امنیت اطلاعات در سازمان فقط به نصب فایروال، خرید تجهیزات امنیتی یا استفاده از نرم‌افزارهای حفاظتی محدود نمی‌شود. بسیاری از تصمیم‌ها و رفتارهای روزمره کارکنان، مدیران و پیمانکاران می‌توانند بر میزان حفاظت از اطلاعات اثر بگذارند؛ از نحوه استفاده از گذرواژه‌ها و ارسال فایل‌ها تا گزارش‌دادن یک ایمیل مشکوک یا رعایت رویه‌های دسترسی.
فرهنگ امنیتی زمانی شکل می‌گیرد که افراد سازمان، امنیت اطلاعات را بخشی از مسئولیت کاری خود بدانند و برای رعایت آن به دستورهای مقطعی وابسته نباشند. مدیران در این مسیر نقش تعیین‌کننده‌ای دارند؛ زیرا اولویت‌ها، بودجه، الگوی رفتاری و فضای پاسخ‌گویی سازمان را مشخص می‌کنند.
در این مقاله، راهکارهایی عملی برای ساختن و تقویت فرهنگ امنیت اطلاعات بررسی می‌کنیم؛ از تدوین سیاست‌های قابل‌اجرا و آموزش متناسب با وظایف تا تشویق گزارش‌دهی، سنجش پیشرفت و اجرای یک برنامه ۹۰ روزه.
فرهنگ امنیتی سازمان چیست و چرا اهمیت دارد؟
فرهنگ امنیتی مجموعه‌ای از باورها، عادت‌ها، تصمیم‌ها و رفتارهایی است که نحوه حفاظت از اطلاعات و سامانه‌های سازمان را شکل می‌دهند. در سازمانی با فرهنگ امنیتی مناسب، کارکنان می‌دانند چه اطلاعاتی حساس است، چگونه باید از آن نگهداری کنند، چه دسترسی‌هایی مجاز است و در صورت مشاهده رفتار مشکوک باید چه اقدامی انجام دهند.
داشتن سیاست امنیتی مکتوب ضروری است، اما به‌تنهایی کافی نیست. اگر کارکنان سیاست‌ها را درک نکنند، ابزار لازم برای اجرای آن‌ها را نداشته باشند یا از گزارش اشتباهات خود بترسند، احتمال دارد رویه‌های مصوب در عمل رعایت نشوند.
فرهنگ امنیتی مؤثر به سازمان کمک می‌کند تا رفتارهای پرخطر را کاهش دهد، مشکلات را زودتر شناسایی کند، مسئولیت‌ها را روشن سازد و هنگام بروز رخداد با هماهنگی بیشتری واکنش نشان دهد. البته هیچ فرهنگی خطر را به صفر نمی‌رساند؛ هدف، مدیریت بهتر ریسک و افزایش آمادگی سازمان است.
۱. مدیران باید الگوی رفتار امن باشند
کارکنان تنها به بخش‌نامه‌ها توجه نمی‌کنند؛ رفتار واقعی مدیران را نیز مشاهده می‌کنند. اگر مدیران برای سرعت‌بخشیدن به کارها قواعد امنیتی را نادیده بگیرند، از دیگران نیز انتظار رعایت پایدار آن قواعد دشوار خواهد شد.
مدیران می‌توانند با رعایت چند رفتار ساده پیام روشنی منتقل کنند:
- از حساب کاربری اختصاصی خود استفاده کنند و گذرواژه‌ها را در اختیار دیگران قرار ندهند.
- احراز هویت چندمرحله‌ای را برای حساب‌های حساس، در صورت پشتیبانی سامانه، فعال نگه دارند.
- برای دریافت دسترسی بیشتر، از فرایند رسمی درخواست و تأیید استفاده کنند.
- اطلاعات محرمانه را از طریق کانال‌های تأییدشده ارسال کنند.
- در صورت مشاهده پیام مشکوک یا اشتباه امنیتی، همان رویه‌ای را دنبال کنند که از کارکنان انتظار دارند.
وقتی مدیران خودشان از رویه‌های مصوب پیروی می‌کنند، رعایت امنیت از یک الزام اداری به بخشی از رفتار روزانه سازمان تبدیل می‌شود.
۲. سیاست‌های امنیتی روشن، کاربردی و قابل اجرا تدوین کنید
سیاست امنیتی باید به پرسش‌های واقعی کارکنان پاسخ دهد. عباراتی کلی مانند «اطلاعات را ایمن نگه دارید» راهنمای کافی برای تصمیم‌گیری در شرایط روزمره نیستند. کارکنان باید بدانند چه کاری مجاز است، چه کاری ممنوع است و برای موارد استثنایی از چه کسی اجازه بگیرند.
بسته به نوع فعالیت سازمان، سیاست‌های زیر می‌توانند در اولویت باشند:
- کنترل دسترسی: چه افرادی به کدام سامانه‌ها و اطلاعات نیاز دارند و چه کسی دسترسی را تأیید می‌کند؟
- مدیریت گذرواژه و احراز هویت: روش ورود امن و نحوه حفاظت از حساب‌های کاربری چیست؟
- استفاده از ایمیل و اینترنت: چگونه پیام‌ها، پیوندها و فایل‌های مشکوک بررسی می‌شوند؟
- اشتراک‌گذاری اطلاعات: کدام داده‌ها محرمانه‌اند و از چه ابزارهایی می‌توان برای ارسال آن‌ها استفاده کرد؟
- دورکاری و تجهیزات همراه: کارکنان چگونه از شبکه‌ها و دستگاه‌های مورد تأیید استفاده می‌کنند؟
- استفاده از نرم‌افزار و ابزارهای هوش مصنوعی: چه اطلاعاتی مجاز است در سرویس‌های بیرونی وارد شود و چه محدودیت‌هایی وجود دارد؟
- گزارش رخداد: در صورت مشاهده یک رفتار غیرعادی یا افشای احتمالی اطلاعات، چه کسی باید مطلع شود؟
سیاست‌ها باید با اندازه سازمان، نوع داده‌های تحت نگهداری، الزامات قراردادی و ریسک‌های واقعی تناسب داشته باشند. بهتر است هر سیاست یک مالک مشخص، تاریخ بازبینی و روش دسترسی آسان برای کارکنان داشته باشد.
۳. آموزش امنیتی را مستمر و متناسب با وظایف کارکنان اجرا کنید
یک جلسه عمومی در زمان استخدام نمی‌تواند به‌تنهایی عادت‌های امنیتی پایدار ایجاد کند. آموزش باید تکرارشونده، قابل‌فهم و متناسب با فعالیت افراد باشد. کارکنان واحد مالی ممکن است با خطر درخواست‌های جعلی پرداخت مواجه شوند؛ کارکنان منابع انسانی به اطلاعات حساس پرسنلی دسترسی دارند و تیم فنی با مسئولیت‌های متفاوتی درباره دسترسی‌های مدیریتی روبه‌رو است.
برنامه آموزشی مناسب می‌تواند شامل این موارد باشد:
- تشخیص ایمیل‌های فیشینگ، پیوندهای مشکوک و درخواست‌های غیرعادی.
- حفاظت از حساب‌های کاربری، گذرواژه‌ها و روش‌های احراز هویت.
- شناخت اطلاعات محرمانه و قواعد ارسال و نگهداری آن‌ها.
- روش گزارش‌دادن رخدادهای احتمالی و اشتباهات ناخواسته.
- رفتار امن هنگام دورکاری و استفاده از تجهیزات قابل‌حمل.
- الزامات ویژه هر واحد یا نقش شغلی.
به‌جای اتکا به دوره‌های طولانی و پراکنده، می‌توان از آموزش‌های کوتاه، مثال‌های واقعی و تمرین‌های دوره‌ای استفاده کرد. آزمون‌های شبیه‌سازی‌شده فیشینگ نیز در صورت طراحی مسئولانه می‌توانند نقاط نیازمند آموزش را مشخص کنند؛ هدف آن‌ها باید یادگیری باشد، نه تحقیر یا تنبیه کارکنان.
۴. گزارش‌دهی رخدادها را آسان کنید و از پنهان‌کاری جلوگیری کنید
یکی از نشانه‌های فرهنگ امنیتی ضعیف این است که کارکنان پس از کلیک روی یک پیوند مشکوک، ارسال اشتباهی فایل یا مشاهده رفتار غیرعادی، از ترس سرزنش‌شدن سکوت می‌کنند. در چنین وضعیتی، سازمان ممکن است فرصت رسیدگی سریع را از دست بدهد.
مدیران باید مسیر گزارش‌دهی ساده و مشخصی ایجاد کنند. کارکنان باید بدانند رخداد را به چه شخص یا واحدی اطلاع دهند، چه اطلاعاتی ارائه کنند و در صورت نیاز فوری چگونه ارتباط بگیرند.
برای تقویت این فرایند:
- یک نشانی ایمیل، سامانه تیکت یا کانال رسمی برای گزارش رخداد معرفی کنید.
- روش گزارش‌دادن را در دسترس همه کارکنان قرار دهید.
- تأکید کنید که گزارش سریع و با حسن نیت، حتی در صورت اشتباه ناخواسته، ارزشمند است.
- به گزارش‌ها پاسخ دهید تا افراد مطمئن شوند موضوع بررسی شده است.
- پس از رخداد، علت و راهکار اصلاحی را بررسی کنید و اطلاعات لازم را بدون افشای جزئیات محرمانه به اشتراک بگذارید.
تشویق گزارش‌دهی به معنای حذف مسئولیت‌پذیری نیست. تفاوت مهمی میان اشتباه ناخواسته، ضعف فرایندی، بی‌توجهی تکرارشونده و رفتار عمدی وجود دارد و هر مورد باید منصفانه و متناسب با شرایط بررسی شود.
۵. امنیت اطلاعات را به بخشی از تصمیم‌های مدیریتی تبدیل کنید
امنیت زمانی پایدار می‌شود که تصمیم‌های مرتبط با آن فقط به تیم فناوری اطلاعات واگذار نشوند. انتخاب سامانه جدید، ایجاد شعبه، عقد قرارداد با پیمانکار، استفاده از سرویس ابری یا تغییر روش انجام کار ممکن است ریسک‌های تازه‌ای ایجاد کند.
مدیران ارشد باید مشخص کنند چه کسی مسئول مدیریت ریسک‌های امنیتی است، چه کسی اولویت‌ها را تعیین می‌کند و اختلاف میان سرعت انجام کار، هزینه و سطح حفاظت چگونه حل خواهد شد.
برای این منظور می‌توان اقدامات زیر را اجرا کرد:
- تعیین مسئول برای اطلاعات و سامانه‌های حیاتی.
- ارزیابی ریسک پیش از تغییرات مهم فناوری یا فرایندهای کسب‌وکار.
- درنظرگرفتن الزامات امنیتی در خرید تجهیزات و انتخاب پیمانکاران.
- اختصاص بودجه و زمان مناسب برای آموزش، نگهداری و اصلاح ضعف‌ها.
- گزارش دوره‌ای وضعیت ریسک‌های مهم به مدیران تصمیم‌گیرنده.
برای آشنایی بیشتر با نقش مدیریتی در این حوزه، مقاله نقش مدیران در امنیت اطلاعات سازمانی را مطالعه کنید.
۶. دسترسی‌ها و مسئولیت‌ها را متناسب با وظایف تعریف کنید
فرهنگ امنیتی فقط به آگاهی افراد وابسته نیست؛ ساختار دسترسی سامانه‌ها نیز اهمیت دارد. اگر کارکنان بیش از نیاز شغلی خود به اطلاعات یا امکانات مدیریتی دسترسی داشته باشند، یک اشتباه یا سوءاستفاده احتمالی می‌تواند اثر گسترده‌تری ایجاد کند.
مدیران با همکاری تیم فنی باید اطمینان حاصل کنند که:
- دسترسی‌ها متناسب با نیاز شغلی تعریف می‌شوند.
- تغییر نقش یا خروج کارکنان به بازبینی و لغو دسترسی‌های غیرضروری منجر می‌شود.
- حساب‌های مدیریتی و حساس کنترل‌های قوی‌تری دارند.
- دسترسی پیمانکاران و اشخاص ثالث محدود، زمان‌دار و قابل‌پیگیری است.
- دسترسی‌های مهم به‌صورت دوره‌ای بازبینی می‌شوند.
این اقدامات باید همراه با رویه روشن درخواست و تأیید دسترسی اجرا شوند؛ به‌گونه‌ای که کارکنان برای انجام کار مجاز خود مجبور به دورزدن کنترل‌ها نشوند.
۷. مسئولیت امنیت را میان واحدها تقسیم کنید، اما مالکیت آن را مبهم نگذارید
امنیت اطلاعات وظیفه یک واحد به‌تنهایی نیست. فناوری اطلاعات، منابع انسانی، مالی، حقوقی، مدیریت و کاربران هر کدام در بخش‌هایی از آن مسئولیت دارند. بااین‌حال، اگر مرز مسئولیت‌ها مشخص نباشد، ممکن است موضوعی مهم میان چند واحد معطل بماند.
برای مثال، تیم فناوری اطلاعات می‌تواند کنترل‌های فنی و ثبت رخدادها را پیاده‌سازی کند؛ منابع انسانی در آموزش بدو استخدام و تغییر نقش مشارکت داشته باشد؛ واحد حقوقی و قراردادها تعهدات محرمانگی را بررسی کند و مدیران کسب‌وکار اهمیت داده‌ها و اولویت بازیابی را تعیین کنند.
مدیریت باید برای هر فعالیت مهم، مسئول اجرا، تأییدکننده و افراد مطلع را مشخص کند. این تقسیم کار به‌ویژه در زمان بروز رخداد، زمانی که تصمیم‌گیری سریع اهمیت دارد، بسیار مفید است.
۸. برای رخدادهای امنیتی و شرایط بحرانی تمرین کنید
نوشتن برنامه پاسخ به رخداد ضروری است، اما سازمان باید تا حد امکان آمادگی عملی خود را نیز ارزیابی کند. یک تمرین رومیزی می‌تواند سناریویی مانند افشای احتمالی اطلاعات، از دسترس خارج‌شدن یک سرویس حیاتی یا دسترسی غیرمجاز به یک حساب را شبیه‌سازی کند.
در این تمرین‌ها باید نقش‌ها، مسیر اطلاع‌رسانی، اختیار تصمیم‌گیری، اولویت‌بندی خدمات و شیوه ارتباط با طرف‌های داخلی و بیرونی روشن شوند.
پس از هر تمرین یا رخداد واقعی، جلسه‌ای برای استخراج آموخته‌ها برگزار کنید. هدف، شناسایی ضعف فرایندها و بهبود آمادگی است؛ نه صرفاً تهیه گزارشی برای بایگانی.
برای بررسی جنبه‌های فنی حفاظت از زیرساخت، مقاله نکات مهم درباره امنیت شبکه و مطلب پیاده‌سازی امنیت شبکه و مدیریت تهدیدات نیز می‌توانند مکمل این راهنما باشند.
۹. پیشرفت فرهنگ امنیتی را چگونه اندازه بگیریم؟
اگر سازمان نداند آموزش‌ها، سیاست‌ها و اقدامات اصلاحی چه اثری داشته‌اند، بهبود فرهنگ امنیتی دشوار خواهد بود. سنجش باید به جای تمرکز بر یک عدد، ترکیبی از شاخص‌های رفتاری، فرایندی و فنی را در نظر بگیرد.
| شاخص پیشنهادی | چه چیزی را نشان می‌دهد؟ | نکته در ارزیابی |
|---|---|---|
| میزان تکمیل آموزش‌ها | پوشش برنامه آموزشی | تکمیل دوره به‌تنهایی به معنای یادگیری نیست. |
| سرعت گزارش رخداد | توانایی تشخیص و اطلاع‌رسانی به‌موقع | از زمان شناسایی تا زمان گزارش را بررسی کنید. |
| نتایج تمرین‌های آگاهی امنیتی | موضوعاتی که نیازمند آموزش بیشتر هستند | نتایج باید برای یادگیری استفاده شوند، نه شرمسارکردن افراد. |
| وضعیت دسترسی‌های بازبینی‌شده | میزان اجرای بازبینی‌های دسترسی | موارد معوق و ریسک‌های مهم را جداگانه پیگیری کنید. |
| اقدامات اصلاحی تکمیل‌شده | میزان پیگیری مشکلات شناسایی‌شده | اهمیت و ریسک هر مورد را نیز در نظر بگیرید. |
| رخدادها و مشکلات تکرارشونده | الگوهای ریسک و نقاط ضعف فرایندی | افزایش گزارش‌ها لزوماً به معنی افزایش خطر نیست؛ ممکن است گزارش‌دهی بهتر شده باشد. |
برای هر شاخص، مقدار پایه، هدف واقع‌بینانه، مسئول اندازه‌گیری و دوره گزارش‌دهی را مشخص کنید. داده‌ها باید در کنار زمینه رخدادها تفسیر شوند؛ زیرا یک عدد منفرد نمی‌تواند تصویر کاملی از وضعیت امنیتی سازمان ارائه دهد.
۱۰. برنامه اجرایی ۹۰ روزه برای شروع
برای شروع ایجاد فرهنگ امنیتی، لازم نیست تمام سیاست‌ها و دوره‌ها هم‌زمان اجرا شوند. یک برنامه مرحله‌ای می‌تواند به سازمان کمک کند از شناخت وضعیت موجود به اجرای اقدامات قابل‌اندازه‌گیری برسد.
روزهای ۱ تا ۳۰: شناخت وضعیت و تعیین اولویت‌ها
- اطلاعات و سامانه‌های حیاتی و مسئولان آن‌ها را شناسایی کنید.
- روش فعلی گزارش رخدادها و نقاط ضعف آن را بررسی کنید.
- با مدیران واحدها و نمایندگان فناوری اطلاعات گفت‌وگو کنید.
- چند ریسک اصلی و قابل‌رسیدگی را برای شروع انتخاب کنید.
روزهای ۳۱ تا ۶۰: تدوین سیاست‌ها و شروع آموزش
- سیاست‌های کوتاه و قابل‌فهم برای موضوعات پرریسک تدوین یا اصلاح کنید.
- مسیر رسمی گزارش رخدادها را به همه کارکنان معرفی کنید.
- آموزش‌های کوتاه و متناسب با نقش‌های شغلی را آغاز کنید.
- برای دسترسی‌های حساس و مسئولیت واحدها تعیین تکلیف کنید.
روزهای ۶۱ تا ۹۰: تمرین، ارزیابی و اصلاح
- یک تمرین مدیریت رخداد یا سناریوی امنیتی برگزار کنید.
- نتایج آموزش، گزارش‌دهی و اقدامات اصلاحی را بررسی کنید.
- بازخورد کارکنان را درباره دشواری اجرای سیاست‌ها دریافت کنید.
- برنامه مرحله بعد را بر اساس نتایج و ریسک‌های باقی‌مانده تنظیم کنید.
این بازه زمانی یک الگوی اجرایی پیشنهادی است، نه تضمین رسیدن به بلوغ امنیتی در سه ماه. سرعت پیشرفت باید با اندازه سازمان، حساسیت اطلاعات، منابع موجود و سطح ریسک آن متناسب باشد.
اشتباهات رایج مدیران در ایجاد فرهنگ امنیتی
- اتکا به ابزارهای فنی به‌تنهایی: ابزارها بدون فرایندهای مناسب، آموزش و مسئولیت روشن کافی نیستند.
- آموزش یک‌باره: آگاهی امنیتی باید متناسب با تغییر تهدیدها، سامانه‌ها و وظایف بازبینی شود.
- سرزنش همه خطاها: سرزنش بدون بررسی علت، ممکن است گزارش‌دهی را کاهش دهد و از آشکارشدن ضعف‌های فرایندی جلوگیری کند.
- سیاست‌های بیش از حد پیچیده: رویه‌هایی که اجرای آن‌ها دشوار یا نامشخص است، ممکن است در عمل دور زده شوند.
- نبود پیگیری مدیریتی: سیاست و آموزش بدون منابع، مسئول و بررسی نتایج به‌سختی به رفتار پایدار تبدیل می‌شوند.
- نادیده‌گرفتن پیمانکاران: دسترسی اشخاص ثالث و تعهدات امنیتی آن‌ها باید در فرایندهای سازمان دیده شود.
برای شناخت بهتر خطاهای تصمیم‌گیری در این حوزه، مقاله اشتباهات امنیتی رایج مدیران غیر فنی در سازمان‌ها را نیز مطالعه کنید. همچنین راهنمای مدیران غیر فنی در حوزه شبکه و امنیت اطلاعات می‌تواند در تصمیم‌گیری‌های مدیریتی مرتبط مفید باشد.
چک‌لیست مدیران برای تقویت فرهنگ امنیتی
- یک مسئول یا ساختار مشخص برای هماهنگی امنیت اطلاعات تعیین شده است.
- کارکنان سیاست‌های اصلی و روش گزارش رخداد را می‌دانند.
- آموزش‌ها بر اساس نقش شغلی و نیازهای واقعی تنظیم شده‌اند.
- مدیران در رفتار روزانه، اصول امنیتی را رعایت می‌کنند.
- دسترسی‌های حساس و دسترسی پیمانکاران بازبینی می‌شوند.
- برای رخدادهای امنیتی، مسیر گزارش‌دهی و روش هماهنگی وجود دارد.
- شاخص‌های ساده برای ارزیابی پیشرفت تعیین شده‌اند.
- پس از رخدادها و تمرین‌ها، اقدامات اصلاحی تعریف و پیگیری می‌شوند.
جمع‌بندی: امنیت اطلاعات با رفتار سازمانی پایدار می‌شود
ایجاد فرهنگ امنیتی فرایندی مداوم است که به حمایت مدیران، سیاست‌های قابل اجرا، آموزش متناسب با وظایف، گزارش‌دهی امن و پیگیری مستمر نیاز دارد. ابزارهای فنی بخش مهمی از حفاظت سازمان هستند، اما اثربخشی آن‌ها به نحوه استفاده، مسئولیت‌پذیری و تصمیم‌های روزمره افراد نیز وابسته است.
مدیران می‌توانند با الگوبودن، تخصیص منابع مناسب، تعریف مسئولیت‌های روشن و سنجش نتایج، امنیت اطلاعات را به بخشی از شیوه کار سازمان تبدیل کنند. شروع با چند اولویت مشخص و بهبود تدریجی، معمولاً از تدوین سیاست‌های فراوانی که در عمل اجرا نمی‌شوند، مفیدتر است.
دریافت مشاوره از واریان شبکه گستر
برای بررسی نیازهای امنیتی زیرساخت فناوری اطلاعات سازمان و شناخت راهکارهای مناسب شبکه و حفاظت از اطلاعات، با واریان شبکه گستر در ارتباط باشید:
