همه در امنیت سایبری نقش دارند

کار انجام شد، نه؟ خب، نه کاملاً.

فرض اینکه امنیت سایبری فقط یک مشکل فناوری اطلاعات است، شکاف خطرناکی در دفاع سازمان شما ایجاد می‌کند.

واقعیت این است که بسیاری از حوادث سایبری از افراد شروع می‌شوند. یک کارمند ممکن است روی یک لینک مشکوک کلیک کند، به‌طور تصادفی داده‌های حساس را به اشتراک بگذارد یا از طریق یک شبکه ناامن وارد سیستم شود. به همین دلیل است که امنیت سایبری و حفاظت از داده‌ها نمی‌توانند تنها توسط یک تیم مدیریت شوند.

در حالی که سازمان‌ها نقش‌ها و مسئولیت‌های رسمی در مورد حفاظت از داده‌ها و امنیت سایبری دارند، همه در حفظ امنیت نقش دارند. سازمان‌هایی که امنیت سایبری را به عنوان یک مسئولیت مشترک در نظر می‌گیرند، در موقعیت بهتری برای محافظت از افراد، سیستم‌ها و داده‌های خود قرار دارند.

در اینجا، بررسی خواهیم کرد که چرا امنیت سایبری یک مسئولیت مشترک است و این مسئولیت در عمل چگونه است:

چرا امنیت سایبری به چیزی بیش از ابزار نیاز دارد؟

چرا همه نقش بازی می‌کنند

امنیت سایبری، حفاظت از داده‌ها و GDPR

چگونه مسئولیت مشترک، تاب‌آوری سازمانی را تقویت می‌کند

چرا یک رویکرد مشترک، تاب‌آوری را افزایش می‌دهد؟

چگونه فرهنگ امنیت سایبری را در محیط کار ایجاد کنیم

ابزارهای امنیت سایبری ضروری هستند. محافظت از نقاط پایانی، فیلتر کردن ایمیل، کنترل هویت و سیستم‌های نظارتی، همگی به کاهش ریسک کمک می‌کنند. اما نمی‌توانند رفتار ناامن را جبران کنند.

افرادی که از سیستم‌ها استفاده می‌کنند به اندازه خود سیستم‌ها مهم هستند.

در واقع، بسیاری از نقض‌ها با اقدامات روتین مربوط به داده‌های شخصی آغاز می‌شوند. در سال ۲۰۲۵، خرده‌فروشی مارکس و اسپنسر در بریتانیا قربانی یک حمله مهندسی اجتماعی شد که در آن مهاجمان خود را به جای کارکنان M&S جا زدند تا یک میز کمک شخص ثالث را فریب دهند تا اعتبارنامه‌های کاربر را بازنشانی کرده و به آنها دسترسی به شبکه بدهد. این نمونه بارزی از چگونگی ایجاد آسیب‌پذیری توسط رفتار انسان است.

مهاجمان می‌دانند که سوءاستفاده از افراد می‌تواند آسان‌تر از سوءاستفاده از فناوری باشد. آن‌ها اغلب کارمندان و فرآیندهای تجاری را هدف قرار می‌دهند، زیرا متقاعد کردن کسی برای ارائه دسترسی می‌تواند آسان‌تر از انجام یک حمله فنی باشد.

به گفته ربکا رابینسون، متخصص و بنیانگذار CYBEC Consulting، که در پادکست  صحبت کرد ، «بیشتر حوادث سایبری لزوماً توسط افرادی که کاری را با بی‌دقتی انجام داده‌اند، ایجاد نمی‌شوند. این معمولاً به دلیل یک سیستم نامشخص، فرآیندهای ضعیف یا انتظارات غیرواقعی از افراد در زمانی که تحت فشار زمانی هستند، رخ می‌دهد. آنها، می‌دانید، مجموعه‌ای از اولویت‌های رقابتی مختلف دارند... من فکر می‌کنم ما باید شروع به گنجاندن افراد در طراحی سیستم خوبی کنیم که در واقع از رفتار انسان پشتیبانی می‌کند.»

با افزایش متقاعدکننده‌تر شدن کلاهبرداری‌های مبتنی بر هوش مصنوعی، تشخیص ارتباطات مشروع از ارتباطات مخرب نیز دشوارتر می‌شود. هوش مصنوعی نیز چالش‌های امنیتی خاص خود را دارد، به‌ویژه زمانی که کارمندان اطلاعات شرکت یا مشتری را در ابزارهای خارجی وارد می‌کنند. به‌عنوان‌مثال، بازاریابان باید قبل از استفاده از این پلتفرم‌ها برای مدیریت اطلاعات حساس، خطرات امنیت سایبری استفاده از هوش مصنوعی در بازاریابی را درک کنند.

امنیت سایبری زمانی به بهترین شکل عمل می‌کند که مسئولیت‌ها به اشتراک گذاشته شود و همه نقش خود را درک کنند.

رهبران شرکت مسئول تعیین اولویت‌ها و ایجاد فرهنگی هستند که در آن رفتار ایمن مورد انتظار، تشویق و حمایت قرار گیرد.

تیم‌های فناوری اطلاعات و امنیت مسئول طراحی تدابیر فنی، نظارت بر تهدیدها و پاسخگویی به حوادث هستند.

سایر کارمندان مسئول حفاظت از داده‌هایی هستند که با آنها سروکار دارند، از رویه‌های ایمن پیروی می‌کنند و در صورت بروز هرگونه مشکل، نگرانی‌های خود را در اسرع وقت مطرح می‌کنند.

قبل از بررسی گسترده‌تر امنیت سایبری و مسئولیت مشترک، بهتر است به رابطه بین GDPR، حفاظت از داده‌ها و مسئولیت مشترک نگاهی بیندازیم.

هر فردی در یک سازمان مسئولیت مراقبت از داده‌هایی را که با آنها سروکار دارد و پیروی از شیوه‌های مناسب حفاظت از داده‌ها را بر عهده دارد. اگر شما به عنوان بخشی از نقش خود با داده‌های شخصی سروکار دارید، باید اصول مربوط به حفاظت از داده‌ها را درک کرده و رعایت کنید.

در عمل، این بدان معناست که کارمندان باید مسئولیت نحوه جمع‌آوری، استفاده، اشتراک‌گذاری و ذخیره داده‌ها را بر عهده بگیرند.

این امر به ویژه برای تیم‌هایی مانند بازاریابی، فروش و خدمات مشتری که مرتباً با اطلاعات مشتری سروکار دارند، بسیار مهم است.

سازمان‌ها به مالکیت و ساختار مشخص نیاز دارند. طبق GDPR، نقش‌های خاصی در حفاظت و پردازش داده‌های شخصی وجود دارد:

کنترل‌کننده داده‌ها: معمولاً خود سازمان، کنترل‌کننده داده‌ها است. این کنترل‌کننده می‌تواند یک شرکت، موسسه خیریه یا نهاد عمومی باشد، نه یک کارمند.

پردازشگر داده‌ها: پردازشگرهای داده‌ها سازمان‌ها یا اشخاص ثالثی هستند که از طرف کنترل‌کننده، داده‌های شخصی را مدیریت می‌کنند، مانند ارائه‌دهندگان پشتیبانی فناوری اطلاعات، خدمات حقوق و دستمزد یا پلتفرم‌های ابری.

مسئول حفاظت از داده‌ها: برخی سازمان‌ها از نظر قانونی ملزم به تعیین یک مسئول حفاظت از داده‌ها (DPO) هستند، به ویژه اگر انواع خاصی از نظارت در مقیاس بزرگ را انجام دهند یا دسته‌های خاصی از داده‌های حساس را پردازش کنند. DPO بر رعایت قوانین نظارت می‌کند، در مورد تعهدات حفاظت از داده‌ها مشاوره می‌دهد، از ارزیابی‌های تأثیر پشتیبانی می‌کند و به عنوان نقطه تماس با تنظیم‌کننده‌ها و افراد دارای داده‌ها عمل می‌کند.

حریم خصوصی داده‌ها در کنار فناوری‌ها و مقررات جدید همچنان در حال تکامل است، بنابراین سازمان‌ها باید رویه‌های خود را به‌روز نگه دارند. درباره وضعیت فعلی حریم خصوصی داده‌ها بیشتر بدانید .

ایجاد یک مدل مشترک که در آن همه نقش خود را درک کنند، می‌تواند وضعیت امنیتی سازمان شما را تقویت کند.

یک رویکرد مسئولیت مشترک می‌تواند تشخیص را بهبود بخشد، تأثیر نقض‌ها را کاهش دهد و تاب‌آوری کلی را تقویت کند.

محافظت از داده‌های حساس

نقض داده‌ها می‌تواند عواقب گسترده‌ای داشته باشد. به این موارد، حجم داده‌هایی را که کارمندان هر روز با آنها سروکار دارند، اضافه کنید تا به سرعت مشخص شود که چرا حفاظت از داده‌ها باید در اولویت قرار گیرد.

تقریباً هر کسی در شرکت شما به نوعی با داده‌ها سروکار خواهد داشت. تیم‌های منابع انسانی به سوابق کارمندان دسترسی دارند. تیم‌های مالی اطلاعات مالی را مدیریت می‌کنند. تیم‌های بازاریابی، فروش و پشتیبانی مشتری همگی ممکن است به اطلاعات شخصی مشتریان دسترسی داشته باشند.

به ویژه برای تیم‌های بازاریابی، اهمیت روزافزون جمع‌آوری و استفاده از داده‌های شخص اول، مدیریت مسئولانه داده‌ها را بیش از پیش مهم می‌کند.

با توجه به اینکه افراد زیادی به اطلاعات حساس دسترسی دارند، همه باید بدانند که چگونه آن را ایمن نگه دارند.

تبدیل امنیت سایبری به یک مسئولیت مشترک به معنای دادن دانش و اعتماد به نفس به کارکنان برای محافظت از داده‌هایی است که با آنها سروکار دارند. عادات عملی حفاظت از داده‌ها می‌تواند به جلوگیری از افشای تصادفی و کاهش فرصت‌ها برای مهاجمان کمک کند.

نقاط ورود را به حداقل برسانید

هر حساب کاربری، دستگاه و ابزار کارمند، یک نقطه ورود بالقوه به سیستم‌های سازمان شما ایجاد می‌کند.

صندوق‌های ورودی ایمیل، ابزارهای همکاری، پلتفرم‌های ابری، حساب‌های رسانه‌های اجتماعی و سایر نرم‌افزارها، در صورت عدم امنیت مناسب، می‌توانند نقاط شروع حملات سایبری باشند.

به همین دلیل است که عادات افراد در مورد دسترسی به حساب کاربری اهمیت دارد.

برای مثال، رمزهای عبور ضعیف یا چندبار استفاده شده می‌توانند آسیب‌پذیری‌های غیرضروری ایجاد کنند. کارمندانی که آموزش مناسب در زمینه امنیت سایبری ندیده‌اند، ممکن است متوجه نشوند که چگونه عادات روزمره می‌توانند نقاط ضعفی در دفاع یک سازمان ایجاد کنند.

وقتی امنیت سایبری به عنوان یک مسئولیت مشترک در نظر گرفته شود، کارمندان اهمیت محافظت از نقاط دسترسی خود را درک می‌کنند. این به معنای احتیاط در مورد لینک‌ها و پیوست‌ها، استفاده از رمزهای عبور قوی و منحصر به فرد، فعال کردن احراز هویت چند عاملی، گزارش تلاش‌های مشکوک برای ورود به سیستم و اجتناب از ابزارها یا راه‌حل‌های غیرمجاز است.

با کمک به کارمندان برای درک چگونگی سوءاستفاده مهاجمان از نقاط دسترسی ضعیف، مانند اعتبارنامه‌های لو رفته یا حساب‌های کاربری با مجوزهای بیش از حد، سازمان‌ها می‌توانند احتمال دسترسی غیرمجاز را کاهش داده و جای پایی برای تهدیدها بسیار دشوارتر کنند.

مهار حوادث

هیچ محیط امنیتی بی‌نقص نیست. چیزی که مهم است این است که شرکت شما چقدر سریع می‌تواند در صورت بروز مشکل، آن را شناسایی و مهار کند.

یک مدل مسئولیت مشترک، کارمندان را تشویق می‌کند تا فعالیت‌ها و اشتباهات مشکوک را بدون ترس یا سرزنش، در مراحل اولیه گزارش دهند.

این می‌تواند شامل کلیک روی یک لینک مشکوک در یک ایمیل، مشاهده رفتار غیرمعمول سیستم، مشاهده یک تلاش غیرمنتظره برای ورود به سیستم یا پی بردن به اینکه داده‌ها به اشتباه به اشتراک گذاشته شده‌اند، باشد.

گزارش زودهنگام بسیار مهم است. این امر به تیم‌های امنیتی اجازه می‌دهد تا حوادث را قبل از گسترش مهار کنند، تأثیر آن را بر سیستم‌ها و داده‌ها محدود کنند و زمان بازیابی را کاهش دهند.

سازمان‌هایی که فرهنگ امنیتی قوی دارند، می‌توانند سریع‌تر واکنش نشان دهند و به‌طور بالقوه خسارات ناشی از یک حادثه را محدود کنند.

«امنیت سایبری مسئولیت همه است. اگر فقط در حوزه فناوری اطلاعات کار می‌کنید، نمی‌توانید تصمیم بگیرید که آیا باج بدهید یا نه، اگر در حوزه فناوری اطلاعات کار می‌کنید، نمی‌توانید تصمیم بگیرید که در مورد چه چیزی به رسانه‌ها اطلاع دهید و اگر در حوزه فناوری اطلاعات کار می‌کنید، نمی‌توانید جلوی افراد را از دریافت تماس‌های اسپم یا کلیک روی لینک‌های مخرب بگیرید. سازمان‌هایی که فکر می‌کنند امنیت سایبری باید در بخش فناوری اطلاعات باقی بماند، در دهه آینده دوام نخواهند آورد.» - همانطور که چارلز استفنسون، مدیر بخش یودو سنتینل، توضیح می‌دهد:

وقتی یک حادثه سایبری رخ می‌دهد، یک واکنش مؤثر مستلزم همکاری در کل کسب‌وکار است.

تیم فناوری اطلاعات ممکن است تحلیل فنی را رهبری کند، اما تیم‌های بازاریابی و روابط عمومی ممکن است ارتباطات را مدیریت کنند، رهبران ارشد تصمیمات کلیدی را می‌گیرند و تیم‌های حقوقی به اطمینان از برآورده شدن الزامات نظارتی و حفظ شواهد کمک می‌کنند.

وقتی همه نقش خود را در امنیت سایبری درک کنند، امنیت در کار روزمره نهادینه می‌شود.

به جای تکیه صرف بر تیم‌های فناوری اطلاعات برای شناسایی و پاسخ به تهدیدها، کارمندان در سراسر سازمان به لایه دیگری از دفاع تبدیل می‌شوند.

آنها می‌دانند فعالیت‌های مشکوک چگونه به نظر می‌رسند، درک می‌کنند که چگونه اقدامات روزمره‌شان می‌تواند خطراتی ایجاد کند و می‌دانند وقتی مشکلی پیش می‌آید چه باید بکنند.

این آگاهی جمعی، تاب‌آوری سازمانی را تقویت می‌کند و به محافظت از شرکت در برابر تهدیدات سایبری در حال تحول کمک می‌کند.

هیچ‌کس از فرهنگ سرزنش سودی نمی‌برد.

اگر افراد از عواقب اشتباه یا سوء استفاده از داده‌ها بترسند، ممکن است سعی کنند آنچه اتفاق افتاده را پنهان کنند. این تأخیر می‌تواند به مهاجمان زمان بیشتری برای سوءاستفاده از موقعیت بدهد.

یک فرهنگ امنیت سایبری مثبت به جای آن:

سوالات را تشویق می‌کند

به گزارش زودهنگام پاداش می‌دهد

با اشتباهات به عنوان فرصت‌های یادگیری رفتار می‌کند

راهنمایی را واضح و آسان برای دنبال کردن می‌کند

آموزش امنیت سایبری، یادآوری‌ها، شبیه‌سازی‌ها و شیوه‌های صحیح بهداشت دیجیتال، همگی می‌توانند به تبدیل رفتار ایمن به بخشی از کار روزمره کمک کنند.

آموزش همچنین باید منعکس کننده نحوه استفاده افراد از فناوری باشد. با ظهور پلتفرم‌ها و فناوری‌های جدید، کارمندان باید خطرات ناشی از آنها و همچنین مزایای آنها را درک کنند. این امر به ویژه با توجه به اینکه مشاغل از هوش مصنوعی، پلتفرم‌های مبتنی بر ابر و سایر ابزارهایی که ممکن است حجم زیادی از داده‌های شرکت یا مشتری را پردازش کنند، استفاده می‌کنند، اهمیت دارد.

وقتی افراد بفهمند که چرا حفاظت از داده‌ها اهمیت دارد و چگونه مهاجمان از آسیب‌پذیری‌ها سوءاستفاده می‌کنند، شانس بیشتری برای تبدیل شدن به بخشی فعال از استراتژی دفاعی سازمان دارند.

امنیت سایبری و حفاظت از داده‌ها متعلق به یک تیم، ابزار یا شخص نیستند. آن‌ها هر روز با نحوه مدیریت داده‌ها، دسترسی به سیستم‌ها، استفاده از ابزارهای دیجیتال و پاسخگویی به ریسک توسط افراد شکل می‌گیرند.

سازمان‌ها هنوز به پاسخگویی، سیاست‌ها و حفاظت‌های فنی شفاف نیاز دارند. اما امنیت سایبری مؤثر به تصمیماتی که کارمندان هر روز می‌گیرند نیز بستگی دارد.

وقتی رهبری، تیم‌های امنیتی و کارمندان در سراسر سازمان با هم همکاری کنند، کسب‌وکارها می‌توانند در برابر نفوذ مقاوم‌تر شوند و در صورت وقوع حوادث، آمادگی بهتری برای پاسخگویی و بازیابی داشته باشند.