ในสภาพแวดล้อมทางภูมิรัฐศาสตร์ที่วุ่นวาย องค์กรต่าง ๆ ใช้ความคิดริเริ่มในการเปลี่ยนแปลงทางดิจิทัลเพื่อเร่งและรักษาประสิทธิภาพการทำงาน บริษัทต่างๆ ต้องการให้ฝ่ายไอทีเพิ่มนวัตกรรมและปรับปรุงประสิทธิภาพของกระบวนการในธุรกิจของตน ในขณะเดียวกัน ผู้นำด้านไอทีก็อยู่ภายใต้แรงกดดันที่เพิ่มขึ้นเพื่อให้มองเห็นโครงสร้างพื้นฐานของตนได้อย่างเต็มที่ แรงกดดันนี้เกิดจากความจำเป็นในการลดหรือลดความเสี่ยงของการหยุดชะงักที่อาจส่งผลกระทบโดยตรงต่อลูกค้า ผู้ถือหุ้น และข้อมูลพนักงาน
หากไม่มีความเข้าใจอย่างชัดเจนว่ากลุ่มเทคโนโลยีของคุณอยู่ที่ไหนในวันนี้ เป้าหมายในอนาคตเหล่านั้นจะคงอยู่ตลอดไป ให้พ้นมือ ไม่ว่าคุณจะเป็น CIO หน้าใหม่ที่รับผิดชอบด้าน IT เป็นครั้งแรก หรือ CIO ผู้ช่ำชองและมีประสบการณ์มานานหลายปี ความสามารถในการแยกแยะภาพรวมและรายละเอียดปลีกย่อยเป็นทักษะที่จำเป็นในการพัฒนา
เริ่มตั้งแต่ต้น
การจัดการสินทรัพย์เป็นรากฐานของนโยบายการรักษาความปลอดภัยข้อมูลขององค์กรใดๆ ฟังดูง่าย-การมีรายการสินทรัพย์ด้านไอทีทั้งหมดที่บริษัทมีในสภาพแวดล้อมที่ครบถ้วน ถูกต้อง และทันเวลา แต่ทำไมมันถึงยากในทางปฏิบัติ? แล้วทำไม CIO จึงควรใส่ใจในรายละเอียดระดับนี้
คำตอบสำหรับคำถามนี้คือหากไม่มีรายละเอียดนี้ คุณและแผนกของคุณจะตามหลังอยู่เสมอ โปรแกรมการจัดการสินทรัพย์ (AM) ที่ครอบคลุม ทันสมัย และแม่นยำคือหัวใจสำคัญที่ทำให้ทีมของคุณประสบความสำเร็จ หากไม่มีสิ่งนี้ แผนกของคุณก็จะประสบปัญหาในการผลักดันผลกระทบทางธุรกิจตามเป้าหมายที่ตั้งไว้ และคุณจะถูกวัดผล พยายามอย่างที่สุด ทีม IT จะทำงานได้อย่างมีประสิทธิภาพหากไม่มี AM
การทำความเข้าใจที่ถูกต้องเกี่ยวกับระบบ IT ทั้งหมดขององค์กรช่วยให้ทีมรักษาความปลอดภัยและ IT สามารถดำเนินการตามขั้นตอนที่จำเป็นเพื่อลดภัยคุกคามด้านความปลอดภัย ช่วยให้สามารถระบุการกำหนดค่าผิดพลาด ช่องโหว่ และฮาร์ดแวร์ที่หมดอายุการใช้งานได้เร็วขึ้น นอกจากนี้ยังช่วยให้สามารถจัดลำดับความสำคัญ ซึ่งท้ายที่สุดแล้วจะทำให้พนักงานมีเวลาไปสนใจปัญหาเร่งด่วนที่สุดที่อาจส่งผลกระทบต่อบริษัท
มองเข้าไปข้างใน…
การสร้างคลังสินทรัพย์ที่ครอบคลุมดูเหมือนจะเป็นพื้นฐานที่ชัดเจนซึ่งทุกองค์กรน่าจะมีอยู่แล้ว แต่ การวิจัย แสดงให้เห็นว่า 69 เปอร์เซ็นต์ขององค์กรเคยประสบกับการโจมตีที่กำหนดเป้าหมายเป็น”เนื้อหาที่ไม่รู้จัก ไม่มีการจัดการ หรือมีการจัดการที่ไม่ดี”หากคุณไม่ทราบว่าคุณมีสินทรัพย์ใดบ้างในเครือข่ายองค์กรของคุณ คุณจะไม่สามารถปกป้องทรัพย์สินเหล่านั้นได้
หากทีมของคุณไม่สามารถรายงานเรื่องนี้ให้คุณได้ทราบ คุณก็จะไม่สามารถทราบได้อย่างมีประสิทธิภาพ ความเสี่ยงด้านความปลอดภัยเหล่านั้นกำลังได้รับการจัดการ การสร้างมุมมองที่ครอบคลุมเกี่ยวกับสินทรัพย์ขององค์กรของคุณจะเปิดเผยความลับที่ซ่อนอยู่ เช่น การนำไอทีไปใช้ ซึ่งอาจเกิดขึ้นในช่วงหลายปีที่ผ่านมาอย่างไม่ต้องสงสัย
เป้าหมายหลักคือสำหรับสินค้าคงคลังที่จะไม่ถูกมองว่าเป็นสิ่งที่ต้องคิดภายหลัง แต่ให้ถือเป็นองค์ประกอบหลักแรก มันง่ายเกินไปที่งานนี้จะถูกลดระดับหรือเพิกเฉย ด้วยการแข่งขันเพื่อเรียกร้องความสนใจจากโครงการขนาดใหญ่หรือภัยคุกคามจากมัลแวร์ คุณต้องเน้นย้ำว่าการได้รับข้อมูลพื้นฐานที่ถูกต้องก่อนจะช่วยให้มีสมาธิมากขึ้นในโครงการสำคัญอื่นๆ และปัญหาเร่งด่วนที่อาจเกิดขึ้น
เมื่อสร้างแคตตาล็อกสินทรัพย์ของคุณแล้ว คุณต้องหาวิธีเก็บรักษา โปรแกรมให้เป็นปัจจุบัน ตัวอย่างเช่น การจัดหมวดหมู่เนื้อหาเหล่านี้ตามความสำคัญต่อธุรกิจทำให้มั่นใจได้ว่าเนื้อหาเหล่านี้ได้รับความสนใจในระดับที่เหมาะสม ซึ่งจะทำให้ง่ายต่อการตัดสินใจว่าจะจัดการและปกป้องพวกเขาอย่างไรในอนาคต และให้ข้อมูลที่ดีขึ้นว่าทีมของคุณดำเนินการด้านความปลอดภัยได้ดีเพียงใด
ตัวอย่างเช่น ช่องโหว่ที่ถูกโจมตีโดยผู้ไม่ประสงค์ดีมักเริ่มต้นขึ้นเสมอ ด้วยจุดสิ้นสุดภายในสภาพแวดล้อมขององค์กร เมื่ออุปกรณ์เหล่านี้มีซอฟต์แวร์เก่าหรือล้าสมัย อุปกรณ์เหล่านี้หมายถึง”ผลที่ตามมา”สำหรับผู้โจมตีที่จะกำหนดเป้าหมาย หากไม่มีการมองเห็นเต็มรูปแบบที่ปลายนิ้วของคุณ ก็แทบจะเป็นไปไม่ได้เลยที่จะตามทันภัยคุกคามที่เพิ่มขึ้น องค์กรต่างๆ จะสามารถบรรเทาได้ก็ต่อเมื่อมีภาพที่ชัดเจนของโครงสร้างพื้นฐานที่เปลี่ยนแปลงตลอดเวลาเท่านั้น
ได้รับการควบคุมอีกครั้งเมื่อสิ้นสุด-ส่วนประกอบของบริการ
เนื่องจากซอฟต์แวร์และฮาร์ดแวร์มีอายุมากขึ้นเมื่อเวลาผ่านไป เวอร์ชันเก่าจึงตกไปอยู่ข้างทาง เมื่อคุณมีภาพที่ถูกต้องของอสังหาริมทรัพย์ด้านไอทีของคุณแล้ว คุณสามารถจับคู่สิ่งนี้ควบคู่ไปกับวงจรชีวิตของสินค้าแต่ละรายการ เพื่อให้แน่ใจว่าผู้ผลิตเดิมยังคงรองรับฮาร์ดแวร์และซอฟต์แวร์ต่อไป และได้รับการจัดการในเชิงรุกในแง่ของช่องโหว่และการแพตช์ ส่วนประกอบที่สิ้นสุดการให้บริการอาจทำให้เกิดความเสี่ยงด้านความปลอดภัยที่สำคัญ และควรแสวงหาการจัดการเชิงรุกเพื่ออัปเดตหรือแทนที่เพื่อลดพื้นผิวที่ถูกโจมตี
น่าเสียดายที่ไม่มีมาตรฐานอุตสาหกรรมสำหรับผลิตภัณฑ์หรืออายุการใช้งาน รอบหรือวิธีที่ผู้ผลิตอาจรายงานสิ่งเหล่านี้ แต่มีเครื่องมือที่สามารถจับคู่ข้อมูลวงจรชีวิตที่รู้จักเกี่ยวกับสินทรัพย์ยอดนิยมจากภายในคลังของคุณเพื่อรวมศูนย์ข้อมูล
ในฐานะ CIO การเปลี่ยนซอฟต์แวร์ที่ล้าสมัยเป็นสิ่งที่จำเป็นเมื่อเวลาผ่านไป แต่ก็ต้องมีความสมดุลด้วย เทียบกับต้นทุนและบริการใหม่ที่สามารถส่งมอบได้ สำหรับบางโครงการ อาจเป็นไปได้ที่จะลดความเสี่ยงเหล่านั้นและใช้ซอฟต์แวร์ได้นานขึ้น สำหรับคนอื่น ๆ จะมีเวลาที่จะต้องดำเนินการเปลี่ยนใหม่ ทางเลือกอื่นคือการปล่อยให้ซอฟต์แวร์นั้นทำงานอยู่ ซึ่งอาจนำไปสู่การแสวงหาผลประโยชน์ในอนาคต
ทำให้เป็นมาตรฐาน จัดหมวดหมู่ และจัดลำดับความสำคัญ
ภายในองค์กรใดๆ ก็ตาม มีแนวโน้มว่า เพื่อเป็นทรัพย์สินนับหมื่นเพื่อระบุและจัดการ นี่คือที่ที่เครื่องมือรักษาความปลอดภัยสามารถช่วยทีมของคุณจัดการตามขนาด และทำให้กระบวนการเป็นอัตโนมัติเพื่อลดการแทรกแซงด้วยตนเองสำหรับงานซ้ำๆ การรวมสินค้าคงคลังของคุณเข้ากับข้อมูลการสิ้นสุดอายุและการสิ้นสุดของการบริการ ช่วยให้คุณดูข้อมูลที่เกี่ยวข้องทั้งหมดภายในบานหน้าต่างการจัดการเดียว แทนที่จะให้ทีมค้นหาข้อมูลด้วยตนเอง
การจัดหมวดหมู่ก่อนหน้านี้ของ สินทรัพย์มีประโยชน์เมื่อคุณสร้างชุดกฎที่ตกลงร่วมกันเกี่ยวกับสินทรัพย์ที่มีความเสี่ยงต่ำโดยเฉพาะ เพื่อลดภาระงานของทีมโดยใช้ระบบอัตโนมัติ ซึ่งช่วยให้พวกเขาสามารถมุ่งเน้นไปที่งานที่มีมูลค่าสูงขึ้น
รับมุมมองแบบองค์รวม
การจัดการสินทรัพย์อาจซับซ้อนและเน้นที่รายละเอียด เมื่อคุณขยายขนาดโครงสร้างพื้นฐานและใช้แพลตฟอร์มมากขึ้นเพื่อตอบสนองความต้องการทางธุรกิจของคุณ จึงเป็นเรื่องยากที่จะรับมือกับความเสี่ยงที่อาจเกิดขึ้น
การถามคำถามว่า”องค์กรของฉันในมุมมองของแฮ็กเกอร์มีลักษณะอย่างไร”ให้มุมมองแบบองค์รวมของพื้นที่ไอทีทั้งหมดของคุณ แนวทางปฏิบัติในการสแกนหาอุปกรณ์ที่เชื่อมต่อกับอินเทอร์เน็ตนี้ช่วยให้เข้าใจว่าผู้โจมตีจะเห็นอะไร และที่สำคัญที่สุดคือวิธีที่พวกเขาอาจใช้ประโยชน์จากช่องว่างต่างๆ การจัดการ Surface ของการโจมตีนั้นขึ้นอยู่กับแนวทางการจัดการสินทรัพย์ที่แข็งแกร่ง และใช้แนวทางปฏิบัตินี้ไปอีกขั้นหนึ่งโดยการประเมินระดับความปลอดภัยของสินทรัพย์ที่ระบุทั้งหมดเหล่านั้น เช่นเดียวกับการจัดการสินทรัพย์ นี่ควรเป็นกระบวนการที่ต่อเนื่องในการค้นหา จำแนก และประเมิน
สำหรับ CIO แนวทางเช่น Attack Surface Management สามารถช่วยสร้างภาพความเสี่ยงให้กับธุรกิจได้ สิ่งนี้สามารถแปลเป็นคำที่ทีมผู้นำสามารถเข้าใจได้ การพูดเกี่ยวกับความเสี่ยงจะมีประโยชน์มากกว่า–และมีแนวโน้มที่จะได้รับการรับฟัง–และสามารถนำมาใช้เพื่อแสดงให้เห็นถึงงานที่ทีมของคุณกำลังทำอยู่
ทำความเข้าใจอย่างถ่องแท้เกี่ยวกับสินทรัพย์ด้านไอทีทั้งหมดภายใต้ การควบคุมของคุณอาจดูเหมือนมีรายละเอียดมากเกินไป อย่างไรก็ตาม สิ่งนี้ควรมีความสำคัญสูงสุดสำหรับ CIO ทุกคน เพราะหากปราศจากสิ่งนี้ ก็ไม่มีความเท่าเทียมกันในการสร้างอนาคต การลงทุนในโซลูชันที่ช่วยให้องค์กรของคุณสามารถทำความเข้าใจ ติดตาม และรักษาความปลอดภัยทรัพย์สินได้ดีขึ้นนั้นมีความสำคัญต่อความสำเร็จของคุณ
เครดิตรูปภาพ: deepadesigns/Shutterstock
Ishpreet Singh เป็นหัวหน้าฝ่ายข้อมูล เจ้าหน้าที่ที่ Qualys ซึ่งเขามีหน้าที่รับผิดชอบทั่วโลกในด้านโครงสร้างพื้นฐานและการดำเนินงานด้านไอทีขององค์กร แอปพลิเคชันและสถาปัตยกรรมขององค์กร การรวมข้อมูล และความปลอดภัยด้านไอที