امنیت با طراحی: از داده ­های خود، بیشترین بهره را ببرید

 منظور از طراحی چیست؟

در حالی که یک نفر از هر ده فرد بزرگسال، اعتراف می­ کند که قربانی جرایم سایبری می­ شود، با وجود این، بودجه ­های امنیتی نتوانسته ­اند مخاطرات مداوم سایبری را برطرف کنند. تحقیقات نشان می ­دهد که سرمایه ­گذاری در امنیت سایبری به صورت یکنواخت است. با افزایش مخاطره و پیشرفت مجرمان سایبری، بیشتر کسب و کارها در حال جستجوی روش­های مقرون به صرفه ­تری برای بهبود زیرساخت ­های امنیتی خود هستند: یکی از این روش ­ها، ایمن­ سازی با طراحی است.

اصل امنیت با طراحی، اصل جدیدی نیست. به عنوان یک عنصر بسیار مورد بحث در پیروی از مقررات مربوط به حفاظت از داده ­های عمومی، این اصل نیز به خط مقدم برنامه ­ریزی راهبردی امنیتی و تصمیم ­گیری باز می­ گردد. GDPR با قرار دادن «محافظت از داده­ ها با طراحی و نیز حفاظت پیش­فرض» در قلب خود، به تجارت­ هایی نیاز دارد كه تنها داده ­های شخصی لازم را برای هدف مشخص شده هنگام جمع ­آوری پردازش كنند و كنترل­ هایی را لازم دارد که وظیفه محافظت از آن داده­ ها در طول چرخه عمر فرایند را انجام دهند.

با استفاده از این اصول یکسان و مشابه از نظر تناسب، زمینه و سازگاری در معماری امنیتی یک کسب و کار و با ایجاد شفافیت دید و کنترل کلیه عناصر خدماتی در فناوری اطلاعات، برنامه­ ها و داده­ های خود و مشاغل، نه تنها از ایجاد نقاط کور جلوگیری می­ کند، بلکه سازش و اختلال را برای مهاجمان دشوارتر کرده و هزینه­ ها و پیچیدگی­ های ناشی از تکثیر و همپوشانی کنترل­ های امنیتی را کاهش می ­دهد.

روزهای مقاوم­ سازی مجدد فضای مجازی به انتهای خود نزدیک می­ شوند. از آنجا که مشاغل در اجرای سیستم عامل ­های فرعی و سرویس ­های مبتنی بر ابر سرمایه­ گذاری می­ کنند باید تغییراتی در مخاطرات مربوط به تداوم تجارت و حفظ انطباق و همچنین چالش ­های دیگر برای حفظ وضعیت امنیتی قوی را نیز در نظر بگیرند.

این رویکرد ترکیبی، با وجود آن که مقرون به صرفه بوده و انعطاف ­پذیری بیشتری را ارایه می دهد نمی­ تواند به عنوان یک رویکرد مناسب و یکسان برای همه شرکت ها و سازمان ها در نظر گرفته شود. در عوض باید به عنوان روش­ های مشخص با اهداف شغلی محسوب شود.

امنیت با طراحی : کاهش سطح حملات

هر بار که یک ویژگی یا برنامه اضافی به یک شبکه تحمیل شود، تعداد نقاط ورودی احتمالی و بردارهای جدید حمله برای مجرمان سایبری افزایش می یابد. به منظور حفاظت از داده ­های مهم، اطلاعات و کاهش کلی مخاطره، به حداقل رساندن سطح حمله بسیار دارای اهمیت است. تعریف محیط پیرامون کاملاً مشخص است اما استفاده روزافزون از دستگاه ­های متصل و سرویس­ های ابری، به این معنی است که باید مخاطرات بیشتری نسبت به همیشه در نظر گرفته شود. تأمین امنیت با طراحی می­ تواند با این امر مبارزه کرده و سطح حملات را به روش ­های مختلفی کاهش دهد که عبارتند از:

1- از بین بردن پیچیدگی

با رشد شبکه ­ها و سیستم ­ها و با افزایش سیاست­ ها و ویژگی ­های جدید، پیچیدگی می­ تواند حتی وارد امن ­ترین شبکه­ ها نیز شود. اگر این پیچیدگی به دلیل سیاست­ های پیچیده، عدم برقراری ارتباط بین ادارات و یا اجازه دسترسی زیاد به خارج از نیازهای تجاری باشد می ­تواند به یک مسأله پرهزینه در این زمینه تبدیل شود.

تحقیقات نشان می­ دهد که بالغ بر 80 درصد از نقض داده ­ها، از سوءاستفاده از حقوق دسترسی ویژه نشأت می­ گیرد. امنیت از طریق طراحی، به منظور کاهش سطح مواجهه با آن، کار کردن با اصل کمترین امتیاز، بازگشت به مقدمات و همچنین محدود کردن حق دسترسی کاربران برای حداقل مجوزهای لازم برای انجام موفقیت­ آمیز کار، به کار گرفته می شود.

2- تقویت امکان دید و شفافیت

یکی از اصول اصلی فراهم کردن امنیت با رویکرد طراحی، امکان دید است: یعنی امکان یکپارچه­ سازی ایمن زیرساخت­ های موجود و محیط­ های چند ابری. خواه این زیرساخت­ ها DevOps، ابری و یا یک شرکت باشد باید پذیرفت که در جهان نوین «صرفاً دیجیتالی»، رویکرد طراحی در دیدگاه ­ها بسیار حایز اهمیت است. اگر امکان دید از محیط را ندارید نمی ­توانید آن را امن کرده و شکاف­ های موجود را در زیرساخت­ های امنیتی خود برطرف کنید.

امنیت اغلب می­ تواند یک پیشرفت در توسعه باشد. هرچه بیشتر پیش بروید، ممکن است پرداختن به آسیب پذیری­ های موجود و برطرف کردن حفره های امنیتی، غیرقابل پیش­ بینی شده و به اندازه طراحی سیستم ­هایی که از ابتدا ایمن بوده­ اند، مؤثر نخواهد بود. باز بودن و دقیق بودن در مورد وسایل امنیتی مورد استفاده، امکان پاسخگویی و تجزیه و تحلیل را فراهم می­ کند و به افراد مشاغل مختلف این امکان را می­ دهد که هنگام اجرا یا ایجاد کنترل­ های امنیتی بومی و جدید، تصمیم­ های آگاهانه ­تری را انتخاب کنند.

این امر همچنین به معنای تحول سریع­ تر و تصمیم­ گیری هوشمندانه­ تر مبتنی بر افزایش امکان دید، گزارش و تجزیه و تحلیل است. برای مثال، راه حلی مانند مدیریت امنیت شبکه ساده پاناروما پاآلو آلتو، کارها و قابلیت­ های اصلی را ساده ­تر و یکپارچه کرده و شما را قادر می­ سازد تا کل ترافیک فایروال را مشاهده کنید. همچنین مدیریت تمام جنبه­ های تنظیماتی و نیز مدیریت سیاست­ های جهانی و تهیه گزارش در مورد الگوهای ترافیک یا حوادث امنیتی که همه از یک کنسول واحد، در مقیاس سازمانی هستند را انجام می­ دهد.

نکته: هر شغلی که می­ خواهد با طراحی ایمن­ سازی شود، هدف بزرگی دارد. اما با امکان دید بیشتر، این خطر برای آنها وجود دارد که در گرداب حادثه­ های غیرعمدی گرفتار شده و وادار به واکنش تاکتیکی به حوادث روزمره شوند. کسب و کارها باید همواره یک قدم به عقب برداشته و به این فکر کنند که آیا من واقعاً جایی هستم که می­ خواهم باشم یا این که در این مسیر گمراه شده­ ام؟ مشاغل می­ توانند به تنهایی گام ­های قابل توجهی بردارند ولی در بعضی موارد، برای اطمینان از صحیح بودن آنها باید به همکاری با شرکای تجاری خود بپردازند. ارزیابی ­هایی که از بهترین عملکردها انجام شده حاکی از آن است که فعالیت­ ها بیشترین تأثیر را دارند و به آنها می­ گوید که برای افزایش امنیت در مقایسه با سازمان­ های دیگر باید منابع را به چه بخش ­هایی اختصاص دهند.

3- سنجش موفقیت شما

اگر ندانید که از کجا شروع می­ کنید، چگونه باید بفهمید که راهبردهای امنیتی­ تان موفقیت­ آمیز است یا خیر؟ مانند بسیاری از موارد، وقتی موضوع امنیت سایبری مطرح می­ شود، برخورداری از یک برنامه آگاهانه بسیار اهمیت می­ یابد. با این حال، شما نیز باید اطمینان حاصل کنید که پیشرفت­ تان را در طول مسیر، ارزیابی و اندازه ­گیری می­ کنید. امنیت با طراحی، به شما کمک می­ کند تا بلوغ امنیتی خود را محک بزنید و ارزیابی و اندازه­ گیری پیشرفت و اطمینان از ارتقای سیستم ­های­تان، طبق برنامه­ ریزی باشد.

نظارت نزدیک بر این امر، به شما این امکان را می­ دهد تا به اهداف قبلی و حتی جدید خود برسید. هنگامی که ابزار ارزیابی در اختیارتان قرار گرفت می ­توانید به سرعت در مورد شکاف­ های زیرساخت­ های امنیتی خودتان که سریعاً نیاز به برطرف شدن دارند هشدار دهید. این نگرش به شما امکان می­ دهد تا بالاترین اولویت­ ها را در هنگام رسیدگی به نگرانی­ های امنیتی در نظر داشته باشید و از این رو تلاش ­های­تان را بر روی آنچه که واقعاً مهم است متمرکز کنید.

4- مدیریت نقاط انتهایی

امروزه به طور گسترده ­ای مشاهده می­ شود که تعداد دستگاه­ های متصل به اینترنت رو به افزایش است. با وجودی که این امر مزایایی مانند اثربخشی بیشتر فعالیت­ های از راه دور را به همراه دارد، اتصال بیشتر نیز به معنای افزایش خطر و در نتیجه، گسترش سطح حملات است. با پيشرفت مجرمان سايبری، دستگاه­ های متصل به اینترنت مسير ديگری را به وجود مي­ آورند و از این ­رو امكان بهره­ برداری یا سوءاستفاده در مقياس بالاتر را نیز دارند.

برنامه­ های کاربردی رایج مانند مایکروسافت 365، OneDrive و Yammer ابزارهای همکاری آسان و کارآمدی را ارایه می­ دهند. با این وجود، در کنار این سهولت در استفاده، خطرات تصادفی افزایش می­ یابد و بدین ترتیب اشتراک­ های تصادفی و نشت داده ­ها، بردارهای حمله­ ای جدیدی را برای مهاجمان سایبری ایجاد می­ کنند.

بنابراین چگونه می ­توان با طراحی، امنیت متحرک را ایجاد کرد؟ بسیاری از مشاغل، راه حل­ های گوناگونی را در این زمینه پیاده ­سازی می­ کنند که شامل تشخیص و واکنش در نقاط انتهایی (EDR)، تجزیه و تحلیل ترافیک شبکه (NTA) و مدیریت رویدادهای امنیتی و اطلاعات (SIEM) است.

این رویکرد لایه­ ای می ­تواند اطلاعات مهمی را ارایه دهد. با این حال، این جواب کامل نبوده و می ­تواند منجر به مشکلات بیشتری شود، مانند:

• حجم بالای هشدارهای امنیتی با زمینه کمی
• تحقیقات بسیار زمان­بر که نیاز به متخصص دارند
• تمرکز بر روی شکاف­ های فناوری به جای نیازهای عملیاتی

این امر باعث می­ شود تیم­ های امنیتی برای مقابله با آنها، به هزینه و زمان بیشتری نیاز داشته باشند. به جای استفاده از این رویکرد سنتی و لایه ­ای برای مدیریت نقاط انتهایی باید به دنبال یک رویکرد پیشگیرانه­ تر باشیم که بتواند امکان دید را در شبکه­ ها، ابرها و نقاط انتهایی فراهم کند. قاعدتاً راه حل این کار هم استفاده از خودکارسازی و انجام تجزیه و تحلیل­ های لازم برای مقابله با تهدیدهای آتی، شناسایی تهدیدهای پنهان در فعالیت­ های کسب و کاری و نیز افزایش بهره ­وری افراد و دارایی­ های موجود است.

توسعه یک سازمان هوشمند توسط امنیت با طراحی

هنگامی که کسب و کارها مفهوم امنیت با طراحی را می­ پذیرند، یکی از نتایج مهم در تشخیص تهدیدها در مقابل واکنش به حمله به دست می ­آید. برای دستیابی به این مهم، داشتن ارتباطات امنیتی در سطح شغلی بسیار دارای اهمیت است و باید کلیه اصول طراحی یک کسب و کار و نیازهای آن را با یکدیگر پیوند داده و به روشی تنظیم شود که بیشترین تأثیر را در تجارت داشته باشد.

با استقرار امنیت در فرایندهای شغلی می­ توانید از سرعت بیشتر، اطمینان حاصل کرده و خرابی لازم برای اجرای فناوری­ های جدید را به حداقل برسانید. بهینه­ سازی هویت و فرایند احراز هویت به معنای کارآیی بیشتر نیروی کار است، که به نوبه خود منجر به یک گردش کار یکپارچه و تقویت توانایی شما در نوآوری و توسعه می ­شود.

ایمن­ سازی از طریق طراحی، نیازی به مسیرهای پیچیده ندارد. در این راستا، خدمات امنیت سایبری باید یکپارچه شده و تمامی نقاط انتهایی را شامل شود. این موضوع می­ تواند شامل تدوین راهبرد امنیتی و ارایه راه حل­ های فناوری هوشمند مبتنی بر داده، متصل، دیجیتالی و امن برای افزایش سرعت در تجارت باشد.

نخستین گام ­ها برای مقاومت سایبری

فرایندهای بسیار خودکار و خدمات امنیتی مدیریت شده، موجب هوشیاری بیشتر کسب و کارها شده و آنها را پاسخگو و ایمن نگه می­ دارد. همچنین سهولت استفاده را برای مشتریان در محیط پیچیده فناوری اطلاعات امروزی تضمین می­ کند. برداشتن نخستین گام برای انعطاف­ پذیری سایبری، ساده بوده و تنها با یک ارزیابی از آمادگی سایبری که باعث ایجاد هوش عملی می­ شود میسر می­ گردد تا به شما در شناسایی حوزه ­های کلیدی سازمان تان کمک کند. از این رو می­ توانید بلافاصله روی آنها تمرکز کرده و مخاطرات­تان را کاهش دهید.