KazHackStan идет своим чередом, а я попробую тезисно рассказать свой keynote, так как презентация, которая выложена ниже, вряд ли будет понятна без пояснений. Итак:
➡️ Пора признать, что кибербезопасность проиграла. 30 лет мы ставили перед собой одну цель – предотвращать угрозы, но то, что работало тогда, перестало давать эффект сейчас. И даже переход от prevent к detect, затем к respond и, наконец, к recover, не дает эффекта – инцидентов меньше не становится, а катастрофических последствий становится только больше. Каждое поколение технологий обещало приблизить нас к моменту, когда плохого события не произойдет. Но оно происходит!
➡️ Мы создали себе иллюзию кибербеза и живем в этой матрице. Но нельзя защитить все, нельзя предотвратить все атаки, нельзя закрыть все уязвимости.
➡️ В итоге бизнес должен выживать, но survive тоже неправильное слово. Бизнес создан не для того, чтобы выживать. Он должен продолжать выполнять свою функцию, и CISO должен защищать не сервера, а функцию предприятия (авиаперевозки, перевод денег, оказание услуг связи и т.п.).
➡️ Киберустойчивость – это не про безопасность. Это про право бизнеса продолжать жить.
➡️ Что должно продолжать работать любой ценой?
➡️ Устойчивости все равно, почему исчезла функция: ransomware, ошибка администратора, пожар, диверсия, санкции, отключение связи, дрон или распоряжение государства. А что, если противник вообще не собирается вас взламывать? Кибератака – лишь одна из причин, по которой цифровая функция может исчезнуть. А причины могут быть: ransomware → ошибка → blackout → Internet shutdown → пожар → диверсия → БПЛА → ракета. Для бизнеса результат один: ФУНКЦИЯ НЕДОСТУПНА!
➡️ Чем крупнее организация и чем значимее ее деятельность, тем выше шансы, что частный инцидент или недопустимое событие перейдут в статус национальных и привлекут внимание государства.
➡️ Иногда остановиться – значит быть устойчивым. А иногда устойчивость – продолжать без ИТ. Мы двадцать лет уничтожали ручные процессы как неэффективные. А что, если некоторые из них были нашей резервной системой?
➡️ Мы неправильно измеряем ИБ – нужно считать время простоев, количество решений, которые мы можем принимать вручную, число сотрудников, умеющих работать без инструкций...
➡️ 4 поколения цифровой зависимости – сначала цифровые системы управляли информацией. Потом деньгами. Потом производством. Теперь физическим миром. Следующий шаг – решения и, возможно, сам человек.
➡️ Мы придумали киберустойчивость для мира, в котором атакуют люди и решения принимают люди. Этот мир заканчивается. От кибербеза к decision resilience.
➡️ Чем меньше расстояние между цифровой ошибкой и физическим последствием, тем важнее становится устойчивость.
➡️ Я не предлагаю перестать защищать серверы, сети или данные. Я предлагаю перестать путать средство с целью. ЧТО ДОЛЖНО ВЫЖИТЬ? Если все остальное уже сломалось. Что мы должны продолжать делать, если система все-таки перестала работать?
➡️ Зрелая безопасность не делает компанию устойчивой (compliance vs capability vs resilience vs effectiveness). ИБ должна перестать считать, что ее работа заканчивается предотвращением инцидента.
➡️ Кибербез можно делегировать CISO. ИТ можно делегировать CIO. Но способность компании продолжать выполнять свою функцию нельзя делегировать ни одному из них – это общая работа, включая государство.
➡️ Возможно, главный вопрос CISO XXI века звучит уже не "как не допустить инцидент?". Он звучит иначе: "Что наша компания должна продолжать делать, если атака удалась? Что должна продолжать делать наша отрасль? И что должна продолжать делать наша страна? Потому что кибербезопасность может проиграть атаку. Киберустойчивость не позволяет проиграть вслед за ней бизнесу и государству!" 🤠
#resilience #мероприятие #тенденции