Οι CISOs συχνά συγκρίνουν λύσεις με βάση τα χαρακτηριστικά τους. Ωστόσο, η ταχύτητα υλοποίησης, οι απαιτήσεις στελέχωσης και ο βαθμός πραγματικής αξιοποίησης μπορεί να αποτελούν πολύ πιο αξιόπιστους δείκτες της μακροπρόθεσμης αξίας μιας επένδυσης στην κυβερνοασφάλεια.

  • Η ταχύτητα υλοποίησης έχει σημασία: Τα εργαλεία ασφαλείας που μπορούν να τεθούν πλήρως σε λειτουργία μέσα σε λίγες εβδομάδες – και όχι σε μήνες – προσφέρουν ταχύτερη μείωση του κινδύνου και άμεση επιχειρησιακή αξία.
  • Η πολυπλοκότητα κρύβει κόστος: Οι απαιτήσεις σε προσωπικό, η συνεχής συντήρηση και οι ανάγκες εκπαίδευσης αυξάνουν σημαντικά το πραγματικό κόστος ιδιοκτησίας μιας λύσης.
  • Η αξιοποίηση υπερέχει του αριθμού λειτουργιών: Μια λύση που αξιοποιεί το 100% των βασικών δυνατοτήτων της μπορεί να προσφέρει μεγαλύτερη προστασία από μια πλατφόρμα με εντυπωσιακό πλήθος χαρακτηριστικών, τα οποία όμως παραμένουν σε μεγάλο βαθμό ανενεργά.

Άρθρο του David Bellini – Co-Founder and CEO of CyberFOX – στο www.securityinfowatch.com

Συζητώ διαρκώς το ίδιο θέμα με CISOs οργανισμών που απασχολούν από 500 έως 2.000 εργαζομένους. Γνωρίζουν ακριβώς ποιοι έλεγχοι ασφαλείας χρειάζονται. Έχουν πραγματοποιήσει τις απαραίτητες αξιολογήσεις, έχουν επιλέξει τα κατάλληλα εργαλεία και έχουν ολοκληρώσει τη διαδικασία προμήθειας. Ωστόσο, έξι μήνες αργότερα, οι λύσεις εξακολουθούν να μην έχουν υλοποιηθεί πλήρως.

Οι καθυστερήσεις δεν οφείλονται στο ότι η τεχνολογία είναι υπερβολικά σύνθετη. Οφείλονται στο ότι τα εργαλεία απαιτούν περισσότερο ανθρώπινο δυναμικό, περισσότερες διαδικασίες και μεγαλύτερη συνεχή φροντίδα από όση μπορεί ρεαλιστικά να διαθέσει ο οργανισμός. Πρόκειται για ένα πρόβλημα πόρων που συχνά μεταμφιέζεται σε τεχνολογική επένδυση.

Παρακολουθώντας αυτό το μοτίβο να επαναλαμβάνεται σε εκατοντάδες υλοποιήσεις οργανισμών μεσαίου μεγέθους, έχω καταλήξει στο συμπέρασμα ότι αξιολογούμε λάθος κριτήρια όταν επιλέγουμε εργαλεία κυβερνοασφάλειας. Και το κόστος αυτής της προσέγγισης είναι μεγαλύτερο από όσο αντιλαμβάνονται οι περισσότεροι.

Η παγίδα του πίνακα χαρακτηριστικών

Πολλές διαδικασίες προμηθειών εξακολουθούν να βασίζονται κυρίως στη σύγκριση χαρακτηριστικών και στην κάλυψη απαιτήσεων συμμόρφωσης. Συνήθως επιλέγονται δύο έως τέσσερις προμηθευτές και συγκρίνονται σε έναν πίνακα δυνατοτήτων, με στόχο να αναδειχθεί εκείνος που «συγκεντρώνει τα περισσότερα κουτάκια».

Στα χαρτιά αυτή η προσέγγιση φαίνεται λογική. Στην πράξη, όμως, το αποτέλεσμα είναι σχεδόν πάντα προβλέψιμο. Από την εμπειρία μου σε εκατοντάδες έργα οργανισμών μεσαίου μεγέθους, οι επιχειρήσεις αγοράζουν τη λύση με τις περισσότερες δυνατότητες στην καλύτερη τιμή, αλλά τελικά αξιοποιούν περίπου το 30% των δυνατοτήτων που απέκτησαν. Το υπόλοιπο 70% παραμένει θεωρητικά διαθέσιμο, αλλά στην πράξη δεν παραμετροποιείται, δεν συντηρείται και συνεπώς δεν προσφέρει καμία ουσιαστική προστασία.

Το φαινόμενο αυτό εμφανίζεται συχνά στις λύσεις Privileged Access Management (PAM). Ως επαγγελματίας που αναπτύσσει λύσεις PAM για οργανισμούς μεσαίου μεγέθους, έχω δει επανειλημμένα αυτή τη δυναμική. Οι εταιρικές πλατφόρμες PAM προσφέρουν πλήθος προηγμένων δυνατοτήτων, όπως καταγραφή συνεδριών, ανάλυση συμπεριφοράς χρηστών και διασύνδεση με πολυάριθμα συστήματα.

Όλα αυτά αποτελούν αναμφισβήτητα χρήσιμα χαρακτηριστικά. Ωστόσο, προϋποθέτουν την ύπαρξη εξειδικευμένης ομάδας που θα τα υλοποιήσει, χρονοδιάγραμμα τουλάχιστον έξι μηνών για την παραμετροποίησή τους και προσωπικό που θα αναλάβει τη συνεχή συντήρησή τους.

Οι περισσότεροι οργανισμοί μεσαίου μεγέθους δεν διαθέτουν αυτούς τους πόρους. Συνήθως βασίζονται σε έναν ή δύο γενικούς επαγγελματίες πληροφορικής, οι οποίοι καλούνται να διαχειριστούν τα πάντα, από προβλήματα εκτυπωτών μέχρι ζητήματα κυβερνοασφάλειας. Η απαίτηση να αναλάβουν παράλληλα την υλοποίηση και διαχείριση μιας σύνθετης λύσης PAM είναι συχνά μη ρεαλιστική.

Τρεις δείκτες που έχουν πραγματική σημασία

Αν έπρεπε να συμβουλεύσω έναν CISO για το πώς να αξιολογήσει σήμερα ένα εργαλείο ασφαλείας, θα του πρότεινα να αφήσει στην άκρη τους πίνακες χαρακτηριστικών και να εστιάσει σε τρία βασικά ερωτήματα.

1. Πόσο γρήγορα θα τεθεί πλήρως σε λειτουργία;

Το πρώτο ερώτημα αφορά τον χρόνο που απαιτείται για να καταστεί το εργαλείο πλήρως επιχειρησιακό και το ποσοστό των τελικών σημείων (endpoints) που θα καλύπτει μέσα σε αυτό το διάστημα.

Για μια στοχευμένη λύση, η πλήρης λειτουργικότητα θα πρέπει να επιτυγχάνεται σε εβδομάδες και όχι σε μήνες. Όταν ένας προμηθευτής αναφέρει ότι η υλοποίηση απαιτεί έξι έως εννέα μήνες, ουσιαστικά αποδέχεστε έναν επιπλέον κίνδυνο διάρκειας έξι έως εννέα μηνών.

2. Πόσοι άνθρωποι απαιτούνται για τη λειτουργία της;

Το δεύτερο ερώτημα αφορά τις ανάγκες στελέχωσης.

Αν η απάντηση είναι ότι θα χρειαστεί να προσλάβετε νέο προσωπικό ή να βασιστείτε σε εξωτερικές επαγγελματικές υπηρεσίες για τη συντήρηση της λύσης, τότε αυτό το κόστος πρέπει να συνυπολογιστεί εξαρχής.

Ένα προϊόν που κοστίζει 40.000 δολάρια ετησίως αλλά απαιτεί έναν εργαζόμενο με ετήσιο κόστος 90.000 δολαρίων για τη διαχείρισή του, στην πραγματικότητα αντιστοιχεί σε μια επένδυση 130.000 δολαρίων τον χρόνο. Ο προϋπολογισμός πρέπει να αντικατοπτρίζει αυτή την πραγματικότητα.

3. Τι ποσοστό των δυνατοτήτων θα αξιοποιηθεί πραγματικά;

Το τρίτο ερώτημα είναι ίσως το πιο σημαντικό.

Αξιολογήστε με ειλικρίνεια πόσο από το εργαλείο θα μπορέσει πραγματικά να χρησιμοποιήσει και να συντηρήσει η ομάδα σας.

Αν θεωρείτε ότι οι εργαζόμενοί σας θα αξιοποιήσουν μόλις το 40% των δυνατοτήτων μιας ιδιαίτερα σύνθετης πλατφόρμας, τότε ίσως είναι προτιμότερη μια λιγότερο σύνθετη λύση της οποίας θα αξιοποιείτε το 100% των λειτουργιών.

Σε πολλές περιπτώσεις, μια θεωρητικά λιγότερο ισχυρή λύση μπορεί να προσφέρει μεγαλύτερη πραγματική αξία ασφάλειας, απλώς επειδή είναι ευκολότερη στη διαχείριση και λιγότερο πολύπλοκη.

Η υλοποιημένη ασφάλεια υπερέχει της θεωρητικής

Αυτό δεν σημαίνει ότι οι ολοκληρωμένες και εκτεταμένες πλατφόρμες ασφάλειας δεν έχουν θέση στην αγορά. Υπάρχουν μεγάλοι οργανισμοί με ώριμες δομές κυβερνοασφάλειας και επαρκές προσωπικό, όπου τέτοιες επενδύσεις αποδίδουν σημαντικά οφέλη.

Για να αξιοποιηθεί όμως πλήρως το εύρος και το βάθος αυτών των λύσεων, απαιτείται επαρκής αριθμός εξειδικευμένων στελεχών.

Για τη μεγάλη πλειονότητα των CISOs σε οργανισμούς μεσαίου μεγέθους, τα δεδομένα είναι διαφορετικά. Εάν ένα εργαλείο μπορεί να εγκατασταθεί πλήρως, να λειτουργεί αυτόματα και να μην απαιτεί συνεχή επίβλεψη, είναι πολύ πιθανό να ενισχύσει περισσότερο τη συνολική στάση ασφαλείας του οργανισμού από μια πλατφόρμα που αξιοποιείται μόλις στο 30% των δυνατοτήτων της και απαιτεί διαρκή ενασχόληση.

Υπάρχει επίσης και ένας σωρευτικός παράγοντας που συχνά παραβλέπεται. Οι λύσεις που είναι αρκετά απλές ώστε να διαχειρίζονται από το υπάρχον προσωπικό έχουν μεγαλύτερες πιθανότητες να παραμείνουν λειτουργικές ακόμη και όταν αλλάζει το ανθρώπινο δυναμικό.

Σε πολλούς οργανισμούς μεσαίου μεγέθους, το μοναδικό άτομο που γνωρίζει σε βάθος μια συγκεκριμένη λύση ασφαλείας μπορεί να αποχωρήσει από την εταιρεία χωρίς να έχει μεταβιβάσει τη γνώση σε άλλους εργαζόμενους. Το αποτέλεσμα είναι ένα ακριβό λογισμικό που σταδιακά μετατρέπεται από περιουσιακό στοιχείο σε πηγή κινδύνου. Έχω δει αυτό να συμβαίνει ακόμη και λίγους μήνες μετά την ολοκλήρωση της υλοποίησης ενός έργου ασφάλειας.

Αλλάζοντας τον τρόπο που αγοράζουμε λύσεις ασφαλείας

Την επόμενη φορά που θα αξιολογήσετε μια επένδυση στην κυβερνοασφάλεια, δοκιμάστε την εξής άσκηση:

Πάρτε το χρονοδιάγραμμα υλοποίησης που υπόσχεται κάθε προμηθευτής και πολλαπλασιάστε το επί 1,5 — γιατί σχεδόν πάντα χρειάζεται περισσότερος χρόνος από αυτόν που αναφέρεται στις παρουσιάσεις πωλήσεων.

Στη συνέχεια, υπολογίστε το πραγματικό συνολικό κόστος, συμπεριλαμβάνοντας τον χρόνο απασχόλησης του εσωτερικού προσωπικού.

Τέλος, ζητήστε από την ομάδα σας να εκτιμήσει με απόλυτη ειλικρίνεια ποιο ποσοστό των δυνατοτήτων της λύσης θα μπορέσει να παραμετροποιήσει και να συντηρήσει μέσα στον πρώτο χρόνο λειτουργίας.

Οι απαντήσεις πιθανότατα θα αλλάξουν σημαντικά την κατάταξη των επιλογών σας.

Ιδιαίτερα για τις επιχειρήσεις μεσαίου μεγέθους, η πιο απλή επιλογή δεν αποτελεί συμβιβασμό. Αντίθετα, είναι συχνά εκείνη που υλοποιείται πραγματικά, συντηρείται σωστά και τελικά συμβάλλει ουσιαστικά στη μείωση του επιχειρησιακού κινδύνου.