هزینههای امنیت سایبری در حال افزایشاند،اما جرائم اینترنتی کاهش نمییابند!
چرا سرمایهگذاریهای صورت گرفته در امنیت سایبری به اندازه کافی برای جلوگیری از رشد بیرحمانه در جرائم اینترنتی مؤثر به نظر نمیرسند؟
سال نو همگی مبارک!
امروز در آستانه ورود به سال نو؛ تصمیم گرفتیم تا موضوعی را که به همه ما، افراد و سازمانها بهطور یکسان مربوط میشود، بررسی کنیم:
چرا سرمایهگذاریهای صورت گرفته در امنیت سایبری به اندازه کافی برای جلوگیری از رشد بیرحمانه در جرائم اینترنتی مؤثر به نظر نمیرسند؟
طرح همین پرسش ساده، به راحتی میتواند هم از جانب متخصصان امنیت در سازمانها و هم از طرف بخشی از فروشندگان فناوری امنیتی، واکنشهای دفاعی و متقابلی را ایجاد کند. با این حال، نکته این است که در چنین شرایطی باید سعی کنیم که جبههگیری نکنیم، بلکه برای به اشتراک گذاشتن بازتاب نظراتمان در مورد علل احتمالی این عدم تعادل، تلاش نماییم.
هزینههای امنیت سایبری به شکل بیسابقهای در حال افزایش هستند
با نگاهی تاریخی به موضوع، فقدان بودجه کافی، یک چالش کلیدی در رسیدگی به مسائل امنیت سایبری در سازمانهای خصوصی و دولتی بوده است. مدیرعاملها (CISO)، مدیران ارشد فناوری اطلاعات (CIO) و دیگر مدیران امنیتی سالها تلاش کردهاند تا درخواستهای بودجه خود را تأیید کنند، تا بتوانند حداقل ضمانتهای رضایت بخش را در اختیار شرکت تحت مسئولیت خود قرار دهند.
«صنعت امنیت اطلاعات» (infosec Industry) که، بهطور طبیعی، به توسعه صنعت فناوری اطلاعات وابسته است وضعیتی مشکلساز است که در سالهای قبل بهطور قابلتوجهی تغییر کرده است.
پیش از این، هرگز سابقه نداشته که شرکتها و نهادهای دولتی در زمینه امنیت سایبری، هم از نقطه نظر تکنولوژیکی و هم از نقطه نظر منابع انسانی، مثل شرایط امروزی، مبلغ هنگفتی پول و سرمایه را صرف کنند.
سال گذشته یک بررسی در کنفرانس «ایساکا» (ISACA) و «آر.اس.آ» (RSA) نشان داد که:
(توضیح: ISACA مخفف عبارت «انجمن حسابرسی و کنترل سامانههای اطلاعاتی» و RSA نیز مخفف «Rivest Shamir Adleman» میباشد که شیوهای برای رمزنگاری به روش کلید عمومی (Public Key) است.)
61٪ از بررسیهای انجام شده نشان دادند که، انتظار میرود در سال 2016 بودجه آنها در زمینه امنیت سایبری افزایش یابد.
و دیگر اینکه
علاوه بر افزایش هزینههای امنیتی در زمینه امنیت سایبری، 75% از شرکت کنندگان در نظرسنجی گزارش دادند که استراتژی امنیت سایبری سازمانها در حال حاضر با اهداف سازمانی آنها هماهنگ است.
81.6 میلیارد دلار
«گارنر» (Gartner) همچنین پیشبینی کرد که افزایش منابع مالی اختصاص یافته برای تقویت سپر دفاعی سایبری و هزینههای امنیت سایبری لازم، بر اساس چند شاخص کلیدی و روند بازار، باعث شده است که “هزینههای جهانی مربوط به محصولات و خدمات امنیتی اطلاعات با رسیدن به رقم 81.6 میلیارد دلار در سال 2016 به میزان 7.9 درصد نسبت به سال 2015 رشد و افزایش داشته باشد. “
از نقطه نظر هزینههای دارای اولویت، راهنمای جهانی مربوط به هزینههای سالانه امنیتی IDC بر سه بخش اصلی تأکید میکند:
پیشبینی میشود بزرگترین بخش خدمات مدیریت شده در زمینه تولید، دارای درآمد 13 میلیارد دلاری در سال 1396 باشند. نرمافزارهای امنیتی از این نظر و با برخورداری از امنیت پایدار، هویت و مدیریت دسترسی و با در نظر گرفتن میزان آسیبپذیری آنها، دومین گروه و رده بزرگ در سال 2016 خواهند بود و البته نرمافزارهای مدیریت امنیت همراه با آسیبپذیریهای خود بیش از 75٪ از درآمد این گروه را به خود اختصاص دادهاند. در نهایت، درآمد سختافزارهای امنیتی در سال 1396 به 14 میلیارد دلار خواهد رسید، که منجر به خرید سیستمهای مدیریت تهدید یکپارچه میشود. که به دنبال آن باعث افزایش هزینههای امنیت سایبری برای شرکت ها شد.
حملات سایبری همچنان وجود دارند
آنچه که سال گذشته اتفاق افتاد، پیشبینیهای انجام شده در زمینه سرمایهگذاری را تأیید کرد، اما علاوه بر آن، در تعامل با مدیریت امنیتی با یک مشکل دشوار نیز مواجه شدیم: افزایشی قابل توجه در تعداد حملات سایبری. آنهم خیلی بزرگتر از آنچه که پیشبینی شده بود و انتظار میرفت.
مسلماً اهالی این صنعت انتظار داشتند که این اتفاق بیافتد، اما حتی بیشتر متخصصان از جدیترین و مخربترین جرائم اینترنتی که در سال 1396 اتفاق افتاد، متأثر و شوکه شدند زیرا برخی از آنها حقیقتاً فراتر از حد انتظار بودند. از بزرگترین نشتهای اطلاعاتی که تاکنون اتفاق افتاده گرفته تا بزرگترین حملات دیداس (DDoS) که در تاریخ ثبت شده و رشد انفجاری انواع باج افزارها، اتفاقاتی بودند که در برابر چشمانمان رخ دادند.
افزایش چشمگیر نرخ جرم و جنایت سایبری طی سالهای گذشته موجب تحمیل فشارهای اقتصادی زیادی بر قربانیان شده است. سازمانها، مشتریان، پول و شهرت خود را از دست دادند و با عواقب قانونی بسیاری مواجه شدند. کاربران اینترنتی مانند من و شما اطلاعات، حریم خصوصی و پول خود را یا به باج افزار و یا به انواع دیگر بدافزارهای مالی باختند و از دست دادند.
علت اصلی چنین مشکلاتی این است که علیرغم افزایش هزینهها این مشکل همچنان رو به رشد است و درواقع ما در سال 1396 تنها مشتی از نمونه خروار را در حوادث سایبری دیدهایم. در حال حاضر صنعت تکنولوژی با افزایش پیچیدگی و گستردگی جرم و جنایات سایبری به حالت سردرگمی فرو رفته است.
از آنجا که حملات بزرگتر، دردسرها، مزاحمتها و آسیبهای جدیتری با خود به همراه خواهند داشت، دفاع ما، چه در بُعد شخصی و چه در بعد سازمانی نیز باید قویتر و پیچیدهتر باشد. این روند رو به رشد در سال 1397 و پس از آن ادامه خواهد یافت. و همینطور باعث افزایش هزینههای امنیت سایبری برای شرکت ها خواهد شد.
چرا تزریق پول بیشتر به این مسئله، باز هم مشکل را حل نمیکند
با توجه به اینکه هزینههای امنیت سایبری رو به افزایش است و بسیاری از شرکتها همچنان در تلاش برای تخصیص هرچه بیشتر پول برای امنیت اطلاعات در سال جاری هستند. همین حالا که داریم صحبت میکنیم، بسیاری از آنها این کار را شروع کرده و انجام میدهند، زیرا اینگونه شرکتها، برنامههایشان را متناسب با بودجههای سالانه خود تنظیم کرده و پیش میبرند. این ممکن است به این دلیل باشد که شرکتها از اینکه به طور کامل در خطر بیافتند خیلی ترس و واهمه دارند. البته فشار نظارتی و یا شاید به این دلیل که مدیرعامل و هیئتمدیره واقعاً درک میکنند که چرا امنیت سایبری باید یک اولویت برای اطمینان از تداوم کسب و کار باشد نیز میتواند دلیل دیگری برای این کار باشد.
خلاصه به هر دلیلی که باشد، افزایش هزینههای امنیتی سایبری همچنان ادامه خواهد یافت و شاید حتی سیر صعودی آن سریعتر از پیشبینیها نیز باشد.
در عجلهای که برای بهسرعت انجام دادن کارها وجود دارد (و البته تبهکاران سایبری نیز منتظر نمیمانند)، بعضی از مدیران امنیتی احتمال دارد که با انتخابهای اشتباه خود به حملات آنها دامن بزنند. نه به این دلیل که خودشان میخواهند، بلکه به این دلیل که تحت فشار زیادی قرار دارند.
“صرف هزینه بیشتر در تکنولوژی ایمن ساختن ارتباطات و فناوری اطلاعات تنها چیزی نیست که سازمانها نیاز دارند. هزینههای مؤثر باید بر اساس درک صحیح از اولویتهای امنیتی شرکت تعیین شوند”.
داشتن ابزارهای بیشتر در یک سازمان، لزوماً مدیریت امنیت سایبری را آسانتر نمیکند. آنچه در این زمینه واقعاً مفید است داشتن ابزار مناسب برای این کار است. وقتی لایههای تکنولوژی بیشتر از حد ضروری روی هم انباشته شوند، ممکن است اختلاف و تداخل بین نرمافزارها ظاهر شود بهطوریکه نتیجتاً بتوانند زندگی را بیشتر از آنچه قبلاً بوده، پیچیدهتر کنند. همیشه کیفیت را بر کمیّت ترجیح دهید.
تمرکز بر اصول درست برای سازمان و تشکیلات خودتان
در سال 1396 نیز توصیههای کلیدی ما به حول محورِ همان موضوعی که در حال حاضر با آن سر و کار داریم میچرخد: پوشش اصول. که این موضوع از نظر ما شامل حداقل 4 مورد کلیدی است:
1.پچ شدنِ خودکار
بنابراین شما میتوانید در زمان و انرژی، صرفهجویی کنید و یک بهروزرسانی سریع، ایمن و بی سر و صدا را انجام دهید. بستنِ حفرههای امنیتی در هر شرکتی یک امرِ ضروری است، هم در داخل دایرکتوری فعال و هم خارج از آن، به خصوص اگر سازمان یا شرکت شما از نوع BYOD دوستانه باشد. (توضیح: BYOD مخفف عبارت Bring your own device میباشد که به معنیِ «دستگاه یا وسیلهی خودت را بردار و بیار» است و به محیط شرکتهایی گفته میشود که جوی دوستانه دارند و هرکدام از کارمندان، وسایل خود از قبیل لپتاپ، تلفن همراه و غیره را با خود به محیط کارشان میآورند و با استفاده از آنها وظایفشان در قبال شرکت را انجام میدهند).
2.لایههای فیلترینگ ترافیک
اطمینان از اینکه لایههای فیلترینگ ترافیکی به اندازه کافی سر جای خودشان قرار دارند نیز یک نکته کلیدی است. اینکه قادر باشید یک ترافیک مخرب که تلاش میکند تا رایانههای شما را به خطر بیندازد را مسدود کنید، بسیار مهم و حیاتی است. و بنابراین ترافیک خروجی شما را اسکن میکند، در طرف مقابل شما میتوانید تلاشهای آنفیلتراسیون دادهها را شناسایی کرده و آنها را مسدود کنید، و اطلاعات محرمانه خود را از رسیدن به سرورهای تبهکاران سایبری حفظ کنید.
3.بر آموزش کارکنان تمرکز کنید
ما نمیتوانیم این را به اندازه کافی تأکید کنیم زیرا مهندسی اجتماعی نهفته در هسته اکثر حملات سایبری و توانمند ساختن کارمندان برای تشخیص تهدید میتواند بیشتر از آنچه که تصور میکنید تأثیر مثبت بالقوهای داشته باشد. آنها را آموزش دهید تا به اعضایی با هوش و زبده تبدیل شوند و با آنها مثل عضوی از تیم امنیت اطلاعات (infosec) خودتان رفتار کنید، زیرا واقعاً هستند! بسیاری از حملات سایبری با یک کلیک ساده بر روی یک لینک مخرب یا با یک دانلود که اصلاً به آن مشکوک نیستیم آغاز میشوند.
4.از واکنش به تهدیدات سایبری جلوگیری کنید
در مقابل تهدیدات سایبری واکنش نشان ندهید و منابع بیشتری را برای حفاظت پیشگیرانه به کار ببرید. نیاز به این تغییر از همیشه بسیار حادتر است.
واقعیت این است که ما در یک صنعتی کار میکنیم که در آن به یکدیگر نیاز داریم. شرکتها، فروشندگان امنیتی و کاربران به یکدیگر نیاز دارند:
تا بتوانند منابع تهدید اینترنتی را پیگیری و ردیابی کنند؛
تا بتوانند سیستمهای پیچیده فناوری اطلاعات را هدایت کنند و ایمن نگه دارند؛
تا بتوانند نیروهای متخصص امنیتی را به خدمت بگیرند و آنها را آموزش و پرورش دهند؛
تا بتوانند خواستههای قانونی چالش برانگیز و تحول برانگیز را مدیریت کنند؛
و در مبارزه با جرائم اینترنتی، همدیگر را تشویق کرده و در یکدیگر انگیزه ایجاد کنند؛ مبارزهای که به گفته اکثر کارشناسان حوه امنیت سایبری پایان ناپذیر است.
در این سال جدید و پیشِ رو، فروشندگانی را انتخاب کنید که میتوانند شما را به روز نگه دارند و قادر هستند با شما کار کنند تا با توجه به نیازهای خاص خودتان، به شما کمک کنند.
و مهمتر از همه اینها، دستاوردهای امنیتی سایبری را پیگیری کنید و از پتانسیل آنها بهطور کامل استفاده کنید، زیرا در غیر این صورت اثربخشی آنها زیاد نخواهد بود و آن تأثیری را که انتظار دارید فراهم نخواهند کرد.
خرید فنآوریهای امنیتی یک چیز است، اما همه ما میدانیم که اجرای آن خودش یک چالش متفاوت است، به همین دلیل است که معمولاً منابع به صورت استفاده نشده رها میشوند. اینگونه پیادهسازیها را قطع و متوقف کنید تا مطمئن شوید که شرکت شما بیشترین سرمایهگذاری خود را در این زمینهها انجام میدهد.