Dlaczego cyberbezpieczeństwo to nie tylko kwestia IT, lecz obowiązek zarządczy?

Współczesne środowisko pracy przeszło głęboką transformację, a wraz z nią pojawiło się nowe, trwałe zagrożenie: ryzyka cybernetyczne. W erze, w której incydenty cyfrowe mogą prowadzić nie tylko do strat finansowych, lecz także do szkód reputacyjnych i konsekwencji prawnych, tradycyjne rozumienie ładu korporacyjnego przestaje wystarczać. Wymaga ono gruntownej rewizji, uwzględniającej wymiar cyberbezpieczeństwa jako kluczowego elementu zarządzania organizacją.

Cyberbezpieczeństwo nie jest już wyłącznie domeną działów IT. To strategiczny wymiar działalności biznesowej, który musi być osadzony w centrum decyzyjnych procesów zarządczych. Włączenie członków zarządów i osób zasiadających w radach nadzorczych w kwestie nadzoru nad ryzykiem cybernetycznym staje się nieodzowne, a ich aktywna rola w tym zakresie przesądza o odporności organizacji. Zignorowanie tego wymiaru może oznaczać nie tylko technologiczną niewydolność, ale także egzystencjalne zagrożenie dla przedsiębiorstwa.

Kultura organizacyjna oparta na współodpowiedzialności za bezpieczeństwo informacyjne staje się filarem współczesnego modelu zarządzania. Demistyfikacja zagadnień cybernetycznych i ich uczynienie częścią wspólnego języka zarządców to proces, który redefiniuje relacje władzy, kompetencji i odpowiedzialności. Tylko wtedy, gdy cyberbezpieczeństwo stanie się wspólną odpowiedzialnością – nie oddelegowaną, lecz rzeczywiście współdzieloną – organizacja może zyskać realną odporność wobec rosnącej złożoności zagrożeń.

Wobec nieustannie rosnącej częstotliwości i wyrafinowania ataków cybernetycznych, rola zarządów oraz osób na stanowiskach C-level w ochronie zasobów organizacyjnych osiąga nowy poziom krytyczności. Ich zadaniem nie jest już tylko zatwierdzanie polityk bezpieczeństwa czy monitorowanie zgodności z przepisami, lecz kształtowanie wizji i strategii odporności organizacyjnej. To oznacza konieczność wejścia w obszary dotychczas uznawane za domenę technologiczną i zbudowanie kompetencji umożliwiających świadome, proaktywne działanie.

Ważne jest również dostrzeżenie roli inwestorów instytucjonalnych, którzy w coraz większym stopniu oczekują od zarządów dowodów skutecznego nadzoru nad ryzykiem cybernetycznym. Ich presja zmienia sposób, w jaki oceniana jest wartość przedsiębiorstwa – nie tylko przez pryzmat wyników finansowych, lecz także przez pryzmat odporności informacyjnej i transparentności procesów zarządzania ryzykiem.

Ważne jest, aby w tym procesie nie zatrzymać się na deklaracjach. Prawdziwa transformacja zaczyna się tam, gdzie zarząd decyduje się na systemowe podejście: zdefiniowanie potrzeb interesariuszy, zarządzanie transformacją bezpieczeństwa, ustalenie struktury odpowiedzialności, zarządzanie ryzykiem oraz optymalizacja zasobów. Każdy z tych elementów wymaga osobnego omówienia, ale już sama ich identyfikacja zmienia sposób, w jaki myślimy o cyberbezpieczeństwie – jako o dynamicznym, strategicznym i nierozerwalnie związanym z misją organizacji.

Dla czytelnika istotne jest zrozumienie, że cyberbezpieczeństwo to nie „dodatek” do strategii organizacyjnej, lecz jej integralna część. Współczesna firma, która ignoruje ten wymiar, staje się podatna nie tylko na techniczne ataki, lecz także na utratę zaufania ze strony klientów, partnerów i inwestorów. Cyberbezpieczeństwo musi być stale rewidowane, rozwijane i integrowane z procesami decyzyjnymi. Jedynie takie podejście pozwala na rzeczywiste zarządzanie ryzykiem – nie jako reakcję, lecz jako kompetencję przywódczą.

Jak zarząd firmy może skutecznie zarządzać ryzykiem cybernetycznym?

Cyberprzestępca, który nie mógł uzyskać dostępu do sieci renomowanej firmy naftowej, wprowadził złośliwe oprogramowanie do internetowego menu restauracji, którą odwiedzali pracownicy tej firmy. Kiedy pracownicy składali zamówienia przez menu online, cyberprzestępca uzyskał nieautoryzowany dostęp do systemu firmy, a następnie przełamał zabezpieczenia (Internet Security Alliance, 2020). Koszt finansowy szkód spowodowanych cyberatakami jest szacowany na ponad 400-500 miliardów dolarów rocznie (Morgan, 2016). Zgodnie z raportem Internet Security Alliance (2020) kraje mogą w pełni wykorzystać korzyści płynące z globalizacji jedynie poprzez stworzenie efektywnej i solidnej infrastruktury cyfrowej, która będzie bezpieczna i niezawodna dla wszystkich interesariuszy (Olavsrud, 2016). W kontekście tego, ochrona interesariuszy powinna stać się kluczowym elementem, który należy uwzględnić i dopasować do opracowywania protokołów cyberbezpieczeństwa.

Zarząd firmy musi także zadbać o to, by praktyki związane z cyberbezpieczeństwem były w pełni zintegrowane z systemami, sieciami i każdą częścią operacji biznesowych organizacji. Zgodnie z raportem Internet Security Alliance (2020), podstawowe kontrolki cyberbezpieczeństwa, które skutecznie zapobiegają ponad 85% prób ataków, obejmują: ograniczenie uprawnień administracyjnych i użytkowników, a także regularne aktualizowanie systemu operacyjnego o nowe wersje aplikacji oprogramowania. Przykłady takich praktyk to tworzenie tzw. whitelist i zapobieganie instalacji lub modyfikacji oprogramowania (Internet Security Alliance, 2020). Takie podejście nie tylko poprawia efektywność biznesową, ale także zapewnia pozytywny zwrot z inwestycji. Ponadto, zarząd i wyższe kierownictwo w wiodących organizacjach muszą stosować zarówno strategie reaktywne, jak i proaktywne w celu zapobiegania oraz łagodzenia negatywnych skutków cyberataków. W tym kontekście, zarząd i wyższe kierownictwo powinny wdrożyć protokoły cyberbezpieczeństwa, które pozwolą na generowanie informacji wywiadowczych oraz przewidywanie miejsc, w których cyberprzestępcy mogą zaatakować (Internet Security Alliance, 2020). Aby osiągnąć te cele, zarząd i kierownictwo muszą poddawać swoje systemy, procesy i sieci częstym oraz rygorystycznym testom, by zidentyfikować luki w zabezpieczeniach.

Zarząd musi także być świadomy rodzaju i skali ryzyk cybernetycznych, na które narażona jest jego firma. Członkowie zarządu powinni w pełni upoważnić wyższe kierownictwo do opracowania strategii minimalizujących potencjalne zagrożenia cybernetyczne. Według Hessa i Mortona (2020), podejście firmy do zapewnienia cyberbezpieczeństwa musi być integralną częścią jej ogólnej strategii zarządzania ryzykami. Choć firmy i ich zarządy stają przed wyzwaniem dynamicznie zmieniającego się krajobrazu ryzyka cybernetycznego, istnieje szereg strategicznych zaleceń i wskazówek opracowanych przez Europejskie Stowarzyszenie Dyrektorów i Internet Security Alliance, które pomagają organizacjom w budowaniu skutecznych ram zarządzania ryzykiem cybernetycznym (Hess & Morton, 2020).

Pierwsza zasada: Zarządy muszą traktować cyberbezpieczeństwo jako problem zarządzania ryzykiem w całej organizacji, a nie jedynie jako kwestię działu IT. W przeszłości organizacje traktowały bezpieczeństwo informacji jako problem operacyjny lub techniczny, który miał zostać rozwiązany przez personel IT (Internet Security Alliance, 2020). Wiele firm nadal przekazuje odpowiedzialność za cyberbezpieczeństwo wyłącznie do działu IT, co prowadzi do braku wsparcia i zasobów niezbędnych do pełnego nadzorowania tej kwestii. Ponadto takie podejście utrudnia skuteczną komunikację oraz ocenę zagrożeń związanych z cyberbezpieczeństwem, co może prowadzić do poważnych trudności w opracowywaniu skutecznych strategii zarządzania ryzykiem cybernetycznym.

Jak Rada Dyrektorów Powinna Nadzorować Zarządzanie Ryzykiem Cybernetycznym w Organizacjach?

Wybór odpowiedniej polisy ubezpieczeniowej na wypadek incydentu cybernetycznego nie jest łatwym zadaniem. Rada dyrektorów musi upewnić się, że oferta firmy ubezpieczeniowej odpowiada specyficznym potrzebom organizacji. Przeprowadzanie regularnych rozmów z ubezpieczycielami na temat struktury zabezpieczeń cybernetycznych organizacji pozwala na zrozumienie mocnych stron oraz słabości w systemach obronnych. Współpraca z firmami prawniczymi, PR-owymi czy technologicznymi, które oferują środki zapobiegawcze, jest kolejnym krokiem w kierunku wzmocnienia cyberbezpieczeństwa.

Pomimo tego, że wpływ incydentu cybernetycznego na organizację można ocenić na podstawie szczegółowej analizy, taka ocena bywa trudna do przeprowadzenia. Zdarzenie związane z naruszeniem danych może mieć szereg konsekwencji, nie tylko o charakterze technicznym, ale także wizerunkowym. Publiczne ujawnienie takich spraw może prowadzić do utraty reputacji firmy, co w dłuższym okresie może mieć poważne konsekwencje dla jej działalności i postrzeganego ryzyka przez inwestorów oraz innych interesariuszy.

Straty wizerunkowe, wynikające z incydentu cybernetycznego, są często poważniejsze i bardziej nieproporcjonalne do faktycznych szkód. Z tego powodu członkowie zarządu muszą być przygotowani na konsekwencje takich wydarzeń. Powinni oni zapewnić, że menedżerowie opracowali skuteczne strategie zarządzania ryzykiem cybernetycznym, obejmujące m.in. opracowanie planu komunikacji kryzysowej, zarządzanie IT, czy zawieranie odpowiednich umów z dostawcami i partnerami biznesowymi. Tylko wówczas organizacja będzie mogła sprawnie zarządzać sytuacjami kryzysowymi, minimalizując ich skutki.

Z kolei rosnące zainteresowanie inwestorów instytucjonalnych zarządzaniem ryzykiem cybernetycznym skłania do rewizji polityki nadzoru nad takim ryzykiem. Zgodnie z badaniami, więcej niż jedna na dziesięć rad nadzorczych omawia zarządzanie ryzykiem cybernetycznym podczas spotkań z inwestorami. Inwestorzy instytucjonalni zaczynają traktować nadzór nad ryzykiem jako kluczowy element oceny praktyk ładu korporacyjnego. W związku z tym coraz częściej podejmują decyzje, które mogą mieć dalekosiężne skutki, takie jak kampanie akcjonariuszy czy rekomendacje od firm doradczych dotyczące głosowań przeciwko członkom zarządu, którzy zaniedbali swoje obowiązki nadzorujące w zakresie zarządzania ryzykiem cybernetycznym.

Nieprzestrzeganie zasad nadzoru nad ryzykiem może prowadzić do poważnych konsekwencji dla firmy, takich jak nałożenie grzywien, sankcji czy nawet problemów z reputacją, które są często trudne do naprawienia. Jednym z głośniejszych przykładów jest sytuacja w Wells Fargo, gdzie firma doradcza Institutional Shareholder Services (ISS) wydała rekomendację przeciwko 12 członkom rady nadzorczej za nieprawidłowe wykonywanie obowiązków nadzorczych w kontekście nielegalnej sprzedaży usług bankowych.

Współczesne organizacje muszą także dbać o właściwą kulturę organizacyjną, której fundamentem jest zarządzanie ryzykiem na poziomie całej firmy. Członkowie rady dyrektorów, we współpracy z menedżerami, powinni kształtować taką kulturę, która umożliwi szerokie wdrożenie podejścia do zarządzania ryzykiem w całej organizacji. Cyberbezpieczeństwo nie może być traktowane wyłącznie jako odpowiedzialność działu IT, ale jako integralna część kultury organizacyjnej. W tym kontekście niezbędne jest wdrożenie odpowiednich procedur oceny ryzyka i integracja procesów zarządzania ryzykiem z decyzjami biznesowymi organizacji.

Endtext

Jakie działania powinien podjąć zarząd w celu skutecznego nadzoru ryzyka w organizacji?

Zarządy przedsiębiorstw, zwłaszcza tych działających w sektorze finansowym, są odpowiedzialne za zapewnienie skutecznego nadzoru nad ryzykiem, a także za dostosowanie się do wymagań regulacyjnych, które często są kształtowane przez agendy polityczne. Przykłady takich regulacji to m.in. ustawa Dodd-Frank o reformie rynku finansowego, ustawa Sarbanesa-Oxleya z 2002 roku, czy ustawa o ochronie konsumentów. Wprowadzenie tych aktów prawnych miało na celu reformy w zarządzaniu ryzykiem w organizacjach, szczególnie w obszarze sektora finansowego (Gupta i Leech, 2015).

Zarządy powinny nie tylko reagować na zmieniające się przepisy, ale również aktywnie dbać o rozwój systemów zarządzania ryzykiem. Przykłady kryzysów finansowych, takich jak skandale związane z regulacjami kursów walutowych czy wielomiliardowe ugody antypranie pieniędzy, wskazują na konieczność wzmocnienia nadzoru nad ryzykiem. Tego typu wydarzenia zwiększają presję na zarządy, by zapewnić, że wprowadzone procedury i polityki są adekwatne i skuteczne.

Podstawą skutecznego nadzoru nad ryzykiem jest stworzenie odpowiedniej ramy zarządzania ryzykiem, która pozwala na identyfikację i monitorowanie głównych zagrożeń, z jakimi boryka się organizacja. Jest to proces, który nie tylko dotyczy identyfikowania ryzyka, ale także skutecznego zarządzania nim, zapewniając jego integrację z ogólną strategią firmy. Zarządy powinny współpracować z niezależnymi komitetami i zarządzać zasobami w sposób, który wspiera rozwój oraz wdrażanie systemów zarządzania ryzykiem (Lipton i in., 2018).

Zarząd przedsiębiorstwa, aby sprostać wymogom efektywnego nadzoru, musi podejmować szereg działań, które obejmują m.in. regularne przeglądy apetytu na ryzyko oraz progów tolerancji ryzyka w organizacji. Przegląd ten pozwala na dostosowanie strategii korporacyjnej do rzeczywistych zagrożeń. Zarząd i zarządzenie wyższego szczebla powinny również ustalić jasne ramy odpowiedzialności za stworzenie i utrzymanie efektywnego systemu zarządzania ryzykiem.

Szczególną uwagę należy zwrócić na procedury, które mają na celu identyfikację oraz ocenę ryzyka, a także na systemy raportowania i przekazywania informacji o ryzykach do odpowiednich szczebli organizacji. Dobre praktyki zarządu zakładają również regularną ocenę ryzyka w kontekście jego potencjalnego wpływu na realizację celów firmy, w tym przegląd ryzyk o charakterze strategicznym, operacyjnym czy finansowym. Ważne jest, aby systemy zarządzania ryzykiem były elastyczne i dopasowane do specyfiki organizacji, w tym jej tolerancji na ryzyko, struktury organizacyjnej i otoczenia rynkowego.

W kontekście zarządzania ryzykiem, ważną rolę odgrywają również niezależne komitety, które współpracują z zarządem, monitorując implementację procedur i ocenę efektywności tych procedur. Komitety te powinny brać pod uwagę nie tylko istniejące zagrożenia, ale również rozwijać metody prognozowania ryzyk, które mogą wystąpić w przyszłości. Ponadto, zarządy powinny regularnie oceniać procesy zarządzania ryzykiem, aby upewnić się, że są one skuteczne i adekwatne do zmieniającego się kontekstu rynkowego.

Należy także pamiętać, że skuteczna polityka zarządzania ryzykiem musi obejmować odpowiednie mechanizmy motywacyjne dla menedżerów, które zachęcają do przestrzegania przyjętych standardów i procedur. System wynagrodzeń menedżerów powinien być zatem zgodny z tolerancją ryzyka organizacji i jej kulturą ryzyka, a nie tylko z doraźnymi celami finansowymi.

Aby skutecznie monitorować zarządzanie ryzykiem, zarządy muszą posiadać odpowiednią wiedzę o ryzykach i metodach ich oceny. Bez tej wiedzy niemożliwe jest podejmowanie racjonalnych decyzji dotyczących przyszłości organizacji. Stąd konieczność ciągłego doskonalenia kompetencji członków zarządu w zakresie zarządzania ryzykiem, co pozwala na lepsze rozpoznawanie zagrożeń oraz szybsze reagowanie na kryzysowe sytuacje.

Jak zapewnić cyberbezpieczeństwo w organizacji? Rola C-suite w zapobieganiu cyberatakom

Zarządzanie przepływem informacji w organizacji, jak również zapewnienie ochrony przed zagrożeniami związanymi z cyberatakami, stanowi jedno z najważniejszych zadań współczesnych liderów. Odpowiedzialność za cyberbezpieczeństwo nie spoczywa tylko na specjalistach IT, ale na całym kierownictwie firmy, w tym na członkach zarządu, którzy muszą dysponować odpowiednią wiedzą, by zapobiegać cyberzagrożeniom i chronić wrażliwe dane przed cyberprzestępcami. Co ważne, członkowie zarządu, w tym CEO, CIO i CISO, muszą być odpowiednio przygotowani do radzenia sobie z konsekwencjami cyberataków i minimalizowania ich skutków.

Należy również zwrócić uwagę na fakt, że niektóre decyzje dotyczące polityki firmowej mogą wprowadzać dodatkowe zagrożenia dla cyberbezpieczeństwa. Przykładem jest popularna dzisiaj polityka "bring your own device" (BYOD), czyli umożliwienie pracownikom korzystania z prywatnych urządzeń w celach służbowych. Choć może to poprawić elastyczność pracy, wprowadza to również dodatkowe ryzyko, zwłaszcza związane z złośliwym oprogramowaniem i atakami na sieci Wi-Fi. Zgodnie z badaniami, około jednej piątej firm, które przyjęły politykę BYOD, doznało naruszeń bezpieczeństwa związanych z urządzeniami mobilnymi. Dodatkowo, tylko 30% organizacji zwiększyło swoje budżety na cybersecurity w odpowiedzi na rosnące zagrożenia. W kontekście polityki BYOD, członkowie C-suite powinni zatem zwiększyć świadomość w organizacji dotyczącą ryzyk związanych z tą praktyką i zadbać o odpowiednie zabezpieczenia, takie jak kontrolowanie dostępu do sieci, monitorowanie aktywności użytkowników oraz zapewnienie ochrony haseł.

Innym istotnym zagrożeniem, które wynika z decyzji kadry kierowniczej, jest brak odpowiednich funduszy, talentów i zasobów niezbędnych do skutecznego zarządzania cyberbezpieczeństwem. Firmy z ograniczonym budżetem są bardziej narażone na cyberzagrożenia, ponieważ mają trudności z alokowaniem odpowiednich środków na rozwój zabezpieczeń IT. Aby zminimalizować ryzyko, zarząd powinien wyznaczyć realistyczne cele związane z cyberbezpieczeństwem, uwzględniając dostępne zasoby. Należy jednak pamiętać, że brak odpowiedniego personelu do wykrywania, zapobiegania i łagodzenia cyberzagrożeń może znacznie utrudnić osiągnięcie tych celów.

Szkolenia z zakresu bezpieczeństwa informacji powinny być jednym z priorytetów C-suite. Zwiększenie świadomości pracowników na temat zagrożeń związanych z cyberprzestępczością może zapobiec wielu incydentom, a tym samym ochronić firmę przed poważnymi stratami. Programy szkoleniowe powinny obejmować nie tylko teoretyczne aspekty cyberbezpieczeństwa, ale także praktyczne wskazówki, które pozwolą pracownikom na bieżąco reagować na zagrożenia. Ważne jest również, aby zarząd zidentyfikował typowe pliki, które mogą być wykorzystywane przez cyberprzestępców do uzyskiwania nieautoryzowanego dostępu do systemów firmy.

Warto także podkreślić znaczenie przygotowania odpowiedniego planu odpowiedzi na incydenty cyberbezpieczeństwa. Niestety, wiele organizacji nie jest wystarczająco przygotowanych na reagowanie na cyberataki. Zgodnie z raportem NTT Group, około 77% firm nie posiada formalnego planu odpowiedzi na incydenty cyberbezpieczeństwa, co może prowadzić do niekontrolowanego rozwoju ataku i poważnych konsekwencji dla organizacji. Plan odpowiedzi na incydenty powinien zawierać nie tylko procedury zapobiegania, ale także strategie minimalizowania skutków ataków, co jest kluczowe dla zapewnienia ciągłości działania organizacji.

Ostatecznie, organizacje powinny również wziąć pod uwagę ryzyko związane z nowoczesnymi zagrożeniami, takimi jak malware polimorficzny, który jest trudny do wykrycia ze względu na swoją zmienną naturę. Choć tradycyjne oprogramowanie antywirusowe może pomóc w walce z niektórymi zagrożeniami, to jednak organizacje muszą być gotowe do wdrożenia dodatkowych warstw ochrony, aby skutecznie chronić się przed zaawansowanymi zagrożeniami.