امنیت سایبری و حفاظت اطلاعات سازمان؛ راهنمای کاربردی مدیران

امنیت سایبری و حفاظت اطلاعات سازمان فقط به نصب آنتی‌ویروس یا راه‌اندازی فایروال محدود نمی‌شود. سازمانی که اطلاعات مالی، داده‌های مشتریان، اسناد منابع انسانی و نرم‌افزارهای عملیاتی خود را مدیریت می‌کند، به مجموعه‌ای هماهنگ از کنترل‌های فنی، فرایندهای مدیریتی و مسئولیت‌های مشخص نیاز دارد.

نشت اطلاعات، دسترسی غیرمجاز، اختلال در سامانه‌های عملیاتی یا از دست رفتن داده‌ها می‌تواند علاوه بر هزینه‌های فنی، بر اعتماد مشتریان، تداوم فعالیت و تصمیم‌گیری مدیریتی اثر بگذارد. به همین دلیل، حفاظت اطلاعات باید از مرحله طراحی سیستم‌ها تا شیوه استفاده کارکنان و مدیریت دسترسی پیمانکاران در نظر گرفته شود.

برای مدیران، پرسش اصلی این نیست که آیا سازمان به امنیت سایبری نیاز دارد؛ بلکه این است که کدام ریسک‌ها برای کسب‌وکار مهم‌ترند، چه کنترل‌هایی باید در اولویت باشند و چگونه می‌توان اثربخشی آن‌ها را سنجید؟

در این مقاله، رویکردی عملی برای پاسخ به این پرسش‌ها ارائه می‌کنیم؛ از شناخت تهدیدها و اصول حفاظت داده تا تدوین برنامه اجرایی و ارزیابی امنیت نرم‌افزارهای سازمانی.

امنیت سایبری و حفاظت اطلاعات سازمان چیست؟

امنیت سایبری مجموعه اقداماتی است که برای محافظت از سیستم‌ها، شبکه‌ها، نرم‌افزارها و داده‌های دیجیتال در برابر حمله، سوءاستفاده، دسترسی غیرمجاز و اختلال انجام می‌شود. حفاظت اطلاعات نیز بر حفظ محرمانگی، صحت و دسترس‌پذیری اطلاعات در تمام مراحل استفاده، ذخیره‌سازی، انتقال و حذف آن تمرکز دارد.

این دو مفهوم به یکدیگر وابسته‌اند، اما دقیقاً یکسان نیستند. حفاظت اطلاعات علاوه بر تهدیدهای سایبری، موضوعاتی مانند دسترسی فیزیکی به اسناد، اشتراک‌گذاری نادرست فایل‌ها، نگهداری اطلاعات بیش از نیاز و نحوه امحای داده‌ها را نیز در بر می‌گیرد.

سه اصل بنیادی حفاظت اطلاعات عبارت‌اند از:

• محرمانگی (Confidentiality): اطلاعات فقط در اختیار افراد و سیستم‌های مجاز قرار گیرد.

• یکپارچگی (Integrity): داده‌ها بدون مجوز تغییر نکنند و صحت آن‌ها قابل بررسی باشد.

• دسترس‌پذیری (Availability): اطلاعات و خدمات موردنیاز، در زمان مناسب و برای کاربران مجاز قابل استفاده باشند.

برای مثال، اگر اطلاعات حساب بانکی مشتریان در اختیار فرد غیرمجاز قرار گیرد، محرمانگی نقض شده است. اگر مبلغ یک فاکتور بدون مجوز تغییر کند، یکپارچگی آسیب دیده است. اگر حمله‌ای دسترسی به سامانه مالی را برای چند ساعت مختل کند، دسترس‌پذیری تحت تأثیر قرار گرفته است.

یک برنامه امنیتی مؤثر باید هر سه اصل را پوشش دهد؛ زیرا تمرکز صرف بر جلوگیری از نشت اطلاعات، لزوماً از تغییر غیرمجاز داده‌ها یا توقف عملیات جلوگیری نمی‌کند.

چرا امنیت سایبری برای کسب‌وکارها اهمیت دارد؟

اهمیت امنیت سایبری را باید در ارتباط مستقیم آن با عملیات، دارایی‌های اطلاعاتی و ریسک‌های کسب‌وکار بررسی کرد. هرچه فرایندهای بیشتری به نرم‌افزارها و داده‌های دیجیتال وابسته باشند، اختلال در این اجزا می‌تواند پیامدهای گسترده‌تری داشته باشد.

مهم‌ترین دلایل توجه به امنیت اطلاعات سازمانی عبارت‌اند از:

۱. حفاظت از اطلاعات حساس

اطلاعات مشتریان، قراردادها، اسناد مالی، اطلاعات کارکنان، قیمت‌گذاری‌ها و برنامه‌های تجاری ممکن است برای مهاجمان یا حتی افراد فاقد مجوز داخلی ارزشمند باشند.

سازمان باید مشخص کند چه داده‌هایی حساس هستند، چه کسانی به آن‌ها نیاز دارند و این داده‌ها در کدام سیستم‌ها نگهداری می‌شوند. بدون این شناخت، اعمال کنترل مناسب دشوار خواهد بود.

۲. کاهش احتمال توقف عملیات

سامانه‌های مالی، فروش، انبار، خدمات پس از فروش و ارتباط با مشتری ممکن است بخش مهمی از فعالیت روزانه سازمان را پشتیبانی کنند. اختلال در یک سامانه وابسته می‌تواند فرایندهای دیگر را نیز متوقف کند.

برای نمونه، اگر سیستم ثبت سفارش از دسترس خارج شود و جایگزین مشخصی وجود نداشته باشد، حتی سالم ماندن اطلاعات مالی نیز به معنای تداوم کامل عملیات نیست.

۳. حفظ اعتماد مشتریان و شرکای تجاری

مشتریان انتظار دارند اطلاعاتی که در اختیار سازمان قرار می‌دهند، به شکل مسئولانه نگهداری شود. رخداد امنیتی می‌تواند اعتماد آن‌ها را تحت تأثیر قرار دهد؛ به‌ویژه زمانی که سازمان نتواند درباره دامنه رخداد، اقدامات اصلاحی و نحوه مدیریت اطلاعات توضیح روشنی ارائه کند.

۴. مدیریت تعهدات قراردادی و الزامات قانونی

برخی صنایع و قراردادها، الزامات مشخصی درباره محرمانگی، نگهداری، دسترسی یا گزارش‌دهی رخدادهای امنیتی دارند. این الزامات باید بر اساس صنعت، محل فعالیت، نوع داده و قراردادهای سازمان بررسی شوند.

اجرای یک چارچوب امنیتی عمومی به‌تنهایی تضمین نمی‌کند که همه تعهدات قانونی یا قراردادی رعایت شده‌اند.

۵. کاهش هزینه‌های ناشی از رخدادهای امنیتی

هزینه امنیت فقط هزینه خرید ابزار نیست. هزینه توقف عملیات، بازیابی داده‌ها، بررسی رخداد، اصلاح نرم‌افزار، اطلاع‌رسانی و بازسازی اعتماد نیز ممکن است مطرح شود.

از منظر مدیریتی، هدف این است که منابع محدود امنیتی در کنترل‌هایی سرمایه‌گذاری شوند که با توجه به احتمال و پیامد ریسک‌ها، بیشترین ارزش را برای سازمان ایجاد می‌کنند.

مهم‌ترین کنترل‌های حفاظت اطلاعات سازمان

برای کاهش ریسک، لازم نیست همه سازمان‌ها از ابتدا مجموعه پیچیده‌ای از ابزارهای امنیتی خریداری کنند. ابتدا باید کنترل‌های پایه و متناسب با حساسیت داده‌ها و اهمیت سامانه‌ها اجرا شوند.

این کنترل‌ها باید با توجه به ریسک اولویت‌بندی شوند. برای مثال، سازمانی که سامانه مالی آن از طریق اینترنت در دسترس است، باید کنترل دسترسی، امنیت برنامه و پایش رخدادها را جدی بگیرد؛ درحالی‌که یک مجموعه دارای اطلاعات بسیار حساس منابع انسانی ممکن است به محدودسازی دسترسی و جلوگیری از خروج داده نیز توجه ویژه داشته باشد.

چگونه یک برنامه مؤثر برای امنیت سایبری سازمان طراحی کنیم؟

چارچوب امنیتی زمانی برای سازمان مفید است که به برنامه‌ای اجرایی با مسئولیت‌های مشخص، اولویت‌های روشن و معیارهای قابل‌اندازه‌گیری تبدیل شود.

یکی از مراجع معتبر برای ساختاردهی این برنامه، چارچوب امنیت سایبری NIST CSF 2.0 است. این چارچوب شش کارکرد اصلی دارد: حاکمیت، شناسایی، حفاظت، تشخیص، پاسخ و بازیابی. این کارکردها به سازمان کمک می‌کنند امنیت را به‌عنوان فرایندی مستمر مدیریت کند، نه مجموعه‌ای از اقدامات مقطعی.

مرحله اول: شناسایی دارایی‌ها و اطلاعات حساس

پیش از انتخاب ابزار امنیتی، باید مشخص شود چه دارایی‌هایی نیازمند حفاظت هستند.

فهرست دارایی‌های سازمان می‌تواند شامل موارد زیر باشد:

• پایگاه‌های داده مالی، مشتریان و کارکنان

• نرم‌افزارهای سازمانی و سامانه‌های عملیاتی

• سرورها، رایانه‌ها، تجهیزات شبکه و دستگاه‌های همراه

• حساب‌های کاربری، حساب‌های مدیریتی و کلیدهای دسترسی

• APIها، سرویس‌های ابری و اتصال به سامانه‌های بیرونی

• نسخه‌های پشتیبان و مخازن اسناد

برای هر دارایی، مالک کسب‌وکاری، محل نگهداری، سطح حساسیت، وابستگی‌های فنی و پیامد از دسترس خارج شدن آن را مشخص کنید.

برای مثال، ممکن است قطع دسترسی به یک سامانه گزارش‌گیری داخلی چند ساعت قابل تحمل باشد، اما توقف سامانه ثبت سفارش یا پرداخت برای همان مدت، پیامد عملیاتی جدی‌تری ایجاد کند.

مرحله دوم: ارزیابی و اولویت‌بندی ریسک‌ها

هر آسیب‌پذیری الزاماً ریسک یکسانی ایجاد نمی‌کند. اولویت باید بر اساس احتمال وقوع، شدت پیامد و میزان مواجهه دارایی با تهدید تعیین شود.

اعداد این جدول صرفاً نمونه آموزشی هستند و ارزیابی واقعی یک سازمان محسوب نمی‌شوند.

در ارزیابی ریسک، این پرسش‌ها را مطرح کنید:

• اگر این سامانه متوقف شود، کدام فرایندها مختل می‌شوند؟

• چه نوع اطلاعاتی ممکن است افشا یا دست‌کاری شود؟

• آیا راه جایگزین برای ادامه فعالیت وجود دارد؟

• چه مدت توقف قابل تحمل است؟

• آیا وابستگی به پیمانکار یا سرویس خارجی، ریسک را افزایش می‌دهد؟

مرحله سوم: تعریف سیاست‌ها و مسئولیت‌ها

سیاست امنیت اطلاعات باید مشخص کند چه چیزی مجاز است، چه چیزی ممنوع است و مسئولیت هر اقدام بر عهده چه کسی قرار دارد.

حداقل سیاست‌های موردنیاز می‌توانند شامل این موارد باشند:

• مدیریت حساب‌های کاربری و مجوزهای دسترسی

• استفاده از دستگاه‌های شخصی و دورکاری

• نگهداری و اشتراک‌گذاری اطلاعات حساس

• پشتیبان‌گیری و نگهداری نسخه‌های پشتیبان

• نصب نرم‌افزار و اعمال به‌روزرسانی‌ها

• مدیریت پیمانکاران و دسترسی اشخاص ثالث

• گزارش رخدادهای مشکوک و مدیریت حوادث

• خروج کارکنان و لغو دسترسی‌ها

مدیرعامل یا مدیریت ارشد باید مسئولیت و اختیار لازم را برای اجرای این سیاست‌ها فراهم کند. واحد IT معمولاً اجرای بسیاری از کنترل‌های فنی را بر عهده دارد، اما مالکیت ریسک، بودجه و پذیرش ریسک‌های بااهمیت نباید بدون تصمیم‌گیری مدیریتی باقی بماند.

مرحله چهارم: اجرای کنترل‌های فنی متناسب با ریسک

پس از شناسایی ریسک‌ها، کنترل‌های مناسب را به ترتیب اولویت اجرا کنید.

کنترل دسترسی: مجوز کاربران را بر اساس وظایف واقعی تعریف کنید. دسترسی مدیران سیستم و حساب‌های دارای اختیار بالا باید محدود، محافظت‌شده و قابل پایش باشد.

به‌روزرسانی و مدیریت آسیب‌پذیری: سیستم‌عامل‌ها، نرم‌افزارها، کتابخانه‌ها و تجهیزات را بر اساس میزان خطر و امکان سوءاستفاده به‌روزرسانی کنید. برای موارد حساس، مهلت مشخص رفع آسیب‌پذیری تعیین شود.

رمزنگاری: داده‌های حساس را هنگام انتقال و در صورت نیاز هنگام ذخیره‌سازی رمزنگاری کنید. مدیریت کلیدها و محدودسازی دسترسی به آن‌ها نیز باید بخشی از طراحی باشد.

ثبت و پایش رویدادها: رخدادهای مهم مانند ورود ناموفق مکرر، تغییر مجوزهای حساس، استفاده غیرعادی از حساب‌های مدیریتی و دسترسی‌های خارج از الگوی معمول را ثبت و بررسی کنید.

پشتیبان‌گیری: نسخه پشتیبان را از محیط عملیاتی جدا کنید و در برابر حذف یا رمزگذاری غیرمجاز محافظت کنید. صرف وجود فایل پشتیبان کافی نیست؛ بازیابی واقعی باید آزمایش شود.

راهنمای CISA نیز بر اولویت‌بندی کنترل‌های پایه و اقداماتی که می‌توانند ریسک را به شکل معناداری کاهش دهند تأکید دارد.

مرحله پنجم: طراحی فرایند پاسخ به رخداد

هیچ سازمانی نباید فرض کند که اجرای کنترل‌های پیشگیرانه احتمال وقوع تمام رخدادها را به صفر می‌رساند. برنامه امنیتی باید برای شناسایی، مهار، بررسی و بازیابی پس از رخداد نیز آماده باشد.

یک فرایند پایه پاسخ به رخداد شامل مراحل زیر است:

برای اجرای این فرایند، مسئول تصمیم‌گیری، مسئول فنی، مسیر اطلاع‌رسانی، روش ثبت شواهد و معیار بازگشت سامانه به وضعیت عملیاتی باید از قبل مشخص باشند.

راهنمای NIST SP 800-61 Revision 3 که در آوریل ۲۰۲۵ منتشر شده است، پاسخ به رخداد را در چارچوب گسترده‌تر مدیریت ریسک سایبری قرار می‌دهد. این راهنما برای طراحی فرایندهای واکنش و بازیابی مرجع مناسبی است.

مرحله ششم: آزمون و بهبود مستمر

امنیت را نمی‌توان فقط با نصب ابزار یا تدوین سیاست ارزیابی کرد. باید مشخص شود کنترل‌ها واقعاً کار می‌کنند یا خیر.

فعالیت‌های ارزیابی می‌توانند شامل موارد زیر باشند:

• بازبینی دوره‌ای مجوزهای کاربران

• آزمون بازیابی اطلاعات از نسخه پشتیبان

• بررسی تنظیمات امنیتی سامانه‌ها

• اسکن آسیب‌پذیری و آزمون امنیتی متناسب با ریسک

• شبیه‌سازی سناریوهای رخداد و بررسی آمادگی تیم‌ها

• ارزیابی دسترسی پیمانکاران و سرویس‌های بیرونی

• پیگیری اقدامات اصلاحی تا زمان رفع مشکل

نتایج این بررسی‌ها باید در برنامه بهبود امنیت ثبت شوند. تکرار آزمون‌ها و پیگیری اصلاحات، از انباشته شدن ضعف‌هایی جلوگیری می‌کند که ممکن است به‌مرور به ریسک جدی تبدیل شوند.

نقش امنیت سایبری در توسعه و یکپارچه‌سازی نرم‌افزارهای سازمانی

امنیت نرم‌افزار باید از مرحله تحلیل نیازمندی‌ها و طراحی معماری در نظر گرفته شود، نه اینکه صرفاً پس از تکمیل محصول بررسی شود.

این موضوع به‌ویژه زمانی اهمیت دارد که چند سامانه به یکدیگر متصل‌اند یا اطلاعات حساس از طریق API میان آن‌ها جابه‌جا می‌شود.

امنیت در چرخه توسعه نرم‌افزار

در یک فرایند توسعه امن، تیم باید نیازمندی‌های امنیتی را در کنار نیازمندی‌های عملکردی تعریف کند.

اقدامات مهم عبارت‌اند از:

1. تحلیل تهدید: شناسایی داده‌های حساس، نقاط ورود، نقش کاربران و مسیرهای احتمالی سوءاستفاده.

2. طراحی امن: تعیین مرزهای اعتماد، سیاست‌های دسترسی و شیوه مدیریت اسرار و اطلاعات محرمانه.

3. توسعه امن: رعایت اصول اعتبارسنجی ورودی، مدیریت خطا، حفاظت از اطلاعات حساس و استفاده از وابستگی‌های قابل‌اعتماد.

4. آزمون امنیتی: بررسی آسیب‌پذیری‌ها، کنترل مجوزها و آزمودن سناریوهای سوءاستفاده.

5. استقرار امن: محدودسازی دسترسی محیط عملیاتی، مدیریت تنظیمات و نگهداری امن کلیدها و رمزها.

6. نگهداری مستمر: پایش رخدادها، نصب اصلاحیه‌ها و بازبینی امنیت پس از تغییرات مهم.

این رویکرد کمک می‌کند هزینه اصلاح برخی ضعف‌ها پیش از انتشار کاهش یابد و امنیت به مرحله پایانی پروژه موکول نشود.

امنیت API و تبادل داده میان سامانه‌ها

APIها ارتباط میان نرم‌افزارهای داخلی، سرویس‌های ابری و سامانه‌های طرف قرارداد را فراهم می‌کنند؛ اما اگر کنترل‌های امنیتی آن‌ها به‌درستی پیاده‌سازی نشوند، ممکن است به مسیر دسترسی غیرمجاز به اطلاعات تبدیل شوند.

کنترل‌های مهم API شامل موارد زیر است:

• احراز هویت مناسب برای هر نوع مصرف‌کننده

• بررسی مجوز دسترسی به هر منبع و عملیات

• محدودسازی تعداد درخواست‌ها و منابع مصرفی

• اعتبارسنجی داده‌های ورودی

• محافظت از توکن‌ها و کلیدهای دسترسی

• ثبت و پایش درخواست‌های حساس

• مدیریت نسخه‌ها و حذف endpointهای غیرضروری

• ارزیابی امنیت سرویس‌های بیرونی مورد استفاده

برای بررسی ریسک‌های رایج API، پروژه OWASP API Security Top 10 مرجع تخصصی مفیدی است. این مجموعه مواردی مانند ضعف کنترل دسترسی در سطح اشیا، احراز هویت نامناسب و پیکربندی ناامن را پوشش می‌دهد.

نرم‌افزار آماده یا اختصاصی؛ کدام‌یک امن‌تر است؟

امنیت را نمی‌توان فقط بر اساس آماده یا اختصاصی بودن نرم‌افزار تعیین کرد. هر دو رویکرد می‌توانند نقاط قوت و ضعف داشته باشند.

در هر دو گزینه، باید درباره مدیریت آسیب‌پذیری، زمان انتشار اصلاحیه‌ها، کنترل دسترسی، ثبت رویدادها، پشتیبان‌گیری، پاسخ به رخداد و مسئولیت‌های قراردادی شفافیت وجود داشته باشد.

برای بررسی عمیق‌تر معیارهای انتخاب، مقاله نرم‌افزار آماده یا توسعه اختصاصی؛ کدام انتخاب بهتری است؟ را می‌توان در کنار این موضوع مطالعه کرد؛ البته لینک بالا فقط دامنه اصلی سایت است و تا زمانی که مسیر دقیق صفحه مقصد تأیید نشود، نباید به‌عنوان URL نهایی مقاله استفاده شود.

حفاظت از اطلاعات در محیط‌های ابری و دورکاری

استفاده از سرویس‌های ابری و دسترسی از راه دور، مرزهای سنتی شبکه سازمان را تغییر می‌دهد. در چنین محیطی، حفاظت از اطلاعات به کنترل هویت کاربران، پیکربندی سرویس‌ها، مدیریت دستگاه‌ها و تعیین مسئولیت هر طرف وابسته است.

برای مدیریت این ریسک‌ها، سازمان باید چند موضوع را بررسی کند:

• مدیریت هویت و دسترسی: احراز هویت چندعاملی، محدودسازی مجوزها و بازبینی دسترسی‌های حساس.

• پیکربندی امن: جلوگیری از دسترسی عمومی ناخواسته به فایل‌ها، پایگاه‌های داده و سرویس‌های مدیریتی.

• امنیت دستگاه‌ها: به‌روزرسانی سیستم‌عامل، استفاده از قفل صفحه و کنترل دسترسی دستگاه‌های مجاز.

• حفاظت از داده‌ها: تعیین محل ذخیره‌سازی، سطح حساسیت و مجوز اشتراک‌گذاری اطلاعات.

• مدیریت پیمانکاران: تعیین دسترسی محدود، مدت اعتبار مجوز و شیوه لغو آن پس از پایان همکاری.

• ثبت و پایش: حفظ سوابق لازم برای بررسی دسترسی‌ها و رخدادهای امنیتی.

باید توجه داشت که انتقال اطلاعات به فضای ابری به‌خودی‌خود به معنای افزایش یا کاهش امنیت نیست. نتیجه به معماری، پیکربندی، نوع سرویس، نحوه مدیریت هویت و تقسیم مسئولیت‌ها میان ارائه‌دهنده و سازمان بستگی دارد.

چگونه اثربخشی امنیت اطلاعات را اندازه‌گیری کنیم؟

مدیران برای تصمیم‌گیری درباره بودجه و اولویت‌های امنیتی به شاخص‌های قابل‌فهم نیاز دارند. شمار ابزارهای نصب‌شده یا تعداد سیاست‌های نوشته‌شده به‌تنهایی نشان نمی‌دهد که ریسک سازمان واقعاً کاهش یافته است.

بهتر است مجموعه‌ای از شاخص‌های عملیاتی و مدیریتی انتخاب شود.

تعریف دقیق شاخص‌ها اهمیت دارد. برای مثال، میانگین زمان شناسایی باید بر اساس رویدادهایی محاسبه شود که زمان وقوع و زمان کشف آن‌ها قابل تعیین است. همچنین، کاهش تعداد رخدادهای ثبت‌شده لزوماً نشانه بهبود امنیت نیست؛ ممکن است توانایی شناسایی یا گزارش‌دهی کاهش یافته باشد.

برای سامانه‌های حیاتی، دو مفهوم دیگر نیز مهم‌اند:

• RTO (Recovery Time Objective): حداکثر زمان هدف برای بازگرداندن یک خدمت به وضعیت قابل‌قبول پس از اختلال.

• RPO (Recovery Point Objective): حداکثر میزان قابل‌قبول از دست رفتن داده بر حسب زمان.

برای نمونه، اگر RPO یک سامانه چهار ساعت باشد، برنامه بازیابی باید طوری طراحی و آزمایش شود که میزان از دست رفتن داده از این هدف فراتر نرود. این هدف باید با نیاز کسب‌وکار، هزینه و توان فنی هماهنگ شود؛ نه اینکه برای همه سامانه‌ها یکسان تعیین شود.

هزینه اجرای امنیت سایبری چگونه مدیریت می‌شود؟

هزینه امنیت سایبری به اندازه سازمان، حساسیت داده‌ها، پیچیدگی زیرساخت، تعداد سامانه‌ها، الزامات قراردادی و سطح آمادگی فعلی بستگی دارد. به همین دلیل، تعیین یک مبلغ ثابت بدون ارزیابی شرایط سازمان قابل اتکا نیست.

هزینه‌ها معمولاً در چند دسته قرار می‌گیرند:

1. فناوری و ابزارها: کنترل دسترسی، پایش، حفاظت از دستگاه‌ها، پشتیبان‌گیری و ابزارهای ارزیابی.

2. نیروی انسانی: مسئول امنیت، کارشناسان زیرساخت، توسعه‌دهندگان و آموزش کارکنان.

3. خدمات تخصصی: ارزیابی امنیت، آزمون نفوذ، مشاوره و بررسی مستقل.

4. نگهداری و بهبود: به‌روزرسانی، رفع آسیب‌پذیری، آزمون بازیابی و بازبینی دوره‌ای.

5. آمادگی برای رخداد: تدوین برنامه پاسخ، تمرین سناریوها و فراهم کردن ظرفیت بازیابی.

چگونه بازده سرمایه‌گذاری امنیتی را ارزیابی کنیم؟

محاسبه بازده سرمایه‌گذاری امنیتی دشوار است؛ زیرا بخشی از ارزش آن به زیان‌هایی مربوط می‌شود که ممکن است در آینده رخ ندهند. بااین‌حال، می‌توان تصمیم را بر اساس مقایسه هزینه کنترل با کاهش موردانتظار ریسک بررسی کرد.

یک مدل ساده مفهومی چنین است:

در این مدل، زیان موردانتظار باید بر اساس سناریوهای مشخص، احتمال وقوع و پیامدهای مالی برآورد شود. هزینه توقف عملیات، بازیابی، اصلاح فنی و سایر پیامدهای قابل‌اندازه‌گیری نیز می‌تواند در تحلیل وارد شود.

این محاسبه به دلیل عدم قطعیت درباره رخدادهای آینده، تخمین قطعی سود نیست. بهتر است همراه با سناریوهای مختلف، فرضیات روشن و تحلیل حساسیت ارائه شود.

از منظر مدیریتی، سرمایه‌گذاری روی کنترل‌های پایه و کاهش ریسک‌های با پیامد شدید معمولاً باید پیش از خرید ابزارهای پیچیده‌ای بررسی شود که مسئله مشخصی از سازمان را حل نمی‌کنند.

نقشه راه ۹۰ روزه برای بهبود امنیت اطلاعات سازمان

برای سازمانی که هنوز برنامه امنیتی یکپارچه‌ای ندارد، اجرای مرحله‌ای می‌تواند عملی‌تر از شروع هم‌زمان چندین پروژه باشد. برنامه زیر یک الگوی پیشنهادی است و باید متناسب با ریسک و منابع سازمان تغییر کند.

این برنامه به معنای تکمیل امنیت سازمان در ۹۰ روز نیست. هدف آن ایجاد یک نقطه شروع قابل‌اندازه‌گیری است. در محیط‌هایی با داده‌های بسیار حساس، زیرساخت پیچیده یا الزامات خاص، برخی اقدامات باید سریع‌تر یا با عمق بیشتری اجرا شوند.

مسئولیت امنیت سایبری بر عهده چه کسی است؟

امنیت اطلاعات مسئولیت مشترک است، اما مسئولیت مشترک نباید به مسئولیت نامشخص تبدیل شود.

در سازمان‌های کوچک ممکن است چند مسئولیت بر عهده یک نفر باشد. آنچه اهمیت دارد، تعیین روشن مسئول، اختیار و مسیر گزارش‌دهی است.

اشتباهات رایج در حفاظت اطلاعات سازمان

حتی با وجود ابزارهای مناسب، چند تصمیم اشتباه می‌تواند اثربخشی برنامه امنیتی را کاهش دهد.

۱. اتکا به یک ابزار امنیتی: هیچ ابزار منفردی تمام مسیرهای حمله و خطاهای انسانی را پوشش نمی‌دهد. کنترل‌ها باید متناسب با یکدیگر طراحی شوند.

۲. پشتیبان‌گیری بدون آزمون بازیابی: فایل پشتیبان ممکن است ناقص، خراب یا در زمان بحران در دسترس نباشد. بازیابی باید به‌صورت عملی آزمایش شود.

۳. اعطای دسترسی بیش از نیاز: دسترسی گسترده، پیامد خطای کاربر یا سرقت حساب را افزایش می‌دهد. مجوزها باید با تغییر مسئولیت افراد بازبینی شوند.

۴. نادیده گرفتن نرم‌افزارهای قدیمی: سامانه‌ای که همچنان کار می‌کند، لزوماً از نظر امنیتی قابل‌قبول نیست. وضعیت پشتیبانی، آسیب‌پذیری‌ها و امکان جایگزینی آن باید بررسی شود.

۵. نبود برنامه پاسخ به رخداد: تصمیم‌گیری بدون برنامه در زمان بحران می‌تواند هماهنگی را دشوار کند. نقش‌ها و مراحل اولیه باید از قبل مشخص باشند.

۶. سنجش امنیت فقط بر اساس تعداد رخدادها: کاهش گزارش‌ها ممکن است ناشی از ضعف در شناسایی باشد. شاخص‌ها باید همراه با کیفیت پایش، پوشش کنترل‌ها و نتایج آزمون‌ها تحلیل شوند.

۷. نادیده گرفتن امنیت در تغییرات نرم‌افزاری: افزودن قابلیت جدید، اتصال API یا تغییر مجوزها می‌تواند ریسک تازه‌ای ایجاد کند. بررسی امنیت باید بخشی از فرایند مدیریت تغییر باشد.

در نهایت، امنیت مؤثر حاصل هماهنگی میان فناوری، فرایند و نیروی انسانی است. هدف، حذف مطلق ریسک نیست؛ بلکه شناسایی، کاهش و مدیریت آگاهانه آن در سطحی متناسب با نیازهای کسب‌وکار است.

FAQ؛ سوالات متداول درباره امنیت سایبری و حفاظت اطلاعات سازمان

۱. تفاوت امنیت سایبری و امنیت اطلاعات چیست؟

امنیت سایبری بر محافظت از سیستم‌ها، شبکه‌ها، نرم‌افزارها و داده‌های دیجیتال تمرکز دارد. امنیت اطلاعات دامنه گسترده‌تری دارد و حفاظت از اطلاعات را در قالب دیجیتال و غیردیجیتال شامل می‌شود. این دو حوزه هم‌پوشانی زیادی دارند و باید هماهنگ مدیریت شوند.

۲. برای افزایش امنیت اطلاعات در یک شرکت از کجا شروع کنیم؟

ابتدا دارایی‌های مهم و اطلاعات حساس را شناسایی کنید، سپس ریسک‌های اصلی را ارزیابی کنید. پس از آن، کنترل‌های پایه مانند احراز هویت چندعاملی، محدودسازی دسترسی، به‌روزرسانی سیستم‌ها و پشتیبان‌گیری قابل‌بازیابی را بر اساس اولویت اجرا کنید.

۳. آیا نصب آنتی‌ویروس برای حفاظت از اطلاعات سازمان کافی است؟

خیر. آنتی‌ویروس می‌تواند بخشی از دفاع در برابر بدافزارها باشد، اما به‌تنهایی از همه تهدیدها جلوگیری نمی‌کند. مدیریت دسترسی، به‌روزرسانی، امنیت نرم‌افزار، پایش رخدادها، آموزش کارکنان و برنامه بازیابی نیز ضروری‌اند.

۴. احراز هویت چندعاملی چه نقشی در امنیت سازمان دارد؟

احراز هویت چندعاملی یا MFA برای تأیید هویت، بیش از یک عامل را به کار می‌گیرد. این روش می‌تواند خطر سوءاستفاده از رمز عبور افشاشده را کاهش دهد. برای حساب‌های مدیریتی و دسترسی‌های حساس، استفاده از روش‌های مقاوم در برابر فیشینگ در صورت امکان اولویت دارد.

۵. چگونه بفهمیم اطلاعات سازمان در معرض خطر است؟

هیچ شاخص واحدی پاسخ قطعی نمی‌دهد. نشانه‌هایی مانند ورودهای غیرعادی، تغییرات غیرمجاز در داده‌ها، هشدارهای امنیتی، افزایش خطاهای دسترسی و انتقال غیرمعمول اطلاعات باید بررسی شوند. ثبت رویدادهای مناسب و داشتن فرایند پاسخ به رخداد، شناسایی و تحلیل چنین نشانه‌هایی را آسان‌تر می‌کند.

۶. آیا نرم‌افزار اختصاصی امنیت بیشتری نسبت به نرم‌افزار آماده دارد؟

لزوماً خیر. امنیت به کیفیت معماری، نحوه توسعه، کنترل دسترسی، مدیریت آسیب‌پذیری‌ها، به‌روزرسانی و نگهداری بستگی دارد. نرم‌افزار اختصاصی امکان انطباق بیشتر با نیازهای سازمان را فراهم می‌کند، اما بدون فرایند توسعه امن و نگهداری مستمر، ممکن است آسیب‌پذیری‌های جدی داشته باشد.

۷. آیا استفاده از فضای ابری امنیت اطلاعات را تضمین می‌کند؟

خیر. امنیت سرویس ابری به نوع سرویس، تنظیمات، مدیریت هویت، حفاظت از داده‌ها و تقسیم مسئولیت میان ارائه‌دهنده و مشتری وابسته است. پیش از انتقال اطلاعات، باید مسئولیت‌های امنیتی، امکان بازیابی، کنترل دسترسی و شرایط قراردادی مشخص شوند.

امنیت اطلاعات را از ارزیابی ریسک شروع کنید

برای بهبود امنیت سایبری سازمان، لازم نیست تمام ابزارها و زیرساخت‌ها را به‌صورت هم‌زمان تغییر دهید. نقطه شروع مناسب، شناخت اطلاعات حساس، بررسی وابستگی فرایندها به نرم‌افزارها و شناسایی شکاف‌های امنیتی با اولویت بالاست.

اگر سازمان شما در حال توسعه نرم‌افزار اختصاصی، یکپارچه‌سازی سامانه‌ها یا بازطراحی فرایندهای دیجیتال است، بررسی امنیت باید بخشی از تحلیل نیازمندی‌ها و طراحی راهکار باشد.

برای بررسی نیازهای نرم‌افزاری و فنی سازمان، می‌توانید از طریق وب‌سایت Garnet درباره امکان ارزیابی نیازها و طراحی راهکار متناسب با شرایط کسب‌وکار پرس‌وجو کنید.