Các doanh nghiệp đang kết nối với bộ phận an ninh mạng của họ như thế nào?

Các lãnh đạo về an toàn thông tin và hội đồng quản trị/các lãnh đạo cao nhất của một tổ chức không phải lúc nào cũng tham gia đầy đủ vào việc đối mặt với các rủi ro có tính hệ thống bởi các mối đe dọa an ninh mạng gây ra.

Theo một nghiên cứu mới đây của EY, gần hai phần ba các công ty không có sự tham gia của bộ phận an ninh mạng ở giai đoạn đầu khi họ tập trung vào các dự án chuyển đổi - đổi mới hệ thống công nghệ hỗ trợ kinh doanh. Những phát hiện từ Khảo sát An toàn Thông tin Toàn cầu mới nhất của EY (GISS) cho thấy chỉ 36% các bộ phận an ninh mạng được yêu cầu tham gia ngay từ đầu trong các dự án chuyển đổi như vậy.

Các vấn đề nghiêm trọng đe dọa nhiều tổ chức, làm suy yếu những nỗ lực khai thác công nghệ số hóa và công nghệ mới nổi của họ, dường như xuất phát từ sự thiếu gắn kết, chia sẻ hiểu biết và nhận thức rủi ro giữa ban lãnh đạo công ty, các phòng ban chức năng khác của doanh nghiệp và bộ phận an ninh mạng. Nếu không thu hẹp khoảng cách này, các bộ phận an ninh mạng sẽ tiếp tục gặp khó khăn trong việc bảo vệ các tài nguyên, tham gia hỗ trợ và xác định các yêu cầu cần thiết để bảo vệ tổ chức của mình.

Ngay ở thời điểm hiện tại, trong khi nhiều tổ chức nói rằng bộ phận an ninh mạng của họ có mối quan hệ chặt chẽ với các bộ phận chức năng khác liên quan mật thiết như công nghệ thông tin, kiểm toán, quản trị rủi ro, và pháp lý, thì họ vẫn lo ngại về việc thiếu kết nối với các bộ phận khác của doanh nghiệp. Ví dụ, 74% các doanh nghiệp cho rằng mối quan hệ giữa bộ phận an ninh mạng và marketing chỉ dừng lại ở mức độ trung bình, tệ hơn nữa là không tin tưởng lẫn nhau hoặc không tồn tại sự liên kết nào; 64% các doanh nghiệp cho rằng điều tương tự cũng diễn ra giữa bộ phận an ninh mạng và bộ phận nghiên cứu và phát triển; 59% doanh nghiệp cho rằng điều này tương tự đối với các bộ phận kinh doanh. Các bộ phận an ninh mạng thậm chí còn mất điểm trong mối quan hệ với bộ phận tài chính, nơi có quyền quyết định đến ngân sách hoạt động của họ, trong đó có đến 57% công ty nói rằng ngân sách cho an ninh bảo mật bị sụt giảm.

Những phát hiện đặc biệt quan ngại trong khảo sát GISS năm nay, sau khi đã phỏng vấn gần 1.300 doanh nghiệp trên toàn thế giới, cảnh báo rằng các mối đe dọa đang ngày càng gia tăng về mức độ. Khảo sát này tiết lộ rằng 59% các công ty đã phải chịu đựng sự gia tăng số lượng các cuộc tấn công mang tính phá hoại trong 12 tháng qua. Trong số đó, hơn một nửa số công ty đã bị ảnh hưởng bởi các cuộc tấn công với số lượng tăng từ 10% trở lên.

Sự gia tăng các cuộc tấn công là lý do tại sao các CEO hiện nay coi an ninh mạng là một trong những rủi ro cấp bách nhất mà họ gặp phải. Nghiên cứu của EY năm 2019 Mệnh lệnh đối với CEO tiết lộ rằng các CEO tin các mối đe dọa an ninh mạng quốc gia và doanh nghiệp là những mối đe dọa lớn nhất đối với nền kinh tế thế giới trong 10 năm tới.

Tuy nhiên, khảo sát năm nay cho thấy có một khoảng cách giữa mong muốn và thực tiễn. Nhiều tổ chức đang thất bại trong việc phối hợp chặt chẽ các bộ phận của họ với bộ phận an ninh mạng.

Đâu là điểm cần cải thiện

Trong khi hầu hết các công ty nói rằng hội đồng quản trị tối thiểu có một vài thành viên tham gia vào việc xây dựng và phê duyệt chiến lược, hoạch định phương hướng và ngân sách cho các chương trình an ninh mạng, trên thực tế chỉ có một số rất ít thành viên thực sự tham gia vào công việc này.

Một vấn đề đối với nhiều hội đồng quản trị là họ không thực sự được trang bị đầy đủ kiến thức để hiểu những rủi ro mà tổ chức của họ gặp phải hoặc các biện pháp giúp giảm thiểu những rủi ro đó. Ưu tiên hiện nay đối với các CISO phải là giúp các lãnh đạo cấp cao của doanh nghiệp hiểu rõ hơn về an ninh mạng.

Họ sẽ là những người sẵn lòng tiến lên phía trước: hội đồng quản trị luôn mong muốn cải thiện vấn đề an ninh mạng, với gần một nửa trong số họ đang thiếu hụt kiến thức về an ninh mạng và đang thực hiện từng bước để cải thiện điều đó. Chỉ 25% các tổ chức được hỏi cho rằng họ có thể định lượng rủi ro trong lĩnh vực tài chính - kinh doanh. Trong khi đó, những phát hiện ban đầu từ Khảo sát rủi ro toàn cầu về Hội đồng quản trị của EY (GBRS) cho thấy chỉ 20% các hội đồng quản trị tin tưởng vào các biện pháp giảm thiểu tấn công mạng vào tổ chức của họ.