Companiile care își măsoară securitatea cibernetică doar după câte atacuri reușesc să oprească pun întrebarea greșită. Asta a fost ideea centrală a lui Charl van der Walt, Head of Security Research la Orange Cyberdefense, la ZF Tech Day. Mesajul lui pentru mediul de afaceri a fost că întrebarea care contează este alta: cât de repede și cu ce resurse se poate ridica firma după ce a fost lovită. Iar pentru asta, compania trebuie să fi exersat deja cel mai rău scenariu posibil.
Schimbarea de perspectivă pornește de la un dezechilibru pe care specialiștii îl repetă de ani buni, dar pe care managementul îl ignoră adesea. Apărătorul trebuie să acopere toate breșele, pe când atacatorul are nevoie de una singură. Dacă pleci de la această realitate, prevenția totală devine o promisiune pe care niciun furnizor nu o poate onora. Rămâne reziliența, adică produsele, serviciile și expertiza de care o organizație are nevoie ca să-și revină după un incident. Acestea trebuie identificate înainte de criză, nu în mijlocul ei.
Van der Walt a mai spus ceva ce contrazice felul în care multe firme își construiesc bugetele de securitate: protecția nu începe cu lista de cumpărături. Înainte de orice licență sau echipament, conducerea ar trebui să lămurească ce înseamnă, concret, ca propria companie să se simtă în siguranță. Pentru o bancă, răspunsul poate fi continuitatea tranzacțiilor. Pentru un producător, poate fi o linie de fabricație care nu se oprește. Pentru un retailer, poate fi protejarea datelor clienților. Abia după această definiție are sens discuția despre tehnologie.
Pledoaria vine într-un moment în care presiunea asupra companiilor crește și din partea reglementărilor, nu doar a infractorilor. Directiva europeană NIS2 mută accentul tocmai pe gestionarea riscului, raportarea incidentelor și continuitatea activității. Totodată, pune responsabilitatea direct pe umerii conducerii. Cu alte cuvinte, întrebarea „ce facem dacă ni se întâmplă?” nu mai e doar un exercițiu de bune practici, ci tinde să devină o obligație.
În practică, exersarea scenariului celui mai rău înseamnă simulări în care sistemele critice cad, datele sunt blocate, iar echipele trebuie să decidă rapid pe cine sună, ce opresc și cum comunică. Sunt exerciții incomode și costisitoare, pe care multe organizații le amână. Argumentul specialistului de la Orange Cyberdefense este că, în ziua în care atacul chiar vine, singura diferență reală o face pregătirea din zilele fără criză.
Sursă text și foto: Ziarul Financiar — articolul original