حقایقی از خطرات سایبری برای کسب‌وکارها
اقتصاد ایرانی: انجمن استراتژیهای امنیت سایبری که اخیرا توسط دولت استرالیا راهاندازی شده است، با بسیاری از سازمانهای کوچک و بزرگی که بر بازسازی استراتژیهای خطرات سایبری تمرکز دارند، تعامل دارد. در مقاله پیشرو، مورگان اسلوپر، موسس و مدیراجرایی گروه مشاوره InScope به برخی ملاحظات عملی مورد نیاز کسب‌وکارها به منظور کاهش احتمال بروز تهدیدات مجازی اشاره میکند.خطرات سایبری در سالهای اخیر به دلیل کاربرد گسترده فناوری، به خصوص فناوریهای موبایلی و پیچیدگیهای روزافزون تهدیدات مجازی، موضوع داغ محافل گوناگونی در استرالیا و سراسر جهان بوده است. بدون شک با توجه به سهولت تحمیل آسیب سایبری در دنیای به هم پیوسته امروز، این موضوع به نظر در آینده نزدیک حل نخواهد شد.
به گزارش دنیای اقتصاد، سازمان ها در هر جایی که باشند در معرض حمله هکرهایی هستند که به طور مداوم نوآوریهایی را در روشهای مورد استفاده خود اعمال میکنند. بر اساس گزارش سال ۲۰۱۶ PwC در خصوص وضعیت جهانی امنیت اطلاعات، در سال ۲۰۱۵ میلادی، میزان جرائم و حوادث امنیتی در مقایسه با ۲۰۱۴ میلادی به میزان ۳۸ درصد رشد داشته است. علاوه بر این، حوادث امنیتی در فضای مجازی برای کسب وکارهای استرالیایی شایع بوده و به صورت مکرر به روزرسانی میشوند. CERT Australia، یکی از سازمان هایی که با مرکز امنیت سایبری دولت استرالیا همکاری می کند، در سال ۲۰۱۵ به ۱۱ هزار و ۷۳۳ حمله مجازی به کسب وکارهای این کشور رسیدگی کرده است، ۲۱۸ مورد از این حملات زیرساختهای حیاتی و منافع ملی این کشور را هدف قرار داده بوده اند.در چنین شرایطی، سازمانها باید ماهیت تهدید را درک کرده و نقاط آسیبپذیر خاص خود و تهدیداتی را که امنیت سایبری سازمان را هدف قرار می دهند، به خوبی شناسایی کنند و مهمتر از همه، اقدامات تاثیرگذاری را که منجر به کاهش تهدیدات و بهبود سطح تحمل خطر میشوند، در نظرداشته باشند.
پنچ نکته مهمی که باید بدانیم
۱- تهدیدات امنیت سایبری واقعی هستند و تمامی کسب وکارها را فارغ از اندازه آنها هدف قرار می دهند: براساس گزارش مرکز امنیت سایبری دولت استرالیا در سال ۲۰۱۵، ۵۰ درصد از شرکتکنندگان در نظرسنجی دستکم یک حمله سایبری را در طول یک سال گذشته تجربه کرده اند. مهمتر اینکه، ۸ درصد از کسب‌وکارها مطمئن نیستند که آیا مورد حمله سایبری قرار گرفته اند یا خیر! ۹۲ درصد از شرکتکنندگان در نظرسنجی، حادثه ای سایبری را تجربه کرده اند که توسط سازمانهای مسوول و پیگیر شناسایی شده اند. این رقم در مقایسه با سال ۲۰۱۳، بیش از دو برابر شده است. همچنین افزایش ۴ برابری تعداد حوادث سایبری از نوع باجافزار1 قابل مشاهده بوده است و از ۱۷ درصد در سال ۲۰۱۳ به ۷۲ در سال ۲۰۱۵ تغییر کرده است.
۲- تهدیدات سایبری دغدغه ای اجرایی هستند: امنیت سایبری مسالهای نیست که صرفا به واحد فناوری اطلاعات سازمان مربوط باشد. تاثیرات امنیت مجازی میتواند به وسعت یک سازمان باشد، از این رو عواقب مالی آن نیز بسیار قابل توجه خواهد بود. امنیت سایبری باید به صورت مرکزی و به کمک بازوی اجرایی سازمانها مدیریت و کنترل شود. در سال ۲۰۱۵، کمیسیون اوراق بهادار و سرمایه گذاری استرالیا با انتشار گزارشی مفید به نقش تاثیرگذار هیات مدیره و مدیران ارشد اجرایی در کنترل تهدیدات مجازی پرداخته و همچنین به اهمیت توجه این بخش از سازمان نسبت به رعایت تعهدات قانونی و آشنایی با ماهیت و پیچیدگیهای کسب‌و‌کار و تهدیدات پیش روی آن اشاره کرده است. تعداد زیادی از هیات مدیرهها و تیمهای اجرایی در حال حاضر رویکردی مشترک اتخاذ کرده اند: هجدهمین نظرسنجی سالانه جهانی مدیران ارشد اجرایی PwC در سال ۲۰۱۵ نشان می دهد که ۶۱ درصد از مدیران اجرایی دغدغههایی در زمینه امنیت سایبری دارند که این میزان در مقایسه با سال گذشته (۴۸ درصد) افزایش داشته است. ۷۸ درصد مدیران نیز از فناوریهای امنیت سایبری به عنوان استراتژی مهمی برای کسب وکار خود یاد میکنند. بر اساس گزارش جهانی نظرسنجی امنیت اطلاعاتPwC، ۴۵ درصد مدیران اجرایی از استراتژی های جامع امنیتی استفاده میکنند.
۳- حملات سایبری تنها به معنای از دست دادن اطلاعات حساس نیست: حملات مجازی قادر هستند به طرق مختلف به سازمان آسیب برسانند و حتی منجر به آسیبهای فیزیکی نیز شوند. در کنار سرقت اطلاعات و خارج از دسترس کردن سیستم های مختلف، این تهدیدات میتواند چالشهای متعددی برای سازمان ها به بار آورد:
– مسائل مربوط به کارکنان: کارکنان همواره منبع اصلی سازش تلقی میشوند. بر اساس نظرسنجی امنیت اطلاعات سال ۲۰۱۵ شناسایی «خودی های قابل اعتماد» دغدغه ۶۰ درصد کارکنان است. گزارش جهانی PwC در سال ۲۰۱۶ نیز کارکنان را مهم ترین منبع مصالحه اطلاعاتی در سازمان قلمداد میکند.
– تعهدات قانونی و نظارتی: از قبیل قوانین و تعهدات مربوط به قانون رعایت حریم خصوصی
– نقض توافقات انجام شده با مشتری
– قوانین مربوط به هیات اجرایی: مسوولیت پذیری مدیریت ارشد اجرایی سازمانها درخصوص تهدیدات سایبری
– آسیبهای وارده به شهرت سازمان: موضوع همدردی با سازمانهایی که در معرض تهدیدات سایبری بودهاند روزبهروز کمرنگتر میشود، علاوهبراین چنین سازمانهایی به دلیل رعایت نکردن اقدامات احتیاطی، به باور عموم مجرم هستند.
تهدیدات مجازی علاوه بر این میتوانند آسیبهای فراوانی به دنیای واقعی و افراد وارد آورند. برای مثال، در حملات بدافزاری به شرکت آرامکو در سال ۲۰۱۲، به تمام ۳۵ هزار رایانه این شرکت آسیب وارد شد. شرکت هواپیمایی دولتی LOT لهستان در سال ۲۰۱۵ با حمله یک هکر به سیستمهای زمینی خود مواجه شد که در پی آن ۱۰ پرواز داخلی و بین المللی کنسل شده و ۱۴۰۰ مسافر سرگردان شدند. پیامدهای این حوادث و نمونه های دیگر بسیار تاثیرگذار و بعضا غیر قابل جبران هستند.
۴-از تهدیدات جدید حاصل از گسترش فناوریهای مبتنی بر پردازشهای ابری غافل نشوید: کسب‌وکارها در حال انتقال اطلاعات خود به فضای ابری به ویژه محیطهای ابر عمومی هستند که منجر به صرفهجوییهای مالی قابل توجهی نیز میشود. با این حال، امنیت همچنان یک دغدغه اصلی است. امنیت در فضای ابر یکی از مهمترین چالشهای پیشروی کسبوکارهاست. ماهیت فناوریهای یبه اشتراکگذاری، خطرات مشترکی را نیز دربر دارد. سرویسهای ابر عمومی زیرساختها، پلت فرمها و اپلیکیشنهایی را با کاربران خود به اشتراک میگذارند. مشتریان و کاربران خدمات ابر با اعتماد به رابطهای برنامهنویسی کاربردی و رابطهای کاربری نرم افزارها به مدیریت و تعامل با سرویسهای ابری اقدام میکنند. به این ترتیب، امنیت و دسترسی به سرویسهای عمومی ابری به امنیت رابطهای کاربری و رابطهای برنامهنویسی بستگی دارد. با این حال، در چنین شرایطی و با وجود تهدیدات مذکور فرصتهایی نیز پیشروی کسب وکارهایی که اقدام به انتقال دادههای خود به فضای ابری کردهاند، قرار دارد و این فرصت چیزی نیست جز زمینههای توسعه بیشتر و کوشش مداوم برای کسب وکارها که فراهم شده است.
۵- امنیت سایبری مبتنی بر اطلاعات امکان شناسایی و واکنش سریع را فراهم میکند: با ترکیب کلان داده و سیستمهای امنیت مجازی در سازمانها، فضای بهتری برای آشنایی و درک بهتر اقدامات شبکههای غیرعادی و ناشناس به وجود میآید. به این ترتیب، امکان واکنش سریعتر به تهدیدات سایبری برای سازمانها فراهم میشود. این همان فرصت بینظیر است!
پنج اقدام مهمی که باید انجام دهیم
۱- کسب اطمینان از پوشش حداقلی اصول اولیه
اقداماتی وجود دارند که هر سازمانی میتواند به واسطه اجرای آنها خطر تهدیدات سایبری را به اندازه قابلتوجهی کاهش دهند. براساس گزارش Heimdal Security، سوءاستفاده از مرورگرها و نرم افزار Adobe Flash تقریبا در ۹۹ درصد حملات سایبری قابل مشاهده است. نرم افزاری که به روز نباشد آسیب پذیرتر خواهد بود. این بیانگر غفلت سازمانها از انجام اقدامات اساسی و بنیادین در زمینه امنیت سایبری است.
۲- اتخاذ چارچوب انعطافپذیر سایبری مبتنی بر خطر
استانداردها و چارچوبهای شناخته شده، سازمانها را در پیاده سازی سیستمهای داخلی برای شناسایی و اولویتدهی به تهدیدات و واکنش موثر به منظور کاهش آسیبهای وارده یاری میرسانند. با اتخاذ رویکردی مبتنی بر ریسک، سازمان میتواند از انتخاب ترکیب موثری از اقدامات برای مقابله تهدیدات اطمینان حاصل کند. رایج ترین دستورالعملها، استانداردهای ISO 27K هستند که در قالب چارچوبهای امنیت سایبری و کنترلهای بحرانی از آنها یاد میشود.براساس رویکرد مبتنی بر ریسک، سازمان باید آمادگی رویارویی با هرگونه تهدید سایبری را داشته باشد، طراحی یک برنامه واکنش به تهدیدات سایبری را در دستور کار خود قرار دهد و نیروی انسانی خود را به این منظور آموزش دهد. سازمانها باید به صورت مستمر بر عملکرد و توان تحمل تهدیدات خود نظارت داشته باشند.
۳-تهدیدات افراد را نادیده نگیرید
تاکید فراوانی بر استانداردها و دستورالعملهای متداول مرتبط با کنترل و امنیت فنی وجود دارد. علاوه بر خطر تخلفات عمدی، براساس گزارش شاخص هوشمندی امنیت سایبری IBM در سال ۲۰۱۴ معادل ۹۵ درصد حوادث سایبری به دلیل خطای انسانی روی داده است. طیف گستردهای از مقیاسهای سازمانی برای کمک به سازمانها در کاهش احتمال بروز حوادث سایبری و کاهش تهدیدات سایبری مرتبط با نیروی انسانی وجود دارد که میتواند به صورت ترکیبهای مختلف بسته به نتیجه ارزیابیهای تهدید سایبری و با در نظر گرفتن توان سازمان در تحمل تهدیدات اعمال شود.
۴- بررسی شرایط پوشش بیمه
فناوریهای مربوط به امنیت سایبری مسلما یارای مقابله با تمامی تهدیدات را ندارند. بنابراین، بسیاری از سازمانها و شرکتها با خرید بیمههای امنیت سایبری نسبت به کاهش عواقب مالی این قبیل تهدیدات اقدام میکنند.با این حال، مقابله مطلق با خطرات به واسطه تحت پوشش قرارگرفتن بیمه سایبری برای تمامی تهدیدات کارساز نیست.رویکرد مبتنی بر ریسک، اطلاعاتی را در این خصوص در اختیار سازمان قرار میدهد. بنابراین برخی اشکال سیاستهای مدیریت مسوولیتهای سازمانی شامل بررسی انواع و میزان پوشش تهدیدات سایبری است.از این رو پوشش سایبری گستردهتر و خاص موضوعی است که مدیریت ارشد سازمان به کمک مشاوران خود درباره آن تصمیم می گیرد.
۵- نیاز به تلاش بیشتر
پیش از پیاده سازی هر تکنولوژی جدید و یا انتقال هر اپلیکیشن یا زیرساختی به فضای ابر، به تهدیدات سایبری مرتبط با آن و آسیبپذیریهای داخلی توجه کنید. با توجه به ساختار عملیاتی و معماری سازمان خود سعی کنید نسبت به انتخاب ارائه دهنده خدمات و پیادهسازی استانداردهای امنیتی و فرآیندهای به روزرسانی شده و موقعیتهای مالی مناسب اقدام کنید. بنابراین با نگاهی نزدیکتر به شرایط قراردادی، به ویژه مسوولیتهای شرکت طرف قرارداد در صورت بروز حادثه، از آنها بخواهید به جزئیات پوشش بیمه خود درخصوص تهدیدات سایبری توجه بیشتری کنند.
تهدید سایبری فقط مسالهای مختص واحد فناوری اطلاعات سازمان نیست، بلکه چالشی است که هیات مدیره، تیم اجرایی و تمامی بخش های سازمان را درگیر خود میکند. زمان و سرمایه بسیاری برای تقویت موقعیت سازمان در برابر تهدیدات سایبری مورد نیاز است. هیات مدیره و تیم ارشد اجرایی هر سازمانی باید نسبت به توسعه مداوم و پایدار سازمان در قبال تهدیدات مجازی اقدام کنند.
اتخاذ رویکردی هوشمند و آگاهانه نسبت به امنیت سایبری بدون شک سازمان شما را در رویارویی با تهدیدات و پیاده سازی اهرمهای رو به جلو از نظر زمانی، فناوری، بیمه و کسب آمادگی های مالی برای بهینهسازی برنامههای مقابله با خطرات دنیای مجازی یاری میرسانند.
پی نوشت:
۱- باج افزارها گونه ای از بدافزارها هستند که داده ها را به شیوه ای نامطلوب رمزگذاری و دسترسی به سیستم را محدود می کنند.
