Forskning: Säkerhetskontroller skapar friktion och minskar affärsvärdet
Enligt Info-Tech Research Group fokuserar många IT-säkerhetsprogram på kontroller snarare än på de affärstjänster de ska möjliggöra, vilket leder till friktion och minskat affärsvärde.
Info-Tech Research Group kritiserar i en ny rapport organisationers angreppssätt för IT-säkerhet. Företaget menar att säkerhetslösningar ofta designas kring kontroller istället för att utgå från de affärstjänster de är tänkta att skydda och stödja.
Det kontrollcentrerade tillvägagångssättet skapar friktion och minskar säkerhetens affärsvärde, enligt rapporten "Build Security Services for Business Value". När säkerhetsåtgärder inte är kopplade till affärsverksamhetens kontext, blir det svårt att definiera deras syfte, målgrupp och faktiska nytta.
"Säkerhet som inte är designad i en affärskontext kommer alltid att kämpa för att få fäste", säger Diana MacPherson, forskningsdirektör på Info-Tech Research Group. "CISO:er måste sluta fokusera på kontroller och istället betona tjänstens syfte, intressenter och tydliga värde. Det är så man vinner förtroende och investeringar."
Rapporten lyfter fram att kontroller som inte är i linje med affärstjänster riskerar att störa verksamheten, kringgås eller underanvändas. Detta urholkar förtroendet, gör det svårare att motivera investeringar och minskar organisationens förmåga att upprätthålla effektiva säkerhetsrutiner.
Info-Techs rapport presenterar en tre-fasig ram för att designa säkerhetstjänster som möjliggör affärsresultat. Processen syftar till att klargöra säkerhetstjänstens syfte, anpassa den till affärsprocesser och kommunicera dess värde, för att positionera säkerheten som en möjliggörare snarare än ett hinder för affärsverksamheten.