لزوم توجه به مبحث مدیریت ریسک در فرآیند طراحی مراکز داده 

هنگامی که صحبت از مباحث فنی و زیرساختی مراکز داده به میان می‌آید، موضوع تنها عملیات عمرانی، استقرار رک‌ها و نصب تجهیزات و راهکارهای نرم‌افزاری نیست. مفهوم مهمی که باید به آن توجه ویژه‌ای شود، مدیریت امنیت سایبری است. موضوعی که بسیاری از سازمان‌ها و به ویژه شرکت‌های فعال در زمینه مدیریت مراکز داده باید به آن دقت کنند. امروزه، اغلب سازمان‌ها با چالش‌های اساسی روبرو هستند که درک، مدیریت و اندازه‌گیری ریسک‌های سایبری از مهم‌ترین آن‌ها است. بدون درک صحیح ریسک‌های سایبری، بسیاری از سازمان‌ها در اجرا و پیروی از یک برنامه امنیت سایبری موثر در راستای مدیریت مرکز داده با مشکل مواجه می‌شوند که زنجیره‌وار بر مواردی مثل مدیریت، برنامه‌ریزی و اندازه‌گیری اثربخشی تاثیرگذار است. مشکل از آن‌جایی به وجود می‌آید که ریسک‌ها در حوزه‌های کلیدی مدیریت، فناوری و نظارت اجرایی به خوبی شناخته نشده‌اند. 

شناسایی چالش‌های سازمانی در زمینه مدیریت ریسک

برنامه‌هایی که دیدگاه روشنی از ریسک ندارند، از مزایای یک برنامه مبتنی بر هدف، همچون دید بلندمدت در مورد ریسک، درک تحمل ریسک فعلی، شناسایی شکاف‌های کنترلی که ریسک‌های شناخته شده و ناشناخته را ایجاد می‌کنند و سنجه‌هایی که برای هیئت مدیره مفید و مهم هستند، محروم می‌شوند. یکی از ساده‌ترین روش‌ها برای تشخیص این‌که آیا سازمان شما نیز با این چالش‌ها مواجه است، پاسخ به سه سوال اساسی است:

1. آیا مدیر ارشد سازمان می‌تواند ریسک‌های سایبری را در یک یا دو جمله به طور واضح بیان کند؟

2. آیا مدیران ارشد و کلیدی سازمان می‌توانند پاسخ مشابه، مختصر و مفید به این پرسش ارائه دهند؟

3. آیا هر یک از کارکنان سازمان، از جمله مهندسان، کارکنان، متخصصان امور قراردادها، کارشناسان استخدام و تیم فروش، می‌توانند به طور واضح توضیح دهند که “امنیت سایبری” به چه معنا است و چه ارتباطی با نقش آن‌ها دارد؟

اگر پاسخ به هر یک از این پرسش‌ها منفی است، زمان آن رسیده در دکترین دفاعی و امنیتی خود بازنگری کنید.

مشکل چیست؟

فناوری اطلاعاتی که ما به آن وابسته هستیم، یک راهکار بسیار قدرتمند است، اما… کامل نیست. در فناوری‌های زیربنایی و متصل به هم، همیشه ممکن است نقص‌ها و اختلالاتی وجود داشته باشد که عملکرد واقعی آن‌ها را از حالت ایده‌آل دور کند. این نقص‌ها، فرصت‌های مناسبی را برای استفاده‌های غیرمجاز ایجاد می‌کنند. این همان مشکل امنیت سایبری است. همه مشکلات از یک کار ساده شروع می‌شوند: تصمیم به استفاده و استقرار فناوری‌های متصل به اینترنت. به‌طور معمول، سازمان‌ها از فناوری اطلاعات، به عنوان ابزاری برای افزایش بهره‌وری و کارایی در تمام فرآیندهای تجاری معمول (مانند فروش، امور مالی، ارتباطات، منابع انسانی و مدیریت موجودی) استفاده می‌کنند. سیستم‌ها، نرم‌افزارها و شبکه‌های قابل برنامه‌ریزی امکان همکاری، پردازش و اشتراک‌گذاری اطلاعات را فراهم می‌کنند و به سازمان‌ها امکان می‌دهند به اهداف و مقاصد خود دست یابند.

شرکت‌ها، دولت‌ها، سازمان‌های غیرانتفاعی، موسسات آموزشی و حتی شرکت‌های بزرگ فناوری که فعالیت اصلی آن‌ها توسعه و استفاده از فناوری است، همه در سطحی مشخص به فناوری اطلاعات متکی هستند. حتی شرکت‌های فناوری پیشرو نیز به شدت به ارتباطات و اشتراک‌گذاری داده‌ها از طریق فناوری برای حفظ و بهبود عملکرد داخلی خود وابسته هستند. مشکل این‌جا است که… فناوری نیز مانند انسان‌ها، کامل نیست.

نقص‌های موجود در فناوری اطلاعات لزوما به خود فناوری مربوط نمی‌شوند. انسان‌ها فناوری را خلق می‌کنند و با وجود تمام دستاوردهایشان، قادر نیستند محصول کاملی را طراحی کنند. بنابراین، برای بحث در مورد امنیت اطلاعات، پذیرفتن این واقعیت که انسان‌ها کامل نیستند و در نتیجه فناوری ساخته شده توسط آن‌ها نیز ممکن است دارای نقص‌هایی باشد، کافی است.

مدیریت ریسک و امنیت سایبری 

این نقص‌ها در فناوری ممکن است به شکل‌های مختلفی ظاهر شوند. به عنوان مثال، ممکن است یک خطا (یا “باگ”) در نرم‌افزار، یک تنظیم نادرست (یا “خطای پیکربندی”) در تنظیمات شبکه، یک نقص (یا “استثنای غیرمنتظره”) در یک دستگاه سخت‌افزاری یا به سادگی یک ریسک پذیرفته شده در طراحی سیستم وجود داشته باشد. 

همچنین، این نقص‌ها ممکن است در هر زمان برای مدیران سیستم شناخته شده یا ناشناخته باشند. ممکن است در مکان‌های قابل دسترسی (به راحتی قابل شناسایی و رفع با حداقل تاثیر بر عملیات) یا در مکان‌های غیرقابل دسترسی (به سختی قابل شناسایی و رفع) قرار داشته باشند. این نقص‌ها ممکن است عمدی طراحی شده باشند تا تعامل متفاوتی ایجاد کنند یا غیرعمدی و به طور ناخواسته ایجاد شده باشند. همچنین، ممکن است کوچک یا بسیار بزرگ باشند. این نقص‌های ذاتی، جزیی مهم و انکارناپذیر از فناوری اطلاعات را شکل می‌دهند که سازمان‌ها را درگیر خود می‌کنند. به‌طور مثال، یک سایت تجارت الکترونیک برای برقراری تعامل با مشتریان و فروش محصولات، مجبور است برخی از پورت‌ها و پروتکل‌ها را باز کند، هرچند احتمال یک حمله سایبری آن‌را تهدید می‌کند. در این سناریو، سازمان پذیرفته است که ریسک حمله سایبری وجود دارد، اما با اولویت‌بندی تهدید، اقدام به مدیریت آن کرده تا بتواند به سودآوری برسد. در سناریو دیگری، یک خطای غیرمنتظره در یک سیستم نصب شده می‌تواند به یک کاربر غیرمجاز اجازه دهد به صورت غیرقانونی به یک سیستم یا شبکه سازمانی دسترسی پیدا کند.

مشکل اصلی این نقص‌ها، تنها اختلال در عملکرد سیستم نیست، زیرا با یک وصله نرم‌افزاری یا تعمیر سخت‌افزاری قابل حل است، هرچند ممکن است کاربران به این دلیل که فناوری به درستی کار نمی‌کند، ناراضی شوند. مشکل اصلی این است که این نقص‌ها، به افراد غیرمجاز اجازه می‌دهند از طریق آن‌ها به سیستم‌ها نفوذ کنند. هنگامی که داده‌ها، ارتباطات و عملکردهای عملیاتی به این سیستم‌های آسیب‌پذیر اضافه می‌شوند، تبدیل به “راه‌های نفوذی” می‌شوند که برای هکرها جذاب هستند. این‌جا است که مشکل امنیت اطلاعات یا امنیت سایبری مطرح می‌شود.

راهنمای گام به گام ارزیابی ریسک سایبری

چرا این موضوع پیچیده است؟

مشکلات امنیت سایبری از نقص‌های موجود در فناوری آغاز می‌شوند. هنگامی که فناوری‌های ناقص خود به درستی پیاده‌سازی نشوند، باعث بروز مشکلات جدیدتر و زنجیره‌واری می‌شوند. به بیان دقیق‌تر، زمانی که لایه‌های مختلفی از فناوری‌های ناقص را کنار یکدیگر قرار می‌دهیم و آن‌ها را برای ارتباط و تعامل با یکدیگر طراحی می‌کنیم، این نقص‌ها به صورت گسترده و غیرقابل پیش‌بینی گسترش می‌یابند و آسیب‌پذیری‌هایی ایجاد می‌کنند که برای افراد یا گروه‌های مخرب قابل بهره‌برداری هستند. این پیچیدگی، مشکل اصلی امنیت سایبری است.

درک این واقعیت که فناوری ذاتا دارای نقص‌هایی است، دیدگاه ما را نسبت به پیچیدگی واقعی امنیت سایبری گسترش می‌دهد: فناوری ناقص در همه جا وجود دارد. دارایی‌های حیاتی و عملکردهای تجاری به این فناوری‌ها وابسته هستند. به این دلیل است که در هر سازمان، تیمی از متخصصان امنیت سایبری به سرپرستی مدیر ارشد امنیت اطلاعات (CISO) وجود دارد که مسئولیت شناسایی و رفع چالش‌های امنیتی برای محافظت از سازمان در برابر سوء استفاده از فناوری‌ها را بر عهده دارند.

فناوری در همه جا حاضر است

فناوری در سازمان‌ها و زندگی مدرن امروزی همه جا حاضر است. امروزه، تقریبا در تمام محصولات تجاری، صنعتی و مصرفی، نوعی سیستم کامپیوتری یا حسگر وجود دارد. خودروهای امروزی می‌توانند حجم عظیمی از حسگرها را داشته باشند که در هر لحظه بیش از 2000 سیگنال مختلف را تولید کنند. تجهیزات کشاورزی نیز می‌توانند شامل تعداد بی‌شماری حسگرهای محاسباتی تعبیه‌شده برای نظارت بر محصولات کشاورزی، فعالیت دام و منابع موجود باشند. تقریبا هیچ فرد بالغی در کشورهای توسعه‌یافته وجود ندارد که بدون حداقل یک دستگاه هوشمند با قابلیت اتصال به اینترنت از خانه خارج شود. اما گستردگی فناوری تنها بخشی از پیچیدگی مشکل است. مشکل اصلی در امنیت سایبری این نیست که فناوری ناقص تقریبا در همه جا وجود دارد، بلکه این است که خود فناوری ذاتا ماهیت ناقصی دارد و عملکرد آن به طور فزاینده‌ای پیچیده‌تر می‌شود.

پیچیدگی فناوری

پیچیدگی روزافزون فناوری، مشکلات امنیت سایبری را تشدید می‌کند. فناوری نه تنها به شدت مورد استفاده قرار می‌گیرد، بلکه دائما در حال تغییر و خودسازگاری است. در حالی که ساختار فناوری در حال تغییر و سازگاری با محیط‌های مختلف است، به طور مداوم در تلاش است با همتایان قابل تعامل خود (مانند دستگاه‌ها، حسگرها، شبکه‌ها و سایر سیستم‌های محاسباتی) ارتباط برقرار کند.

اینترنت اشیا (IoT)، نمونه‌ای بارز از این پدیده است. دستگاه‌هایی که لزوما نیازی به ارائه اطلاعات ندارند، به روش‌هایی ارتباط برقرار می‌کنند که پیچیدگی کلی آن‌ها را افزایش می‌دهد. به عنوان مثال، کمربند هوشمند پیشگیری از سقوط که دارای حسگرهایی برای نظارت بر وضعیت فرد و ارسال هشدار است. گاهی اوقات، این ارتباطات و اطلاعاتی که ارائه می‌کنند ممکن است مستقیما با عملکرد اصلی دستگاه در تضاد باشد، مانند گاوصندوق شخصی متصل به اینترنت یا ردیاب فعالیت بدنی که موقعیت مکانی فرد را به صورت آنلاین گزارش می‌دهد. با توجه به تقاضای کاربران برای اطلاعات راحت و مرتبط، اینترنت اشیا ریسک‌های جدیدی را به وجود آورده است: مسیرهای دسترسی جدید به دستگاه و افزایش سطح تماس با سایر دستگاه‌های متصل در همان شبکه یا اکوسیستم متصل. حتی سخت‌افزارهایی که قبلا “ماهیت سخت‌افزاری” داشتند، اکنون نرم‌افزار محور شده‌اند. شبکه‌سازی از طریق سوئیچ‌ها و کابل‌ها به صورت مجازی شده است و “همه چیز” توسط نرم‌افزار تعریف می‌شود.

این پیچیدگی، دفاع از فناوری در برابر تهدیدات را بسیار دشوار می‌کند. با افزایش پیچیدگی استقرار فناوری، ایمن‌سازی سیستم‌ها حتی در مواردی که تولیدکنندگان به شدت بر کاهش ریسک‌های سایبری تمرکز می‌کنند، دشوارتر می‌شود. به عنوان مثال، محصولات شرکت اپل که در یک سیستم بسته توسعه می‌یابند. این شرکت به تنهایی فناوری خود را در یک اکوسیستم بسته تعریف کرده و می‌سازد. این نوع مدیریت و اجرای زنجیره تامین، بسیاری از شرکت‌های فناوری را ترغیب می‌کند به دنبال شناسایی ضعف‌هایی در محصولات اپل باشند. به طوری که هرچند وقت یکبار، محققان امنیتی نقص‌هایی را در محصولات اپل پیدا کنند.

فناوری بر پایه اعتماد ساخته شده است

طراحی و پیاده‌سازی شبکه‌ها بر مبنای عملکرد صحیح نرم‌افزار و سخت‌افزار انجام می‌شود و بدیهی است استفاده‌های مخرب به عنوان ریسک جانبی در نظر گرفته شده و در حقیقت نادیده گرفته می‌شوند. طراحی سیستم‌های محاسباتی و شبکه‌های مخابراتی در اواخر دهه 1960 بسیار پرهزینه بود، بنابراین افزودن قابلیت‌های اضافی برای در نظر گرفتن و مقابله با سوء استفاده‌های احتمالی، هزینه‌ها را افزایش می‌داد. علاوه بر این، ابتدا فرض بر این بود که ارتباطات بین طرفین قابل اعتماد است – می‌توان گفت افرادی که از این فناوری‌ها استفاده می‌کردند، بیش از 25 سال قبل از تجاری شدن آن، به یکدیگر اعتماد داشتند. به عنوان مثال، پروتکل اینترنت (IP) ابتدا برای انتقال داده‌ها بین طرفین شناخته شده ابداع شد. مهندسانی که یکدیگر را می‌شناختند. هنگامی که اطلاعات ارسال می‌شد، یک تماس تلفنی بین مهندسان شناخته شده می‌توانست رسیدن صحیح پیام را تایید کند. بعدا، پروتکل کنترل انتقال (TCP) برای تایید دریافت یا عدم دریافت داده‌ها اضافه شد تا مهندسان نیازی به تماس تلفنی یا انتظار برای پاسخ نداشته باشند تا مطمئن شوند پیام دریافت شده است.

اگر به استفاده امروزی از همان فناوری‌های شبکه و انتقال داده‌ها نگاه کنیم، متوجه می‌شویم که دیگر نمی‌توان به همه اعتماد کرد. این عدم اعتماد، یکی از دلایل اصلی نیاز به طراحی و پیاده‌سازی کنترل‌های امنیتی قبل از استقرار و استفاده از فناوری است. چالش این‌جا است که همه فناوری‌ها با در نظر گرفتن اصول امنیتی طراحی نمی‌شوند و این موضوع باعث می‌شود با انتشار هر فناوری جدید که قبل از انتشار، سوء استفاده‌های احتمالی از آن در نظر گرفته نشده است، مشکلات امنیتی بیشتر شود و راه‌های جدیدی برای مهاجمان برای دستیابی به اهداف مخرب ایجاد شود.

فناوری فرصت سوء استفاده را فراهم می‌کند

گروه‌ها و افرادی که قصد سوء استفاده و آسیب‌رسانی را دارند، همیشه وجود دارند. این افراد معمولا از ساده‌ترین راه‌ها برای رسیدن به اهداف خود استفاده می‌کنند. قبل از اتصال رایانه‌ها و دستگاه‌ها به یکدیگر، افراد مجبور بودند برای انجام اقدامات مخرب خود، به صورت فیزیکی اقدام کنند یا از روش‌های فیزیکی استفاده کنند. امروزه، سازمان‌ها برای انجام کارهای تجاری مهم که گردش مالی سنگینی دارند، مجبور به برقراری ارتباط مستقیم با یکدیگر هستند و مجبور هستند، از فناوری‌های مختلف استفاده کنند تا بتوانند به اهداف راهبردی خود در کوتاه‌مدت دست پیدا کنند. این ارتباطات راه دور، تقریبا نیاز به حضور فیزیکی ذینفعان در کنار یکدیگر را برطرف کرده است، اما تلاش برای پنهان کردن حملات را ساده‌تر کرده است. این مکانیزم همیشه متصل، بر مبنای معماری‌هایی پیاده‌سازی می‌شود که ممکن است ذاتا فاقد عناصر امنیتی کارآمد باشند، بنابراین، در برابر حملات سایبری بسیار آسیب‌پذیر هستند. کاربردهای خوب و بد هوش مصنوعی و یادگیری ماشین نیز این چالش‌ها را دوچندان کرده است. 

ریسک اصلی هیچ‌گاه به درستی درک نمی‌شود

تقریبا فناوری‌هایی که در سازمان‌ها استفاده می‌شوند، به نوعی دارای نقص هستند. تصمیماتی که در مورد نگهداری و استفاده از این فناوری‌ها گرفته می‌شود، می‌تواند این نقص‌ها را تشدید یا کاهش دهد. بنابراین، برای مهاجمان، سوء استفاده از آن‌ها را آسان‌تر یا دشوارتر کند. با توجه به این‌که فناوری دائما در حال تغییر و سازگاری با نیازهای تجاری و مصرف‌کنندگان است، لایه‌های پیچیده‌‌تری از فناوری‌های متصل به هم را به وجود می‌آورد که فرآیند مدیریت را بیش از اندازه پیچیده کرده است. حتی شرکت‌های پیشرو در عرصه ارائه و به‌کارگیری فناوری‌ها، از نقص‌های غیرمنتظره در فناوری‌ها در امان نیستند و گاهی اوقات، نه تنها در زمینه استقرار فناوری، بلکه در زمینه اتخاذ تصمیمات مدیریتی در نحوه استفاده از فناوری‌های نوظهور غافل‌گیر می‌شوند، زیرا با یک تهدید سایبری روبرو می‌شوند. اما ریسک اصلی، لزوما خود نقص‌های فناوری نیست. ریسک اصلی این است که چگونه استفاده‌های غیرمنتظره از فناوری بر سازمان تاثیر می‌گذارد؟ بسیاری از سازمان‌ها فاقد مدلی برای ارزیابی ریسک هستند که به شکل تاثیرگذاری بر سازمان یا فعالیت‌های تجاری تاثیرگذار هستند. اگر این تعارضات به درستی درک نشوند و راهکاری برای غلبه بر آن‌ها اتخاذ نشود، استقرار فناوری‌های ذاتا ناقص در یک سازمان، ریسک‌هایی را به همراه خواهد داشت که ممکن است پیامدهای زیان‌باری را برای یک سازمان به همراه داشته باشند. اکنون، سعی کنید این موضوع را به یک مدیر ارشد توضیح دهید!

رهبران کسب‌وکار باید بدانند چه کاری انجام دهند 

چالش اصلی که کسب‌وکارها با آن مواجه هستند، عدم توانایی در شناسایی ریسک‌های غیرمنتظره‌ای است که استفاده از فناوری برای آن‌ها ایجاد می‌کند. کارشناسان خبره و مجرب حوزه فناوری اطلاعات، سابقه‌ روبرو شدن با چنین مخاطراتی را داشته‌اند و این موضوع را به خوبی درک می‌کنند. رهبران کسب‌وکار که مهارت و دانش عمیقی در مورد فناوری یا سوء استفاده از آن ندارند، ممکن است به طور ذاتی این موضوع را درک نکنند. این رهبران به روشی سریع برای درک ریسک و تعیین دقیق ارزش آن، با حفظ و تداوم برنامه‌های تجاری نیاز دارند. از آنجایی که فناوری به عنوان یک ابزار توانمندساز، باید با فعالیت‌های تجاری همگام شود، توجه به این نکته ضروری است. رهبران دوراندیش و تیزبین برای درک و رسیدگی به ریسک‌ها، پرسش‌های زیر را مطرح می‌کنند:

• برای رفع یک آسیب‌پذیری چقدر هزینه لازم است؟
• ارزش یا سودمندی سرمایه‌گذاری کلی ما در امنیت چیست؟
• سازمان باید چقدر در زمینه امنیت سرمایه‌گذاری کند؟
• چگونه می‌توان اثربخشی واقعی را اندازه‌گیری کرد؟
• یک مهاجم باید چقدر هزینه کند تا به دارایی‌های حساس ما دسترسی پیدا کند؟
• برای کند کردن سرعت یک مهاجم، چقدر باید هزینه کنیم؟

همه این پرسش‌ها بسیار مهم هستند، اما بدون درک روشن از تقاطع فناوری‌ و کسب‌وکار، شناسایی و برقراری ارتباط میان ریسک‌های واقعی امکان‌پذیر نیست. از دیدگاه فناوری، مشاهده‌پذیری و نظارت پیوسته بر فناوری‌های مستقر، نحوه مالکیت و استفاده از فناوری‌های مورد استفاده در سازمان، نقطه شروع رسیدگی به این مشکل است. از دیدگاه کسب‌وکار، توانایی درک ریسک واقعی مرتبط با کسب‌وکار، هدف نهایی تصمیم‌گیری در مورد ریسک است. هر دو دیدگاه به دنبال آن هستند تا معیاری برای تعیین ارزش ریسک ارائه دهند، اما تعیین ارزش کار ساده‌ای نیست. خوش‌بختانه، این امکان وجود دارد که بر مبنای یک رویکرد مشترک یک “خط ریسک” یا “آستانه تحمل ریسک” ترسیم کنیم که اجازه دهد، توازنی میان مدیریت و مهار ریسک‌ها و تداوم فعالیت‌های تجاری ایجاد کنیم.

هنگامی که به شکل مستقیم، این موضوع برای یک مدیر ارشد شرح داده شود که فناوری‌های مستقر شده دارای نقص‌های امنیتی هستند و برای حل این نقص‌ها (چه شناخته شده و چه ناشناخته)، باید اقدامات و کنترل‌های امنیتی مناسب را پیاده‌سازی کرد، ممکن است مدیر ارشد شروع به بررسی و حتی به چالش کشیدن این ادعا از زوایای مختلف کند. این رویکرد می‌تواند به سرعت منجر به بحث‌های پراکنده و تلاش برای یافتن و رسیدگی به هر نقص کوچک شود. در چنین شرایطی، اصل موضوع فراموش می‌شود و همه احساس ناامیدی خواهند کرد، زیرا همگان فاقد یک زبان مشترک برای بیان ریسک‌های سایبری هستند. بنابراین، امکان ارائه پاسخ‌های واضح به هیئت مدیره بر اساس دیدگاهی مشترک از ریسک وجود ندارد و همسویی مشخص با ماموریت سازمانی پدید نخواهد آمد. متاسفانه، این مساله در ارتباط با تشریح ریسک‌های سایبری برای مدیران ارشد بسیار رایج است. 

منابع:

https://link.springer.com/article/10.1007/s11036-022-02042-1

https://www.linkedin.com/pulse/step-by-step-guide-cyber-risk-assessment-dr-erdal-ozkaya-ayr6e

https://link.springer.com/book/10.1007/978-1-4842-9319-5

Understand, Manage, and Measure Cyber Risk®: Practical Solutions for Creating a Sustainable Cyber Program 2nd ed. Edition by Ryan Leirvik