في كل عام، يسلط شهر التوعية بالأمن السيبراني في أكتوبر الضوء بحق على أهمية بناء قوة عاملة واعية بالأمن. ولكن بالنسبة للكثيرين كبار ضباط أمن المعلومات (رؤساء مدراء تكنولوجيا المعلومات) والمتخصصون في مجال الأمن السيبراني، يمكن أن يبدو هذا الشهر وكأنه بند آخر في جدول أعمال مكتظ بالفعل. وعلى الرغم من أهمية حملات التوعية، فإنها لا تمثل سوى جزء صغير مما يجب على قادة الإنترنت المعاصرين تقديمه.
من المتوقع أن يكون رئيس أمن المعلومات (CISO) اليوم استراتيجيًا، ومديرًا للمخاطر، وتقنيًا، ومحاورًا للأعمال، ومستجيبًا للأزمات، وأحيانًا في وقت واحد. وتمتد صلاحياتهم إلى الامتثال للمشهد التنظيمي الآخذ في التوسع، والإشراف على الأمن التشغيلي، وحماية البيانات والحوكمة، بالإضافة إلى التوافق مع استراتيجية الأعمال الأوسع. على سبيل المثال، مع إدخال أطر مثل شيكل 2 و دورا، أصبح الدور أكثر تشابكًا من أي وقت مضى مع مرونة الشركات والمساءلة على مستوى مجلس الإدارة.
وفي الوقت نفسه، لا تزال قيود الميزانية تشكل تحديًا حتى لأكثر الوظائف الأمنية نضجًا. وبينما تتطور التهديدات بوتيرة سريعة، فإن الاستثمار غالبا ما يتخلف عن الركب. يتم تكليف CISOs بموازنة المخاطر مع التكلفة بالإضافة إلى توضيح القيمة التجارية للوقاية، وقياس عائد الاستثمار للاستثمارات الأمنية وتبرير القرارات في البيئات التي غالبًا ما يكون فيها مقياس النجاح غير مرئي (أي غياب الحوادث).
ويضاف إلى هذا الضغط التدقيق المستمر الذي يأتي من العمل في عالم مليء بالأحداث السيبرانية البارزة. كل خرق يتم الإبلاغ عنه في وسائل الإعلام يمكن أن يثير، بحق، أسئلة متجددة من مجالس الإدارة والعملاء، ولكنه يزيد أيضًا من الشعور بالمسؤولية الشخصية التي يشعر بها العديد من كبار مسؤولي تكنولوجيا المعلومات بالفعل. والنتيجة هي دور تحدده الأهمية الاستراتيجية والكثافة العاطفية.
ليس من المستغرب إذن أن يصبح الإرهاق بين قادة الأمن السيبراني مشكلة معترف بها بشكل متزايد. أبلغ العديد من كبار مسؤولي أمن المعلومات عن أعباء عمل زائدة، وصعوبة في قطع الاتصال، بالإضافة إلى الشعور بأنهم “تحت الطلب” بشكل دائم. إن العبء المعرفي المتمثل في اليقظة المستمرة، إلى جانب الموارد المحدودة والتوقعات المتزايدة، لديه القدرة على خلق ظروف غير مستدامة دون تغيير هيكلي.
تتطلب معالجة الإرهاق تحولًا ثقافيًا بقدر ما يتطلب تحولًا عمليًا. يتعين على مجالس الإدارة والفرق التنفيذية أن تدرك أن الأمن السيبراني هو وظيفة فنية بالإضافة إلى كونه وظيفة إنسانية. يعد تزويد CISO بالسلطة الكافية والميزانيات الواقعية والتفويض الواضح أمرًا حيويًا. ومن المهم بنفس القدر التأكد من أنهم ليسوا معزولين في تحمل العبء الكامل للدفاع التشغيلي وأن كل فرد في العمل لديه دور يلعبه.
إحدى الطرق العملية لتخفيف الضغط هي إعادة التفكير في كيفية توزيع المسؤولية عبر النظام البيئي الأمني. تكمن قيمة كبير مسؤولي أمن المعلومات في تشكيل الإستراتيجية، وترجمة المخاطر إلى مصطلحات تجارية وتوجيه المرونة التنظيمية، وليس في الإشراف على كل التفاصيل التشغيلية. ومن خلال الاعتماد على شركاء موثوقين ومقدمي خدمات مُدارة يتمتعون بخبرة فنية عميقة، يمكن للمؤسسات ضمان التعامل مع المراقبة والاستجابة للحوادث واستخبارات التهديدات بكفاءة وباستمرار وبمستوى عالٍ. يتيح ذلك لمسؤول أمن المعلومات (CISO) وفريقه القيادي تحقيق التوازن بين خبرات الشركاء والتركيز الداخلي على الحوكمة وتحديد أولويات المخاطر ودمج الأمن في عملية صنع القرار في مجال الأعمال، بدلاً من الانشغال بمكافحة الحرائق اليومية.
في نهاية المطاف، لا ينبغي لشهر التوعية بالأمن السيبراني أن يشجع على اليقظة بين الموظفين فحسب، بل يجب أن يلهم أيضًا الوعي بالمتطلبات الملقاة على عاتق أولئك الذين يقودون المسؤولية، لا سيما مع تزايد الاهتمام بالهجمات السيبرانية. إن دعم CISOs يعني أكثر من مجرد توفير الميزانيات والأدوات؛ فهو يتطلب الاعتراف بالطبيعة الاستراتيجية لدورهم وإحاطتهم بالخبرة المناسبة للقيام بذلك بفعالية. عندما يتمتع CISOs بالقدرة على القيادة بوضوح وثقة، بدعم من فرق وشركاء قادرين، يمكنهم تحويل الضغط إلى تقدم ودفع النضج الأمني طويل المدى الذي تحتاجه مؤسساتهم.
سام ثورنتون هو الرئيس التنفيذي للعمليات في بريدويل، وهي شركة استشارية للأمن السيبراني مقرها المملكة المتحدة والولايات المتحدة.
