1. Ogni azienda, indipendentemente da ciò che fa o quanto è grande, viene eseguita su informazioni
2. Le informazioni hanno un valore per l'azienda, quindi l'azienda deve proteggere la disponibilità e l'integrità di tali informazioni
3. L'informazione ha valore per gli altri; i tuoi clienti, i tuoi dipendenti, i tuoi partner commerciali e ha valore per gli altri che possono sfruttarli a proprio vantaggio, in modo che le informazioni debbano essere protette in modo che le persone non possano usarle per causare danni
4. Ogni azienda deve garantire che le informazioni siano utilizzate nel modo giusto e al momento giusto, in modo che i clienti, i dipendenti e i partner ottengano i benefici di cui hanno bisogno

Questi quattro punti indicano che devono esserci processi e formazione per garantire che il massimo beneficio derivino dalle informazioni e l'impatto minimo si verifica quando qualcosa va storto. Chiamiamo questa "sicurezza delle informazioni". La sicurezza delle informazioni non riguarda la tecnologia e non si tratta di "hacker". Si tratta della corretta gestione delle informazioni per la vita delle informazioni e del business.

I processi di sicurezza delle informazioni non sono nuovi. Le aziende di ogni dimensione devono gestire tutte le risorse allo stesso modo. In effetti, puoi sostituire la parola "informazioni" con "risorsa" nei quattro punti sopra, e le imprese non saranno sorprese. Le informazioni sono importanti quanto le attività di un'azienda perché le informazioni sono il bene più importante.

Penso che la domanda sia troppo ampia quindi coprirò solo quello che ritengo sia l'aspetto principale:

Is security, at the end of the day, simply risk management?

Questo è quello che è. Esistono diversi rischi rilevanti per le PMI che vengono risolti dalla sicurezza delle informazioni, ad esempio:

• Il ransomware potrebbe comportare l'impossibilità di accedere a dati o sistemi che sono fondamentali per il business. I backup mancanti o errati potrebbero causare problemi simili.
• La competizione potrebbe avere accesso a dati segreti e potrebbe usarli a proprio vantaggio, ad esempio offrire un'offerta alle aziende o rubare idee e ottenere più velocemente sul mercato con questi. La competizione non ha bisogno di essere esperti di sicurezza per ottenere questo tipo di accesso dal momento che gli hacker che praticano lo spionaggio o il sabotaggio possono essere assunti.
• L'inavvertitamente parte di una botnet che invia spam potrebbe causare il blocco della posta proveniente dalla società dai server di posta di clienti o partner, perdendo così la capacità di comunicare correttamente.
• Se i dati dei clienti sono influenzati da un problema di sicurezza, ciò potrebbe comportare la perdita di clienti, la sanzione e problemi con l'ottenimento di un fornitore di servizi di pagamento per condizioni accettabili.
• e probabilmente di più ...

Pertanto, non affrontare i rischi risulterà probabilmente in una perdita di attività e una perdita di denaro. D'altro canto, affrontare il rischio richiederà anche tempo e denaro, quindi è necessario trovare un modo per bilanciarli e determinare quale sia il rischio accettabile. Ma per fare questo bisogna prima valutare quali sono i rischi specifici per la società.

L'IT è solo uno strumento e dovrebbe essere considerato come qualsiasi altro strumento, né più né meno. Presumo che la porta dell'ufficio sia chiusa di notte, ma probabilmente non ci sono squadre di guardie armate dietro di esso. Ma potresti avere una cassastrong in ufficio per i documenti più importanti o per i valori. Ciò significa che la sicurezza fisica deve essere adattata a un livello di rischio con un rapporto costo / valore.

Nulla è diverso con la sicurezza IT. Solo ignorarlo sarebbe come lasciare la porta dell'ufficio aperta di notte: chiunque potrebbe entrare e rubare o distruggere le cose. D'altra parte, sarebbe inutile impostare un livello troppo alto perché non ne vale la pena, proprio come fare in ufficio una copia di Fort Knox.

La cattiva notizia è che non puoi evitare un'analisi del rischio minima: cosa è importante nel tuo sistema informativo, quali sono i rischi da proteggere e qual è il costo relativo in termini di denaro e utilizzo .

Pochi pensieri:

• La sicurezza è un aspetto della Qualità . Un bel riassunto è qui
• La sicurezza è associata a Privacy (pensa al ripudio, alla conformità, alle richieste dei clienti ecc.)
• La sicurezza non riguarda solo le tecnologie, è principalmente Processi e Persone . Quindi è necessario concentrarsi sui propri processi lavorativi / aziendali (ad es controlli la sicurezza, con quale frequenza ripristini le password, chi può vedere i registri ecc.) e le persone (ad es. consapevolezza della sicurezza, formazione ecc.)