وبلاگ
طراحی یک نقشه راه تاب‌آور برای امنیت سایبری
هر تیم امنیت سایبری، صرف‌نظر از اندازه سازمان یا صنعتی که در آن فعالیت می‌کند، باید یک نقشه راه روشن و هدفمند داشته باشد. بدون نقشه راه، فعالیت‌های امنیتی پراکنده و بی‌سروسامان خواهند بود. یک نقشه راه خوب، به تیم امنیت سایبری کمک می‌کند بداند دقیقاً باید روی کدام پروژه‌ها تمرکز کند تا هم از اهداف کسب‌وکار پشتیبانی شود و هم ریسک‌ها کاهش یابند. در این مقاله که برگرفته از مقاله Build a Resilient Cybersecurity Roadmap for Your Enterprise گارتنر است، به شما کمک می‌کنیم یک نقشه راه خوب و تاب‌آور برای سازمان خود طراحی کنید.
ضرورت ایجاد یک نقشه راه سایبری تاب‌آور و مقیاس‌پذیر
بسیاری از سازمان‌ها در ایجاد تعادل میان امنیت سایبری و نیازهای عملیاتی کسب‌وکار با چالش مواجه‌اند. مدیران ارشد امنیت اطلاعات (CISO) می‌توانند با تدوین یک نقشه راه امنیت سایبری این تعادل را برقرار کنند؛ نقشه راهی که شامل فرایندهای تصمیم‌گیری مبتنی بر ریسک باشد و همزمان محافظت از سازمان دربرابر تهدیدات امنیتی محافظت کند.
مراحل تدوین یک نقشه راه امنیت سایبری
در این بخش، مراحل تدوین یک نقشه راه امنیت سایبری را توضیح می‌دهیم. این نقشه راه، همه پروژه‌ها و اقدامات اصلاحی مورد نیاز برای رفع شکاف‌ها و آسیب‌پذیری‌های شناسایی‌شده در روند برنامه‌ریزی استراتژیک سازمان را اولویت‌بندی می‌کند.
مرحله ۱: ارزیابی وضعیت فعلی برنامه امنیت سایبری و شناسایی شکاف‌های موجود
نقشه راه امنیت سایبری یک مرحله جداگانه از برنامه امنیتی سازمان شما نیست. همان موقع که دارید استراتژی سالانه برنامه امنیتی خود را تدوین می‌کنید، باید این نقشه راه را هم در خلال آن تهیه کنید.
همان‌طور که می‌دانید، برنامه‌ریزی استراتژیک سالانه با تعیین یک چشم‌انداز امنیتی آغاز می‌شود. یعنی شما باید ابتدا بدانید افق دید شما از امنیت سازمان چگونه است تا برای رسیدن به آن، نقشه راه را تنظیم کنید. این چشم‌انداز باید مبتنی بر عوامل واقعی مرتبط با کسب‌وکار، فناوری و محیط اقتصادی گسترده‌تر باشد.
بعد از تعریف چشم‌انداز امنیتی خود، باید وضعیت فعلی سازمان را از نظر امنیت سایبری بررسی کنید تا ببینید که آیا بین چیزی که وجود دارد و چیزی که شما تعریف کرده‌اید، شکافی مشاهده می‌شود یا نه.
برای این کار، باید موارد زیر را ارزیابی کنید:
- اثربخشی کنترل‌ها: آیا کنترل‌های امنیتی شما به‌اندازه کافی توسعه‌یافته هستند؟ آیا با استانداردهای صنعت و سایر سازمان‌های مشابه مطابقت دارند؟
- آسیب‌پذیری و تست نفوذ: آیا بخش‌هایی از سازمان وجود دارند که ممکن است مورد سوءاستفاده (اکسپلویت) قرار گیرند؟
- میزان ریسک: سازمان تاچه‌اندازه با ریسک‌های مرتبط با صنعت، عوامل ژئوپلیتیکی، وابستگی به تأمین‌کنندگان شخص ثالث مواجه است؟ (این مورد به شما کمک می‌کند فقط روی کنترل‌های امنیتی متناسب با ریسک‌های واقعی سرمایه‌گذاری کنید)؛
- یافته‌های حسابرسی‌های اخیر: ممیزی‌هایی که به‌تازگی انجام شده‌اند چه اطلاعاتی از نظر امنیتی ارائه می‌دهند؟
- مدیریت برنامه امنیتی: آیا سیاست‌ها، فرایندها و برنامه‌های امنیتی سازمان به‌اندازه کافی بالغ و توسعه‌یافته هستند؟
- کافی‌بودن منابع: آیا بودجه و نیروی انسانی امنیت سایبری سازمان شما درمقایسه‌با سازمان‌های هم‌رده، کافی است یا نه؟
نتایج این ارزیابی‌ها باید در قالب یک گزارش با عنوان «گزارش وضعیت فعلی» مستند شود. حال باید وضعیت فعلی را با چشم‌انداز موردانتظار مقایسه کنید تا ببینید چه شکاف‌هایی در این میان وجود دارد.
با تحلیل و بررسی این شکاف‌ها، فهرستی از پروژه‌ها و اقدامات اصلاحی موردنیاز خواهید داشت که باید برنامه امنیت سایبری شما تا سال آینده آن‌ها را انجام دهد. برخی از آن‌ها روشن و واضح‌اند؛ مثلاً نبودِ یک دستورالعمل استاندارد برای استفاده امن از خدمات ابری، نشان می‌دهد که سازمان باید سیاست‌های امنیت ابری تدوین کند. بااین‌حال، برخی از شکاف‌ها پیچیده‌ترند و نیاز به تحلیل عمیق‌تر دارند. برای مثال، اگر درباره حاکمیت امنیتی یا فرایندهای مدیریت ریسک شکاف‌هایی بین سطح فعلی و سطح تعریف‌شده در چشم‌انداز شما مشاهده می‌شود، باید بررسی‌های عمیق‌تری برای آن‌ها انجام دهید.
مرحله ۲: تعیین اولویت پروژه‌های امنیت سایبری و ترتیب اجرای آن‌ها
تعداد کمی از سازمان‌ها هستند که برای اجرای تمام فعالیت‌های شناسایی‌شده در یک دوره برنامه‌ریزی، منابع کافی در اختیار دارند. بنابراین، مدیران امنیت سایبری باید پروژه‌ها را با استفاده از برخی معیارها اولویت‌بندی کنند تا با همان منابع محدود به اهداف امنیتی دست یابند. معیارها به‌شرح زیر هستند:
- سطح کاهش ریسکی که هر پروژه یا فعالیت می‌تواند ارائه دهد؛
- منابعی که مصرف می‌کند شامل مهارت‌ها، کارکنان و سیستم‌ها؛
- هزینه‌ای که از نظر مالی برمی‌دارد؛
- و مدت‌زمانی که برای ارائه نتایج قابل‌اندازه‌گیری نیاز دارد.
با این معیارها، تصمیم‌گیری درباره اینکه کدام پروژه‌ها باید در اولویت قرار گیرند و ترتیب و سرعت اجرای آن‌ها چگونه باید باشد، راحت می‌شود. بعد از اولویت‌بندی، مشخص کنید که هر پروژه چگونه با اهداف کسب‌وکار که در چشم‌انداز امنیتی سازمان تعیین کرده بودید ارتباط دارد.
در بهترین حالت، ترکیبی از پروژه‌های کوتاه‌مدت و بلندمدت را در نظر بگیرید و طوری آن‌ها را اولویت‌بندی کنید که تیم امنیتی بتواند هر سه‌ماه یک‌بار پیشرفت خود را نشان دهد. این موضوع باعث حفظ انگیزه و سطح انرژی تیم می‌شود و مدیران و ذی‌نفعان را ترغیب می‌کند که از برنامه امنیتی حمایت کنند.
مرحله ۳: جلب مشارکت و حمایت مدیران و تأمین بودجه
نقشه راهی که به‌عنوان مدیر تیم امنیت تدوین می‌کنید باید در دسترس چندین گروه از مخاطبان به‌ویژه مدیران ارشد قرار گیرد. بنابراین، باید گزارش تهیه‌شده از آن، ساده، شفاف و قابل‌فهم باشد تا همه بتوانند به‌خوبی آن را درک کنند. این گزارش باید به‌روشنی نشان دهد که وضعیت فعلی چیست، وضعیت مطلوب کدام است و مسیر رسیدن از وضعیت فعلی به مطلوب چگونه خواهد بود.
وقتی مدیران ارشد می‌دانند که هر پروژه چه تأثیری بر کاهش ریسک، پایداری عملیات و تحقق اهداف کسب‌وکار دارد، مسلماً از آن حمایت می‌کنند و بودجه مورد نیاز را دراختیار آن قرار می‌دهند.
ممکن است حتی برای افزایش قابلیت استفاده از نقشه راه، لازم باشد چندین نسخه متفاوت از آن را برای گروه‌های مختلف مخاطبان تهیه کنید. برای مثال، نسخه‌ای که ویژه مدیران ارشد است، بهتر است بیشتر روی این موضوع تأکید داشته باشد که هریک از اقدامات و پروژه‌هایی که در نقشه راه گنجانده شده‌اند، چگونه با اهداف کسب‌وکار ارتباط دارند. در مقابل، مدیران میانی سازمان یا تیم‌های عملیاتی، بهتر است نسخه دیگری از نقشه راه را در اختیار داشته باشند که در آن بیشتر به جزئیات مراحل اجرایی پروژه‌ها، جمع‌آوری داده‌ها و فرایندهای حل مسئله‌ای پرداخته شده باشد که در طول اجرای پروژه باید انجام شوند.
نتیجه‌گیری: ویژگی‌های یک نقشه راه امنیت سایبری مؤثر
در مجموع، یک نقشه راه امنیت سایبری مؤثر باید سه ویژگی اصلی داشته باشد:
- به‌صورت منظم و هر زمان که لازم است، متناسب با نیاز مخاطب هدف، ارائه و به‌روزرسانی شود؛
- برای مخاطب هدف به‌راحتی قابل‌درک باشد؛
- ساختار آن طوری باشد که بتوان با کمی تغییر در جزئیات، ضمن حفظ داده‌های اصلی، آن را برای سایر مخاطبان قابل‌استفاده کرد؛
- اطلاعات کلیدی آن به‌روشنی درج شده باشد و به‌آسانی قابل‌دسترس باشد تا مخاطبان بلافاصله از آن برای اجرای اقدامات امنیتی استفاده کنند.
درنهایت، یک نقشه راه امنیت سایبری حرفه‌ای باید شامل اولویت‌بندی ریسک‌ها و نشان‌دادن ارتباط و وابستگی بین پروژه‌های مختلف امنیتی باشد. اگر یک فعالیت پیش‌نیاز یا مکمل پروژه دیگری است، باید این ارتباط به‌صورت شفاف نشان داده شود تا از دوباره‌کاری، تأخیر یا تضاد در اجرای آن‌ها جلوگیری به عمل آید. با چنین نقشه راهی، سازمان می‌تواند تصمیم‌گیری دقیق‌تری در تخصیص منابع و زمان‌بندی پروژه‌ها داشته باشد و هماهنگی میان تیم‌ها را افزایش دهد.
