SMB-er trenger å balansere cybersikkerhetsbehov og -ressurser

SMB-er trenger å balansere cybersikkerhetsbehov og -ressurser

Tidsstempel: 26. oktober 2023 7
Kilde node: 2957667

Små og mellomstore bedrifter (SMB) er ikke immune mot cyberangrep, men de sliter med et trussellandskap i utvikling og vet hvordan de best kan håndtere risiko.

Under "Cybersecurity for SMBs Roundtable: Navigating Complexity and Building Resilience" tidligere denne måneden, samlet Sage en gruppe CISOer og andre cybersikkerhetseksperter fra små bedrifter, offentlige etater og ideelle organisasjoner for å diskutere noen av de største bekymringene SMB-er og deres evne til å sikre selskapets eiendeler. Blant de største utfordringene for SMB-er og ideelle organisasjoner er:

  • Den menneskelige faktoren. Ansatte fortsetter å gjøre feil, som å klikke på lenker i phishing-e-poster eller tillate ubeskyttet tilgang til enhetene deres, som setter bedriftens nettverk i fare.
  • Tredjeparts overholdelsesbehov. Partnerorganisasjoner, entreprenører, leverandører og andre tredjepartsenheter krever at SMBer oppfyller kravene til nettsikkerhet, spesielt de organisasjonene, som finansinstitusjoner, som er sterkt regulert.
  • Personvernlovgivning på tvers av stater og land. Å ikke oppfylle disse overholdelseskravene kan føre til sanksjoner og bøter.
  • Den hybride arbeidsstyrken. SMB-er har ikke lenger de samme nivåene av tilsyn med enheter og nettadferd når ansatte jobber eksternt, selv en del av tiden.
  • Målrettede plattformer og bransjer. Trusselaktører ser etter organisasjoner som bruker applikasjoner designet for å samle inn penger eller samle inn store mengder personlig informasjon.
  • Skiftende trussellandskap. Nye angrepsvektorer, ny skadelig programvare og nye trusselaktører ser ut til å dukke opp hver dag.

Nesten halvparten av SMB-er har opplevd en cybersikkerhetshendelse det siste året, ifølge en ny studie fra Sage. Mens 69 % av respondentene over hele verden sier at cybersikkerhet er en del av bedriftskulturen deres, vurderer nesten samme antall det ikke før det skjer en hendelse – bare 4 av 10 respondenter sier at selskapet deres regelmessig diskuterer cybersikkerhet.

Cybersikkerhet trenger ikke være dyrt

Etter et angrep er det for sent å starte diskusjoner om hvordan man kan beskytte nettverket og selskapet, men mange SMB-er har ikke de riktige systemene på plass. I følge Sages forskning, for eksempel, bruker ikke 46 % av SMB-er brannmurer og 19 % stoler kun på helt grunnleggende verktøy.

Ja, cybersikkerhet kan være dyrt. Bedriftsbedrifter kan ha opptil 100 sikkerhetsverktøy i bruk. Det trenger imidlertid ikke være så komplisert for SMB-er, og noen tilnærminger kan til og med være gratis eller rimelige.

Start med å lage en innsiderisikoprogram som overvåker sikkerhetspolicyer på tvers av selskapet med vekt på ansattes atferd, anbefalte Shawnee Delaney, administrerende direktør i Vaillance Group, under rundebordskonferansen.

"Det krever at du har samtalene, noen ganger en ubehagelig samtale, fordi ingen vil tro at deres egne ansatte kan gjøre noe ondsinnet," sa Delaney. "Men sannheten er at det store flertallet [av cyberhendelser] er utilsiktede."

Å administrere menneskelige arbeidslivssykluser er avgjørende for et effektivt cybersikkerhetssystem. Det begynner under intervjuet og ansettelsesprosessen ved å sørge for at du har noen som er en god kulturell passform og er villig til å gjenkjenne hvordan cybersikkerhet passer inn i organisasjonsstrukturen, la Delaney til. Når du har foretatt en ansettelse, følg introduksjonsprosesser som legger vekt på grunnleggende sikkerhetshygiene, inkludert minst privilegium og tilgang etter behov. Og når den ansatte går, sørg for offboardingsprosesser koble fra tilgangen fullstendig.

Tilpass sikkerhetsopplæringen

På grunn av den menneskelige forbindelsen til cybersikkerhet, må alle i et mindre selskap, fra administrerende direktør og nedover, ha en grunnleggende forståelse av hvordan trusler ser ut. Det er mange alternativer for opplæring i sikkerhetsbevissthet der ute, men små og mellomstore bedrifter vil være lurt å unngå et alternativ som passer for alle.

Trening bør være rettet mot den enkelte arbeidstaker basert på kriterier som jobbfunksjon og generasjonsgap i teknisk kunnskap og interesser. Eldre arbeidstakere har ofte en annen læringsstil enn yngre ansatte, akkurat som ansatte som jobber i mer arbeidskrevende jobber kan ha et annet forhold til teknologi enn de som er knyttet til enhetene sine hele dagen. Å ikke respektere disse forskjellene resulterer i ujevn trening som kan ende opp med å gjøre mer skade enn nytte.

Gjør cybersikkerhet til et forretningsproblem

Det er en tendens, spesielt blant små og mellomstore bedrifter, til å tenke på cybersikkerhet som et IT-problem der all kunnskap ligger i teknologiområdet, ifølge Gustavo Zeidan, Sages CISO.

En bedre tilnærming er å tenke på cybersikkerhet som et forretningsproblem. Sikkerhetskultur er bedre drevet fra toppen, sa Zeidan under rundebordskonferansen, og ledelsen må diskutere cybertrusler og hvordan deres virksomheter kan bli målrettet.

"Bedriftsledere erkjenner at det er et problem, men de snakker ikke om det," forklarte Zeidan. Det verste som kan skje er å være uforberedt på en sikkerhetshendelse som forstyrrer forretningsdriften.

Og når det er en cyberhendelse i selskapet, ikke hold den skjult. Federal Trade Commission (FTC) tilbyr retningslinjer om hvem som skal kontaktes, inkludert politi, kunder og leverandører.

Men ikke stopp der. Kommuniser med andre virksomheter og diskuter strategier for å jobbe gjennom hendelsen. Del denne informasjonen gjennom bransjefokuserte organisasjoner eller på lokale Handelskammeret møter — uansett hvor du har kontakt med andre bedriftsledere.

"Hvis du har et brudd, vær åpen, vær ærlig og del erfaringene dine med andre virksomheter slik at utøvere kan lære av det," sa Delaney. «Det spiller ingen rolle om vi er konkurrenter. Alt er nasjonal sikkerhet når du koker det ned.»

Vet hvor du skal henvende deg for å få hjelp

Hvert selskap, uansett størrelse, trenger mer cybersikkerhetsekspertise enn det har. Uavhengig av hvordan SMB investerer i sikkerhet, må ansvaret for cybersikkerhet spres over hele selskapet.

Ressurser er tilgjengelige for å veilede små og mellomstore bedrifter i deres sikkerhetsreise. Cybersecurity and Infrastructure Security Agency (CISA) tilbyr for eksempel en SMB cybersikkerhetsguide som taler spesifikt til de forskjellige sikkerhetsrelaterte rollene enkeltpersoner spiller i et lite bedriftsmiljø.

Partnerskap med virksomheter av alle typer og størrelser er kjernen i CISAs misjon, sa rundbordspanelmedlem Lauren Boas Hayes, seniorrådgiver for teknologi og innovasjon i CISA.

«Landskapet er i endring; det er nye trusler hver dag,» la Delaney til.

Utøvere og bedrifter kan føle at de leker med sine anstrengelser for å hindre disse nye truslene, men den gode nyheten for SMB-er er at avbøtende teknikker er der ute. Det er bare å finne det programmet som fungerer best for den enkelte bedrift.

Tidstempel:

Mer fra Mørk lesning