آیا جهان نگاه خود را به امنیت سایبری تغییر داده‌است

شاید مهم‌ترین تغییری که در سال‌های اخیر در ادبیات امنیت اطلاعات رخ داده است، این باشد که امنیت سایبری دیگر فقط به جلوگیری از نفوذ خلاصه نمی‌شود.

به گزارش افتانا، تا همین چند سال پیش، تمرکز اغلب سازمان‌ها بر جلوگیری از ورود مهاجمان بود؛ از نصب فایروال و سامانه‌های تشخیص نفوذ گرفته تا مدیریت وصله‌های امنیتی و کنترل دسترسی. اما افزایش حملات باج‌افزاری، حملات زنجیره تأمین و نفوذهای ماندگار نشان داد که حتی سازمان‌هایی با بالاترین سطح حفاظت نیز ممکن است روزی با یک حمله موفق روبه‌رو شوند.

به همین دلیل، نگاه مدیران امنیت نیز تغییر کرده است. امروز در کنار پیشگیری، موضوع دیگری به همان اندازه اهمیت دارد؛ اگر حمله موفق شد، چگونه می‌توان خدمات حیاتی را ادامه داد و سازمان را در کوتاه‌ترین زمان به وضعیت عادی بازگرداند؟

این همان مفهومی است که امروز با عنوان تاب‌آوری سایبری (Cyber Resilience) شناخته می‌شود.

بازیابی سرورها کافی نیست
بسیاری از سازمان‌ها تصور می‌کنند اگر نسخه‌های پشتیبان سالمی داشته باشند، از بحران عبور خواهند کرد. اما تجربه حملات بزرگ سال‌های اخیر نشان داده این تصور، همیشه درست نیست.

ماتیاس هاس، مدیر فناوری شرکت IGEL، در گفت‌وگویی باHelp Net Security می‌گوید مشکل بسیاری از سازمان‌ها این نیست که نمی‌توانند داده‌های خود را بازیابی کنند؛ بلکه این است که نمی‌توانند کارکنان را به سرعت به چرخه کار بازگردانند.

ممکن است سرورها، پایگاه‌های داده و سامانه‌های اصلی دوباره راه‌اندازی شوند، اما اگر رایانه‌های کارکنان هنوز آلوده باشند یا از نظر امنیتی قابل استفاده نباشند، کسب‌وکار عملاً به وضعیت عادی برنگشته است. در چنین شرایطی، سامانه‌ها فعال هستند، اما کاربران، امکان استفاده از آن‌ها را ندارند.

به گفته هاس، بسیاری از سازمان‌ها برای بازیابی مراکز داده برنامه دارند، اما برای پاک‌سازی و بازگرداندن هزاران رایانه و دستگاه کاربری به وضعیت امن، برنامه مشخصی تدوین نکرده‌اند. همین موضوع می‌تواند ساعت‌ها یا حتی روزها روند بازگشت سازمان را به فعالیت عادی با تأخیر همراه کند. به همین دلیل، برخی سازمان‌های بزرگ امروز علاوه بر «زمان بازیابی سامانه‌ها»، شاخص دیگری را نیز اندازه‌گیری می‌کنند: کاربران در چه مدت می‌توانند دوباره با یک سیستم سالم و ایمن کار خود را از سر بگیرند؟

فرض کنید مهاجم از قبل داخل شبکه است
اگر تا چند سال پیش، هدف اصلی جلوگیری از ورود مهاجمان بود، امروز بسیاری از متخصصان امنیت یک فرض متفاوت را مبنای طراحی دفاع قرار می‌دهند: فرض کنید مهاجم همین حالا داخل شبکه شما حضور دارد.

خورخه آلده‌گونده، مدیر جهانی خدمات ریلی شرکت DNV، در یک گفت‌وگوی رسانه‌ای می‌گوید در برخی حملات پیشرفته، مهاجمان ممکن است هفته‌ها یا حتی ماه‌ها بدون جلب توجه در شبکه باقی بمانند. به همین دلیل، امنیت دیگر فقط به دیوار دفاعی پیرامون شبکه محدود نمی‌شود. به گفته او، تغییرات غیرعادی در ترافیک شبکه، رفتار غیرمنتظره تجهیزات، تغییرات بدون مجوز در تنظیمات سامانه‌ها یا از دسترس خارج شدن ناگهانی برخی سرویس‌ها می‌تواند نشانه حضور مهاجم باشد. اما حتی ابزارهای پیشرفته تشخیص نفوذ نیز به‌تنهایی کافی نیستند. آموزش کارکنان، تدوین فرایندهای واکنش به حادثه، تمرین سناریوهای بحران و پایش مداوم شبکه، بخش جدایی‌ناپذیر امنیت امروز محسوب می‌شوند.

به اعتقاد آلده‌گونده، هدف امنیت سایبری رسیدن به امنیت مطلق نیست؛ هدف، کاهش ریسک و حفظ توان ادامه فعالیت در زمان بحران است.

تاب‌آوری، واژه‌ای که وارد مقررات بانکی شده است
این تغییر نگرش تنها به دیدگاه متخصصان محدود نمی‌شود. اتحادیه اروپا نیز با اجرای مقررات قانون تاب‌آوری عملیاتی دیجیتال (DORA)، بانک‌ها و مؤسسات مالی را ملزم کرده است که فقط به فکر جلوگیری از حملات نباشند. بر اساس این مقررات، بانک‌ها باید نشان دهند که اگر سامانه‌هایشان دچار اختلال شد، چگونه خدمات حیاتی را حفظ می‌کنند، چه برنامه‌ای برای مدیریت بحران دارند و در چه مدت می‌توانند فعالیت عادی خود را از سر بگیرند.

به بیان دیگر، موفقیت یک بانک فقط با تعداد حملات دفع‌شده سنجیده نمی‌شود؛ بلکه توانایی آن در ادامه خدمت هنگام وقوع بحران نیز به همان اندازه اهمیت دارد.

مسئولیت امنیت دیگر فقط برعهده تیم امنیت نیست
نتیجه این تحول آن است که امنیت سایبری دیگر صرفاً دغدغه واحد فناوری اطلاعات یا مرکز عملیات امنیت نیست. مدیران ارشد، مدیران فناوری، تیم‌های عملیات، واحدهای مدیریت ریسک، تأمین‌کنندگان فناوری و حتی مدیران کسب‌وکار همگی در تاب‌آوری یک سازمان نقش دارند.

پرسش‌هایی که امروز مدیران سازمان‌ها باید به آن پاسخ دهند، با گذشته تفاوت دارد:
- اگر بخشی از سامانه‌های حیاتی از دسترس خارج شود، چه خدماتی باید در اولویت حفظ شوند؟
- اگر هزاران رایانه آلوده شود، چه مدت طول می‌کشد تا کارکنان دوباره بتوانند کار خود را آغاز کنند؟
- اگر مهاجمان ماه‌ها در شبکه حضور داشته باشند، چه سازوکاری برای شناسایی وجود دارد؟
- اگر یکی از تأمین‌کنندگان فناوری دچار اختلال شود، فعالیت سازمان چگونه ادامه پیدا می‌کند؟

این پرسش‌ها نشان می‌دهد امنیت سایبری دیگر فقط به معنای ساختن یک دیوار دفاعی بلندتر نیست، بلکه به توانایی سازمان برای ادامه فعالیت در زمان بحران گره خورده است.

تجارب جهانی یک نکته روشن را نشان می‌دهد: سازمان‌هایی که تنها بر پیشگیری تکیه می‌کنند، در زمان بحران آسیب‌پذیرترند.

سازمان‌های پیشرو علاوه بر سرمایه‌گذاری روی ابزارهای دفاعی، برای روز حادثه نیز برنامه دارند؛ از سنجش زمان بازیابی کاربران و سامانه‌ها گرفته تا تمرین سناریوهای بحران، مدیریت ریسک زنجیره تأمین و طراحی سازوکارهایی برای حفظ خدمات حیاتی.

درنهایت، شاید مهم‌ترین تغییر در امنیت سایبری همین باشد: هدف دیگر ساختن سامانه‌ای نیست که هرگز مورد حمله قرار نگیرد؛ بلکه هدف، ساختن سازمانی است که حتی پس از یک حمله نیز بتواند خدمات خود را حفظ کند و با کمترین وقفه به فعالیت عادی بازگردد.