Van IT-csapata. CISO-ja viszont nincs.

Lehet. A felmérés ezt nem tudja megmondani, és nyíltan meg is mondja, miért: a válaszlehetőség nem az, hogy „nem”, hanem az, hogy „nem tudok róla” — ezt választotta a válaszadók 54%-a, a 25–99 végpontosoknak pedig 60%-a. Minden, ami e válasz körül áll, egy irányba mutat anélkül, hogy bizonyítaná: a monitorozás hiánya a harmadik leggyakrabban megjelölt kiváltó ok azoknál az incidenseknél, amelyeket észrevettek, a jelentés saját következtetése pedig az, hogy sok válaszadó félreítéli a saját biztonsági állapotát. A tiszta előzmény és a monitorozás hiánya belülről ugyanúgy néz ki. Annak kiderítésére, melyik áll fenn, való a felmérés — és ez a legkisebb ráfordítású lépés ezen a lapon.

Elképzelhető, hogy mindkettőnknek — csak más kérdésben. A szolgáltatójuk azokért a kontrollokért tud felelni, amelyeket ő üzemeltet. Azért nem tud, hogy a program teljes-e, bizonyítékokkal alátámasztott-e, és megállja-e a helyét egy auditor vagy egy biztosító előtt: ez soha nem volt az ő feladata, és jellemzően a szerződésében sem szerepel. Érdemes tudni, hogy a megkérdezett szervezetek 16%-a a saját incidensének okai között nevezte meg az alulteljesítő IT-szolgáltatót. A mi megbízásainkban a szolgáltatót nem leváltjuk és nem osztályozzuk: nála marad a technikai munka, az ő oldalán lévő kontrollokat pedig a szerződésein és a saját jelentésein keresztül igazoljuk — ami más, mint az ő megnyugtatása.

Húsz főtől dolgozunk, tíz fő alatt nem. Két dolgot joggal elvárhatnak. A negyven fő a lapon szereplő mindkét kutatás alsó szélén van, nem a közepén — az ESET mintájának mindössze 16%-a 100 fő alatti —, így azok a számok a sávot írják le, amelyben Önök vannak, nem a sáv alját. Negyven főnél pedig a megbízás a szolgáltatás valódi, nem lecsökkentett változata: ugyanaz a csapat, ugyanaz a platform, ugyanaz a tizenkét hónapos minimum. Ami Önökkel együtt méreteződik, az a hatókör — és ez az, ami a díjat is meghatározza.

Igazuk van abban, hogy akit megkérdeznek, azt fogja ajánlani, amit ő árul — és ez alól mi sem vagyunk kivétel. Két dolog szól ez ellen. Először is a sorrendet nem mi választjuk meg: az irányítás, a meglévő eszközök ismerete és a kockázati kép megelőzi a monitorozást és a detektálást — ezért nem adunk el monitorozást olyan rendszerparkra, amelyet még senki nem vett nyilvántartásba. Másodszor, kis ráfordítással kiderülhet, mielőtt bármire elkötelezik magukat: a lapon lévő felmérés ingyenes és önkiszolgáló, egy díjazott, egyszeri felmérés pedig olyan rangsorolt képet ad, amely az Önöké, és bárkihez elvihető. A rangsor javaslata a mi dolgunk; a jóváhagyása az Önöké.

Akkor lehet, hogy nem most — és ezt inkább kimondjuk, mint hogy okot gyártsunk. Nincs olyan védhető kárértékünk egy ilyen méretű, ezeken a piacokon működő cégre, amelyet idézhetnénk, és nem is fogunk kitalálni egyet. Amit az adatok mutatnak: az elvárás jellemzően az esemény után érkezik, nem előtte. A megkérdezett szervezetek 37%-a úgy rendelkezik kiberbiztosítással, hogy a biztosító konkrét biztonsági kontrollkövetelményeket is támaszt — azoknál viszont, akiknek egynél több incidensük volt, ez az arány 55%.

A másik útvonal az, amelyet ma a leggyakrabban látunk. Ami a szabályozásból Önökhöz közvetlenül nem ér el, az a vevőikhez eljut: a NIS2 és a DORA egyaránt megköveteli tőlük, hogy azonosítsák a kritikus IKT-beszállítóikat, és meggyőződjenek azok biztonságáról. Ahogy ezek a programok a papírról az üzemszerű működésbe kerülnek, a kérdések kifelé haladnak — egy cég, amely banknak fejleszt szoftvert, vagy energetikai vállalatnak végez üzemfenntartást, valakinek a beszállítói nyilvántartásában landol anélkül, hogy maga hatókörbe került volna. Amikor megérkezik, kérdőívként érkezik, visszaküldési határidővel, olyan vevőtől, akinek nem érdemes rosszul válaszolni — a jó válasz mögötti munka pedig inkább hónapokat vesz igénybe, mint heteket.

Nem csupán eszközöket adunk, hanem integrált tanácsadást és technológiai vezetést is. Az ISO/IEC 27001 tanúsított szakértelmünket MI-alapú virtuális CISO platformmal ötvözve hidat építünk az összetett IT-biztonság és az üzleti stratégia között. Célunk, hogy a kiberkockázatot minimálisra csökkentsük, miközben vállalkozása rugalmas és megfelelő marad.