[Fór c~ýbér~sécú~rítý~, strá~tégí~c óút~sóúr~cíñg~ ís á ñ~écés~sítý~, ñót á~ lúxú~rý.]

[Bý Dá~víd G~rádý~
Chíé~f Séc~úrít~ý Évá~ñgél~íst
V~éríz~óñ Bú~síñé~ss Gr~óúp]

[Whít~é páp~ér]

  • Introducción

  •  

    [Whý r~éád t~hís w~híté~ pápé~r¿]

    [Át thé sámé tímé thát órgáñízátíóñs óf áll sízés áré éxplóríñg thé búsíñéss pótéñtíál óf émérgíñg téchñólógíés líké thé Íñtérñét óf Thíñgs (ÍóT), 5G áñd ártífícíál íñtéllígéñcé (ÁÍ), cýbércrímíñáls áré grówíñg móré ágílé áñd sóphístícátéd. Thís méáñs thát sécúrítý léádérs áré úñdér éñórmóús préssúré tó kéép úp wíth “whát’s ñéxt,” évéñ ás théý strúgglé tó kéép úp wíth “thé básícs.” Á glóbál cýbérsécúrítý skílls shórtágé ís túrñíñg sécúrítý ñécéssítíés íñtó sécúrítý lúxúríés, áñd básíc sécúrítý hýgíéñé ís súfféríñg. Fór máñý úñdér-résóúrcéd órgáñízátíóñs, strátégíc óútsóúrcíñg ís thé áñswér.] 

    [Thís whíté pápér ís désígñéd tó hélp sécúrítý léádérs démóñstráté tó stákéhóldérs áñd décísíóñ-mákérs thé válúé óf strátégíc sécúrítý óútsóúrcíñg ás théír órgáñízátíóñs émbrácé ñéxt-géñérátíóñ téchñólógíés, áñd ít ófférs ádvícé óñ hów tó éválúáté áñd chóósé á strátégíc sécúrítý pártñér.] 

    [Strátégíc óútsóúrcíñg ís móré tháñ júst fíllíñg émptý séáts wíth wárm bódíés: Ít’s ábóút pártñéríñg wíth á trústéd ádvísór tó táké á sécúrítý prógrám tó thé ñéxt lévél áñd ábóút bríñgíñg íñ éxpérts whó cáñ súppórt strátégíc décísíóñ-mákíñg áñd hélp éxtráct máxímúm válúé fróm légácý—áñd fútúré—sécúrítý íñvéstméñts.] 

    [Dówñ~lóád~ thé w~híté~ pápé~r]

  • [Líké~ whát~ ýóú’r~é réá~díñg~¿]

  • [Íf ýó~ú’d lí~ké tó~ récé~ívé ñ~éw ár~tícl~és, só~lútí~óñs b~ríéf~s, whí~tépá~pérs~ áñd m~óré—j~úst l~ét ús~ kñów~.]

    [Sígñ~ úp]


  • [Thé c~háll~éñgé~]

  • [Ít’s r~áré t~hát á~ñ órg~áñíz~átíó~ñ clá~íms t~ó háv~é áll~ thé c~ýbér~sécú~rítý~ résó~úrcé~s ít ñ~ééds~. Áñd t~hósé~ thát~ dó má~ké th~át cl~áím c~óúld~ bé fó~ólíñ~g thé~msél~vés.] 

    [Chíéf íñfórmátíóñ sécúrítý óffícérs (CÍSÓs), íñcídéñt áñálýsts, régúlátórý spécíálísts, déép áñd dárk wéb húñtérs, áñd óthér cýbérsécúrítý súbjéct máttér éxpérts áré bécómíñg íñcréásíñglý hárd tó fíñd áñd rétáíñ. Thé shéér dépth áñd bréádth óf cýbérsécúrítý dómáíñs—Ídéñtífý, Prótéct, Détéct, Réspóñd, Récóvér—áñd thé rélátéd réspóñsíbílítíés, whéñ cóñtrástéd ágáíñst thé láck óf áváíláblé skílléd táléñt, cáñ léávé máñý órgáñízátíóñs strúgglíñg tó prótéct théír ÍT sýstéms áñd dátá.]

  • [cýbé~rséc~úrít~ý str~átég~íc óú~tsóú~rcíñ~g chá~rt 300x200 s~m]

  •  

    [Éígh~tý-tw~ó pér~céñt~ óf ém~plóý~érs r~épór~t á sh~órtá~gé óf~ cýbé~rséc~úrít~ý skí~lls.3]

  • [Só mú~ch tó~ dó, áñ~d só l~íttl~é tím~é tó d~ó ít.]

    [Thér~é áré~ óthé~r réá~sóñs~ góíñ~g ít á~lóñé~ wíth~ ýóúr~ sécú~rítý~ próg~rám m~áý bé~ íñcr~éásí~ñglý~ chál~léñg~íñg:]

    • [Góód hélp ís hárd tó fíñd. CýbérSéék, áñ íñítíátívé fúñdéd bý thé Ñátíóñál Íñítíátívé fór Cýbérsécúrítý Édúcátíóñ (ÑÍCÉ), répórtéd íñ Ñóvémbér 2019 thát thé Úñítéd Státés fácés áñ áñtícípátéd shórtfáll óf álmóst 500,000 cýbérsécúrítý próféssíóñáls.1 Thé Whíté Hóúsé éstímáté íñ Máý óf 2019 wás clósé tó 300,000]
    • [Thé táléñt shórtágé ís móré tháñ áñ íñcóñvéñíéñcé. Á récéñt Céñtér fór Strátégíc áñd Íñtérñátíóñál Stúdíés súrvéý óf ÍT décísíóñ-mákérs ácróss éíght cóúñtríés fóúñd thát 82 pércéñt óf émplóýérs répórt á shórtágé óf cýbérsécúrítý skílls. Sévéñtý-óñé pércéñt bélíévé thís táléñt gáp cáúsés díréct áñd méásúráblé dámágé tó théír órgáñízátíóñs]
    • [Détéctíñg cómprómísé ís tákíñg lóñgér. Whéñ órgáñízátíóñs láck thé sécúrítý tóóls áñd táléñt ñéédéd tó kéép “éýés-óñ-gláss” vírtúállý 24/7, cýbércrímíñáls áré óftéñ áblé tó rémáíñ íñ sýstéms lóñgér béfóré thé cómprómísé ís détéctéd. Vérízóñ’s 2019 Dátá Bréách Íñvéstígátíóñs Répórt (DBÍR), whích áñálýzéd áñd décóñstrúctéd móré tháñ 40,000 sécúrítý íñcídéñts áñd 2,000 dátá bréáchés fróm 2018, shówéd thát móst bréáchés súccééd wíthíñ sécóñds, bút thé májórítý (56%) táké “móñths ór lóñgér” tó díscóvér4]
    • [Íñcídéñt réádíñéss pláñs áré ñégléctéd. Máíñtáíñíñg á róbúst íñcídéñt réspóñsé (ÍR) pláñ ís kéý tó résílíéñcý. Bút tóó máñý sécúrítý órgáñízátíóñs dépríórítízé máíñtéñáñcé áñd úpdátés, fávóríñg óthér áctívítíés thát cáñ áppéár móré úrgéñt. Fór thé 2019 Íñcídéñt Prépárédñéss áñd Réspóñsé Répórt, Vérízóñ fóúñd thát óñlý 48% óf thé húñdréds óf réál-wórld íñcídéñt pláñs fróm 2016 tó 2018 théý révíéwéd wéré “lógícállý cóñstrúctéd” (í.é., ádhéréd tó éstáblíshéd ÍR bést práctícés).5 Óñlý 57% óf réspóñsé pláñs réqúíréd péríódíc réhéársáls wíth stákéhóldérs whó hávé rólés íñ thé pláñ. Whéñ ÍR bécómés “wé’ll gét tó ít,” ít próbáblý wóñ’t bé góttéñ tó úñtíl á crísís stríkés] 
    • [Cýbér “blíñd spóts” flóúrísh íñ úñdérskílléd órgáñízátíóñs. Thírtý-fóúr pércéñt óf íñcídéñts áñd bréáchés éxámíñéd íñ thé 2019 Vérízóñ DBÍR wéré trácéd báck tó íñsídérs— émplóýéés áñd thírd pártíés wíth áccéss tó córpóráté sýstéms áñd dátá whó díd bád thíñgs, éíthér íñtéñtíóñállý ór úñíñtéñtíóñállý.4 Íñ óvérbúrdéñéd sécúrítý prógráms, thírdpártý rísk ásséssméñts máý bé límítéd tó qúéstíóññáírés, wíth cómpréhéñsívé síté vísíts óf crítícál súpplíérs á rárítý. Própérlý cómbáttíñg íñsídér thréáts méáñs thóróúghlý révíéwíñg búsíñéss prócéssés thát cáñ léád tó dátá léákágé, áñd hávíñg thé skílls tó dévélóp áñd déplóý cóñtróls thát prótéct dátá wíthóút créátíñg bóttléñécks.]
  • [Íñ óv~érbú~rdéñ~éd, úñ~dérs~táff~éd ór~gáñí~zátí~óñs:] 

    • [Vúlñ~éráb~ílít~íés m~áý gó~ úñíd~éñtí~fíéd~ áñd ú~ñpát~chéd~ fór d~áñgé~róús~ léñg~ths ó~f tím~é] 
    • [Thír~d-pár~tý vé~ñdór~ óvér~sígh~t ís l~ímít~éd tó~ pérf~úñct~órý q~úést~íóññ~áíré~s, rés~últí~ñg íñ~ á “trú~st, bú~t dóñ~’t vér~ífý” á~ssúr~áñcé~ próg~rám] 
    • [Thré~át íñ~téll~ígéñ~cé ré~máíñ~s á fí~réhó~sé óf~ íñfó~rmát~íóñ, d~íffí~cúlt~ tó óp~érát~íóñá~lízé~ áñd ó~ptím~ízé] 
    • [Úñtú~ñéd S~ÍÉM s~ýsté~ms cr~éáté~ móré~ ñóís~é thá~ñ síg~ñál, r~ésúl~tíñg~ íñ ch~róñí~c “álé~rt fá~tígú~é”] 
    • [Búsíñéss-éñáblíñg téchñólógíés líké móbílítý, clóúd áñd ÍóT dóñ’t gét thé sécúrítý scrútíñý théý réqúíré Máíñtáíñíñg cóllábórátívé rélátíóñshíps wíth búsíñéssúñít léádérs óútsídé óf ÍT ís óftéñ sééñ ás á búrdéñ. Ás á résúlt, ÍT-drívéñ búsíñéss íññóvátíóñ cáñ súffér, áñd ópérátíñg rísks íñcréásé. Sécúrítý shóúld bé éstáblíshéd ás á córñérstóñé óf thé órgáñízátíóñ fróm thé stárt.]
  • [Órgíñízátíóñs strúgglíñg tó máñágé cýbérsécúrítý íñ-hóúsé shóúld séríóúslý cóñsídér óútsóúrcíñg. Á strátégíc sécúrítý pártñér cáñ hélp órgáñízátíóñs éstáblísh éñd-tó-éñd prógrám vísíbílítý whílé álsó fíllíñg íñ crítícál cýbérsécúrítý gáps. Thésé gáps máý ráñgé fróm ópérátíóñál (péñétrátíóñ téstíñg áñd pátchíñg) tó tráñsfórmátívé sécúrítý íñfórmátíóñ áñd évéñt máñágéméñt (SÍÉM) óptímízátíóñ, ÁÍ áñd sécúrítý órchéstrátíóñ áútómátíóñ. Thé ríght pártñér cáñ hélp tráñsfórm sécúrítý fróm áñ órgáñízátíóñál líábílítý íñtó á búsíñéss éñáblér.] 

  • [Thé s~ólút~íóñ]

  • [Théré áré múltítúdés óf cýbérsécúrítý véñdórs ófféríñg “[fíll íñ thé bláñk] spécíáltý ás á sérvícé.” Bút ás thréáts grów áñd dígítál tráñsfórmátíóñ swééps thróúgh íñdústríés, sécúrítý léádérs múst rééválúáté théír áppróách tó óútsóúrcíñg. Táctícál óútsóúrcíñg—thát ís, bríñgíñg íñ cóñtráctórs tó fíll séáts áñd éñáblé thé látést spót sólútíóñ—wíll ñót hélp tráñsfórm á sécúrítý prógrám. Ór thé órgáñízátíóñ.]

  • [Thé c~ásé f~ór st~ráté~gíc ó~útsó~úrcí~ñg.]

    [Strátégíc óútsóúrcíñg, ór “có-sóúrcíñg,” óñ thé óthér háñd, éñáblés sécúrítý léádérs tó éválúáté whéré á prógrám stáñds, détérmíñé whéré ít ñééds tó gó, plót á cóúrsé fór hów tó gét théré áñd táké thé ñécéssárý stéps. Dóñé ríght, strátégíc óútsóúrcíñg cáñ léád tó á pártñérshíp whéré thé óútsídé sécúrítý próvídér bécómés á trústéd ádvísór, áñd cýbérsécúrítý ís víéwéd bý órgáñízátíóñál léádérshíp ás á córpóráté ássét ráthér tháñ á cóst céñtér.] 

    [Strátégíc óútsóúrcíñg hélps sécúrítý léádérs réfléct óñ théír míssíóñ áñd príórítíés áñd détérmíñé íf théír téám hás thé ríght míx óf skílls tó áccómplísh wéll-défíñéd prógrám góáls. Fácéd wíth dígítál tráñsfórmátíóñ áñd ñéxt-géñérátíóñ sécúrítý chálléñgés, súch ás clóúd áñd móbílé áttáck véctórs, CÍSÓs múst ásk thémsélvés:] 

    [Á. Ís ó~úr té~ám bé~ttér~ éqúí~ppéd~ tó há~ñdlé~ dáý-t~ó-dáý~ ópér~átíó~ñál s~écúr~ítý f~úñdá~méñt~áls, ó~r tó é~válú~áté á~ñd ím~plém~éñt ñ~éxt-g~éñér~átíó~ñ séc~úrít~ý téc~hñól~ógíé~s¿] 

    [B. Shó~úld w~é cóñ~sídé~r óút~sóúr~cíñg~ ópér~átíó~ñál p~rógr~ám él~éméñ~ts lí~ké dá~ý-tó-d~áý sé~cúrí~tý mó~ñító~ríñg~ só wé~ cáñ f~ócús~ óúr í~ñ-hóú~sé té~ám óñ~ óthé~r prí~órít~íés¿~] 

    [C. Ór á~ré wé~ sómé~whér~é íñ b~étwé~éñ Á á~ñd B, á~ñd ñé~éd hé~lp íñ~ bóth~ áréá~s¿] 

    [Hów ýóú chóósé tó útílízé á pártñér áñd désígñ ýóúr jóíñt Réspóñsíblé, Áccóúñtáblé, Cóñsúltéd áñd Íñfórméd (RÁCÍ) mátríx ís á strátégíc décísíóñ íñ áñd óf ítsélf. Óútsóúrcíñg wíth thé ríght pártñér állóws sécúrítý léádérs tó táké áñ hóñést lóók át théír prógráms, ídéñtífý áñd fíll gáps áñd éxtráct máxímúm válúé fróm sécúrítý téchñólógý íñvéstméñts. Thé ríght pártñér kñóws hów tó méét ýóú whéré ýóú áré óñ ýóúr sécúrítý jóúrñéý, áñd rárélý récómméñds “ríp áñd réplácé” ás á strátégý.] 

    [Thé ríght pártñér-próvídér wíll álsó hélp ýóú pláñ fór thé fútúré bý próvídíñg súbjéct máttér éxpértísé íñ émérgíñg téchñólógíés áñd sécúrítý téchñíqúés, ás wéll ás émérgíñg thréáts. Thís ís thé kíñd óf mástérý thát máñý sécúrítý léádérs strúgglé tó fíñd tímé tó dévélóp áñd máíñtáíñ, gívéñ thé préssúrés óf dáý-tódáý sécúrítý démáñds.]

  • [Chóó~síñg~ ýóúr~ strá~tégí~c séc~úrít~ý pár~tñér~.]

    [Thé f~ólló~wíñg~ áré s~ómé t~íps t~ó hél~p ýóú~ évál~úáté~ póté~ñtíá~l séc~úrít~ý pár~tñér~s:] 

    • [Éñgágé kéý stákéhóldérs. Íñtérñál stákéhóldér éñgágéméñt ís á crítícál fírst stép íñ mákíñg thé cásé fór strátégíc óútsóúrcíñg. Bý éñgágíñg stákéhóldérs íñsídé áñd óútsídé óf ÍT, áñd bý édúcátíñg thém ábóút thé béñéfíts óf strátégíc óútsóúrcíñg, thé CÍSÓ áñd théír téám cáñ créáté á cóálítíóñ óf íñflúéñcérs áñd állíés. Ñó óñé shóúld thíñk thát óútsóúrcíñg ís áñ ádmíssíóñ óf prógrám fáílúré. Íf á CÍSÓ cáñ tíé thé úsé óf á strátégíc sécúrítý pártñér tó búsíñéss óbjéctívés áñd shów hów sécúrítý cáñ éñáblé ñéw búsíñéss módéls áñd éñháñcé thé cústómér éxpéríéñcé, théý wíll fóstér á móré pósítívé pércéptíóñ óf thé sécúrítý fúñctíóñ ácróss thé éñtérprísé] 
    • [Éñgágé cúrréñt sécúrítý stáff. Íf cúrréñt stáff ísñ’t cóñsúltéd ábóút thé óbjéctívés óf strátégíc óútsóúrcíñg, théý cóúld féél thréátéñéd. Íñ réálítý, sécúrítý stáfférs wíll béñéfít fróm théír íñtéráctíóñs wíth, áñd éxpósúré tó, thé ríght próvídér’s súbjéct máttér éxpérts áñd íñdústrý éxpéríéñcé. Íñclúdíñg thém íñ thé éñtíré prócéss, fróm pártñér éválúátíóñ tó RÁCÍ désígñ, máý résúlt íñ á móré éñgágéd áñd sátísfíéd sécúrítý téám] 
    • [Áñálýzé thé áñálýst répórts. Ñárrów thé líst óf pótéñtíál pártñérs bý lóókíñg át áñálýst répórts—áñd réád thé détáíls. Móst óf thé májór fírms (Gártñér, ÍDC, Óvúm, ÉSG, étc.) éválúáté máñágéd sécúrítý sérvícés (MSS) próvídérs, áñd théír répórts shóúld hélp íñfórm thé strátégý béhíñd ýóúr óútsóúrcíñg éffórt] 
    • [Ásk t~óúgh~ qúés~tíóñ~s. Réq~úíré~ thát~ póté~ñtíá~l str~átég~íc sé~cúrí~tý pá~rtñé~rs dé~móñs~trát~é sól~íd éx~pérí~éñcé~ íñ sé~cúrí~ñg có~mplé~x éñv~íróñ~méñt~s, ás w~éll á~s éxp~értí~sé íñ~ émér~gíñg~ sécú~rítý~ tóól~s áñd~ téch~ñíqú~és. Fó~r éxá~mplé~:] 

    [– Hów d~íd th~é pró~vídé~r hél~p á có~mpáñ~ý éxp~áñd í~ts Íó~T pró~grám~ bý ús~íñg s~écúr~ítý á~s á pr~ógrá~m drí~vér¿~] 

    [– Hów d~íd ít~ hélp~ áñ ór~gáñí~zátí~óñ ác~célé~ráté~ cómp~rómí~sé dé~téct~íóñ b~ý úsí~ñg áú~tóñó~móús~ thré~át hú~ñtíñ~g áñd~ ÁÍ tó~óls¿~] 

    [– Cáñ t~hé pr~óvíd~ér dé~móñs~trát~é íts~ éxpé~rtís~é íñ d~árk w~éb hú~ñtíñ~g, ór S~ÍÉM p~látf~órm m~áñág~éméñ~t áñd~ óptí~mízá~tíóñ~¿] 

    [– Hás í~t hél~péd ó~thér~ órgá~ñízá~tíóñ~s tác~klé c~ómpl~éx ré~gúlá~tórý~ chál~léñg~és lí~ké th~é Géñ~érál~ Dátá~ Prót~éctí~óñ Ré~gúlá~tíóñ~ (GDPR~) ór Cá~lífó~rñíá~ Cóñs~úmér~ Prív~ácý Á~ct (CC~PÁ)¿]

    [– Cáñ t~hé pr~óvíd~ér éx~pláí~ñ hów~ ít wó~rks é~fféc~tívé~lý ál~óñgs~ídé ó~thér~ écós~ýsté~m pár~tñér~s tó m~íñím~ízé t~hé ñé~éd fó~r cós~tlý “r~íp áñ~d rép~lácé~” éffó~rts¿~] 

    [– Dóés~ thé p~ótéñ~tíál~ párt~ñér h~ávé á~ próv~éñ áñ~d dóc~úméñ~téd m~éthó~dóló~gý fó~r íñt~égrá~tíñg~ cápá~bílí~tíés~ áñd p~éópl~é íñt~ó áñ é~xíst~íñg s~écúr~ítý ó~pérá~tíóñ~¿] 

    [– Áñd d~óés í~t háv~é ést~áblí~shéd~ próc~éssé~s fór~ drív~íñg c~óñtí~ñúóú~s sér~vícé~ ímpr~óvém~éñt f~ór th~é líf~é óf t~hé có~ñtrá~ct¿] 

    • [Lévé~rágé~ próv~éñ íñ~dúst~rý fr~áméw~órks~. ÍTÍL~ áñd C~ÓBÍT~ 5 próv~ídé c~ómpr~éhéñ~sívé~ méth~ódól~ógíé~s fór~ évál~úátí~ñg áñ~d sél~éctí~ñg st~ráté~gíc v~éñdó~rs] 
    • [Bé júdgméñtál. Áré ýóú cómpátíblé¿ Áll thé áwárd-wíññíñg sécúrítý cápábílítíés íñ thé wórld wóñ’t máttér íf ýóú áñd thé próvídérs’ téám dóñ’t jéll. Ás wíth áñý lóñg-térm rélátíóñshíp, chémístrý máttérs. Ás dó éffórt, trúst áñd hóñést cómmúñícátíóñ]
  • [Léár~ñ mór~é:] 

    [Tó lé~árñ h~ów Vé~rízó~ñ pár~tñér~s wít~h éñt~érpr~ísés~ tó hé~lp pr~ótéc~t ágá~íñst~ tódá~ý’s cý~bért~hréá~ts áñ~d pré~páré~ fór w~hát’s~ ñéxt~, vísí~t 
    vér~ízóñ~.cóm/b~úsíñ~éss/p~ródú~cts/s~écúr~ítý/]

    [Ór ré~qúés~t á có~ñsúl~tátí~óñ: 877.297.7816]

  • [Léss~óñs l~éárñ~éd]

  •  

    [Búíl~díñg~ á str~óñgé~r íñt~érñá~l téá~m.]

    [Tó áddréss thé cýbérsécúrítý stáffíñg shórtágé, Fórréstér Réséárch ádvísés thát órgáñízátíóñs rédéfíñé whát mákés á góód sécúrítý cáñdídáté. Ráthér tháñ híríñg óñlý thósé wíth sécúrítý cértífícátíóñs, cóñsídér mótívátéd íñdívídúáls wíth óthér ápplícáblé skílls: mílítárý ór láw éñfórcéméñt éxpéríéñcé, áccóúñtíñg, ÍT áñd/ór ñétwórk máñágéméñt, stróñg wríttéñ áñd órál préséñtátíóñ skílls, áñd thé ábílítý tó thíñk óútsídé thé bóx. Théñ téách thém sécúrítý.] 

    [Sécúrítý léádérs shóúld cóñsídér grówíñg ór révítálízíñg théír ówñ téáms íñ párállél tó strátégíc óútsóúrcíñg tó créáté á móré dýñámíc, réspóñsívé áñd fléxíblé cýbérsécúrítý éñvíróñméñt. Thé stákés áré tóó hígh, áñd thé thréát láñdscápé ís évólvíñg tóó qúícklý, tó símplý máíñtáíñ thé státús qúó.] 

Let's get started.