بن‌مایه تحول هوشمند با ارزیابی ریسک‌ها و نقاط آسیب‌پذیر، بهبود تنظیمات امنیتی، مدیریت دسترسی و پایش زیرساخت‌ها به سازمان‌ها کمک می‌کند از داده‌ها، سامانه‌ها و دارایی‌های دیجیتال خود در برابر تهدیدها و اختلالات احتمالی محافظت کنند.

امنیت سایبری؛ بخشی از تداوم کسب‌وکار

با افزایش وابستگی سازمان‌ها به فناوری، امنیت سایبری دیگر موضوعی صرفاً فنی نیست.

اطلاعات مشتریان، اسناد داخلی، سامانه‌های عملیاتی، زیرساخت‌های ارتباطی و سرویس‌های آنلاین، همگی بخشی از دارایی‌های حیاتی سازمان هستند و هرگونه اختلال یا دسترسی غیرمجاز به آنها می‌تواند پیامدهای مالی، عملیاتی و اعتباری ایجاد کند.

ITG امنیت سایبری را بخشی از مدیریت ریسک و تداوم کسب‌وکار می‌بیند، نه مجموعه‌ای از اقدامات مقطعی.

هدف، ایجاد محیطی است که در آن ریسک‌ها شناخته شوند، کنترل‌های متناسب اعمال شوند و سازمان بتواند در صورت بروز حادثه، با کمترین آسیب به فعالیت خود ادامه دهد.

آغاز از شناخت دارایی‌ها و ریسک‌ها

نمی‌توان از چیزی به‌درستی محافظت کرد مگر آنکه ابتدا مشخص باشد چه دارایی‌هایی برای سازمان مهم‌تر هستند.

سرورها، سامانه‌ها، پایگاه‌های داده، حساب‌های کاربری، اطلاعات مشتریان، اسناد، وب‌سایت‌ها و سرویس‌های ابری می‌توانند هرکدام سطح متفاوتی از اهمیت و حساسیت داشته باشند.

ITG در مرحله نخست تلاش می‌کند تصویر روشنی از دارایی‌های دیجیتال، وابستگی میان آنها و پیامدهای احتمالی اختلال یا سوءاستفاده ایجاد کند.

این شناخت مبنای تصمیم‌گیری درباره اولویت‌های امنیتی قرار می‌گیرد.

ارزیابی وضعیت امنیتی

بسیاری از سازمان‌ها ابزارهای مختلفی برای امنیت دارند، اما تصویر دقیقی از میزان اثربخشی آنها ندارند.

ارزیابی وضعیت موجود می‌تواند به شناسایی نقاط ضعف، دسترسی‌های غیرضروری، تنظیمات نادرست، نرم‌افزارهای منسوخ، فرایندهای ناامن یا ضعف در پشتیبان‌گیری کمک کند.

هدف از ارزیابی امنیتی، ایجاد فهرستی از ایرادها نیست؛ بلکه اولویت‌بندی ریسک‌ها و مشخص‌کردن اقداماتی است که بیشترین اثر را در کاهش احتمال یا شدت رخدادها دارند.

مدیریت هویت و دسترسی

دسترسی بیش از حد یکی از منابع رایج ریسک در سازمان‌هاست.

کاربران باید فقط به اطلاعات و سامانه‌هایی دسترسی داشته باشند که برای انجام وظایف خود نیاز دارند و این دسترسی‌ها باید در زمان تغییر نقش یا خروج از سازمان بازبینی شوند.

احراز هویت چندمرحله‌ای، مدیریت حساب‌ها، کنترل دسترسی و ثبت رویدادها از جمله ابزارهایی هستند که می‌توانند خطر سوءاستفاده از حساب‌های کاربری را کاهش دهند.

ITG در طراحی این ساختارها تلاش می‌کند میان امنیت و سهولت استفاده تعادل ایجاد شود.

امنیت زیرساخت و سامانه‌ها

سرورها، شبکه، سیستم‌عامل‌ها، پایگاه‌های داده و نرم‌افزارهای سازمانی باید به‌صورت منظم نگهداری و به‌روزرسانی شوند.

وجود نسخه‌های قدیمی، سرویس‌های غیرضروری یا تنظیمات نامناسب می‌تواند سطح حمله را افزایش دهد.

در پروژه‌های مرتبط، ITG می‌تواند وضعیت این اجزا را بررسی کرده و چارچوبی برای سخت‌سازی، به‌روزرسانی و کاهش آسیب‌پذیری‌ها پیشنهاد کند.

این اقدامات باید متناسب با اهمیت سامانه و شرایط عملیاتی سازمان انجام شوند.

امنیت وب‌سایت‌ها و سرویس‌های آنلاین

وب‌سایت‌ها و سامانه‌های اینترنتی یکی از قابل‌مشاهده‌ترین بخش‌های زیرساخت سازمان هستند و معمولاً در معرض طیف گسترده‌ای از تهدیدها قرار دارند.

مدیریت صحیح به‌روزرسانی‌ها، کنترل دسترسی، محافظت از پنل‌های مدیریتی، تنظیم مناسب سرور و پایش رفتارهای غیرعادی از جمله اقداماتی هستند که می‌توانند سطح ریسک را کاهش دهند.

در پروژه‌های حساس‌تر، آزمون‌های تخصصی و بررسی‌های عمیق‌تر نیز ممکن است مورد نیاز باشند.

حفاظت از داده

امنیت داده فقط به جلوگیری از سرقت اطلاعات محدود نمی‌شود.

محرمانگی، صحت و دسترس‌پذیری داده سه جنبه مهمی هستند که باید به‌صورت همزمان مورد توجه قرار گیرند.

اطلاعات باید در برابر دسترسی غیرمجاز محافظت شوند، تغییرات غیرمجاز قابل شناسایی باشند و در صورت خرابی یا حادثه امکان بازیابی آنها وجود داشته باشد.

نوع داده و سطح حساسیت آن تعیین می‌کند چه سطحی از حفاظت مورد نیاز است.

پشتیبان‌گیری و بازیابی

وجود نسخه پشتیبان یکی از مهم‌ترین اجزای تاب‌آوری دیجیتال است.

اما بکاپ زمانی قابل‌اتکا است که به‌صورت منظم تهیه شود، از محیط اصلی جدا باشد و امکان بازیابی آن نیز آزموده شده باشد.

در بسیاری از حملات باج‌افزاری، وجود نسخه پشتیبان سالم می‌تواند تفاوت میان یک اختلال موقت و توقف جدی کسب‌وکار باشد.

ITG می‌تواند در طراحی سیاست‌های پشتیبان‌گیری و بازیابی متناسب با اهمیت سامانه‌ها مشارکت کند.

مدیریت آسیب‌پذیری

آسیب‌پذیری‌ها به‌طور مستمر در نرم‌افزارها و زیرساخت‌ها کشف می‌شوند.

مدیریت مؤثر به این معنا نیست که تمام نقص‌ها باید در یک زمان برطرف شوند، بلکه لازم است خطر هر آسیب‌پذیری بر اساس اهمیت سامانه، امکان سوءاستفاده و اثر احتمالی آن ارزیابی شود.

ITG می‌تواند به سازمان کمک کند فرایندی برای شناسایی، اولویت‌بندی و اصلاح آسیب‌پذیری‌ها ایجاد کند تا اقدامات امنیتی به‌صورت منظم و قابل مدیریت انجام شوند.

پایش و تشخیص رخدادهای غیرعادی

هر رخداد امنیتی قابل پیشگیری نیست.

به همین دلیل، سازمان باید بتواند رفتارهای غیرعادی را شناسایی و در صورت لزوم بررسی کند.

ثبت رویدادها، پایش دسترسی‌ها، بررسی تغییرات و ایجاد هشدار برای رفتارهای مشکوک می‌تواند زمان کشف رخداد را کاهش دهد.

هرچه یک حادثه زودتر شناسایی شود، احتمال محدودکردن اثر آن نیز بیشتر خواهد بود.

آمادگی برای پاسخ به رخداد

زمان وقوع یک حادثه امنیتی، فرصت کمی برای تصمیم‌گیری وجود دارد.

اگر مسئولیت‌ها، اولویت‌ها و مراحل پاسخ از قبل مشخص نشده باشند، سردرگمی می‌تواند شدت آسیب را افزایش دهد.

سازمان باید بداند در صورت حمله یا اختلال چه کسی مسئول تصمیم‌گیری است، کدام سامانه‌ها در اولویت بازیابی هستند، چگونه اطلاعات جمع‌آوری می‌شود و ارتباط با ذی‌نفعان چگونه مدیریت خواهد شد.

ITG می‌تواند در طراحی چارچوب اولیه پاسخ به رخداد و بازیابی مشارکت کند.

امنیت در چرخه توسعه

امنیت نباید فقط پس از راه‌اندازی یک سامانه به آن اضافه شود.

در پروژه‌های نرم‌افزاری و پلتفرمی، بخشی از الزامات امنیتی باید از مرحله طراحی مورد توجه قرار گیرند.

کنترل دسترسی، حفاظت از داده، مدیریت خطا، ثبت رویداد و امنیت ارتباطات از جمله موضوعاتی هستند که هرچه زودتر در معماری لحاظ شوند، هزینه اصلاح آنها در مراحل بعدی کمتر خواهد بود.

ITG تلاش می‌کند در پروژه‌های دیجیتال، امنیت را بخشی از کیفیت راهکار بداند.

امنیت و خدمات ابری

استفاده از سرویس‌های ابری می‌تواند مزایای زیادی ایجاد کند، اما مسئولیت امنیت را به‌طور کامل از سازمان حذف نمی‌کند.

تنظیمات اشتباه، دسترسی‌های گسترده یا مدیریت نامناسب حساب‌ها می‌توانند در محیط‌های ابری نیز ریسک ایجاد کنند.

در پروژه‌هایی که از زیرساخت یا نرم‌افزارهای ابری استفاده می‌شود، مدل مسئولیت مشترک و نحوه کنترل دسترسی باید به‌درستی درک شود.

امنیت و زنجیره تأمین دیجیتال

بسیاری از سازمان‌ها برای توسعه و نگهداری خدمات دیجیتال به تأمین‌کنندگان، نرم‌افزارهای شخص ثالث و سرویس‌های خارجی وابسته‌اند.

یک ضعف امنیتی در یکی از این بخش‌ها می‌تواند به سازمان اصلی نیز آسیب بزند.

به همین دلیل، شناخت وابستگی‌ها و ارزیابی سطح قابل‌قبولی از امنیت در تأمین‌کنندگان می‌تواند بخشی از مدیریت ریسک دیجیتال باشد.

این موضوع به‌ویژه برای سامانه‌های حساس یا خدماتی که به زیرساخت‌های متعدد وابسته‌اند اهمیت بیشتری دارد.

امنیت، فرهنگ و رفتار کاربران

بخشی از رخدادهای امنیتی نه از ضعف فناوری، بلکه از خطا یا فریب کاربران ایجاد می‌شوند.

استفاده از رمزهای ضعیف، بازکردن پیوندهای مشکوک، اشتراک‌گذاری حساب‌ها و بی‌توجهی به سیاست‌های امنیتی می‌توانند حتی بهترین ابزارهای فنی را بی‌اثر کنند.

آگاهی کارکنان و ایجاد عادت‌های صحیح، یکی از لایه‌های مهم امنیت سازمانی است.

ITG در پروژه‌های جامع‌تر می‌تواند به طراحی سیاست‌ها و رویه‌هایی کمک کند که رفتار کاربران را نیز در چارچوب امنیت قرار دهند.

حاکمیت امنیت و سیاست‌ها

امنیت پایدار بدون مسئولیت‌پذیری و چارچوب روشن دشوار است.

باید مشخص باشد چه کسی مالک هر دارایی است، چه سیاست‌هایی برای دسترسی و نگهداری اطلاعات وجود دارد و تصمیمات امنیتی چگونه ثبت و پیگیری می‌شوند.

سیاست‌های امنیتی نباید صرفاً اسناد رسمی باشند؛ بلکه باید با واقعیت عملیاتی سازمان هماهنگ و قابل اجرا باشند.

ITG می‌تواند در تدوین یا بازنگری این چارچوب‌ها بر اساس نیاز و بلوغ سازمان مشارکت کند.

امنیت متناسب با ریسک

امنیت مطلق وجود ندارد و تلاش برای حذف تمام ریسک‌ها می‌تواند هزینه و پیچیدگی غیرمنطقی ایجاد کند.

به همین دلیل، کنترل‌های امنیتی باید متناسب با اهمیت دارایی، احتمال تهدید و پیامدهای احتمالی انتخاب شوند.

یک وب‌سایت اطلاع‌رسانی، سامانه مالی و پایگاه داده مشتریان الزاماً به سطح یکسانی از حفاظت نیاز ندارند.

ITG تلاش می‌کند منابع امنیتی روی نقاطی متمرکز شوند که بیشترین اهمیت را برای تداوم و اعتبار کسب‌وکار دارند.

نقش ITG

در حوزه امنیت سایبری و حفاظت از دارایی‌های دیجیتال، نقش ITG می‌تواند بر اساس نیاز سازمان شامل موارد زیر باشد:

ارزیاب امنیت: برای بررسی وضعیت موجود و شناسایی ریسک‌ها و نقاط ضعف.

مشاور مدیریت ریسک دیجیتال: برای اولویت‌بندی اقدامات امنیتی بر اساس اهمیت دارایی‌ها و پیامدهای کسب‌وکاری.

معمار امنیت: برای طراحی کنترل‌های دسترسی، حفاظت از داده و الزامات امنیتی زیرساخت و سامانه‌ها.

راهبر بهبود امنیت: برای هماهنگی اقدامات اصلاحی میان تیم‌ها، سامانه‌ها و تأمین‌کنندگان مختلف.

مشاور تاب‌آوری و پاسخ به رخداد: برای طراحی سازوکارهای پشتیبان‌گیری، بازیابی و آمادگی در برابر حوادث.

شریک توسعه امنیت: برای بازبینی مستمر وضعیت و تطبیق کنترل‌ها با تغییرات محیط دیجیتال سازمان.

بسته به ماهیت پروژه، اجرای برخی فعالیت‌های تخصصی می‌تواند با مشارکت متخصصان و تیم‌های مرتبط انجام شود، در حالی که مدیریت ریسک و انسجام کلی راهکار تحت راهبری ITG باقی می‌ماند.

چه سازمان‌هایی به این خدمت نیاز دارند؟

این خدمت می‌تواند برای مجموعه‌هایی مناسب باشد که:

• اطلاعات مشتریان یا داده‌های حساس را نگهداری می‌کنند.
• وابستگی بالایی به وب‌سایت، نرم‌افزار یا زیرساخت دیجیتال دارند.
• تاکنون ارزیابی ساختاریافته‌ای از وضعیت امنیت خود انجام نداده‌اند.
• با حساب‌های کاربری و دسترسی‌های متعدد مواجه‌اند.
• درباره کیفیت پشتیبان‌گیری و امکان بازیابی اطلاعات اطمینان کافی ندارند.
• در حال توسعه سامانه یا پلتفرم جدید هستند و می‌خواهند امنیت از ابتدا در طراحی لحاظ شود.
• با چند تأمین‌کننده و سرویس خارجی کار می‌کنند و نیاز به مدیریت بهتر ریسک دارند.
• قصد دارند سطح بلوغ امنیتی و آمادگی خود در برابر رخدادهای دیجیتال را افزایش دهند.