem?
Cybersecurity Analytics może pomóc:
- ✓wskazać informacje o ryzyku, które muszą pozostawać aktualne;
- ✓połączyć aktywa, podatności, zabezpieczenia, dostawców i usługi biznesowe;
- ✓określić wiarygodne źródła danych;
- ✓zautomatyzować rutynowe aktualizacje i powiadomienia;
- ✓wprowadzić reguły przeglądu po istotnych zmianach;
- ✓zachować zatwierdzenie człowieka dla ważnych decyzji;
- ✓poprawić jakość danych, możliwość śledzenia zmian i eskalację;
- ✓zapewnić kierownictwu bardziej aktualny obraz ryzyka cybernetycznego.
