Bảo mật mạng trong các tổ chức công nghiệp

Người ta thường cho rằng an ninh mạng là một quá trình chứ không phải kết quả. Nhưng trong kinh doanh, an ninh mạng thường được triển khai theo từng phần hoặc từng dự án với thời gian biểu, mục tiêu và kết quả trong một khoảng thời gian nhất định.

Cách một tổ chức doanh nghiệp triển khai các dự án như vậy sẽ giúp họ nhìn ra được những điểm cần cải thiện trong quy trình vận hành cũng như về mặt quản lý, từ đó có thể tăng tốc độ triển khai hoạt động bảo vệ an ninh mạng.

Phân công trách nhiệm rõ ràng giữa các bộ phận

Tốc độ thực hiện dự án phụ thuộc nhiều vào người chịu trách nhiệm chính cho dự án và sự phối hợp giữa các bộ phận tham gia. Do đó, điều quan trọng là phải xác định được bộ phận nào đề xuất dự án và bộ phận nào sẽ phê duyệt và triển khai các hạng mục.

Cũng có trường hợp bộ phận bảo mật CNTT sẵn sàng triển khai dự án nào đó nhưng lại không có ngân sách. Nếu không có sự cân đối ngân sách giữa các bộ phận, việc tranh chấp về mặt ngân sách và tranh cãi giữa các bộ phận có thể kéo dài hàng tháng.

Trình bày với lãnh đạo theo góc nhìn của họ

Trong một số trường hợp lãnh đạo cấp cao của một công ty sẽ không tham gia vào quá trình thảo luận về vấn đề an ninh mạng, do đó họ sẽ không nhìn thấy được giá trị của việc đầu tư vào các dự án này. Điều này có thể là do sự khác biệt về góc nhìn trong cách trình bày của các bộ phận OT và ban quản lý. Những người làm việc trong bộ phận OT thường sẽ đưa vào quá nhiều chi tiết kỹ thuật khi trình bày một dự án. Mặt khác, họ ít quan tâm đến các mục tiêu kinh doanh mà dự án mang lại, những rủi ro mà dự án có thể giải quyết và dự án sẽ giúp tiết kiệm ngân sách ra sao.

Kỹ năng giao tiếp ở cùng góc nhìn với cấp lãnh đạo nên, và cần được phát triển, vì cách tiếp cận dựa trên rủi ro là then chốt khi trình bày một dự án với hội đồng quản trị. Tập trung vào những vấn đề quan trọng, đó là tiền bạc, lòng tin của khách hàng và đối tác, xếp hạng tín nhiệm và lợi thế của đối thủ cạnh tranh.

Tuân thủ các yêu cầu

Thông thường, một sáng kiến an ninh mạng xuất phát từ dưới lên trên (nhân viên đưa ra các vấn đề mà mình phụ trách, dựa vào đó lãnh đạo đưa ra chiến lược/kế hoạch thực hiện). Tuy nhiên, cũng có trường hợp cấp lãnh đạo sẽ là người quyết định đầu tư vào bảo mật để đảm bảo tuân thủ quy định. Xu hướng này thể hiện trong một nghiên cứu thị trường được Kaspersky thực hiện vào năm 2019: 55% nhân viên công ty cho rằng đầu tư vào bảo mật thông tin công nghiệp là quy định bắt buộc theo pháp luật.

Mặc dù một dự án như vậy vẫn tốt hơn là không có, nhưng sẽ hiệu quả hơn nếu yêu cầu kinh doanh và nhu cầu bảo mật CNTT được đồng bộ với nhau. Điều quan trọng là các bộ phận OT, bộ phận CNTT và bảo mật thông tin cũng như cấp quản lý và hội đồng quản trị cần đối thoại và cùng nỗ lực để đạt được tiếng nói chung.

Nâng cao kiến thức chuyên môn cho tổ chức

Một trở ngại khác trong việc triển khai các dự án an toàn thông tin là thiếu kiến thức chuyên môn. Việc phát triển, thực hiện và vận hành dự án, đặc biệt là các dự án lớn phức tạp như SIEM, đòi hỏi các quy trình và cách thức triển khai đặc biệt. Trong một nền công nghiệp đang phát triển, những thứ này không có sẵn cho tất cả các chuyên gia và khó có thể được phát triển trong một sớm một chiều.

Do đó, cùng với việc tối ưu hóa quy trình ra quyết định phê duyệt, các công ty cần liên tục thúc đẩy việc đào tạo nhân viên. Điều này đồng nghĩa với việc cung cấp cho cả bộ phận CNTT và OT những thông tin cập nhật mới nhất về các mối đe dọa, cũng như tiến hành đào tạo chuyên ngành về các giải pháp cho nhân viên.

Tối ưu hóa quy trình phê duyệt

Một dự án đi từ khâu ra quyết định đến triển khai hoạt động nhanh hay chậm sẽ phụ thuộc vào sự hiệu quả trong hoạt động quản lý của công ty. Các quy trình càng rõ ràng – như phát triển các tiêu chuẩn, thiết kế và phê duyệt dự án ở tất cả các cấp bậc, thí điểm, lập ngân sách, và thu mua – thì độ trễ càng thấp.

Một quy trình phê duyệt không có kết cấu mạch lạc sẽ ảnh hưởng đến độ trễ. Một dự án có càng nhiều nhóm tham gia, càng cần nhiều thời gian để nhận được tất cả các phê duyệt cần thiết. Để triển khai quy trình phê duyệt, cần có deadline rõ ràng, cũng như xác định những hạng mục cần được thống nhất, với ai và ở giai đoạn nào.