Làm thế nào để tìm được ‘tiếng nói chung’ giữa đội ngũ CNTT và lãnh đạo DN

Tiết lộ này vừa được Kaspersky đưa ra trong một báo cáo gần đây của họ, con số từ báo cáo cũng cho thấy chủ đề khó thảo luận nhất của hai bộ phận này chính là vấn đề tăng ngân sách cho an ninh mạng.

Kết quả khảo sát cũng cho thấy, phần lớn nhân viên CNTT cho rằng nguyên nhân chính khiến ngân sách an ninh mạng bị cắt giảm là vì ban lãnh đạo cấp cao không thấy có lý do để đầu tư vào lĩnh vực này. Một cuộc khảo sát đặc biệt để tìm hiểu liệu tình trạng này đã được Kaspersky thực hiện và kết quả cho thấy sự giao tiếp sai lệch giữa nhân viên CNTT và lãnh đạo, đồng thời khám phá xem có sự thiếu thấu hiểu lẫn nhau giữa hai nhóm này.

Cụ thể, hơn một nửa số lãnh đạo cấp cao tại Đông Nam Á (60%) nghĩ rằng nhân viên bảo mật CNTT nên cải thiện cách truyền đạt về các rủi ro mạng đối với công ty. Trong khi đó, chỉ có 6% nhân viên an ninh mạng trong khu vực thừa nhận họ gặp một số khó khăn trong việc giải thích các khía cạnh chuyên môn với đồng nghiệp và lãnh đạo không chuyên về CNTT.

“Rõ ràng là tồn tại khoảng cách giao tiếp giữa những người đứng đầu tập đoàn – những lãnh đạo cấp cao không chuyên về CNTT – với đội ngũ bảo mật kỹ thuật, những người chịu trách nhiệm đảm bảo sức mạnh bảo mật tổng thể của công ty. Đây là vấn đề đáng quan ngại khi nghiên cứu cũng cho thấy sự giao tiếp sai lệch giữa hai nhóm gây ra những ảnh hưởng tiêu cực như việc trì hoãn nghiêm trọng của các dự án (67%), một hoặc nhiều sự cố an ninh mạng (66%) và lãng phí ngân sách (60%)”. Ông Chris Connell, Giám đốc Điều hành Kaspersky khu vực châu Á Thái Bình Dương cho biết.

Sự bất đồng quan điểm, theo giới lãnh đạo cấp cao thì thường ở 3 chủ đề chính, đó là áp dụng chính sách bảo mật mới (37%), tuân thủ quy định bảo mật (37%) và thay đổi chính sách an ninh mạng (33%). Trong khi đó, đối với nhân viên CNTT thì 3 chủ đề khó thảo luận với những lãnh đạo không chuyên CNTT là nhu cầu tăng ngân sách bảo mật CNTT (55%), mở rộng đội ngũ bảo mật CNTT (54%), và nâng cao nhận thức của nhân viên về an ninh mạng (52%).

Rõ ràng, để tìm ra sự thấu hiểu chung, phần lớn người tham gia nghiên cứu đến từ Đông Nam Á nhất trí rằng cách hiệu quả nhất để dễ dàng thảo luận hơn về vấn đề bảo mật CNTT là chọn các ví dụ thực tế, sử dụng báo cáo và các con số. Ngoài ra, các lãnh đạo cấp cao ở đây cũng cho rằng trích dẫn tài liệu tham khảo từ ý kiến đáng tin cậy (49%) sẽ cho phép họ hiểu rõ nhất về nhân sự bảo mật CNTT. Mặt khác, đội ngũ CNTT tin rằng câu chuyện về các mối đe dọa bảo mật (52%) sẽ giúp họ trao đổi hiệu quả hơn với lãnh đạo.

“Ta có thể giả định rằng thảo luận về việc áp dụng các giải pháp an ninh mạng mới sẽ khó khăn với các lãnh đạo không chuyên CNTT bởi đội ngũ bảo mật CNTT sử dụng một lượng lớn những thuật ngữ và khái niệm kỹ thuật phức tạp. Mặt khác, nhân viên CNTT lại không thích nói về vấn đề tăng ngân sách bởi vì lãnh đạo cấp cao thường kì vọng họ sử dụng những phương pháp sẵn có để căn chỉnh cho nhu cầu của họ”. Ông Ivan Vassuvovs, Phó chủ tịch mảng Sản phẩm Doanh nghiệp của Kaspersky nói thêm rằng: “Ngày nay, trong môi trường kinh tế đầy thách thức và bối cảnh nguy cơ phức tạp, sự thấu hiểu chung giữa doanh nghiệp và nhân sự bảo mật CNTT trong việc duy trì hoạt động kinh doanh đóng vai trò quan trọng hơn bao giờ hết. Để ngăn ngừa những hiểm họa an ninh mạng, điều cốt yếu là hai đội ngũ này phải nói một ngôn ngữ chung dựa trên các con số, nguồn tham khảo uy tín và lập luận mà đối phương có thể hiểu được.”

Để việc giao tiếp giữa bộ phận an ninh CNTT và giới lãnh đạo cấp cao trở nên rõ ràng hơn, Kaspersky khuyến nghị:

• Phân bổ đầu tư cho an ninh mạng vào những công cụ có hiệu quả đã được chứng minh và trình bày với hội đồng quản trị các khái niệm an ninh mới (bao gồm SASE, XDR và Zero Trust) như dự án đầu tư hay thậm chí như một tình huống kinh doanh có tỉ suất lợi nhuận (ROI) cụ thể. Ví dụ, trong trường hợp ứng dụng Công nghệ Phát hiện và Phản hồi Mở rộng (XDR) và Biên Dịch vụ Truy cập Bảo mật (SASE), quan trọng là truyền đạt rằng những công nghệ này giảm gánh nặng cho đội ngũ CNTT đồng thời cải thiện sức mạnh bảo mật tổng thể của công ty nhờ có quy trình tập trung và tự động.
• Sử dụng nguồn lực như IT Security Calculator và báo cáo dựa trên quan sát của chuyên gia gồm những thông tin được hệ thống về các hiểm họa và phương pháp bảo mật tương ứng với lĩnh vực kinh doanh và quy mô của công ty để xác định rủi ro và các biện pháp bảo vệ cần thiết.
• Nâng cao kiến thức ngoài chuyên môn để hiểu hơn những người thuộc chuyên môn khác. Nếu kiến thức kinh doanh căn bản có thể được học từ những khóa đào tạo thì những lãnh đạo cấp cao không chuyên IT có cơ hội đặt mình vào vị trí của Giám đốc An ninh Thông tin (CISO) để nắm được những hiểu biết sâu về những thách thức bảo mật liên quan.

Chi tiết báo cáo tìm hiểu thêm tại đây.