سازمان‌های مدرن بیشتر و بیشتر بر روی ابزارهایی برای افزایش چابکی، پشتیبانی از تیم‌ها و سرمایه‌گذاری بر روی افزایش انعطاف‌پذیری که فناوری در اختیارشان قرار می‌دهد، سرمایه‌گذاری می‌کنند. با این حال، تعداد آنها کافی نیست سرمایه گذاری در امنیت و آموزش مورد نیاز اگر بخواهند بیشترین بهره را از این فناوری ها ببرند بدون اینکه دارایی های اطلاعاتی سازمانی خود یا شرکای زنجیره تامین خود را به خطر بیندازند – بالا و پایین دست.
همیشه برای من ناامید کننده بوده است که، هر زمان که در مورد خطرات ناشی از فناوری برای تجارت صحبت کرده ام، این فرض ایجاد شده است که من طبق تعریف با فناوری مخالف هستم – هیچ چیز نمی تواند دور از واقعیت باشد. با این حال، من معتقدم که هیچ راهی برای چشم پوشی از مسئولیت سازمان در مورد مسائل مربوط به تضمین امنیت یا حفاظت از داده ها در مورد فناوری وجود ندارد.
تجربه به من آموخته است که وقتی سازمان‌ها برای حل طیف وسیعی از مسائل به سمت فناوری حرکت می‌کنند، آن‌طور که باید، منابع کافی را برای محافظت از خود در برابر پیامدهای ناخواسته یا کاربران ضعیف این فناوری در بسیاری از موارد به کار نمی‌برند. حتی در مورد استفاده اولیه از آن به کاربران آموزش نمی دهد، چه رسد به استفاده ایمن و مطمئن از آن.
اکنون که فناوری‌های بیشتری را ساخته‌ایم تا بتوانیم راحت‌تر و ساده‌تر به هم متصل شویم، تهدیدهایی که در مورد آنها صحبت می‌کنم به سرعت با آن سازگار شده و از آن استفاده کرده‌اند. اغلب اوقات یک پاسخ واکنشی وجود دارد که پس از آن مورد نیاز است، با سازمان‌ها کاهش ریسک مهندسی معکوس پس از آشکار شدن خطرات، و اغلب پس از وقوع نقض داده‌ها.
اگر به آخرین داده های موجود از دفتر کمیسر اطلاعات (ICO)، می‌توانیم ببینیم که تقریباً سه چهارم نقض‌ها در سه ماهه سوم سال 2021 ناشی از حوادث غیرسایبری مانند ارسال ایمیل به شخص اشتباه بوده است. از میان 25 درصد یادآوری، پنج دلیل اصلی شامل فیشینگ (بدون تعجب)، باج افزار (باز هم یک شوک نیست) و پیکربندی نادرست نرم افزار یا سخت افزار است. این نشان دهنده راه اندازی عجولانه، سیاست های کلی و تغییرات در محیط های کاری و ابزار است. به طور خلاصه، فقدان مدیریت ریسک قوی.
ما می دانیم که نقض شخص ثالث در چند سال گذشته سرفصل اخبار را به خود اختصاص داده است. این نه تنها هیچ نشانه‌ای از تغییر را نشان نمی‌دهد، بلکه با ادامه کار در سبک‌های دوردست و ترکیبی، نتایج اجرای ضعیف فناوری و مدیریت ضعیف ریسک امنیتی به طور بالقوه سازمان‌های بیشتری را در معرض خطر یکدیگر قرار می‌دهد. و ما به خوبی می دانیم که این روزها با چه سرعتی پیوندهای بین شرکای زنجیره تامین مورد بهره برداری قرار می گیرند.
به عبارت دیگر، اکنون در مورد امنیت ضعیف به مراتب بیشتر از سازمان خود در خطر است. حدود 51٪ از سازمان ها به دلیل شخص ثالث در 12 ماه گذشته نقض شده اند و 75٪ از آن به دلیل دسترسی بیش از حد امتیاز آن اشخاص ثالث بوده است.
سازمان ها باید خیلی بیشتر به هم بپیوندند و مدیریت ریسک آنها باید به مراتب بهتر مطلع شود. ارزیابی های بسیار کمی از ریسک با جزئیات شروع می شود، ارزیابی تهدید آگاهانه، به این معنی که درمان خطر اغلب ناقص است.
با فرض اینکه یک ارزیابی ریسک موثر و آگاهانه برای هر حوزه تجاری که در آن پلتفرم یا فناوری جدیدی در نظر گرفته شده است، انجام شده است، پس روشی که هر تیم یا منطقه برای استفاده از این ابزار نیاز دارد، باید توسط کسب و کار تعریف شود و یک بار توافق شده و توسط امنیت تسهیل می شود.
“ارزیابی های بسیار کمی از خطر با یک ارزیابی دقیق و آگاهانه تهدید شروع می شود، به این معنی که درمان ریسک اغلب ناقص است.”
مایک گیلسپی، Advent IM
اطمینان از اینکه تجربه و توانایی کاربران در برابر نیاز به امنیت متعادل است و سپس به سطح امنیتی گره می خورد، بدین معنی است که دیگر نیازی نیست که کاربران در مورد اقدامات امنیتی بیش از حد سخت کار کنند که آنها را از استفاده از آن به عنوان مورد نیاز برای نقش خود باز می دارد. این مناسب و متناسب با نقش آنها خواهد بود و نه یک سطح امنیتی کلی برای همه.
اطمینان از اینکه تیم های امنیت فناوری اطلاعات به عنوان بخشی از هر گونه تدارکات و عرضه بعدی مورد مشورت قرار می گیرند، حیاتی است. آنها همچنین باید بخشی از آموزش و آموزش باشند که باید به عنوان بخشی از کاربر گرایی رخ دهد.
افراد – رفتارها، نگرش ها و باورهای آنها – برای داشتن امنیت مناسب ضروری است. به این ترتیب، آموزش فناوری تنها بخشی از راه‌حل است و سازمان‌ها باید متخصصان واقعی خود را برای کمک به آموزش، آگاهی و آموزش گسترده‌تر بسیج کنند – افراد ارتباطات، بازاریابی و روابط عمومی درک بهتری از انگیزه‌های افراد و چه چیزهایی دارند. احتمالاً در تغییر رفتار موفق خواهد بود، بنابراین از آنها استفاده کنید.
در مواردی که مناسب و قابل دستیابی است، آیا شبکه هایی با نیازهای امنیتی متفاوت یا سطوح مختلف حساسیت از هم جدا می شوند؟ اگر بدترین اتفاق بیفتد و یک بازیگر بد به شبکه شما راه پیدا کند، آیا آنها می توانند به راحتی و به سرعت از آن عبور کنند؟ اطمینان از جداسازی مناطق به این معنی است که این کار دشوارتر خواهد بود و می توانید امنیت خود را به طور مناسب تری در مناطق حساس و اطراف افرادی که دسترسی ممتاز به دارایی ها دارند لایه بندی کنید.
هیچ چیز سازمان را به اندازه هوش خوب آماده نمی کند. از آنجایی که بیشتر نقض‌های ما از درون می‌آیند، یا حداقل از درون تسهیل می‌شوند، پس چرا بسیاری از اسکن افق و جمع‌آوری اطلاعات ما روی خارج متمرکز شده است؟
کیفیت خوب، بدون سرزنش، گزارش تقریباً از دست رفته به عنوان یک ابزار اطلاعاتی ارزشمند است. این به شما امکان می‌دهد هشدارها و شاخص‌های اولیه تغییرات ظریف رفتارها، انحرافات از سیاست‌ها یا شیوه‌های امنیتی سهل‌انگیز را شناسایی کنید و آموزش را قادر می‌سازد تا در ابتدای راه آن را از بین ببرد.
در پایان می توانید آن را امنیت اطلاعات، تضمین اطلاعات یا امنیت سایبری بنامید. هر چه در قایق شما شناور است. اما هر چه اسمش را بگذارید، هرگز، هرگز مردم، مردم را فراموش نکنید.
0
0
