بسیاری از سازمان‌ها تیم‌های اختصاصی برای امنیت اطلاعات دارند تا تمام توجه آنها امنیت سازمان باشد. تیم‌های امنیت اطلاعات وظیفه دارند با طراحی برنامه‌ها و پیاده‌سازی آنها کنترل‌هایی که برای محافظت از سازمان لازم است و نیز مدیریت حملات و حوادث امنیتی را بر عهده بگیرند.
در این مطلب از فراست قصد داریم از اهمیت آگاهی بخشی امنیت سایبری به کارکنان صف و نقش آنها در حفظ امنیت سازمان صحبت کنیم.
کارکنان، ضعیف ترین حلقه زنجیره امنیت در سازمان ها هستند. کارمندانی که در ارتباط با ارباب رجوع ها هستند همانند رزمندگان صف مقدم حراست از امنیت سازمان، مهمترین بخش مورد توجه در آموزش و آگاهی بخشی امنیتی تلقی می‌شوند.
اولین و مهمترین دلیل اهمیت کارکنان صف در ساخت پیکره امنیتی سازمان در این است که امنیت تنها در مورد کنترل فرایندها و فناوری ها بحث نمی‌کند که بتوان آن را به تیم امنیت سایبری سازمان سپرد و خیال را از بابت امنیت آسوده کرد. امنیت سایبری خوب، حاصل برقراری تعادل منطقی میان افراد، فرایندها و کنترل‌های فناوری است. در واقع هر فردی از سازمان که در برابر امنیت سازمان مسئولیتی را بر عهده دارد، بر روی امنیت سازمان تاثیرگذار خواهد بود.
کارکنان امور مشترکین نیز همانند تمامی افراد شاغل در سازمان می‌بایست در خصوص سیاست‌های امنیتی که مربوط به آنها است آموزش های لازم را دیده و سیاست‌های محوله را به درستی اجرا کنند. بعضی از سیاست‌های امنیتی که همه کارکنان می‌بایست آنها را اجرا نمایند، شامل موارد زیر است:
- سیاست‌های استفاده از رسانه‌ها و ابزارها: سیاست‌هایی که به شما می‌گویند مجاز هستید با ایمیل‌ها، شبکه‌های اجتماعی، شبکه‌های سازمانی و دیگر منابع و امکانات سازمان چه کارهایی انجام دهید.
- تعیین حوزه و دامنه استفاده از دستگاه‌های هوشمند شخصی در سازمان: سیاست‌هایی که نحوه مدیریت ابزارها و دستگاه‌های شخصی هر فردی را در سازمان مشخص می‌کنند. این دستگاه‌ها شامل لپ تاپ، تبلت و گوشی‌های تلفن همراه است.
- سیاست‌های مدیریت کلمه عبور: سیاست‌هایی که به کارکنان در مورد قوانین ایجاد کلمات عبور منحصر به فرد و پیچیده، زمان و بازه تعییر آنها و نیز قوانین نگهداری و ذخیره رمزها هشدار می‌دهند.
- سیاست‌های کار از راه دور: سیاست‌هایی که در مورد بایدها و نبایدهای کار از راه دور (در منزل یا هتل) است.
- طبقه بندی اطلاعات و کنترل سیاست‌ها: سیاست‌هایی هستند که در مورد نحوه طبقه بندی اطلاعات، برچسب گذاری اطلاعات و کنترل آنها بحث می‌کنند. برای مثال برخی از اطلاعات سازمان اصلاً نباید از مکانی خاص خارج شده یا بعضی دیگر از اطلاعات می بایست حتماً کدگذاری شوند.
- سیاست‌های خاص ارباب رجوع: سیاست‌هایی که مرتبط با سازمان دهی و مدیریت مراجعه کنندگان به سازمان است.
سیاست‌هایی که به منظور تحقق امنیت سایبری در سازمان وضع می‌شوند، لازم الاجرا بوده و مدیران بایستی از فهم و اجرای رویه‌های سیاست گذاری شده توسط کارمندان و به ویژه کارکنان صف اطمینان حاصل کنند.
کارکنان صف، به مثابه چشم و گوش سازمان
گاهی وقت ها نفوذ و بروز نقص امنیتی در سازمان‌ها تا مدت‌ها ناشناخته و مخفی باقی می‌ماند و مهاجمان در این مدت مشغول جمع‌آوری اطلاعات محرمانه و ارزشمند سازمان می‌شوند. در نتیجه تشخیص زودهنگام حمله و نقص امنیتی بسیار مهم است.
بخش امور مشترکین یک سازمان مهمترین واسط و پل ارتباطی میان سازمان و ارباب رجوع ها است. ارتباط میان سازمان و ارباب رجوع می‌تواند مبتنی بر فناوری و ابزار فناوری اطلاعات یا اینکه به صورت فیزیکی باشد. از آنجا که کارکنان صف در ارتباط مستقیم با افراد بیرون از سازمان هستند، آگاهی رسانی امنیتی به آنها اهمیت زیادی پیدا کرده و نیازمند روشنگری مضاعف درباره نحوه و مدیریت ارتباط با کاربران و مشتریان است. چنانچه سیاست آموزشی صحیحی را برای کارکنان صف سازمان در نظر بگیریم می‌توانیم ادعا کنیم خط مقدم دفاع در برابر حمله سایبری به سازمان را تقویت کرده و احتمال نفوذ به سازمان را کاهش داده‌ایم.
به عنوان مثال، مسایلی همچون عدم دسترسی کاربران به حساب های کاربری‌شان آن هم بدون هیچ دلیلی، حذف داده ها و یا بروز عدم یکپارچگی و سازگاری میان آنها، ایجاد مشکل در عملکرد صحیح سیستم‌ها یا شبکه می توانند نشانه های ابتدایی بروز حادثه‌ای جدی تر باشند. چنانچه کارکنان صف در سازمان به درستی آموزش دیده باشند و بدانند که باید چنین مواردی را جدی بگیرند می‌توانند به سرعت حمله را تشخیص داده و آن را به تیم امنیت سایبری ارجاع دهند. به این ترتیب حمله در مراحل اولیه آن شناسایی شده و اقدامات لازم برای مقابله با آن صورت می گیرد.
بنابراین کارکنان صف سازمان می‌توانند به عنوان مهمترین دستیاران تیم امنیت سایبری عمل کنند. از این رو اهمیت آموزش و آگاهی بخشی امنیتی به آنها کاملاً روشن است.
نقش کارکنان صف در مدیریت رخدادهای امنیتی
سازمان می‌بایست فرایندی را جهت مدیریت رخدادهای امنیتی تعریف کند تا بتواند موارد زیر را پوشش دهد:
- گزارش دهی، پیگیری و مدیریت رخدادها و حملات امنیتی
- افزایش آگاهی و مهارت کارکنان سازمان جهت افزایش امنیت سایبری
- تعریف و طرح ریزی پاسخ اولیه به آسیب‌ها و حملات سایبری، به منظور کاهش پیامدها و جلوگیری از انتشار آنها
- اطمینان از نگهداری صحیح اطلاعات محرمانه، در هنگام مقابله با حملات امنیتی
- نگهداری شواهد مورد نیاز در دعاوی حقوقی یا جهت امور نظارتی
- بررسی و حل مسایل و مشکلات امنیتی
- برقراری ارتباط مؤثر با ذینفعانی همانند پلیس، نهادهای نظارتی، سهامداران و رسانه ها
- بررسی رخدادهای امنیتی گذشته برای عبرت گرفتن و آموزش از آنها و همچنین آمادگی جهت مواجه با حملات احتمالی آتی
کارکنان صف و مراکز امور مشترکین سازمان‌ها اولین طعمه‌ها و در نهایت نخستین مکان‌هایی هستند که بایستی از حملات آگاه شوند. به همین دلیل هم نقش زیادی در فرایند تشخیص، مقابله و بازیابی از فجایع دارند. در بعضی سازمان‌ها مسئولیت گزارش‌دهی، ردیابی و مدیریت حملات را به کارکنان صف و واحدهایی که در ارتباط مستقیم با افراد بیرون از سازمان هستند، سپرده و آنها را در تمامی مانورها و شبیه‌سازی‌های امنیتی دخالت می دهند.
الگوهای نادرست رفتاری کارکنان صف
کارکنان صف سازمان با کاربران و ارباب رجوع ها سروکار داشته و در هنگام بروز مشکلات امنیتی می‌توانند به آنها توصیه‌های امنیتی لازم را بدهند. بنابراین بسیار مهم است که کارکنان صف، ابتدا خودشان سیاست‌های امنیتی را اجرا کرده و سپس از سایر افراد نیز بخواهند که آنها را رعایت کنند. برخی از رفتارهای کارکنان صف در سازمان‌ها که ناشی از عدم آگاهی و نداشتن سواد امنیتی آنها است می تواند منجر به اشاعه الگوی رفتاری غلط در سازمان شود.
بعضی از الگوهای رفتاری نادرست کارکنان صف در ارتباط با مسایل امنیت سایبری عبارتند از:
- اگر کارکنان صف سازمان برای ورود به سیستم یا ایجاد سیستمی جدید، از کاربران درخواست کلمات عبورشان را کنند؛ به صورت غیرمستقیم به آنها می‌آموزند که به اشتراک گذاری رمزهای عبور اتفاقی رایج و طبیعی است. همین مسأله می‌تواند در آینده کار را برای دسترسی مهاجمان سایبری به کلمات عبور کاربران آسان تر سازد.
- چنانچه کارکنان صف و امور مشترکین، فایل‌های اجرایی را برای کاربران سیستم یا مشتریان سازمان ایمیل کنند، به آنها می‌آموزند که می‌توانند روی لینک‌های موجود در ایمیل‌هایشان کلیک کرده و فایل های پیوست آنها را دریافت و اجرا کنند. به این ترتیب احتمال طعمه قرار گرفتن مشتریان سازمان در برابر حملات فیشینگ افزایش خواهد یافت.
- یکی دیگر از رفتارهای غلط کارکنان صف سازمان، ارسال ایمیل‌های لینک دار به کاربران جهت ورود به حساب های کاربری‌شان است. این مورد نیز آسیب‌پذیری مشتریان سازمان را در برابر حملات فیشینگ بیشتر می‌کند.