انجمن استراتژی‌های امنیت سایبری که اخیرا توسط دولت استرالیا راهاندازی شده است، با بسیاری از سازمانهای کوچک و بزرگی که بر بازسازی استراتژی‌های خطرات سایبری تمرکز دارند، تعامل دارد. در مقاله پیشرو، مورگان اسلوپر، موسس و مدیراجرایی گروه مشاوره InScope به برخی ملاحظات عملی مورد نیاز کسب‌وکارها به‌منظور کاهش احتمال بروز تهدیدات مجازی اشاره می‌کند.خطرات سایبری در سالهای اخیر به‌دلیل کاربرد گسترده فناوری، به‌خصوص فناوریهای موبایلی و پیچیدگیهای روزافزون تهدیدات مجازی، موضوع داغ محافل گوناگونی در استرالیا و سراسر جهان بوده است. بدون شک با توجه به سهولت تحمیل آسیب سایبری در دنیای به هم پیوسته امروز، این موضوع به‌نظر در آینده نزدیک حل نخواهد شد.
سازمان‌ها در هر جایی که باشند در معرض حمله هکرهایی هستند که به‌طور مداوم نوآوریهایی را در روشهای مورد استفاده خود اعمال میکنند. بر اساس گزارش سال 2016 PwC در خصوص وضعیت جهانی امنیت اطلاعات، در سال ۲۰۱۵ میلادی، میزان جرائم و حوادث امنیتی در مقایسه با ۲۰۱۴ میلادی به میزان ۳۸ درصد رشد داشته است. علاوه‌بر این، حوادث امنیتی در فضای مجازی برای کسب‌وکارهای استرالیایی شایع بوده و به صورت مکرر به‌روزرسانی می‌شوند. CERT Australia، یکی از سازمان‌هایی که با مرکز امنیت سایبری دولت استرالیا همکاری می‌کند، در سال ۲۰۱۵ به ۱۱ هزار و ۷۳۳ حمله مجازی به کسب وکارهای این کشور رسیدگی کرده است، ۲۱۸ مورد از این حملات زیرساختهای حیاتی و منافع ملی این کشور را هدف قرار داده بوده‌اند.در چنین شرایطی، سازمان‌ها باید ماهیت تهدید را درک کرده و نقاط آسیبپذیر خاص خود و تهدیداتی را که امنیت سایبری سازمان را هدف قرار می‌دهند، به‌خوبی شناسایی کنند و مهمتر از همه، اقدامات تاثیرگذاری را که منجر به کاهش تهدیدات و بهبود سطح تحمل خطر می‌شوند، در نظرداشته باشند.
پنچ نکته مهمی که باید بدانیم
1- تهدیدات امنیت سایبری واقعی هستند و تمامی کسب‌وکارها را فارغ از اندازه آنها هدف قرار می‌دهند: براساس گزارش مرکز امنیت سایبری دولت استرالیا در سال ۲۰۱۵، ۵۰ درصد از شرکتکنندگان در نظرسنجی دستکم یک حمله سایبری را در طول یک سال گذشته تجربه کرده‌اند. مهمتر اینکه، ۸ درصد از کسب‌وکارها مطمئن نیستند که آیا مورد حمله سایبری قرار گرفته‌اند یا خیر! ۹۲ درصد از شرکتکنندگان در نظرسنجی، حادثه‌ای سایبری را تجربه کرده‌اند که توسط سازمانهای مسوول و پیگیر شناسایی شده‌اند. این رقم در مقایسه با سال ۲۰۱۳، بیش از دو برابر شده است. همچنین افزایش ۴ برابری تعداد حوادث سایبری از نوع باجافزار1 قابل مشاهده بوده است و از ۱۷ درصد در سال ۲۰۱۳ به ۷۲ در سال ۲۰۱۵ تغییر کرده است
۲- تهدیدات سایبری دغدغه‌ای اجرایی هستند: امنیت سایبری مسالهای نیست که صرفا به واحد فناوری اطلاعات سازمان مربوط باشد. تاثیرات امنیت مجازی میتواند به وسعت یک سازمان باشد، از این‌رو عواقب مالی آن نیز بسیار قابل توجه خواهد بود. امنیت سایبری باید به‌صورت مرکزی و به کمک بازوی اجرایی سازمان‌ها مدیریت و کنترل شود. در سال ۲۰۱۵، کمیسیون اوراق بهادار و سرمایه‌گذاری استرالیا با انتشار گزارشی مفید به نقش تاثیرگذار هیات‌مدیره و مدیران ارشد اجرایی در کنترل تهدیدات مجازی پرداخته و همچنین به اهمیت توجه این بخش از سازمان نسبت به رعایت تعهدات قانونی و آشنایی با ماهیت و پیچیدگیهای کسب‌وکار و تهدیدات پیش روی آن اشاره کرده است. تعداد زیادی از هیاتمدیرهها و تیمهای اجرایی در حال حاضر رویکردی مشترک اتخاذ کرده‌اند: هجدهمین نظرسنجی سالانه جهانی مدیران ارشد اجرایی PwC در سال ۲۰۱۵ نشان می‌دهد که ۶۱ درصد از مدیران اجرایی دغدغههایی در زمینه امنیت سایبری دارند که این میزان در مقایسه با سال گذشته (۴۸ درصد) افزایش داشته است. ۷۸ درصد مدیران نیز از فناوریهای امنیت سایبری به‌عنوان استراتژی مهمی برای کسب‌وکار خود یاد میکنند. بر اساس گزارش جهانی نظرسنجی امنیت اطلاعاتPwC، ۴۵ درصد مدیران اجرایی از استراتژی‌های جامع امنیتی استفاده میکنند.
۳- حملات سایبری تنها به معنای از دست دادن اطلاعات حساس نیست: حملات مجازی قادر هستند به طرق مختلف به سازمان آسیب برسانند و حتی منجر به آسیبهای فیزیکی نیز شوند. در کنار سرقت اطلاعات و خارج از دسترس کردن سیستم‌های مختلف، این تهدیدات میتواند چالشهای متعددی برای سازمان‌ها به بار آورد:
– مسائل مربوط به کارکنان: کارکنان همواره منبع اصلی سازش تلقی می‌شوند. بر اساس نظرسنجی امنیت اطلاعات سال ۲۰۱۵ شناسایی «خودی‌های قابل اعتماد» دغدغه ۶۰ درصد کارکنان است. گزارش جهانی PwC در سال ۲۰۱۶ نیز کارکنان را مهمترین منبع مصالحه اطلاعاتی در سازمان قلمداد می‌کند.
– تعهدات قانونی و نظارتی: از قبیل قوانین و تعهدات مربوط به قانون رعایت حریم خصوصی
– نقض توافقات انجام شده با مشتری
– قوانین مربوط به هیات اجرایی: مسوولیت‌پذیری مدیریت ارشد اجرایی سازمان‌ها درخصوص تهدیدات سایبری
– آسیبهای وارده به شهرت سازمان: موضوع همدردی با سازمان‌هایی که در معرض تهدیدات سایبری بوده‌اند روزبهروز کمرنگتر می‌شود، علاوهبراین چنین سازمان‌هایی به‌دلیل رعایت نکردن اقدامات احتیاطی، به باور عموم مجرم هستند.
تهدیدات مجازی علاوه‌بر این میتوانند آسیبهای فراوانی به دنیای واقعی و افراد وارد آورند. برای مثال، در حملات بدافزاری به شرکت آرامکو در سال ۲۰۱۲، به تمام 35 هزار رایانه این شرکت آسیب وارد شد. شرکت هواپیمایی دولتی LOT لهستان در سال ۲۰۱۵ با حمله یک هکر به سیستم‌های زمینی خود مواجه شد که در پی آن 10 پرواز داخلی و بین‌المللی کنسل شده و ۱۴۰۰ مسافر سرگردان شدند. پیامدهای این حوادث و نمونه‌های دیگر بسیار تاثیرگذار و بعضا غیر‌قابل جبران هستند.
۴-از تهدیدات جدید حاصل از گسترش فناوریهای مبتنی بر پردازشهای ابری غافل نشوید: کسب‌وکارها در حال انتقال اطلاعات خود به فضای ابری به‌ویژه محیطهای ابر عمومی هستند که منجر به صرفهجوییهای مالی قابل توجهی نیز می‌شود. با این حال، امنیت همچنان یک دغدغه اصلی است. امنیت در فضای ابر یکی از مهمترین چالشهای پیشروی کسبوکارهاست. ماهیت فناوریهای یبه اشتراکگذاری، خطرات مشترکی را نیز دربر دارد. سرویسهای ابر عمومی زیرساختها، پلتفرمها و اپلیکیشنهایی را با کاربران خود به اشتراک میگذارند. مشتریان و کاربران خدمات ابر با اعتماد به رابطهای برنامهنویسی کاربردی و رابطهای کاربری نرم‌افزارها به مدیریت و تعامل با سرویسهای ابری اقدام میکنند. به این ترتیب، امنیت و دسترسی به سرویسهای عمومی ابری به امنیت رابطهای کاربری و رابطهای برنامهنویسی بستگی دارد. با این حال، در چنین شرایطی و با وجود تهدیدات مذکور فرصتهایی نیز پیشروی کسب وکارهایی که اقدام به انتقال دادههای خود به فضای ابری کرده‌اند، قرار دارد و این فرصت چیزی نیست جز زمینههای توسعه بیشتر و کوشش مداوم برای کسب‌وکارها که فراهم شده است.
۵- امنیت سایبری مبتنی بر اطلاعات امکان شناسایی و واکنش سریع را فراهم می‌کند: با ترکیب کلان داده و سیستم‌های امنیت مجازی در سازمان‌ها، فضای بهتری برای آشنایی و درک بهتر اقدامات شبکههای غیرعادی و ناشناس به وجود میآید. به این ترتیب، امکان واکنش سریعتر به تهدیدات سایبری برای سازمان‌ها فراهم می‌شود. این همان فرصت بینظیر است!
پنج اقدام مهمی که باید انجام دهیم
۱- کسب اطمینان از پوشش حداقلی اصول اولیه
اقداماتی وجود دارند که هر سازمانی میتواند به واسطه اجرای آنها خطر تهدیدات سایبری را به اندازه قابلتوجهی کاهش دهند. براساس گزارش Heimdal Security، سوءاستفاده از مرورگرها و نرم‌افزار Adobe Flash تقریبا در ۹۹ درصد حملات سایبری قابل مشاهده است. نرم‌افزاری که به روز نباشد آسیب‌پذیرتر خواهد بود. این بیانگر غفلت سازمان‌ها از انجام اقدامات اساسی و بنیادین در زمینه امنیت سایبری است.
۲- اتخاذ چارچوب انعطافپذیر سایبری مبتنی بر خطر
استانداردها و چارچوبهای شناخته شده، سازمان‌ها را در پیاده سازی سیستم‌های داخلی برای شناسایی و اولویتدهی به تهدیدات و واکنش موثر به‌منظور کاهش آسیبهای وارده یاری میرسانند. با اتخاذ رویکردی مبتنی بر ریسک، سازمان میتواند از انتخاب ترکیب موثری از اقدامات برای مقابله تهدیدات اطمینان حاصل کند. رایج‌ترین دستورالعملها، استانداردهای ISO 27K هستند که در قالب چارچوبهای امنیت سایبری و کنترلهای بحرانی از آنها یاد می‌شود.براساس رویکرد مبتنی بر ریسک، سازمان باید آمادگی رویارویی با هرگونه تهدید سایبری را داشته باشد، طراحی یک برنامه واکنش به تهدیدات سایبری را در دستور کار خود قرار دهد و نیروی انسانی خود را به این منظور آموزش دهد. سازمان‌ها باید به‌صورت مستمر بر عملکرد و توان تحمل تهدیدات خود نظارت داشته باشند.
۳-تهدیدات افراد را نادیده نگیرید
تاکید فراوانی بر استانداردها و دستورالعملهای متداول مرتبط با کنترل و امنیت فنی وجود دارد. علاوه‌بر خطر تخلفات عمدی، براساس گزارش شاخص هوشمندی امنیت سایبری IBM در سال ۲۰۱۴ معادل ۹۵ درصد حوادث سایبری به‌دلیل خطای انسانی روی داده است. طیف گستردهای از مقیاسهای سازمانی برای کمک به سازمان‌ها در کاهش احتمال بروز حوادث سایبری و کاهش تهدیدات سایبری مرتبط با نیروی انسانی وجود دارد که میتواند به صورت ترکیبهای مختلف بسته به نتیجه ارزیابیهای تهدید سایبری و با در نظر گرفتن توان سازمان در تحمل تهدیدات اعمال شود.
۴- بررسی شرایط پوشش بیمه
فناوریهای مربوط به امنیت سایبری مسلما یارای مقابله با تمامی تهدیدات را ندارند. بنابراین، بسیاری از سازمان‌ها و شرکتها با خرید بیمههای امنیت سایبری نسبت به کاهش عواقب مالی این قبیل تهدیدات اقدام میکنند.با این حال، مقابله مطلق با خطرات به واسطه تحت پوشش قرارگرفتن بیمه سایبری برای تمامی تهدیدات کارساز نیست.رویکرد مبتنی بر ریسک، اطلاعاتی را در این خصوص در اختیار سازمان قرار می‌دهد. بنابراین برخی اشکال سیاستهای مدیریت مسوولیتهای سازمانی شامل بررسی انواع و میزان پوشش تهدیدات سایبری است.از این‌رو پوشش سایبری گستردهتر و خاص موضوعی است که مدیریت ارشد سازمان به کمک مشاوران خود درباره آن تصمیم می‌گیرد.
۵- نیاز به تلاش بیشتر
پیش از پیاده سازی هر تکنولوژی جدید و یا انتقال هر اپلیکیشن یا زیرساختی به فضای ابر، به تهدیدات سایبری مرتبط با آن و آسیبپذیریهای داخلی توجه کنید. با توجه به ساختار عملیاتی و معماری سازمان خود سعی کنید نسبت به انتخاب ارائه‌دهنده خدمات و پیادهسازی استانداردهای امنیتی و فرآیندهای به‌روزرسانی شده و موقعیتهای مالی مناسب اقدام کنید. بنابراین با نگاهی نزدیکتر به شرایط قراردادی، به‌ویژه مسوولیتهای شرکت طرف قرارداد در صورت بروز حادثه، از آنها بخواهید به جزئیات پوشش بیمه خود درخصوص تهدیدات سایبری توجه بیشتری کنند.
تهدید سایبری فقط مسالهای مختص واحد فناوری اطلاعات سازمان نیست، بلکه چالشی است که هیات‌مدیره، تیم اجرایی و تمامی بخش‌های سازمان را درگیر خود می‌کند. زمان و سرمایه بسیاری برای تقویت موقعیت سازمان در برابر تهدیدات سایبری مورد نیاز است. هیات‌مدیره و تیم ارشد اجرایی هر سازمانی باید نسبت به توسعه مداوم و پایدار سازمان در قبال تهدیدات مجازی اقدام کنند.
اتخاذ رویکردی هوشمند و آگاهانه نسبت به امنیت سایبری بدون شک سازمان شما را در رویارویی با تهدیدات و پیاده سازی اهرمهای رو به جلو از نظر زمانی، فناوری، بیمه و کسب آمادگی‌های مالی برای بهینهسازی برنامههای مقابله با خطرات دنیای مجازی یاری میرسانند.
منبع : revelian / دنیای اقتصاد
