Tại sao CISO thường lúng túng trước các câu hỏi từ Hội đồng quản trị và cách khắc phục

Mỗi kỳ họp Hội đồng quản trị (HĐQT) đến gần là lúc các đội ngũ an ninh mạng lại tất bật tổng hợp dữ liệu từ hàng loạt công cụ như Identity Provider, CSPM, máy quét lỗ hổng, SIEM và EDR. Tuy nhiên, khi đối mặt với ba câu hỏi cốt lõi: “Tình hình an ninh tổng thể ra sao?”, “Mức độ phơi nhiễm tài chính thực tế là bao nhiêu?” và “Chúng ta có an toàn hơn so với quý trước không?”, hầu hết các lãnh đạo bảo mật (CISO) đều khó lòng đưa ra câu trả lời thuyết phục.

Khi các số liệu hoạt động không còn đủ sức thuyết phục

Trong nhiều năm, báo cáo an ninh thường dựa trên các con số định lượng: số lượng lỗ hổng tìm thấy, số bản vá (patch) đã cài đặt, hay số cảnh báo đã xử lý. Đây là các chỉ số đo lường nỗ lực, không phải đo lường rủi ro. HĐQT không cần biết đội ngũ đã đóng bao nhiêu ticket, họ muốn biết:

• Mức độ phơi nhiễm (Exposure): Những tài sản quan trọng nào đang nằm trong tầm ngắm của kẻ tấn công?
• Xu hướng (Trend): Rủi ro đang tăng hay giảm theo thời gian?
• Tác động tài chính: Thiệt hại kinh tế là bao nhiêu nếu các lỗ hổng bị khai thác?

Vấn đề nằm ở sự rời rạc giữa các công cụ

Một doanh nghiệp hiện đại vận hành hàng loạt công cụ bảo mật, từ cloud, endpoint đến SaaS. Mỗi công cụ đều chính xác trong phạm vi của nó, nhưng không có sự kết nối ngữ cảnh. Một tài khoản contractor có quyền truy cập dư thừa, kết hợp với một tích hợp OAuth không được kiểm soát, dẫn đến một tài nguyên cloud chứa dữ liệu khách hàng – tất cả tạo thành một “lộ trình tấn công” (attack path) nguy hiểm mà không một bảng điều khiển (dashboard) đơn lẻ nào nhìn thấy được.

Sự bùng nổ của AI và các thực thể phi nhân loại (non-human identities) càng làm trầm trọng thêm vấn đề này, tạo ra các “điểm mù” mà các stack bảo mật truyền thống chưa được thiết kế để kiểm soát.

Chuyển dịch sang mô hình Cybersecurity Mesh Architecture (CSMA)

Thay vì mua thêm công cụ mới để lấp đầy khoảng trống, giải pháp nằm ở việc kết nối các công cụ hiện có thông qua một lớp thông tin chung. Mô hình Cybersecurity Mesh Architecture (CSMA) giúp liên kết dữ liệu từ identity, cloud, endpoint và SaaS thành một đồ thị thống nhất, cho phép CISO nhìn thấy bức tranh toàn cảnh về rủi ro.

Khung báo cáo dành cho CISO

Để xây dựng một báo cáo chuyên nghiệp và có trọng tâm, các lãnh đạo an ninh có thể áp dụng quy trình sau:

1. Xác định “tài sản cốt lõi” (crown jewels): Thống nhất với lãnh đạo doanh nghiệp về các tài sản quan trọng nhất cần bảo vệ.
2. Kết nối dữ liệu hiện có: Tích hợp dữ liệu từ các công cụ sẵn có qua API để làm giàu ngữ cảnh mà không cần thay thế hệ thống.
3. Ánh xạ lộ trình tấn công: Thay vì liệt kê danh sách CVE, hãy chỉ ra các con đường mà kẻ tấn công có thể tiếp cận tài sản cốt lõi.
4. Ưu tiên theo mức độ ảnh hưởng: Đánh giá rủi ro dựa trên “bán kính vụ nổ” (blast radius) thay vì chỉ dựa trên điểm số lỗ hổng.
5. Chuyển đổi sang ngôn ngữ tài chính: Quy đổi rủi ro kỹ thuật thành giá trị tiền tệ để HĐQT dễ dàng nắm bắt.
6. Báo cáo xu hướng: Chứng minh hiệu quả đầu tư bằng cách cho thấy số lượng lộ trình tấn công đã được loại bỏ qua từng quý.

Khi thay đổi cách tiếp cận từ việc báo cáo số lượng hoạt động sang báo cáo rủi ro thực tế, CISO sẽ chuyển vị thế từ người “bảo vệ chi phí” sang người “quản trị rủi ro chiến lược”, giúp HĐQT đưa ra các quyết định đầu tư an ninh chính xác và hiệu quả hơn.

Nguồn tham khảo: The Hacker News