مدیران اجرایی لازم نیست متخصص پیکربندی تجهیزات شبکه باشند؛ اما برای تصمیم‌گیری مؤثر درباره فناوری اطلاعات باید بدانند شبکه چه نقشی در تداوم کسب‌وکار دارد، چه ریسک‌هایی اطلاعات سازمان را تهدید می‌کند و از تیم فناوری اطلاعات چه گزارش‌ها و تعهداتی باید بخواهند. این صفحه یک مرکز دانش برای آشنایی مرحله‌به‌مرحله با شبکه، امنیت اطلاعات و مسئولیت‌های مدیریتی است.
هدف، تبدیل مدیر به کارشناس فنی نیست؛ هدف این است که مدیر بتواند پرسش درست بپرسد، اولویت‌های سازمان را مشخص کند، هزینه‌ها را بر اساس ریسک ارزیابی کند و هنگام رخداد امنیتی تصمیم‌های هماهنگ‌تری بگیرد.
چرا مدیران غیر فنی به دانش شبکه و امنیت نیاز دارند؟
تقریباً همه سازمان‌ها برای ارتباط کارکنان، دسترسی به برنامه‌ها، نگهداری داده‌ها، ارائه خدمات و ارتباط با مشتریان به زیرساخت فناوری اطلاعات وابسته‌اند. قطعی شبکه یا رخداد امنیتی فقط مسئله‌ای فنی نیست؛ ممکن است باعث توقف عملیات، زیان مالی، اختلال در خدمت‌رسانی یا آسیب به اعتبار سازمان شود.
درک پایه‌ای این وابستگی‌ها به مدیر کمک می‌کند اهمیت سرمایه‌گذاری پیشگیرانه را ارزیابی کند، مسئولیت‌ها را روشن سازد و به‌جای واکنش عجولانه هنگام بحران، برای تداوم فعالیت برنامه داشته باشد.
برای شروع، مقاله چرا هر سازمانی به شبکه کامپیوتری نیاز دارد؟ تصویری ساده از نقش شبکه در فعالیت روزانه سازمان ارائه می‌دهد.
مفاهیم پایه‌ای که هر مدیر باید بشناسد
- شبکه سازمانی: بستر ارتباط دستگاه‌ها، کاربران، سرویس‌ها و شعب مختلف.
- زیرساخت IT: مجموعه شبکه، سرورها، ذخیره‌سازی، نرم‌افزارها، هویت کاربران و سرویس‌های وابسته.
- امنیت اطلاعات: حفاظت از محرمانگی، صحت و دسترس‌پذیری اطلاعات و سرویس‌ها.
- پشتیبان‌گیری و بازیابی: امکان بازگرداندن اطلاعات و سرویس‌ها پس از حذف، خرابی یا رخداد امنیتی.
- مدیریت دسترسی: اطمینان از اینکه هر فرد فقط به اطلاعات و امکانات موردنیاز وظیفه خود دسترسی دارد.
- تداوم کسب‌وکار: آمادگی برای حفظ یا بازیابی خدمات ضروری در زمان اختلال.
برای شناخت اجزای فنی شبکه، مطالعه راهنمای جامع شبکه‌های کامپیوتری و آشنایی با تجهیزات شبکه و کاربرد آن‌ها مفید است.
مدیر چگونه ریسک فناوری اطلاعات را ارزیابی کند؟
مدیریت ریسک به معنای حذف همه خطرها نیست؛ هدف، شناخت خطرهای مهم، کاهش احتمال یا اثر آن‌ها و پذیرفتن آگاهانه ریسک باقی‌مانده است. برای هر ریسک مهم، مدیر باید بداند چه دارایی یا خدمتی در معرض خطر قرار دارد، پیامد اختلال چیست، چه کنترل‌هایی وجود دارند و چه کسی مسئول پیگیری است.
- خدمات و داده‌های حیاتی سازمان را مشخص کنید.
- سناریوهای اختلال یا دسترسی غیرمجاز را شناسایی کنید.
- احتمال و پیامد هر سناریو را با مشارکت افراد مسئول برآورد کنید.
- اقدام‌های کاهش ریسک، هزینه، مسئول اجرا و مهلت انجام را ثبت کنید.
- پس از اجرای کنترل‌ها، باقی‌ماندن ریسک و نیاز به اقدام بیشتر را بازبینی کنید.
در این فرایند، شفاف بودن مسئولیت‌ها از خرید ابزارهای متعدد مهم‌تر است؛ ابزار باید برای کاهش یک ریسک تعریف‌شده انتخاب شود، نه صرفاً به دلیل تبلیغ یا محبوبیت آن.
نقش مدیر، تیم فناوری اطلاعات و کارکنان
| گروه | مسئولیت اصلی | نمونه اقدام |
|---|---|---|
| مدیریت ارشد | تعیین اولویت، بودجه و سطح ریسک قابل‌پذیرش | تصویب برنامه تداوم کسب‌وکار و پیگیری ریسک‌های مهم |
| مدیر IT یا مسئول امنیت | طراحی و اجرای کنترل‌ها و گزارش‌دهی | پایش سرویس‌ها، مدیریت دسترسی و آزمون بازیابی |
| مدیران واحدها | شناسایی نیازهای عملیاتی و حفاظت از داده‌های واحد | تأیید دسترسی‌های ضروری و اعلام نیازهای تداوم فعالیت |
| کارکنان | رعایت سیاست‌ها و گزارش رفتار مشکوک | استفاده از احراز هویت امن و گزارش پیام‌های مشکوک |
برای موفقیت برنامه، مدیران باید مطمئن شوند هر اقدام مالک مشخص، موعد اجرا و روش ارزیابی نتیجه دارد.
اشتباهات امنیتی رایج در سطح مدیریت
- تصمیم‌گیری درباره امنیت فقط پس از وقوع حادثه؛
- استفاده مشترک از حساب‌های مدیریتی یا باقی‌ماندن دسترسی کارکنان سابق؛
- نادیده گرفتن به‌روزرسانی‌ها، آسیب‌پذیری‌ها و گزارش‌های هشدار؛
- فرض اینکه داشتن آنتی‌ویروس یا فایروال به معنای امنیت کامل است؛
- نداشتن نسخه پشتیبان مستقل یا آزمایش نکردن بازیابی؛
- تخصیص بودجه بدون تعیین ریسک، اولویت و معیار موفقیت؛
- مقصر دانستن افراد پیش از جمع‌آوری شواهد و بررسی فرایندها.
مدیران بهتر است از مسئول فناوری اطلاعات بخواهند وضعیت کنترل‌ها را با زبان کسب‌وکار توضیح دهد: چه خطری کاهش یافته، کدام ضعف هنوز باقی است و برای رفع آن چه تصمیمی لازم است.
آشنایی با نقش فایروال در شبکه، آنتی‌ویروس تحت شبکه و سامانه SIEM و تحلیل رویدادهای امنیتی به درک تفاوت میان ابزارهای حفاظتی و فرایند مدیریت امنیت کمک می‌کند.
مدیر هنگام بحران سایبری چه باید بکند؟
هنگام مشاهده نشانه‌های حمله، با حدس‌زدن علت یا حذف شتاب‌زده شواهد شروع نکنید. پاسخ مناسب به نوع حادثه و دستورالعمل سازمان بستگی دارد، اما اصول زیر به هماهنگی بهتر کمک می‌کنند:
- مسئول فرماندهی و تصمیم‌گیری رخداد را مشخص کنید و کانال ارتباطی مطمئن به کار ببرید.
- شدت اثر بر خدمات، کاربران و داده‌های حیاتی را با تیم فنی ارزیابی کنید.
- اقدام‌های مهار را به مسئولان مجاز بسپارید و از گسترش آسیب جلوگیری کنید.
- زمان‌بندی رخداد، تصمیم‌ها، شواهد و اقدام‌های انجام‌شده را ثبت کنید.
- بر اساس اهمیت خدمات، اولویت بازیابی را تعیین و وضعیت را به ذی‌نفعان مرتبط اطلاع دهید.
- پس از کنترل رخداد، علت اصلی، درس‌آموخته‌ها و اقدام‌های پیشگیرانه را مستند کنید.
ارتباطات بیرونی، اطلاع‌رسانی به مشتریان یا مراجع مربوط باید طبق الزامات قانونی، قراردادی و سیاست ارتباطی سازمان انجام شود. شواهد مهم را پیش از انجام اقدام‌هایی که ممکن است آن‌ها را از بین ببرد، در هماهنگی با مسئولان فنی حفظ کنید.
چگونه فرهنگ امنیتی در سازمان ایجاد کنیم؟
فرهنگ امنیتی با یک جلسه آموزشی یا ارسال یک بخشنامه ایجاد نمی‌شود. رفتار مدیران، سادگی گزارش‌کردن اشتباهات، آموزش متناسب با نقش کارکنان و پیگیری مستمر همگی اهمیت دارند.
- آموزش‌ها را به وظایف واقعی هر گروه و خطرهای مرتبط پیوند دهید.
- روش ساده و مشخصی برای گزارش پیام مشکوک، گم‌شدن دستگاه یا افشای احتمالی اطلاعات تعیین کنید.
- کارکنان را تشویق کنید رخدادها را سریع گزارش دهند، نه اینکه از ترس سرزنش آن‌ها را پنهان کنند.
- تغییر دسترسی کارکنان هنگام جابه‌جایی شغلی یا پایان همکاری را در فرایندی مشخص انجام دهید.
- اثربخشی آموزش را با سناریوهای مناسب، بازخورد و پیگیری رفتارها ارزیابی کنید.
برای فهم اهمیت دانش کارکنان، این مقاله را بخوانید: چرا کارکنان سازمان‌ها به دانش شبکه نیاز دارند؟
چه پرسش‌هایی از پیمانکار یا تیم IT بپرسیم؟
گزارش فنی زمانی برای مدیر مفید است که به تصمیم‌های قابل‌پیگیری منتهی شود. در جلسات بررسی زیرساخت و امنیت، پرسش‌های زیر را مطرح کنید:
- کدام سرویس‌ها و داده‌ها برای ادامه فعالیت سازمان حیاتی‌اند؟
- مهم‌ترین ریسک‌های فعلی چیست و اثر احتمالی آن‌ها بر کسب‌وکار چقدر است؟
- چه کسی مسئول هر ریسک است و اقدام بعدی چه زمانی انجام می‌شود؟
- آخرین آزمایش موفق بازیابی اطلاعات و سرویس‌ها چه زمانی انجام شده است؟
- کدام سرویس‌ها پایش می‌شوند و هشدارهای مهم چگونه به مسئول مربوط می‌رسند؟
- کدام دسترسی‌ها یا تجهیزات نیازمند بازبینی‌اند؟
- برای هر پیشنهاد فنی، هزینه، فایده، محدودیت و معیار نتیجه چیست؟
برای بررسی طراحی کلان و وابستگی‌های سرویس‌ها، راهنمای طراحی زیرساخت یکپارچه IT و تفاوت سوئیچ و روتر نیز به شناخت موضوعات کمک می‌کنند.
نقشه راه مطالعه برای مدیران غیر فنی
- شناخت شبکه: با مبانی شبکه‌های کامپیوتری و تجهیزات شبکه شروع کنید.
- درک نیاز کسب‌وکار: مقاله چرایی نیاز هر سازمان به شبکه را بخوانید.
- توسعه دانش کارکنان: مسئولیت آموزش و آگاهی را با مطالعه نیاز کارکنان به دانش شبکه بررسی کنید.
- شناخت کنترل‌های امنیتی: نقش فایروال، آنتی‌ویروس شبکه و SIEM را مرور کنید.
- تداوم خدمات: درباره سرور فیزیکی و مجازی و مدیریت متمرکز به‌روزرسانی ویندوز با WSUS مطالعه کنید.
- بررسی و پشتیبانی: مفهوم مانیتورینگ شبکه و اهمیت پشتیبانی شبکه برای سازمان را دنبال کنید.
چگونه پیشرفت برنامه شبکه و امنیت را بسنجیم؟
به‌جای تمرکز بر تعداد تجهیزات یا گزارش‌های فنی، شاخص‌هایی را انتخاب کنید که برای سازمان معنا دارند. نمونه‌ها شامل درصد سرویس‌های حیاتی دارای برنامه بازیابی آزموده‌شده، تعداد ریسک‌های مهم دارای مسئول و موعد مشخص، زمان رسیدگی به رخدادها، میزان بازبینی دسترسی‌ها و درصد اقدام‌های اصلاحی تکمیل‌شده در موعد است.
هر شاخص باید تعریف مشخص، مسئول جمع‌آوری داده و دوره گزارش‌دهی داشته باشد. اعداد بدون زمینه یا بدون اقدام اصلاحی، به‌تنهایی نشان‌دهنده بهبود امنیت نیستند.
پرسش‌های متداول
آیا مدیر غیر فنی باید جزئیات تجهیزات شبکه را بداند؟
لازم نیست مدیر همه جزئیات فنی را پیکربندی کند؛ اما باید کاربرد کلی سرویس‌ها، اثر اختلال، ریسک‌های مهم و معیار ارزیابی نتیجه را درک کند.
آیا خرید ابزار امنیتی به‌تنهایی کافی است؟
خیر. ابزار باید در کنار سیاست‌ها، مسئولیت‌های روشن، تنظیم و نگهداری مناسب، آموزش کارکنان و فرایند پاسخ به رخداد استفاده شود.
از کدام موضوع باید شروع کرد؟
ابتدا خدمات و داده‌های حیاتی، وابستگی‌های شبکه و مهم‌ترین ریسک‌های سازمان را شناسایی کنید. سپس برنامه اصلاح را بر اساس اثر کسب‌وکار و منابع در دسترس اولویت‌بندی کنید.
جمع‌بندی
دانش پایه شبکه و امنیت به مدیران غیر فنی کمک می‌کند وابستگی‌های سازمان به فناوری را بهتر بشناسند، ریسک‌ها را اولویت‌بندی کنند و با تیم فنی تصمیم‌های روشن‌تری بگیرند. این مسیر از شناخت خدمات حیاتی شروع می‌شود و با تقسیم مسئولیت، سنجش کنترل‌ها، آموزش، آمادگی برای بحران و بازبینی مستمر ادامه می‌یابد.
برای ارزیابی نیازهای شبکه و امنیت سازمان، از درخواست مشاوره و خدمات و پشتیبانی استفاده کنید یا از طریق تماس با واریان شبکه گستر با کارشناسان واریان شبکه گستر در ارتباط باشید.
