امنیت یک هدف است نه یک انطباق

شرکت‌ها زمان زیادی را برای تلاش در جهت انطباق‌ها انجام می‌دهند درحالی‌که هنوز در معرض خطراتی قرار دارند که مقررات باید آنها را کاهش دهند.

به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، امروزه سرقت پول به صورت فیزیکی با ریسک زیادی و مزایای کمی که دارد جای خود را به سرقت پول به صورت الکترونیکی داده‌است. امروزه داده‌ها از پول ارزشمندتر هستند، اما به‌خوبی پول‌ها از آنها حفاظت نمی‌شود و همچنین در مقایسه با پول‌های واقعی می‌توانند چندین‌بار فروخته شوند. با این وجود بسیاری از سازمان‌ها اقدامات خود را هم‌زمان انجام نمی‌دهند تا از اطلاعات مشتریان، کارمندان و شرکای خود اطمینان داشته‌باشند.

با توجه به نقص‌های زیادی که در گذشته وجود داشته‌است، تنظیم‌کنندگان تلاش می‌کنند تا رفتارهای درست را انجام دهند. چرا نیازهایی مانند مقررات وزارت امنیت ملی نیویورک، GDPR، دستور اجرایی رئیس‌جمهور در مورد امنیت سایبری و PCI DSS وجود دارند؟ آیا نیاز است که بانک‌ها از طرف دولت مجبور شوند که شیشه‌های ضد گلوله، دوربین‌ها و غرفه‌های امنیتی بالا را نصب کنند؟

چرا به نظر می‌رسد که ما به لایه‌هایی از تنظیمات و راهنمایی‌ها، برای اطمینان از امن بودن فضای کسب‌وکارمان نیاز داریم؟ آیا این مسئله مفید است؟ پاسخ کوتاه به این سوال بله و خیر است. اگر چه تاثیر تجاری نقض داده‌ها اثری مستقیم و قابل ملاحظه در سرقت‌های بانکی است و مراحلی برای جلوگیری از آن نیز تعریف شده‌است، مقررات ضروری کمتری برای آن موردنیاز است. سازمان‌ها ممکن است به‌رغم خطرات زیادی که با آن مواجه هستند، تمایل داشته‌باشند که در آینده پول‌های خود را ذخیره کنند.

در اغلب موارد برای اینکه شرکت‌ها در انجام کارهایشان سود مناسب را کسب کنند، نیاز است که مقرراتی وجود داشته‌باشد. چالش این است که ساختار آن به گونه‌ای باشد تا هدف موردنظر که در این مورد حفاظت سایبری است، محقق شود به گونه‌ای که بدون در نظر گرفتن آن ضعف ایجاد شود. شرکت‌ها زمان زیادی را برای تلاش در جهت انطباق‌ها انجام می‌دهند درحالی‌که هنوز در معرض خطراتی قرار دارند که مقررات باید آنها را کاهش دهند. ما این سندرم را در برخی صنایع نظارتی نظیر خدمات مالی دیده‌ایم. یک بانک فعال در ایالت نیویورک که اطلاعات پرداخت را تحت پوشش قرار می‌دهد، ممکن است تحت عنوان مقررات سایبری از PCI ،FFIEC ،OCC ،SEC، DFS و غیره هم‌پوشانی داشته‌باشند. نمی‌توان گفت که هر کدام از آنها بد یا غلط هستند، فقط همه‌ آنها به تمرکز کامل بر انطباق منجر می‌شوند که باید برای امنیت به کار رود.

امروزه سرقت بانک‌ها هنوز رخ می‌دهد، هرچند تعداد آن بسیار کمتر از آنچه رخدادهای ۱۰۰ سال گذشته است. ما باید به این نقطه و فراتر از آن در فضای سایبری برسیم. اگر شما یک برنامه‌ امنیتی جامع را اجرا کنید، این شرط بسیار خوبی است که مطابق با مقررات، صنعت شما مطابقت بیشتری با دستورالعمل‌ آتش‌سوزی دارد. بعضی از مقررات و چارچوب‌های جدیدتر در مسیر درست قرار دارند درحالی‌که در مورد فناور‌های خاص در هیئت‌مدیره، یک رویکرد مبتنی بر ریسک را در برمی‌گیرند.