شکارچیان آنلاین بی امان و نابخشودنی هستند. یک لغزش، و شرکت شما را می توان به زانو درآورد. به همین دلیل است که نه تنها ایجاد پادمان‌ها و شیوه‌های قوی و انعطاف‌پذیر مهم است، بلکه اطمینان از عملکرد مؤثر آنها نیز مهم است.
در مورد امنیت سایبری قطعاً شکست یک گزینه نیست. کری پرلسون، مدیر اجرایی امنیت سایبری در دانشکده مدیریت MIT Sloan، معتقد است که رهبران سازمانی باید تمرکز خود را از محافظت به انعطاف‌پذیری تغییر دهند. او توضیح می‌دهد: «ما باید فرض کنیم که افراد بد در سیستم‌های ما حضور خواهند داشت، راه‌های جدیدی برای هک کردن ما پیدا می‌کنند و به طور مداوم برای رسیدن به اهداف خود نوآوری می‌کنند.
در حالی که حفاظت قوی همچنان مهم است، رهبران همچنین باید به این فکر کنند که چگونه سازمان آنها می تواند یک حمله را جذب کند، بهبود یابد و به جلو حرکت کند. پرلسون دنیای آینده ای را تصور می کند که در آن یک سازمان حمله ای را تجربه می کند که منجر به آسیب صفر به سیستم ها، شهرت، دارایی ها، سازمان و زنجیره تامین آن می شود. به طور خلاصه، آنها مقاوم هستند.
پرلسون به سازمان‌ها توصیه می‌کند که مهارت‌ها، فرآیندها و رویه‌های امنیتی را به‌گونه‌ای ایجاد کنند که به آنها امکان توجه، توقف، پاسخ، بازیابی و بهبود را بدهد. او می‌گوید: «تاب‌آور بودن به معنای داشتن رویکردی پویا به امنیت سایبری است که به‌طور مستمر با شرایط متغیر سازگار می‌شود، به طوری که هنگام وقوع حمله، عملیات سازمانی تحت تأثیر قرار نگیرد».
آسیب پذیری هماهنگی
کایلا آندرکوفلر، کارشناس ارشد امنیتی در شرکت خدمات امنیتی HackerOne، از استفاده بیشتر از افشای آسیب‌پذیری هماهنگ – افشای عمومی آسیب‌پذیری‌های امنیت سایبری تازه شناسایی‌شده، حمایت می‌کند. او خاطرنشان می کند که در حالی که این مفهوم در حال حاضر بهترین روش پذیرفته شده است، بسیاری از سازمان ها هنوز تمایلی به گام به جلو ندارند. آندرکوفلر می‌گوید: «شفاف ماندن و همکاری در هنگام افشای آسیب‌پذیری‌های وصله‌شده نه تنها به نفع سازمان افشاکننده، بلکه امنیت کل اینترنت است».
تنها با تایید و به اشتراک گذاری آسیب پذیری ها و اشتباهاتی که منجر به نقض می شود، می توان امنیت را برای همه سازمان ها بهبود بخشید. یکی از راه‌های پذیرش شفافیت، اتخاذ یک برنامه افشای آسیب‌پذیری (VDP) است که طرحی برای نحوه گزارش آسیب‌پذیری‌ها ارائه می‌کند. آندرکوفلر می‌گوید: «در اصل، این سیاست «چیزی ببین، چیزی بگو» است. این امر به سازمان‌ها کمک می‌کند تا از طریق دستورالعمل‌های روشن با محققان امنیتی هماهنگ شوند و از انتشار زودرس یا تصادفی آسیب‌پذیری‌هایی که ممکن است هنوز برای یک سازمان خطرآفرین باشد، اجتناب کنند.»
عملیات و ریسک
آلیسا چستلر، رئیس تیم حفاظت از داده‌ها، حریم خصوصی و امنیت سایبری در شرکت حقوقی Baker Donelson، از سازمان‌ها می‌خواهد که برنامه‌ریزی امنیتی را به عنوان یک موضوع کاملاً سایبری نبینند. او خاطرنشان می کند که حفاظت از دارایی های شرکت در واقع یک موضوع عملیات و ریسک است که نیازمند برنامه ریزی دقیق و دقیق با کل تیم مدیریت است.
چستلر هشدار می‌دهد که محدود کردن برنامه‌ریزی امنیتی فقط به تیم فناوری اطلاعات شرکت، نکته را کاملاً از دست می‌دهد و شرکت را در معرض خطرات قابل توجهی قرار می‌دهد. او می‌گوید: «شکست در برنامه‌ریزی برای طیف گسترده‌ای از اقدامات و رویدادهای بالقوه که ممکن است برای سازمان رخ دهد به این معنی است که کسب‌وکار کاملاً برای طیف وسیعی از رویدادهایی که ممکن است رخ دهد آماده نیست.
چستلر ایجاد یک برنامه حاکمیتی قوی را توصیه می کند، برنامه ای که مستلزم جلسات منظم تیم مدیریتی است که صرفاً به مسائل امنیتی اختصاص دارد. او توصیه می کند که ماموریت اولیه تیم باید نقشه برداری از خطرات و سپس تلاش برای کاهش آسیب پذیری ها باشد. او توضیح می دهد که هنگامی که یک برنامه حاکمیتی مناسب برای بررسی و تجزیه و تحلیل مسائل امنیتی با همکاران عملیاتی، فناوری اطلاعات، حقوقی و مالی وجود دارد، یک شرکت می تواند به طور جدی تهدیدهای فعلی و بالقوه آینده را متمرکز کند.
یکی از بزرگترین موانع برای اجرای یک برنامه حاکمیت کاری، فرهنگ سازمانی است، به ویژه مقاومت اعضای تیم مدیریت کم‌آگاه. چستلر معتقد است که برنده شدن حمایت مدیریت برای حاکمیت امنیتی قوی را می توان از طریق اشتراک گذاری مداوم دانش به دست آورد. او توصیه می‌کند که تداوم ارائه اخبار در مورد رویدادهای امنیت سایبری فعلی یکی از راه‌های حرکت مدیریت برای درک اینکه نقش آنها در تلاش مستمر برای کاهش خطرات برای سازمان، به‌ویژه تهدیدات جدید در حین تکامل، حیاتی است، است.
خطر اعتماد به نفس بیش از حد
شاید بزرگترین اشتباه امنیت سایبری که یک سازمان می تواند مرتکب شود، اعتماد بیش از حد به توانایی خود در پاسخگویی موفقیت آمیز به حملات پیچیده و گسترده امروزی باشد. فیل کویتوگوا، مدیر شرکت مشاوره و تحقیقات فناوری ISG، توضیح می‌دهد: «بازیگران تهدید دائماً در حال توسعه تاکتیک‌ها و تکنیک‌های خود برای دور زدن دفاع هستند. غیرممکن است که بیش از حد هوشیار و آماده باشید.
همگامی با چشم انداز تهدید و انجام ارزیابی های منظم باید از اولویت های جدول امنیت سایبری سازمانی باشد. Quitugua می گوید: “رویکرد بهبود مستمر امنیت سایبری برای جلوگیری از اعتماد بیش از حد کلیدی است.”
به‌علاوه، تأیید اینکه کنترل‌های امنیتی مطابق انتظار عمل می‌کنند، باید فرآیندی بی‌پایان باشد. Quitugua توصیه می‌کند: «با برداشتن یک قدم جلوتر، کسب‌وکار باید قابلیت انعطاف‌پذیری کلی خود را از طریق یک تمرین دامنه سایبری درک کند.
ترجمه:
پیشگامان تجارت امن ایرانیان