ISO 27001 ateitis – ne atitiktis reikalavimams, o kibernetinė operatyvinė žvalgyba.

Daugelį metų ISO 27001 standartas buvo taikomas pirmiausia kaip informacinio saugumo reikalavimų laikymosi sistema.

Organizacijos sukūrė informacijos saugumo valdymo sistemas, siekdamos įtvirtinti kontrolės priemones, susisteminti politiką ir parodyti, kad kibernetinės rizikos valdomos sistemingai. Sertifikavimas užtikrino klientus, auditorius ir priežiūros institucijas, kad informacijos saugumo valdymas veikia ir kad veiklos kontrolės priemonės yra oficialiai dokumentuotos.

Toks požiūris buvo pagrįstas verslo aplinkoje, kurioje kibernetinis saugumas daugiausia buvo laikomas specializuota IT srities atsakomybe, o ribos tarp sistemų ir duomenų, kuriuos jis turėjo apsaugoti, bei aplink juos vykstančių veiklos procesų buvo palyginti aiškios.

Ta riba išnyko.

Šiandien kibernetinės grėsmės tiesiogiai veikia veiklos tęstinumą, įmonės atsparumą, klientų pasitikėjimą ir verslo išlikimą taip, kad to neįmanoma valdyti taikant valdymo modelį, veikiantį atskirai nuo operacinio vykdymo. Informacinis saugumas nebėra tik techninė sritis, skirta apsaugoti skaitmeninius išteklius verslo ribose. Jis yra glaudžiai susijęs su tiekimo grandinėmis, operacinėmis technologijomis, debesų ekosistemomis, trečiųjų šalių paslaugų teikėjais ir kasdieniais veiklos sprendimais visose organizacijos funkcijose.

Tai, kas išskiria ISO 27001 standartą iš kitų valdymo standartų, yra grėsmių aplinkos pokyčių tempas. Aplinkos keliamos grėsmės kinta kartu su veiklos pokyčiais. Kokybės rizika didėja organizacijoms augant. Kibernetinė rizika nuolat kinta nepriklausomai nuo pačios organizacijos veiksmų, nes grėsmių aplinką formuoja veikėjai už organizacijos veiklos ribų, kurie aktyviai siekia pasinaudoti valdymo spragomis, kol jos dar nėra užpildytos.

Organizacijos, kurios šiandien iš ISO 27001 standarto gauna didžiausią strateginę naudą, jo jau nebevertina pirmiausia kaip saugumo reikalavimų laikymosi sistemos.

Jie paverčia tai suderintu kibernetinių operacijų žvalgybos pajėgumu.

ISO 27001 standartas iš pradžių buvo sukurtas atsižvelgiant į saugumo kontrolės priemones

Kai ISO 27001 standartas tapo plačiai taikomas, organizacijoms pirmiausia reikėjo informacijos saugumo valdymo struktūros ir atsekamumo aplinkose, kuriose saugumo perimetras buvo palyginti aiškiai apibrėžtas, o grėsmių raidos tempas buvo lėtesnis nei šiandien.

Politika turėjo būti oficialiai įforminta, kad saugumo atsakomybės būtų aiškios ir jas būtų galima įrodyti auditoriams bei klientams. Prieigos valdymui reikėjo kontrolės, kad informaciniai ištekliai būtų apsaugoti nuo neteisėtos prieigos taikant nustatytas procedūras ir technines kontrolės priemones. Saugumo incidentams reikėjo eskalavimo procedūrų, kad įvykiai sukeltų struktūrišką atsaką, o ne improvizuotą vietinį tvarkymą. Pats audituojamumas tapo pagrindiniu valdymo tikslu, nes norint išorės šalims įrodyti kontrolės brandą, reikėjo įrodymų, kad saugumo valdymas yra sistemingas ir nuoseklus.

Todėl ISMS didžiausią dėmesį skyrė kontrolės priemonėms, dokumentacijai, periodiniams rizikos vertinimams ir atitikties įrodymams. Tai tiksliai atspindėjo to meto veiklos realijas. Kibernetinis saugumas pirmiausia buvo susijęs su apibrėžtų skaitmeninių išteklių apsauga ir kontrolės brandos įrodymu, atsižvelgiant į žinomų grėsmių kategorijas, palyginti ribotoje saugumo aplinkoje.

Šiuolaikinės organizacijos vis dažniau reikalauja, kad jų informacijos saugumo valdymas būtų iš esmės kitoks.

Joms reikalingas nuolatinis operacinis kibernetinis matomumas visoje aplinkoje, kurioje grėsmių panorama keičiasi greičiau, nei spėja prisitaikyti valdymo ciklai, kurioje atakų paviršius nuolat plečiasi, organizacijai diegiant naujas technologijas ir užmezgant ryšius su trečiosiomis šalimis, ir kurioje reikšmingo saugumo pažeidimo pasekmės vienu metu apima ne tik IT aplinką, bet ir veiklos tęstinumą, reguliavimo riziką bei įmonės reputaciją.

Kodėl grėsmių raidos tempas kelia ypatingus iššūkius kibernetiniam valdymui

Konkretus valdymo iššūkis, dėl kurio ISO 27001 standartą būtina atnaujinti skubiau nei kitus standartus, yra tai, kad kibernetinė rizika ne tik didėja organizacijoms tampant sudėtingesnėmis. Ji nuolat kinta, nes grėsmių aplinka aplink organizaciją keičiasi nepriklausomai nuo pačios organizacijos veiksmų.

Organizacija gali išlaikyti tokią pačią veiklą iš mėnesio į mėnesį, tačiau vis tiek atsidurti žymiai labiau pažeidžiama tam tikros kategorijos kibernetinės rizikos atžvilgiu, nes atsirado naujas išnaudojimo metodas, buvo nustatyta, kad plačiai naudojamame programinės įrangos komponente yra kritinė pažeidžiamybė, arba dėl to, kad grėsmės veikėjai nukreipė savo dėmesį į jos sektorių ar tiekimo grandinės ryšius. Jokia kita veiklos rizikos kategorija nekeičiasi tokiu tempu ar pasižymi tokiu išorinių veiksnių nulemtu nenuspėjamumu.

Tai sukelia esminį valdymo neatitikimą. Periodiniai saugumo valdymo ciklai – ar tai būtų kas ketvirtį atnaujinami rizikos registrai, metiniai įsilaužimo testai, ar planiniai vadovybės peržiūros – buvo sukurti aplinkai, kurioje saugumo pažeidžiamumas kisdavo tokiu pačiu tempu kaip ir pačios organizacijos veiklos raida. Aplinkoje, kurioje grėsmių panorama tarp valdymo ciklų gali smarkiai pasikeisti, periodinis valdymas sukelia sistemingą atotrūkį tarp esamo pažeidžiamumo ir to, kaip jį suvokia valdymo modelis.

Debesų technologijų diegimas nuolat plečiasi, nes organizacijos pradeda naudoti naujas paslaugas ir perkelia esamus darbo krūvius, taip sukuriant naujus atakų taškus ir naujas prieigos priklausomybes, kurias informacijos saugumo vadybos sistema (ISMS) turi valdyti realiuoju laiku, o ne tik per kitą numatytą peržiūrą. Trečiųjų šalių integracijos padaugina operacines priklausomybes ir sukelia kibernetinę riziką tiekimo grandinėje, kurią organizacija prisiima, nors ir tiesiogiai nekontroliuoja trečiosios šalies saugumo būklės. Operacinės technologijos sujungia anksčiau izoliuotas aplinkas, sukuriant atakų kelius tarp skaitmeninių ir fizinių sistemų, kurių nebuvo, kai buvo sukurta ISMS. Dirbtinis intelektas sukelia naujų valdymo sudėtingumų, nes organizacijos diegia įrankius, kurių poveikis saugumui vis dar tiriamas visoje pramonės šakoje.

Esant tokioms aplinkybėms, kibernetinis saugumas nebegali veiksmingai veikti kaip statinis atitikties reikalavimams užtikrinimo lygmuo. Kibernetinis valdymas tampa operaciniu valdymu.

Kodėl tradicinės ISMS struktūros pasiekia savo ribas

Daugelis organizacijų vis dar taiko informacijos saugumo vadybos sistemas, sukurtas remiantis valdymo ciklais, kurie buvo tinkami prieš dešimt metų vyravusioms saugumo aplinkybėms, tačiau vis labiau neatitinka šiandienos sąlygų.

Saugumo auditai atliekami pagal tvarkaraščius, kuriuose daroma prielaida, kad saugumo būklė tarp auditų yra pakankamai stabili, todėl užtenka periodinio vertinimo. Aplinkoje, kurioje kasdien aptinkamos naujos pažeidžiamybės, o grėsmių veikėjai nuolat ieško spragų, kurias galima išnaudoti, prielaida apie stabilumą tarp audito ciklų nebėra pagrįsta. Auditas pateikia tikslų saugumo būklės vaizdą tą dieną, kai jis atliekamas. Iki kito audito grėsmių panorama, technologinė aplinka ir pačios organizacijos veiklos mastas pasikeičia taip, kaip valdymo modelis to neapima.

Daugumoje organizacijų rizikos registrai atnaujinami kas ketvirtį arba dar rečiau, todėl parengti rizikos vertinimai atspindi organizacijos rizikos lygį konkrečiu laiko momentu, o ne dabartinę padėtį. Rizikos registras, kuris prieš tris mėnesius buvo tikslus, gali žymiai nepakankamai atspindėti dabartinę pažeidžiamybę, jei plačiai naudojamoje infrastruktūroje buvo aptiktas didelis pažeidžiamumas, jei svarbus trečiosios šalies paslaugų teikėjas patyrė saugumo incidentą arba jei organizacija pradėjo naudoti naujas debesų paslaugas, kurios sukuria naują atakos paviršių.

Korekcinės priemonės stebimos atskirai nuo rizikos vertinimo procesų, kurie turėtų būti nuolat grindžiami šių priemonių rezultatais; tai reiškia, kad valdymo modelis realiuoju laiku nesimoko iš savo pačios korekcinės veiklos. Vadovybės peržiūra labiau apibendrina ankstesnes ataskaitas, o ne integruoja naujausią informaciją apie grėsmes į strateginius saugumo sprendimus.

Tuo tarpu kibernetinė rizika nuolat kinta po šiais valdymo lygmenimis. Atotrūkis tarp dokumentuotų saugumo kontrolės priemonių ir faktinio operacinio kibernetinio matomumo didėja kiekvieną dieną, kai grėsmių panorama keičiasi, o valdymo modelis nėra atnaujinamas, kad atspindėtų šiuos pokyčius.

Organizacija tvarko informacijos saugumo dokumentaciją. Ji palaipsniui praranda kibernetinį koordinavimą.

Tikrasis strateginis poslinkis, slypintis ISO 27001 standarte

Ateityje ISO 27001 strateginė vertė nebebus susijusi pirmiausia su informacijos saugumo atitikties įrodymu. Atitiktis išliks privalomu reikalavimu, o daugelyje sektorių ji tampa sutartiniu ir reguliavimo pagrindu, o ne konkurenciniu pranašumu.

Tikroji vertė vis labiau glūdi gebėjime nuolat ir pakankamai anksti koordinuoti kibernetinės operatyvinės žvalgybos veiklą visoje organizacijoje, kad būtų galima aptikti kylančias grėsmes dar prieš joms sukeliant saugumo incidentus, veiklos sutrikimus ar reguliavimo pasekmes.

Tai keičia informacinio saugumo valdymo vaidmenį taip, kaip tai būdinga kibernetinės rizikos pobūdžiui. Skirtingai nuo aplinkos ar kokybės rizikos, kuri kyla daugiausia organizacijos veiklos ribose, kibernetinę riziką lemia išoriniai veikėjai, kurie aktyviai siekia pasinaudoti valdymo spragomis. Norint veiksmingai valdyti šią riziką, reikalingi žvalgybos pajėgumai, kurie realiuoju laiku reaguotų į grėsmių aplinką, o ne atitikties programa, kuri tik periodiškai dokumentuoja kontrolės priemonių buvimą.

Kai saugumo duomenys iš pavienių incidentų virsta operaciniais rodikliais, kurie nuolat keičia rizikos prioritetų nustatymą, organizacija įgyja galimybę aptikti atsirandančius pažeidžiamumo modelius dar prieš jiems sukeliant pasekmes. Prieigos anomalijų grupė, pasikartojanti keliose sistemose, tampa aptinkamu signalu, kad buvo pavogti prisijungimo duomenys, o ne atskirų, tarpusavyje nesusijusių įvykių seka. Tiekėjų saugumo incidentų modelis tampa matoma tiekimo grandinės rizikos tendencija, o ne atskirų trečiųjų šalių problemų rinkinys.

Kai korekcinės priemonės tampa organizacinio mokymosi mechanizmais, o ne administracinėmis procedūromis, organizacija, išspręsdama kiekvieną problemą, stiprina saugumo valdymo atsparumą. ISMS vis geriau numato rizikos kategorijas, su kuriomis greičiausiai susidurs, o ne reaguoja į tas kategorijas, su kuriomis susidūrė visai neseniai.

Kai rizikos valdymas tampa prognoziniu, o ne aprašomuoju, organizacija valdo esamą kibernetinę riziką, o ne tą, kurią ji turėjo per paskutinį vertinimo ciklą. Šis skirtumas tampa vis svarbesnis, nes grėsmių raidos tempas sparčiai didėja.

Kibernetinei operatyvinei žvalgybai reikalingas suderintas valdymas

Ši transformacija tampa įmanoma tik tuomet, kai informacinio saugumo valdymo procesai yra struktūriškai integruoti, o ne tik periodiškai koordinuojami.

Kai audito išvados dinamiškai veikia rizikos lygį [Rizikos valdymo] srityje, organizacijos pradeda nustatyti sisteminius kibernetinius modelius daug anksčiau, nei tai leidžia tradiciniai audito ciklai. ISMS nustoja teikti periodinius atitikties įrodymus ir pradeda generuoti nuolatinę saugumo informaciją, kuri padeda priimti operacinius sprendimus visoje įmonėje, o ne tik patvirtina saugumo funkcijos valdymo veiklą.

Kai per CAPA valdymo sistemą tvarkomi korekciniai procesai nuolat vertina veiksmingumą, o ne tik patvirtina administracinį užbaigimą, kibernetinio mokymosi rezultatai visoje įmonėje stiprėja taip, kad jų poveikis laikui bėgant kaupiasi. Organizacija stiprina saugumo valdymo gebėjimus kiekvieną kartą išsprendusi problemą, o ne tik kartojasi su pasikartojančiomis pažeidžiamumo kategorijomis, priskirtomis skirtingoms techninėms etiketėms.

Kai procedūros, reglamentuojamos pagal dokumentų valdymo sistemą, nuolat tobulinamos atsižvelgiant į kintančią veiklos riziką, o ne atnaujinamos pagal numatytus dokumentų valdymo ciklus, organizacijos užtikrina saugumo valdymo dokumentacijos ir veiklos realybės, kurią ji turėtų reguliuoti, suderinamumą. ISMS apibūdina dabartinius, o ne praeities saugumo reikalavimus.

Tuomet ISMS nustoja veikti kaip statinė dokumentacijos sistema, patvirtinanti anksčiau atliktus atitikties užtikrinimo veiksmus. Ji tampa suderinta operacinio valdymo sistema, kuri nuolat koordinuoja veiklos vykdymą, priežiūrą ir kibernetinį atsparumą visoje įmonėje, reaguodama į grėsmių aplinką, kuri keičiasi greičiau, nei tai gali sekti bet koks periodinis valdymo ciklas.

Kitas kibernetinio valdymo raidos etapas – prognozavimas

Istoriškai dauguma kibernetinio saugumo valdymo sistemų buvo suprojektuotos veikti reaktyviai, nes grėsmių aplinka keitėsi pakankamai lėtai, todėl saugumo incidentų aptikimas ir reagavimas į juos po to, kai jie įvyko, buvo pakankamas, kad būtų išlaikytas tinkamas saugumo lygis.

Naujoji ISO 27001 versija struktūriškai skiriasi, nes joje atsižvelgiama į iš esmės kitokią grėsmių realybę.

Organizacijos, kurios išlaikys tikrą saugumo valdymo brandą, yra tos, kurios išugdys gebėjimą nustatyti silpnus operacinius signalus, kol jie neperaugo į pažeidžiamumus, kuriais galima pasinaudoti, arba aktyvius saugumo incidentus. Subtilus prieigos modelių pokytis, kuris rodo netinkamą prisijungimo duomenų naudojimą. Tiekėjo saugumo būklės pablogėjimas, kuris sukelia tiekimo grandinės pažeidžiamumą, kol dar neįvyko incidentas. Naujos debesų paslaugos įdiegimas, kuris sukuria atakos paviršių dar prieš atnaujinant ISMS sistemą, kad ji galėtų tai valdyti. Būtent šiuos signalus ir yra skirta aptikti prognozuojamasis kibernetinis valdymas, o jie yra nematomi valdymo modeliams, veikiantiems pagal periodinius peržiūros ciklus.

Integruotas valdymas, operacinė analizė ir suderinti darbo srautai leidžia organizacijoms aptikti struktūrinę kibernetinę riziką daug anksčiau nei tradicinių audito ciklų metu, nes signalai, kurie šiuo metu gaunami atskiruose valdymo procesuose, sujungiami į vieną nuolatinį saugumo informacijos vaizdą. Valdymo modelis tampa jautrus ankstyviems saugumo būklės pablogėjimo požymiams, o ne orientuotas į reagavimą į patvirtintus incidentus, kai jie jau sukėlė operacinių pasekmių.

Būtent čia kibernetinė operatyvinė žvalgyba įgyja strateginę vertę. Ne todėl, kad ji pagerina saugumo ataskaitų kokybę, o todėl, kad ji stiprina organizacijos gebėjimą valdyti dar nepatirtą riziką, o ne tik tvarkyti jau patirtas pasekmes. Grėsmių aplinkoje, kurioje didelio saugumo pažeidimo kaina gali apimti veiklos sustabdymą, reguliavimo institucijų sankcijas, klientų praradimą ir reputacijos sugadinimą vienu metu, toks įžvalgumas nėra tik valdymo siekis. Tai yra strateginė būtinybė.

Kodėl vadovų komandos persvarsto informacinio saugumo valdymą

Vadovybė vis labiau suvokia, kad dideli kibernetiniai sutrikimai retai kyla dėl vieno pavienio saugumo pažeidimo, kurį tinkamai valdoma informacijos saugumo vadybos sistema (ISMS) turėtų būti pastebėjusi ir užkirtusi kelią.

Dauguma reikšmingiausių kibernetinių incidentų vystosi palaipsniui per pavienius signalus, kurie lieka nesusieti pakankamai ilgą laiką, todėl jų bendra reikšmė nepastebima tol, kol pažeidimas jau įvyksta. Tiekėjas įneša paslėptą kibernetinę riziką į tiekimo grandinę per pažeidžiamą programinės įrangos komponentą arba netinkamai sukonfigūruotą integraciją, kuri sukuria kelią į pačios organizacijos aplinką. Veiklos pokyčiai sukuria naujų prieigos pažeidžiamumų, nes diegiamos naujos sistemos, priimami nauji darbuotojai ir kuriamos naujos integracijos, o informacinių sistemų saugumo valdymo sistema (ISMS) nėra atnaujinama, kad būtų galima valdyti naują atakų paviršių. Korekcinės priemonės nuolat nesugeba sumažinti struktūrinės pažeidžiamybės ne todėl, kad atskiri veiksmai būtų nepakankami, o todėl, kad valdymo modelis nesieja korekcinių priemonių rezultatų su rizikos vertinimu, kuris turėtų būti nuolat atnaujinamas atsižvelgiant į juos. Paskirstytosios sistemos vystosi greičiau, nei valdymo struktūros spėja prisitaikyti, nes organizacijos diegia debesų paslaugas, SaaS platformas ir trečiųjų šalių integracijas tokiu tempu, kurio negali pasivyti šiuos pokyčius reguliuojantys dokumentų kontrolės ir pokyčių valdymo procesai.

Tuo pačiu metu išorinis spaudimas, susijęs su vadovų atsakomybe už kibernetinį valdymą, didėja tempu, kuriam nėra lygių kitose valdymo srityse. Reguliavimo sistemos įvairiose jurisdikcijose, įskaitant „NIS2“ Europoje ir vis plačiau taikomus SEC kibernetinio saugumo informacijos atskleidimo reikalavimus Jungtinėse Valstijose, plečia vadovų asmeninę atsakomybę už informacinio saugumo valdymo trūkumus. Instituciniai investuotojai įtraukia kibernetinės rizikos padėtį į įmonių rizikos vertinimus. Reglamentuojamų pramonės šakų klientai kaip komercinių santykių sąlygą reikalauja įrodytų saugumo valdymo gebėjimų, o ne vien tik sertifikavimo statuso.

Būtent todėl brandžios organizacijos vis dažniau vertina ISO 27001 ne kaip saugumo įsipareigojimą, o kaip strateginį veiklos valdymo pajėgumą, kuris pats savaime stiprina įmonės atsparumą, ir būtent dėl to šis požiūrio pokytis informacinio saugumo srityje vyksta sparčiau nei bet kurioje kitoje valdymo srityje.

Nuo informacinio saugumo reikalavimų laikymosi iki kibernetinės operatyvinės žvalgybos

ISO 27001 standartas nepraranda aktualumo, nes grėsmių aplinka tampa vis sudėtingesnė, o veiklos aplinka – vis sudėtingesnė.

Tai tampa vis strategiškai svarbesnė būtent todėl, kad aplinkos, kurias ji turi reguliuoti, yra sudėtingesnės, labiau tarpusavyje susijusios ir dinamiškiau veikiamos, nei buvo numatyta pradiniame standarto atitikties modelyje.

Organizacijos, kurios ir toliau ISO 27001 standartą traktuoja pirmiausia kaip saugumo atitikties sistemą, vis dažniau susidurs su situacija, kai jos valdys saugumo būklę, kuri buvo tinkama ankstesnėms grėsmių aplinkybėms, o jų faktinė kibernetinė pažeidžiamybė keičiasi taip, kad valdymo modelis negali to pakankamai greitai aptikti, kad būtų išvengta rimtų gedimų. Spartėjant perėjimui prie debesų technologijų, dirbtiniam intelektui sukuriant naujus saugumo sudėtingumus ir toliau didėjant reguliavimo reikalavimams, atotrūkis tarp atitikties reikalavimams orientuotos informacijos saugumo vadybos sistemos (ISMS) ir operacinės realybės, kurią ji turėtų valdyti, toliau didės.

Organizacijos, kurios ISO 27001 standartą paverčia suderinta kibernetinio operatyvinio žvalgybos sistema, įgyja kur kas vertingesnį dalyką nei sertifikato statusą. Jos įgys nuolatinį realaus laiko įžvalgumą, kaip kibergrėsmės kinta jų veiklos ir grėsmių aplinkoje, gebėjimą reaguoti į kylančias saugumo grėsmes, kol jos nesukelia incidentų ar reguliavimo pasekmių, bei valdymo architektūrą, kuri stiprina, o ne trukdo, kai veiklos sudėtingumas ir grėsmių rafinuotumas didėja vienu metu.

Vis labiau tarpusavyje susietose įmonių aplinkose tokia nuolatinė kibernetinė operatyvinė žvalgyba sparčiai tampa vienu iš svarbiausių valdymo pranašumų, kuriuos organizacija gali užsitikrinti. Ne todėl, kad ji padeda geriau pasirengti auditui, o todėl, kad ji stiprina organizacijos gebėjimą valdyti saugumo pažeidžiamumą, kuris kinta greičiau nei bet kuri kita operacinės rizikos kategorija, su kuria ji susiduria.