امنیت سایبری؛ مسئلهای مدیریتی نه فقط فنی
امنیت سایبری مسئلهای مدیریتی نه فقط فنی سالها قبل، زمانی که فعالیت حرفهای خود را در حوزه شبکه و امنیت اطلاعات آغاز کردم، بسیاری از سازمانها امنیت را تقریباً به تجهیزات فنی محدود میکردند. وقتی صحبت از امنیت به میان میآمد، معمولاً اولین موضوعاتی که مطرح میشد شامل موارد زیر بود: خرید فایروال نصب آنتیویروس […]
امنیت سایبری مسئلهای مدیریتی نه فقط فنی
سالها قبل، زمانی که فعالیت حرفهای خود را در حوزه شبکه و امنیت اطلاعات آغاز کردم، بسیاری از سازمانها امنیت را تقریباً به تجهیزات فنی محدود میکردند.
وقتی صحبت از امنیت به میان میآمد، معمولاً اولین موضوعاتی که مطرح میشد شامل موارد زیر بود:
- خرید فایروال
- نصب آنتیویروس
- کنترل دسترسی شبکه
- بهروزرسانی تجهیزات
بدون تردید، این موارد بخش مهمی از امنیت هستند؛ اما تجربه حضور در پروژههای مختلف به من نشان داد که امنیت واقعی فراتر از تجهیزات شکل میگیرد.
امنیت سایبری پیش از آنکه یک مسئله فنی باشد، یک مسئله مدیریتی است.
زیرا یک سازمان زمانی واقعاً امن است که بداند چه داراییهایی دارد، چه ریسکهایی آن را تهدید میکند و چگونه باید برای حوادث احتمالی آماده شود.
تغییر نگاه به امنیت سایبری
در نگاه سنتی، امنیت مانند یک دیوار دفاعی در اطراف شبکه بود.
امروز اما مرزهای سازمان تغییر کردهاند.
کارکنان از راه دور کار میکنند، خدمات سازمانی روی بستر اینترنت ارائه میشوند، تأمینکنندگان به سامانههای سازمان متصل هستند و حجم زیادی از اطلاعات در محیطهای دیجیتال جریان دارد.
در چنین شرایطی، سازمان نمیتواند امنیت را فقط با محافظت از شبکه داخلی تعریف کند.
امنیت باید تمام زنجیره فعالیت سازمان را پوشش دهد:
- زیرساخت فناوری
- سامانهها و خدمات دیجیتال
- اطلاعات و دادهها
- کاربران</li>
- فرآیندهای مدیریتی
چرا امنیت سایبری مدیریتی است؟
۱. ریسک سایبری، ریسک کسبوکار است
گاهی تصور میشود حمله سایبری فقط یک مشکل فنی ایجاد میکند.
در حالی که پیامدهای آن میتواند مستقیماً کسبوکار را تحت تأثیر قرار دهد:
- توقف تولید
- قطع خدمات
- از دست رفتن اطلاعات
- آسیب به اعتبار سازمان
- خسارت مالی
برای یک شرکت صنعتی، توقف چند ساعته یک خط تولید ممکن است هزینهای بسیار بیشتر از هزینه پیشگیری از حادثه ایجاد کند.
بنابراین، سازمان باید امنیت سایبری را در کنار سایر ریسکها مانند ریسک مالی، عملیاتی و حقوقی مدیریت کند.
امنیت بدون حکمرانی پایدار نیست
یکی از تجربههای تکرارشونده در سازمانها این است که گاهی سرمایهگذاری زیادی برای خرید تجهیزات امنیتی انجام میشود، اما همچنان آسیبپذیریهای جدی باقی میمانند.
دلیل این موضوع ساده است:
امنیت فقط ابزار نیست.
یک نظام امنیتی اثربخش به موارد زیر نیاز دارد:
- سیاستهای مشخص
- فرآیندهای مدون
- تعیین مسئولیتها
- ارزیابی مستمر ریسک
- آموزش کارکنان
به عبارت دیگر، تجهیزات امنیتی زمانی ارزشمند هستند که در یک چارچوب مدیریتی درست قرار بگیرند.
انسان؛ مهمترین بخش امنیت
در بسیاری از رخدادهای امنیتی، فناوری تنها عامل مشکل نیست.
گاهی یک خطای ساده انسانی میتواند یک بحران بزرگ ایجاد کند:
- باز کردن یک فایل آلوده
- استفاده از رمز عبور ضعیف
- اشتراکگذاری اطلاعات حساس
- رعایت نکردن فرآیندهای امنیتی</li></li></li></li></li></li></li></li></li></li></li></li>
به همین دلیل، امنیت سایبری بدون فرهنگ سازمانی و آموزش کارکنان کامل نخواهد بود.
چهار اصل امنیت اطلاعات
هر سازمانی که قصد ایجاد یک محیط امن را دارد باید چهار اصل اساسی را مورد توجه قرار دهد:
محرمانگی (Confidentiality)
اطلاعات باید فقط در اختیار افراد و مجموعههای مجاز قرار گیرد.
برای مثال:
- اطلاعات مشتریان
- قراردادها
- اطلاعات مالی
- دادههای راهبردی سازمان
یکپارچگی (Integrity)
سازمان باید اطمینان داشته باشد که اطلاعات بدون مجوز تغییر نکردهاند.
در محیطهای سازمانی، صحت دادهها اهمیت بسیار زیادی دارد؛ زیرا بسیاری از تصمیمهای مدیریتی بر اساس همین دادهها گرفته میشوند.
دسترسپذیری (Availability)
اطمینان از دسترسی به خدمات و اطلاعات در زمان مورد نیاز اهمیت زیادی دارد.
برای مثال:
- سامانههای تولید
- سیستمهای مالی
- خدمات مشتریان
نباید به دلیل یک حادثه امنیتی از دسترس خارج شوند.
اعتماد و قابلیت اطمینان
سازمان باید بتواند به سیستمها، اطلاعات و فرآیندهای خود اعتماد کند.
این اعتماد زمانی شکل میگیرد که امنیت بخشی از طراحی و مدیریت سازمان باشد، نه اقدامی واکنشی پس از وقوع حادثه.
امنیت سایبری در صنایع
با حرکت صنایع به سمت موارد زیر:
- اتوماسیون
- اینترنت اشیا
- سیستمهای هوشمند
- ارتباطات بین سازمانی
وابستگی کسبوکار به فناوری بیشتر شده است.
اما افزایش وابستگی دیجیتال، به معنی افزایش سطح ریسک نیز هست.
در یک مجموعه صنعتی، امنیت فقط به معنای حفاظت از سرورها نیست؛ بلکه سازمان باید از موارد زیر نیز محافظت کند:
- فرآیند تولید
- اطلاعات فنی
- زنجیره تأمین
- ارتباط با مشتریان و تأمینکنندگان
نگاه زنجیرهای به امنیت
یکی از موضوعاتی که در سالهای اخیر بیش از پیش اهمیت پیدا کرده، امنیت زنجیره تأمین است.
در گذشته، سازمانها بیشتر تلاش میکردند از مرزهای داخلی خود محافظت کنند؛ اما امروز یک سازمان ممکن است از طریق یکی از شرکای تجاری، تأمینکنندگان یا سرویسهای بیرونی آسیب ببیند.
این موضوع نشان میدهد که امنیت دیگر محدود به داخل سازمان نیست و باید در تمام زنجیره ارزش دیده شود.
نگاه اجرایی
تجربه سالهای فعالیت در حوزه فناوری اطلاعات و امنیت نشان داده است که ایجاد امنیت پایدار به ترکیب سه عنصر اصلی نیاز دارد:
فناوری + فرآیند + مدیریت
فناوری بدون فرآیند، کارایی لازم را ندارد.
فرآیند بدون حمایت مدیریت، اجرا نمیشود.
مدیریت نیز بدون شناخت درست از ریسکها نمیتواند تصمیم مناسبی بگیرد.
جمعبندی
امنیت سایبری در سازمانهای امروز یک موضوع راهبردی است.
سازمانهایی که امنیت را فقط خرید تجهیزات میدانند، معمولاً پس از وقوع حادثه اهمیت آن را درک میکنند.
در مقابل، سازمانهای آیندهنگر امنیت را بخشی از مدل مدیریتی خود میدانند و برای ایجاد تابآوری، پیش از وقوع بحران برنامهریزی میکنند.
در نهایت، امنیت سایبری نه یک پروژه کوتاهمدت، بلکه مسیری دائمی برای حفظ اعتماد، پایداری و رشد سازمان است.
این مطلب بدون برچسب می باشد.
دیدگاهتان را بنویسید