Bestuursleden en CISO’s moeten meer overleggen over cybersecurity

Bestuursleden hebben een andere perceptie hebben van cybersecurityrisico’s dan de Chief Information Security Officers (CISO’s) in hun organisatie. Dat blijkt uit het Cybersecurity: The 2022 Board Perspective-rapport van Proofpoint en Cybersecurity at MIT Sloan (CAMS). De auteurs pleiten daarom voor regelmatig overleg tussen bestuursleden en CISO’s, waarbij het business-jargon en niet het tech-jargon leidend moet zijn.

Uit het onderzoek komt ook naar voren dat slechts twee derde van de bestuursleden van grote organisaties gelooft dat hun organisatie het risico loopt op een materiële cyberaanval, en nog minder gelooft dat het risico zeer waarschijnlijk is. Het rapport analyseerde ingevulde vragenlijsten van 600 bestuursleden die werken bij organisaties met 5000 of meer werknemers uit verschillende sectoren over de hele wereld. In augustus 2022 werden in de VS, Canada, het VK, Frankrijk, Duitsland, Italië, Spanje, Australië, Singapore, Japan, Brazilië en Mexico 50 bestuursleden per land ondervraagd.

Bestuursleden begrijpen dat menselijke fouten een hoog risico vormen bij de kwetsbaarheid van een organisatie voor cyberaanvallen. Daarom hebben CISO’s en andere operationele leiders volgens de auteurs de verantwoordelijkheid om programma’s en een cultuur in te voeren om het gedrag van medewerkers hierin te sturen. Bestuursleden hebben hierin twee rollen: ze moeten zich houden aan de protocollen om het menselijke risico te minimaliseren en ze moeten een rolmodel zijn door van cybersecurity een prioriteit te maken. Bovendien kunnen ze van CISO’s businesspartners maken in plaats van toezichthouders op de beveiligingsinfrastructuur.

De auteurs doen in het rapport een aantal aanbevelingen waarmee het bestuur kan helpen om de cyberbeveiligingsstrategie van hun organisatie te verbeteren:

• Zet cybersecurity elke keer dat het bestuur bijeenkomt op de agenda.
• Maak een dashboard met relevante statistieken om succesgebieden en gebieden die verbetering behoeven te tonen.
• Bouw spierkracht op het gebied van cybersecurity op, zodat iedereen weet hoe hij zich moet beschermen en hoe hij moet reageren op een incident.
• Heb regelmatig contact met de CISO’s. Hoe meer contact er is tussen bestuursleden en CISO’s hoe groter de kans dat ze de prioriteiten goed op elkaar kunnen afstemmen bij belangrijke beslissingen over cybersecurity.

Volgens de auteurs hebben bestuursleden en CISO’s uiteindelijk een gezamenlijke prioriteit: ervoor zorgen dat het bedrijf blijft bestaan. Een onderdeel daarvan is het goed managen van de cybersecurityrisico’s, zodat de organisatie bestand is tegen cyberaanvallen.

Bron: Managers Online