امنیت اطلاعات دیگر صرفاً مسئولیت واحد فناوری اطلاعات نیست. تصمیم‌های مدیریتی درباره بودجه، انتخاب پیمانکار، دسترسی کارکنان، نگهداری اطلاعات، خرید سامانه‌های جدید و نحوه برخورد با رخدادهای امنیتی، همگی بر میزان ریسک سازمان اثر می‌گذارند.
ممکن است یک سازمان از تجهیزات امنیتی مناسب استفاده کند، اما به دلیل نبود مسئول مشخص، تأخیر در اصلاح آسیب‌پذیری‌ها، دسترسی‌های کنترل‌نشده یا آماده‌نبودن برنامه بازیابی، همچنان با خطرهای جدی روبه‌رو باشد. بنابراین امنیت اطلاعات باید در تصمیم‌گیری‌های روزمره و برنامه‌ریزی کلان سازمان حضور داشته باشد.
هدف این مقاله ارائه یک راهنمای کاربردی برای مدیران اجرایی، مدیران غیر فنی و صاحبان کسب‌وکار است تا بتوانند مسئولیت‌های امنیتی را به‌درستی تعریف کنند، درباره سرمایه‌گذاری‌های امنیتی تصمیم بگیرند و عملکرد تیم فنی و پیمانکاران را با معیارهای مشخص ارزیابی کنند.
چرا امنیت اطلاعات یک مسئولیت مدیریتی است؟
اطلاعات مشتریان، اسناد مالی، قراردادها، اطلاعات کارکنان، داده‌های عملیاتی و سامانه‌های سازمانی دارایی‌های مهم کسب‌وکار هستند. از دست‌رفتن یا افشای این اطلاعات می‌تواند فعالیت سازمان را مختل کند، هزینه‌های بازیابی را افزایش دهد و اعتماد مشتریان یا شرکای تجاری را تحت تأثیر قرار دهد.
تیم فنی مسئول اجرای بسیاری از کنترل‌های امنیتی است، اما تصمیم‌گیری درباره میزان ریسک قابل‌قبول، اولویت سرویس‌ها، منابع مالی، مسئولیت واحدها و نحوه مدیریت بحران به اختیار و مشارکت مدیریت نیاز دارد.
برای مثال، متخصص شبکه ممکن است اعلام کند یک سامانه قدیمی دارای آسیب‌پذیری است؛ اما تصمیم درباره زمان جایگزینی، بودجه لازم، پذیرش موقت ریسک و کنترل‌های جبرانی باید با مشارکت مدیران مسئول گرفته شود.
۱. مسئولیت‌ها و اختیارهای امنیتی را روشن کنید
یکی از نخستین وظایف مدیران، مشخص‌کردن مسئولیت امنیت اطلاعات در سطح سازمان است. اگر معلوم نباشد چه کسی درباره دسترسی‌ها تصمیم می‌گیرد، چه کسی خطرهای مهم را تأیید می‌کند و چه کسی اختیار اقدام اضطراری دارد، رسیدگی به مشکلات ممکن است با تأخیر انجام شود.
بسته به اندازه سازمان، وظایف زیر باید به‌صورت مشخص به افراد یا واحدهای مسئول واگذار شوند:
- تعیین اولویت‌های امنیتی و هماهنگ‌کردن آن‌ها با اهداف کسب‌وکار.
- شناسایی و پیگیری ریسک‌های مهم فناوری اطلاعات.
- اجرای کنترل‌های فنی و نگهداری زیرساخت توسط تیم مربوطه.
- تأیید دسترسی به اطلاعات حساس و سامانه‌های حیاتی.
- رسیدگی به رخدادهای امنیتی و اطلاع‌رسانی به افراد مسئول.
- بررسی تعهدات امنیتی پیمانکاران و تأمین‌کنندگان.
- پیگیری اقدامات اصلاحی تا زمان رفع یا تعیین تکلیف رسمی ریسک.
در سازمان‌های کوچک ممکن است یک فرد چند مسئولیت داشته باشد؛ مهم آن است که وظایف، اختیارات و مسیر گزارش‌دهی روشن باشند و تصمیم‌های حساس بدون مسئول مشخص باقی نمانند.
۲. امنیت اطلاعات را بر اساس ریسک‌های کسب‌وکار مدیریت کنید
همه دارایی‌ها و تهدیدها اهمیت یکسانی ندارند. مدیران باید بدانند کدام سامانه‌ها برای ادامه فعالیت سازمان حیاتی هستند، چه اطلاعاتی حساس‌ترند و اختلال در هر سرویس چه پیامد مالی، عملیاتی یا اعتباری خواهد داشت.
برای مدیریت ریسک، این پرسش‌ها نقطه شروع مناسبی هستند:
- کدام اطلاعات و سرویس‌ها برای ادامه فعالیت سازمان ضروری‌اند؟
- چه تهدیدهایی ممکن است محرمانگی، یکپارچگی یا دسترس‌پذیری آن‌ها را تحت تأثیر قرار دهند؟
- در صورت بروز حادثه، پیامد احتمالی برای مشتریان و عملیات سازمان چیست؟
- کدام کنترل‌ها بیشترین کاهش ریسک را با منابع موجود فراهم می‌کنند؟
- چه ریسک‌هایی باقی می‌مانند و چه کسی اختیار پذیرش آن‌ها را دارد؟
نتیجه این بررسی باید به فهرستی از ریسک‌های اولویت‌بندی‌شده، مسئول هر ریسک، اقدام اصلاحی، مهلت پیگیری و وضعیت فعلی منجر شود. چنین فهرستی از تصمیم‌گیری صرفاً بر اساس نگرانی‌های مقطعی یا پیشنهاد فروشندگان تجهیزات جلوگیری می‌کند.
۳. برای امنیت اطلاعات بودجه و منابع کافی در نظر بگیرید
سیاست امنیتی بدون منابع اجرایی معمولاً به سندی تبدیل می‌شود که در عمل اجرا نمی‌شود. مدیران باید اطمینان حاصل کنند که برای نگهداری زیرساخت، آموزش کارکنان، اصلاح آسیب‌پذیری‌ها، ثبت رویدادها و آزمون بازیابی اطلاعات منابع مناسب اختصاص یافته است.
بودجه امنیتی می‌تواند موارد زیر را در بر بگیرد:
- تجهیزات، نرم‌افزارها و مجوزهای موردنیاز.
- به‌روزرسانی و جایگزینی سامانه‌های قدیمی یا فاقد پشتیبانی.
- پایش امنیتی و رسیدگی به هشدارهای مهم.
- آموزش کارکنان و تمرین‌های دوره‌ای امنیتی.
- تهیه و نگهداری نسخه‌های پشتیبان و آزمون بازیابی.
- ارزیابی‌های فنی، بررسی آسیب‌پذیری و اصلاح ضعف‌ها.
- آمادگی برای رخدادها و هزینه‌های احتمالی بازیابی.
برای مقایسه پیشنهادها، فقط قیمت خرید اولیه را در نظر نگیرید. هزینه نگهداری، تمدید مجوز، نیروی انسانی، آموزش، سازگاری با زیرساخت موجود و هزینه توسعه آینده نیز اهمیت دارند.
تصمیم‌های بودجه‌ای بهتر است با توجه به ریسک و نتیجه موردانتظار گرفته شوند. خرید یک ابزار جدید زمانی توجیه دارد که مشخص باشد کدام ضعف را کاهش می‌دهد، چه کسی آن را مدیریت می‌کند و اثربخشی آن چگونه بررسی خواهد شد.
۴. سیاست‌های امنیتی قابل اجرا تدوین کنید
مدیران باید اطمینان حاصل کنند که سیاست‌های امنیتی برای کارکنان قابل‌فهم و برای سازمان عملی هستند. دستورهای کلی مانند «اطلاعات را ایمن نگه دارید» به‌تنهایی برای مشخص‌کردن رفتارهای مجاز و غیرمجاز کافی نیستند.
موضوعات زیر می‌توانند در سیاست‌های داخلی پوشش داده شوند:
- مدیریت حساب‌های کاربری، گذرواژه‌ها و احراز هویت چندمرحله‌ای.
- سطوح دسترسی کارکنان و فرایند تأیید درخواست‌های دسترسی.
- نگهداری، ارسال و اشتراک‌گذاری اطلاعات حساس.
- استفاده از دستگاه‌های شخصی، دورکاری و ابزارهای دسترسی راه دور.
- نصب نرم‌افزار و استفاده از سرویس‌های ابری یا هوش مصنوعی.
- گزارش رخدادهای امنیتی و روش اطلاع‌رسانی اضطراری.
- نگهداری سوابق و حفاظت از مستندات و اطلاعات محرمانه.
هر سیاست باید مالک مشخص، روش اجرا و زمان بازبینی داشته باشد. همچنین لازم است کارکنان بدانند در شرایط استثنایی چگونه درخواست مجوز کنند؛ زیرا سیاست‌های مبهم یا دشوار ممکن است در عمل نادیده گرفته شوند.
۵. مدیران چگونه عملکرد تیم فنی را ارزیابی کنند؟
مدیران غیر فنی لازم نیست تمام جزئیات پیکربندی فایروال یا تحلیل گزارش‌های امنیتی را انجام دهند، اما باید بتوانند پرسش‌های درستی مطرح کنند و پاسخ‌ها را بر اساس شواهد ارزیابی کنند.
در جلسات دوره‌ای با تیم فناوری اطلاعات، این موضوعات را بررسی کنید:
- مهم‌ترین ریسک‌های شناسایی‌شده چیست و کدام موارد هنوز اصلاح نشده‌اند؟
- چه سرویس‌هایی حیاتی‌اند و وضعیت حفاظت از آن‌ها چگونه است؟
- کدام آسیب‌پذیری‌ها نیازمند اقدام فوری هستند؟
- آیا نسخه‌های پشتیبان با موفقیت آزمایش بازیابی شده‌اند؟
- آیا هشدارهای امنیتی مهم مسئول رسیدگی مشخص دارند؟
- چه تغییراتی برای کاهش ریسک پیشنهاد شده و منابع موردنیاز آن‌ها چیست؟
- آیا اقدامات اصلاحی قبلی در موعد مقرر تکمیل شده‌اند؟
گزارش مدیریتی باید به‌جای انبوهی از اصطلاحات تخصصی، وضعیت ریسک، پیامد احتمالی، اقدام پیشنهادی، هزینه، مسئول و مهلت اجرا را مشخص کند. جزئیات فنی می‌توانند در پیوست گزارش باقی بمانند.
۶. امنیت پیمانکاران و تأمین‌کنندگان را زیر نظر داشته باشید
برون‌سپاری خدمات شبکه یا استفاده از سامانه‌های بیرونی به معنای انتقال کامل مسئولیت مدیریت ریسک نیست. پیمانکاران پشتیبانی، ارائه‌دهندگان سرویس ابری و سایر تأمین‌کنندگان ممکن است به سامانه‌ها یا اطلاعات سازمان دسترسی داشته باشند.
پیش از عقد قرارداد یا تمدید همکاری، موارد زیر را بررسی کنید:
- محدوده دقیق خدمات و مسئولیت‌های امنیتی هر طرف.
- روش دسترسی پیمانکار به تجهیزات و اطلاعات سازمان.
- نحوه حفاظت از گذرواژه‌ها، مستندات و داده‌های محرمانه.
- روش اطلاع‌رسانی و همکاری در صورت بروز رخداد امنیتی.
- تعهدات مربوط به ثبت فعالیت‌ها، گزارش‌دهی و اصلاح مشکلات.
- نحوه تحویل اطلاعات و لغو دسترسی‌ها در پایان همکاری.
قرارداد باید مشخص کند کدام خدمات در مبلغ پایه قرار دارند، چه خدماتی خارج از قرارداد هستند و در شرایط بحرانی چه تعهداتی اجرا می‌شوند. همچنین نباید فرض کرد که پیمانکار بدون تعیین مسئولیت‌های صریح، تمام ابعاد امنیت سازمان را پوشش می‌دهد.
برای آشنایی با موضوعات فنی مرتبط، مقاله نکات مهم درباره امنیت شبکه و راهنمای پیاده‌سازی امنیت شبکه و مدیریت تهدیدات را مطالعه کنید.
۷. مدیریت دسترسی و اطلاعات حساس را جدی بگیرید
یکی از تصمیم‌های مهم مدیریتی، تعیین این موضوع است که چه کسانی به چه اطلاعاتی نیاز دارند و چه کنترل‌هایی برای جلوگیری از دسترسی غیرضروری باید اجرا شوند.
مدیران می‌توانند با همکاری تیم فنی و مسئولان واحدها این اقدامات را پیگیری کنند:
- طبقه‌بندی اطلاعات بر اساس میزان حساسیت و نیازهای کسب‌وکار.
- تعیین مالک یا مسئول تصمیم‌گیری برای دسترسی به داده‌های مهم.
- اعطای حداقل دسترسی لازم برای انجام وظایف.
- بازبینی دسترسی کارکنان پس از تغییر سمت یا پایان همکاری.
- کنترل دسترسی پیمانکاران و حساب‌های مدیریتی.
- تعیین روش نگهداری، انتقال و حذف اطلاعات در پایان دوره استفاده.
این فرایند باید متناسب با اندازه سازمان و حساسیت اطلاعات طراحی شود. در سازمان‌های کوچک نیز داشتن یک فهرست ساده از سامانه‌های مهم و مسئول دسترسی آن‌ها می‌تواند به کاهش ابهام کمک کند.
۸. آمادگی برای رخدادهای امنیتی و تداوم فعالیت
حتی با وجود کنترل‌های مناسب، نمی‌توان احتمال تمام رخدادهای امنیتی را به صفر رساند. مدیران باید مطمئن شوند سازمان برای شناسایی، مهار و مدیریت پیامدهای حادثه آمادگی دارد.
یک برنامه مناسب باید حداقل این موارد را مشخص کند:
- چه کسی مسئول هماهنگی رخدادهای امنیتی است؟
- در صورت بروز حادثه، چه کسی اختیار تصمیم‌های اضطراری را دارد؟
- کدام سرویس‌ها باید با اولویت بیشتری بازیابی شوند؟
- روش ارتباط با مدیران، کارکنان، پیمانکاران و طرف‌های لازم چیست؟
- چه اطلاعاتی باید برای بررسی حادثه ثبت و نگهداری شود؟
- چگونه از نسخه‌های پشتیبان برای بازگرداندن خدمات استفاده خواهد شد؟
- پس از پایان حادثه، چه کسی مسئول پیگیری اقدامات اصلاحی است؟
برنامه واکنش به رخداد باید با برنامه تداوم کسب‌وکار و بازیابی فناوری اطلاعات هماهنگ باشد. وجود سند مکتوب کافی نیست؛ تمرین‌های دوره‌ای کمک می‌کنند ابهام‌ها و ضعف‌ها پیش از وقوع حادثه واقعی شناسایی شوند.
۹. فرهنگ امنیتی را با رفتار و آموزش تقویت کنید
کارکنان در بسیاری از فرایندها اولین افرادی هستند که با یک پیام مشکوک، درخواست غیرعادی یا خطای احتمالی مواجه می‌شوند. اگر روش گزارش‌دهی مشخص نباشد یا افراد از سرزنش‌شدن بترسند، احتمال پنهان‌ماندن رخداد افزایش می‌یابد.
مدیران باید در کنار آموزش مستمر، شرایطی ایجاد کنند که کارکنان بتوانند خطاهای ناخواسته را سریع و از مسیر مشخص گزارش کنند. گزارش سریع می‌تواند به محدودکردن آثار حادثه کمک کند.
آموزش نیز باید با وظایف افراد تناسب داشته باشد. کارمند مالی ممکن است به تمرین تشخیص درخواست‌های جعلی پرداخت نیاز داشته باشد، درحالی‌که مدیران سامانه‌ها باید درباره حفاظت از دسترسی‌های مدیریتی و روش گزارش رخداد اطلاعات بیشتری داشته باشند.
برای ادامه مطالعه، مقاله چگونه مدیران می‌توانند فرهنگ امنیتی در سازمان ایجاد کنند را ببینید.
۱۰. شاخص‌های مدیریتی برای سنجش پیشرفت امنیت
مدیران برای ارزیابی پیشرفت به شاخص‌هایی نیاز دارند که قابل‌اندازه‌گیری و متناسب با ریسک‌های سازمان باشند. یک عدد منفرد تصویر کاملی از امنیت ارائه نمی‌کند؛ بهتر است مجموعه‌ای از شاخص‌های فنی، فرایندی و مدیریتی بررسی شوند.
| شاخص پیشنهادی | هدف مدیریتی | پرسش کلیدی |
|---|---|---|
| ریسک‌های مهم تعیین تکلیف‌نشده | پیگیری ریسک‌های اصلی | کدام ریسک‌ها هنوز مسئول یا برنامه اصلاح ندارند؟ |
| آسیب‌پذیری‌های مهم معوق | اولویت‌بندی اصلاحات فنی | کدام ضعف‌ها از مهلت توافق‌شده عبور کرده‌اند؟ |
| وضعیت آزمون بازیابی | ارزیابی آمادگی برای بحران | آیا بازیابی سرویس‌های حیاتی عملاً آزمایش شده است؟ |
| دسترسی‌های بازبینی‌نشده | کنترل مجوزها و دسترسی‌ها | آیا دسترسی‌های غیرضروری هنوز فعال‌اند؟ |
| رخدادهای امنیتی و زمان رسیدگی | بهبود پاسخ‌گویی | آیا رخدادها به‌موقع گزارش و پیگیری می‌شوند؟ |
| اقدامات اصلاحی تکمیل‌نشده | افزایش مسئولیت‌پذیری | چه اقداماتی از موعد توافق‌شده عبور کرده‌اند؟ |
| پوشش آموزش کارکنان | تقویت آگاهی امنیتی | کدام واحدها یا نقش‌ها به آموزش بیشتر نیاز دارند؟ |
برای هر شاخص، مقدار پایه، هدف واقع‌بینانه، مسئول اندازه‌گیری و دوره گزارش‌دهی را تعیین کنید. همچنین باید مشخص باشد چه کسی درباره انحراف از هدف تصمیم می‌گیرد و چه زمانی موضوع به سطح بالاتر ارجاع داده می‌شود.
۱۱. برنامه اجرایی ۹۰ روزه برای مدیران
برای شروع بهبود امنیت اطلاعات، لازم نیست همه سیاست‌ها و پروژه‌ها هم‌زمان اجرا شوند. یک برنامه مرحله‌ای به مدیران کمک می‌کند بر اقدامات مهم تمرکز کنند و نتایج را ارزیابی کنند.
روزهای ۱ تا ۳۰: شناخت وضعیت و مسئولیت‌ها
- سامانه‌ها و اطلاعات حیاتی سازمان را شناسایی کنید.
- مسئول هر حوزه امنیتی و مسیر گزارش‌دهی را مشخص کنید.
- ریسک‌های مهم و ضعف‌های شناخته‌شده را فهرست کنید.
- وضعیت دسترسی‌های حساس و نسخه‌های پشتیبان را بررسی کنید.
روزهای ۳۱ تا ۶۰: تعیین اولویت و اجرای اصلاحات
- برای ریسک‌های اصلی مسئول و مهلت اصلاح تعیین کنید.
- سیاست‌های مهم دسترسی و گزارش رخداد را بازبینی کنید.
- بودجه و منابع لازم برای اقدامات اولویت‌دار را مشخص کنید.
- تعهدات امنیتی پیمانکاران را بررسی کنید.
- آموزش کوتاه و متناسب با نقش‌های شغلی را آغاز کنید.
روزهای ۶۱ تا ۹۰: ارزیابی نتیجه و آمادگی برای رخداد
- وضعیت اقدامات اصلاحی و ریسک‌های باقی‌مانده را بررسی کنید.
- یک تمرین پاسخ به رخداد یا سناریوی بحران برگزار کنید.
- نتیجه آزمون بازیابی سرویس‌های مهم را ارزیابی کنید.
- گزارش مدیریتی شامل ریسک‌ها، پیشرفت، هزینه و اقدامات بعدی تهیه کنید.
این برنامه یک الگوی پیشنهادی است و تضمین نمی‌کند همه ضعف‌های امنیتی در سه ماه برطرف شوند. زمان‌بندی باید متناسب با اندازه سازمان، منابع، حساسیت اطلاعات و سطح ریسک تنظیم شود.
۱۲. استفاده از چارچوب‌های معتبر برای تصمیم‌گیری بهتر
برای ساختارمندکردن مدیریت امنیت سایبری، سازمان می‌تواند از چارچوب‌های شناخته‌شده به‌عنوان راهنما استفاده کند. انتخاب و اجرای کنترل‌ها باید با نیازهای واقعی، الزامات و منابع سازمان سازگار باشد.
چارچوب امنیت سایبری NIST CSF 2.0 امنیت را در شش کارکرد کلی سازمان‌دهی می‌کند: راهبری، شناسایی، حفاظت، تشخیص، پاسخ و بازیابی. این مدل بر نقش راهبری و ارتباط امنیت سایبری با مدیریت ریسک سازمانی تأکید می‌کند.
همچنین اهداف عملکرد امنیت سایبری CISA می‌تواند برای انتخاب اقدامات اولویت‌دار و قابل‌اندازه‌گیری، به‌ویژه در سازمان‌هایی که در آغاز مسیر بهبود امنیت هستند، مفید باشد.
استفاده از این چارچوب‌ها به‌معنای الزام به پیاده‌سازی یکسان همه کنترل‌ها برای تمام سازمان‌ها نیست. مدیران باید متناسب با ریسک، زمینه فعالیت و منابع موجود، اقدامات مناسب را انتخاب و پیشرفت آن‌ها را ارزیابی کنند.
اشتباهات رایج مدیران در مدیریت امنیت اطلاعات
- واگذاری کامل امنیت به واحد IT: تصمیم‌های مربوط به ریسک، منابع، مسئولیت و تداوم فعالیت نیازمند مشارکت مدیران کسب‌وکار است.
- خرید ابزار بدون تعریف نیاز: پیش از خرید باید ضعف موردنظر، نتیجه موردانتظار و مسئول نگهداری ابزار روشن باشد.
- نبود پیگیری: مشخص‌نبودن مسئول و مهلت اصلاح باعث می‌شود ریسک‌ها به‌مدت طولانی باقی بمانند.
- تمرکز صرف بر پیشگیری: سازمان علاوه بر کاهش احتمال رخداد باید برای تشخیص، پاسخ و بازیابی نیز آماده باشد.
- نادیده‌گرفتن پیمانکاران: دسترسی‌های بیرونی و تعهدات امنیتی تأمین‌کنندگان باید مدیریت شوند.
- گزارش‌دهی غیرقابل‌فهم: گزارش‌های مدیریتی باید پیامد ریسک و تصمیم موردنیاز را روشن کنند، نه اینکه فقط از اصطلاحات فنی تشکیل شوند.
برای شناخت بیشتر این موضوع، مقاله اشتباهات امنیتی رایج مدیران غیر فنی در سازمان‌ها نیز می‌تواند مکمل این راهنما باشد.
جمع‌بندی: امنیت اطلاعات بخشی از راهبری سازمان است
مدیران برای حفاظت مؤثر از اطلاعات باید مسئولیت‌ها را روشن کنند، ریسک‌ها را بر اساس پیامدهای کسب‌وکار اولویت‌بندی کنند، منابع مناسب اختصاص دهند و عملکرد تیم‌های فنی و پیمانکاران را با شواهد و شاخص‌های مشخص ارزیابی کنند.
امنیت پایدار تنها به ابزارهای فنی وابسته نیست. سیاست‌های قابل‌اجرا، کنترل دسترسی، آموزش، آمادگی برای بحران و پیگیری اقدامات اصلاحی باید در کنار یکدیگر قرار گیرند.
با شروع از ریسک‌های مهم، اجرای مرحله‌ای اصلاحات و بازبینی دوره‌ای نتایج، مدیران می‌توانند تصمیم‌های امنیتی را هدفمندتر کنند و آمادگی سازمان را در برابر رخدادهای احتمالی افزایش دهند.
دریافت مشاوره از واریان شبکه گستر
برای بررسی نیازهای زیرساخت فناوری اطلاعات سازمان و شناخت راهکارهای مناسب شبکه و امنیت اطلاعات، با واریان شبکه گستر در ارتباط باشید:
