Jak Rola Rady Dyrektorów w Zarządzaniu Ryzykiem Cybernetycznym Wpływa na Zabezpieczenie Aktywów Korporacyjnych?

Współczesne zagrożenia związane z cyberbezpieczeństwem, w tym pranie pieniędzy, stanowią poważne ryzyko dla organizacji, które mogą mieć negatywny wpływ na ich funkcjonowanie. Zgodnie z raportem Internet Security Alliance (2020), tego rodzaju działania mogą w istotny sposób zagrozić cyberbezpieczeństwu firm. Choć w różnych krajach trwają intensywne prace nad poprawą istniejących przepisów i tworzeniem nowych regulacji ochrony prywatności i danych, to priorytetem większości władz państwowych jest implementacja regulacji dotyczących cyberbezpieczeństwa, które zapewnią prywatność obywateli. W wyniku tego, kraje Ameryki Łacińskiej zaczęły przyjmować europejskie przepisy dotyczące ochrony danych osobowych, takie jak ogólne rozporządzenie o ochronie danych (RODO), oraz inne dyrektywy dotyczące bezpieczeństwa, włączając w to model zwalczania cyberprzestępczości opracowany na mocy Konwencji Budapeszteńskiej. Tego rodzaju inicjatywy miały na celu wzmocnienie bezpieczeństwa cybernetycznego organizacji w regionie.

Zarządy muszą być dobrze zaznajomione z istniejącymi i nowymi politykami oraz wymaganiami opracowanymi na poziomie krajowym lub międzynarodowym, aby odpowiednio wypełniać swoje obowiązki w zakresie cyberbezpieczeństwa. Zarówno wewnętrzni, jak i zewnętrzni doradcy prawni organizacji odgrywają kluczową rolę w łagodzeniu ryzyka związanego z cyberzagrożeniami. Wzrost liczby aktywnych regulatorów w obszarze zarządzania korporacyjnego i cyberbezpieczeństwa wzmocnił rolę doradców prawnych w przeciwdziałaniu cyberatakom. Z tego względu, zarząd powinien wymagać od zarządu opinii prawnych zarówno wewnętrznych, jak i zewnętrznych doradców w zakresie wdrożenia ram ochrony cyberbezpieczeństwa, które będą chronić przed ryzykiem regulacyjnym i prawnym, a także dotyczącym ujawniania informacji związanych z cyberzagrożeniami. Doradcy prawni powinni również doradzać w zakresie współpracy z regulatorami w dziedzinie zarządzania korporacyjnego i cyberbezpieczeństwa oraz zarządzania dokumentacją, w tym protokołami posiedzeń zarządu.

Zarządy muszą podejmować decyzje strategiczne, które uwzględniają koszty, reputację firmy, szanse na sukces i obowiązki wobec akcjonariuszy. Konieczność posiadania odpowiednich kompetencji w zakresie zarządzania ryzykiem cybernetycznym przez członków zarządu zyskuje na znaczeniu. Jak pokazuje badanie przeprowadzone przez National Association of Corporate Directors (NACD) (2016), jedynie 14% członków zarządów uważa, że wszyscy członkowie mają odpowiednią wiedzę na temat ryzyk związanych z cyberbezpieczeństwem. Z kolei Organizacja Państw Amerykańskich (OAS) ujawnia, że większość rad nadzorczych ma niewielkie lub żadne pojęcie o zagrożeniach związanych z cyberbezpieczeństwem oraz swoich odpowiedzialnościach fiducjarnych w tym zakresie. Brak świadomości członków zarządu o konsekwencjach ryzyk cybernetycznych wyjaśnia, dlaczego zarządzanie kwestiami związanymi z cyberbezpieczeństwem było dotąd bardziej reaktywne, koncentrując się na obronie perymetrycznej, niż na proaktywnym zarządzaniu ryzykiem.

W związku z rosnącym ryzykiem cyberataków na organizacje, niektóre firmy rozważają wprowadzenie ekspertów z zakresu cyberbezpieczeństwa i/lub technologii informacyjnych do składu zarządu, co stanowi efektywną metodę eliminowania luki wiedzy w tym zakresie. Niemniej jednak, takie rozwiązanie może nie być stosowane w każdej organizacji, a kwestia wyboru odpowiednich członków zarządu wymaga indywidualnego podejścia, uwzględniającego specyfikę i potrzeby danej firmy.

Jak skutecznie ustanowić ramy zarządzania bezpieczeństwem cybernetycznym w organizacji?

Aby zapewnić odpowiednie ramy zarządzania bezpieczeństwem cybernetycznym, należy zadbać o to, by zasady tworzenia tych ram były zgodne ze strategią korporacyjną i celami biznesowymi organizacji. Przede wszystkim, kluczowe osoby w firmie, takie jak członkowie zarządu, wyższe kierownictwo oraz oficerowie ds. ryzyka, powinny mieć solidną wiedzę na temat celów organizacji w zakresie zapewnienia bezpieczeństwa cybernetycznego. Bezpieczeństwo cybernetyczne obejmuje różne aspekty ochrony informacji i technologii, a zarząd musi zapewnić, że cele te są jasne, realistyczne i możliwe do osiągnięcia.

Zarząd, wyższe kierownictwo oraz oficerowie ds. ryzyka muszą współpracować, aby rozwijać i udoskonalać systemowe podejście do bezpieczeństwa cybernetycznego. Cyberprzestępcy najczęściej atakują najsłabsze ogniwa w systemie organizacji, dlatego wszyscy zainteresowani muszą zrozumieć, że bezpieczeństwo cybernetyczne to system wzajemnie powiązanych elementów, których połączenia są kluczowe dla zapobiegania zagrożeniom. Należy wykorzystać tę wiedzę do opracowania, wdrożenia i optymalizacji działań ochronnych w firmie.

Skuteczne podejście do ustanowienia rządów w zakresie bezpieczeństwa cybernetycznego wiąże się z tworzeniem ram i zasad zarządzania ryzykiem związanym z cyberzagrożeniami. W tym kontekście, oprócz zapobiegania zagrożeniom, organizacja powinna opracować procedury zarządzania nieoczekiwanymi incydentami cyberbezpieczeństwa. Członkowie zarządu oraz wyższe kierownictwo muszą zapewnić, że stan zarządzania bezpieczeństwem cybernetycznym w firmie jest nie tylko prewencyjny, ale i naprawczy. Muszą również opracować i wdrożyć środki zapobiegawcze oraz korygujące w celu minimalizacji skutków cyberataków. Dobre zarządzanie cyberbezpieczeństwem to określenie procedur i protokołów, które powinny być zastosowane w przypadku konwencjonalnych i niekonwencjonalnych incydentów, takich jak naruszenie danych lub cyberataki. W związku z rosnącą inwencją cyberprzestępców, organizacja musi być przygotowana na ataki, które mogą omijać tradycyjne środki ochrony. Stąd, zarządzanie bezpieczeństwem cybernetycznym musi być elastyczne, by pozwalało na skuteczne reagowanie na różnorodne zagrożenia.

Aby zapewnić elastyczność w zarządzaniu bezpieczeństwem cybernetycznym, należy wdrożyć sześciostopniowe podejście, które powinno obejmować następujące etapy:

1. Identyfikacja potrzeb interesariuszy. Zarząd, członkowie niezależnych komitetów oraz wyższe kierownictwo muszą zrozumieć potrzeby wewnętrznych i zewnętrznych interesariuszy w zakresie bezpieczeństwa cybernetycznego. W procesie tym należy uwzględnić wymagania dotyczące poufności i tajemnicy, a także zapewnić, że zasady zarządzania bezpieczeństwem cybernetycznym wspierają cele organizacji i chronią interesy interesariuszy. Istotne jest również określenie wymagań dotyczących raportowania, aby zapewnić odpowiednią komunikację dotyczącą zagrożeń cybernetycznych.

2. Zarządzanie strategią transformacji bezpieczeństwa cybernetycznego. Transformacja strategii bezpieczeństwa cybernetycznego odbywa się po przeglądzie i walidacji istniejącej strategii. Jej celem jest poprawa systemu zarządzania bezpieczeństwem i zwiększenie skuteczności w zapobieganiu oraz minimalizowaniu ryzyk związanych z cyberzagrożeniami. W tym procesie zarząd oraz wyższe kierownictwo muszą zwrócić uwagę na przepisy prawne dotyczące cyberprzestępczości, zidentyfikować próg tolerancji ryzyka w firmie, a także uwzględnić zmiany w podejściu do cyberbezpieczeństwa, które mogą wpłynąć na skuteczność wdrożonych strategii ochrony.

3. Określenie struktury bezpieczeństwa cybernetycznego. Ostatnim etapem jest precyzyjne określenie struktury organizacyjnej odpowiedzialnej za bezpieczeństwo cybernetyczne w firmie. Zarząd oraz wyższe kierownictwo powinni stworzyć odpowiednią strukturę organizacyjną, zapewniającą właściwe rozdzielenie obowiązków i odpowiedzialności za wdrażanie polityk oraz procedur ochrony przed cyberzagrożeniami.

Ważne jest, by cała organizacja była świadoma, że skuteczne zarządzanie bezpieczeństwem cybernetycznym nie jest jednorazowym działaniem, lecz ciągłym procesem. Przewidywanie zagrożeń, bieżąca analiza ryzyk oraz szybka reakcja na incydenty są kluczowe w utrzymaniu wysokiego poziomu bezpieczeństwa. Ponadto, kultura organizacyjna musi wspierać procesy ochrony danych, a pracownicy powinni być regularnie szkoleni i informowani o nowych zagrożeniach.

Jednym z istotniejszych elementów w zarządzaniu bezpieczeństwem cybernetycznym jest transparentność w komunikacji z interesariuszami. Powinno to obejmować zarówno wewnętrzne komunikaty dotyczące ryzyk i strategii, jak i zewnętrzne raporty, które umożliwią wszystkim zainteresowanym zrozumienie aktualnej sytuacji w zakresie cyberbezpieczeństwa. Organizacja musi również wykazać elastyczność w dostosowywaniu swoich działań ochronnych, szczególnie w kontekście szybko zmieniających się technologii oraz rosnącej złożoności cyberzagrożeń.

Jakie metryki cyberbezpieczeństwa są kluczowe dla zarządu organizacji?

Współczesne organizacje stoją przed ciągłym zagrożeniem cyberataków, które mogą prowadzić do poważnych konsekwencji finansowych i reputacyjnych. W związku z tym zarządy firm powinny zwracać szczególną uwagę na monitorowanie i analizowanie metryk związanych z cyberbezpieczeństwem. Istnieje szereg wskaźników, które pomagają zarządowi lepiej zrozumieć, jak skutecznie zabezpieczona jest ich organizacja przed cyberzagrożeniami, a także jak szybko i efektywnie reaguje na ewentualne incydenty. Poniżej przedstawiono kluczowe metryki, które powinny znajdować się w centrum zainteresowania najwyższego szczebla zarządzania.

Innym istotnym wskaźnikiem jest średni czas reakcji na incydent. Czas ten mierzy, jak długo trwa odpowiedź na wykryty atak. Jeśli organizacja posiada skuteczną i dobrze opracowaną procedurę reakcji, czas ten powinien być jak najkrótszy. Z kolei średni czas potrzebny do opanowania incydentu pozwala ocenić, jak sprawnie zespół ds. bezpieczeństwa identyfikuje źródła zagrożenia i likwiduje ryzyko. Warto również śledzić tzw. „pierwszorzędne oceny cyberbezpieczeństwa”, które umożliwiają przedstawienie ogólnej oceny poziomu zabezpieczeń w sposób zrozumiały dla wszystkich pracowników organizacji. Tego typu wskaźniki pomagają zarówno zarządowi, jak i pracownikom ocenić stan cyberbezpieczeństwa na bieżąco.

Patching cadence, czyli częstotliwość wdrażania poprawek bezpieczeństwa, to inny istotny wskaźnik. Częste aktualizacje oprogramowania i szybkie wdrażanie poprawek najsłabszych punktów w systemach zabezpieczeń zmniejszają ryzyko skutecznych ataków. Opóźnienia w tym zakresie stanowią jedną z głównych przyczyn sukcesu ataków, jak miało to miejsce w przypadku ataku ransomware WannaCry, który wykorzystał lukę w systemie, zanim została ona załatana.

Zarząd organizacji musi również monitorować zarządzanie dostępem do systemów. Ścisłe kontrolowanie liczby użytkowników z uprawnieniami administracyjnymi oraz wprowadzenie odpowiednich zasad ograniczających eskalację uprawnień zmniejsza ryzyko wewnętrznych zagrożeń. Zarządzanie dostępem wymaga nie tylko odpowiednich polityk, ale także skutecznej egzekucji zasad i ich adaptacji do zmieniających się potrzeb organizacji.

Dobre zarządzanie ryzykiem związanym z dostawcami wymaga również monitorowania ich reakcji na incydenty cyberbezpieczeństwa. Czas odpowiedzi dostawców na zagrożenia zewnętrzne powinien być częścią ogólnego zarządzania cyberbezpieczeństwem w organizacji. Opóźnienia w odpowiedzi dostawcy mogą prowadzić do poważnych strat, dlatego zarząd powinien na bieżąco analizować te wskaźniki.

Rola Rad Zarządzających w Nadzorze nad Cyberzagrożeniami: Wyzwania i Odpowiedzialność

Zwiększona dostępność zaawansowanych narzędzi cyfrowych oraz technologii jest jednym z głównych powodów, dla których coraz częściej dochodzi do ataków cybernetycznych. Jednakże, jak wskazują badania (Cheng i Groysberg, 2017; Metivier, 2018; Vittorio i Holland, 2021), kluczowym czynnikiem leżącym u podstaw wysokiej liczby tych ataków jest ignorancja członków rad nadzorczych w zakresie ich odpowiedzialności za nadzór nad bezpieczeństwem cyfrowym. Brak wystarczającego zainteresowania problematyką cyberbezpieczeństwa ze strony rad nadzorczych skutkuje poważnymi konsekwencjami – nie tylko finansowymi, ale także wizerunkowymi i regulacyjnymi. W wyniku tego coraz częściej dochodzi do pozwów sądowych skierowanych przeciwko organizacjom oraz członkom rad nadzorczych, którzy zignorowali swoje obowiązki nadzorcze w tym zakresie (Vittorio i Holland, 2021). Przykładem może być sprawa firmy Equifax Inc., która musiała zapłacić 149 milionów dolarów w ramach rekompensaty za wyciek danych, który ujawnił luki w systemie zabezpieczeń firmy (Vittorio i Holland, 2021).

Zaniechanie przez członków rady nadzorczej ich obowiązków nadzorczych może prowadzić do poważnych konsekwencji prawnych. Przykładem jest sprawa Wells Fargo, gdzie niepowodzenie w realizacji obowiązków nadzorczych skutkowało interwencją Rezerwy Federalnej w 2018 roku. Rezerwa Federalna wskazała na niewłaściwe nadzorowanie ryzyka przez radę nadzorczą, co doprowadziło do poważnych naruszeń zasad zgodności z regulacjami. W odpowiedzi na tę sytuację, Rezerwa Federalna zwróciła uwagę na konieczność wymiany członków rady nadzorczej, dostosowania struktury i praktyk zarządzania do strategii organizacji oraz wypracowania systemów zarządzania ryzykiem, które będą skutecznie zapobiegać naruszeniom i nieprawidłowościom (Lipton i in., 2018).

Rady nadzorcze pełnią swoją funkcję w różnych częściach świata, zarządzając przedsiębiorstwami, w których kluczową zasadą jest oddzielenie kontroli nad organizacją od jej własności. To właśnie rady nadzorcze mają odpowiedzialność za nadzorowanie różnych aspektów działalności zarządzającej organizacją. Zwiększenie liczby ryzyk finansowych, w tym ryzyk związanych z cyberzagrożeniami, skutkuje coraz większym naciskiem ze strony interesariuszy na skuteczne zarządzanie tymi ryzykami przez rady nadzorcze (Deloitte, 2016; Cheng i Groysberg, 2017). Rady nadzorcze powinny zapewnić, że zarząd organizacji opracował i wdrożył skuteczne strategie zarządzania ryzykiem w odniesieniu do różnych rodzajów zagrożeń, w tym ryzyk płynnościowych, operacyjnych, kredytowych oraz cybernetycznych.

Ataki cybernetyczne stały się coraz bardziej wyrafinowane, a ich konsekwencje – zarówno dla małych, średnich, jak i dużych firm – mogą prowadzić do katastrofalnych skutków. Koszty reakcji na atak, szkody dla reputacji firmy, zakłócenia w działalności operacyjnej oraz potencjalne sankcje i pozwy są tylko niektórymi z możliwych konsekwencji (Cheng i Groysberg, 2017; Metivier, 2018; Tunggal, 2021b). W obliczu takich zagrożeń, rady nadzorcze muszą opracować i wdrożyć proaktywne działania mające na celu skuteczne zarządzanie ryzykiem cybernetycznym.

Kluczowym wyzwaniem pozostaje zapewnienie, aby rada nadzorcza skutecznie pełniła swoje obowiązki nadzorcze, a także aby członkowie tych rad posiadali odpowiednie kompetencje, wsparcie i narzędzia do właściwego zarządzania ryzykiem cybernetycznym. W przeciwnym razie, firmy narażają się na ryzyko nie tylko związane z atakami cybernetycznymi, ale również z odpowiedzialnością prawną za zaniedbania w zakresie ochrony danych oraz niewłaściwego nadzoru nad kwestiami cyberbezpieczeństwa.