แม้ทีมบริหารหรือเจ้าของบริษัทในปัจจุบันจะเริ่มตระหนักถึงความปลอดภัยทางไซเบอร์มากขึ้น แต่ก็มักจะเข้าใจเพียงผิวเผินจากนิตยสารสำหรับผู้บริหารอย่างจำพวก Wall Street Journal หรือแค่จากบทสนทนาระหว่างเพื่อนผู้บริหารด้วยกัน ดังนั้นการพูดคุยหรือจูงใจเหล่าเบื้องบนในเชิงเทคนิคต่างๆ มักยังเต็มไปด้วยความลำบาก ดังนั้น ทาง CISOmag.com จึงได้รวบรวม 5 เคล็ดลับในการพูดภาษาเดียวกันกับผู้บริหาร ให้ทำงานได้ราบรื่นดูถูกใจเจ้านายมากขึ้นดังต่อไปนี้
1. ชี้ให้เห็นว่าความปลอดภัยทางไซเบอร์เป็นปัจจัยสำคัญ
ด้วยการโยงความสัมพันธ์ระหว่างอันตรายทางไซเบอร์กับความเสี่ยงทางธุรกิจด้านต่างๆ เนื่องจากงานบริหารความเสี่ยงนั้นถือเป็นงานหลักของผู้บริหารเหล่านี้ ซึ่งถ้าทีมไอทีเข้าใจถึงการจัดระดับความเสี่ยงและการวางแผนจัดการรองรับที่เป็นภาษาเดียวกัน ย่อมทำให้เหล่าผู้บริหารเข้าใจในภาพรวม และตัดสินใจตามข้อเสนอทางเทคนิคได้ง่ายมากขึ้น จำไว้ว่าเบื้องบนมักมองที่ประสิทธิภาพของธุรกิจในภาพรวม ไปจนถึงความเสียหายที่เห็นได้ชัดอย่างการขัดกับกฎหมายและมาตรฐานต่างๆ การหันมาชี้ว่าเรื่องทางเทคนิคแต่ละจุดกระทบกับการจัดการความเสี่ยงขององค์กรอย่างไรนั้นจะช่วยทำลายกำแพงอคติที่พวกเขามักคิดว่า “ความปลอดภัยด้านไอทีก็เป็นแค่เรื่องของไอที” ได้ แน่นอนว่าข้อมูลทางเทคนิคที่เตรียมไว้ต้องแน่นปึ๊ก แต่อย่าใช้มันทำให้เจ้านายเบื่อหน่าย
2. อธิบายในเชิงที่ผู้บริหารสามารถออกนโยบายแก้ไขได้ง่าย
แทนที่จะย้ำแต่เรื่องของประสิทธิภาพทางเทคนิค เช่น มาตรการจัดการเกี่ยวกับรหัสผ่านที่ใช้ในองค์กรว่าเรามีนโยบายและขั้นตอนการปฏิบัติที่เหมาะสมไหม และสื่อสารกับเหล่าพนักงานได้ทั่วถึงอย่างไร ทำให้พนักงานมีการตระหนักถึงความสำคัญของการตั้งรหัสผ่านอย่างต่อเนื่องได้อย่างไร เป็นต้น
3. ให้ความสำคัญกับคน, กระบวนการ, และเทคโนโลยีควบคู่กันไป
ผู้บริหารมักมองว่าทุกอย่างขับเคลื่อนได้ด้วยสามปัจจัยนี้ควบคู่กันไปเพื่อลดความเสี่ยงที่จะกระทบกระบวนการหลักทางธุรกิจ
4. สรุปรวมประเด็นให้กระชับเป็นทางเดียวกัน
เสนอแนวทางที่เข้าไปเป็นส่วนหนึ่งของวัฒนธรรมองค์กรได้ง่ายนั่นคือสิ่งที่คุณเสนอ ต้องเป็นสิ่งที่ผู้บริหารมองเห็นว่าทำได้จริงกับทุกฝ่ายในบริษัท เป็นสิ่งที่จะได้รับการยอมรับและปฏิบัติตามอย่างต่อเนื่อง เรียกว่าต้องซื้อใจผู้บริหารให้ได้นั่นเอง ซึ่งการซื้อใจให้ได้ผลดีที่สุดมักเป็นเรื่องของเงิน เช่น การลดความเสี่ยงในการก่อให้เกิดความเสียหาย หรือมีความคุ้มค่าในการลงทุนกับซอฟต์แวร์ใหม่ หรือการจัดการอบรมพนักงาน
5. อ้างอิงมาตรฐานและกรอบการทำงานที่เป็นสากล
เพื่อให้ตรวจวัดประสิทธิภาพ และเปรียบเทียบกับบริษัทอื่นได้ง่าย เพราะคำถามยอดฮิตของเจ้านายคือ “แล้วบริษัทอื่นเขาทำกันอย่างไร” ถ้าคุณมีข้อมูลอ้างอิงอย่าง NIST Cybersecurity Framework หรือ ISO27001อยู่ในมือ ก็จะสร้างความน่าเชื่อถือมากขึ้น
ที่มา : CISOMag
