پیامدهای امنیتی دورکاری و راهکارهای مدیریت آن برای سازمان ها
با شیوع و گسترش بیماری کرونا در سطح جهان، بسیاری از کارمندان شرکت ها و سازمان ها اقدام به انجام فعالیت‌ها و وظایف کاری خود از منزل کردند. به تدریج و با واکسینه شدن افراد، دوره کار کردن در منزل به سر رسیده و کارمندان در حال آمادگی برای بازگشت به محیط کار خود هستند.
بعضی از کارشناسان امنیتی، نگرانی‌هایی درباره چالش‌های امنیتی دورکاری، به عنوان یک مدل کاری جدید، داشته و پیش‌بینی می‌کنند کارمندان با چالش‌های متعددی از جمله ورودهای متوالی، فراموشی کلمه عبور و تماس‌های طولانی‌مدت با تیم پشتیبانی فناوری اطلاعات مواجه خواهند شد؛ زیرا تعداد زیادی از سازمان‌ها راهکارهای متناسب با شرایط پویای فعلی کارمندان که با محل دسترسی یا نوع دستگاه مورد استفاده کاربران تطبیق یابد را طراحی نکرده اند. از این رو سیستم‌های فعلی بیشتر سازمان‌ها متکی به فناوری‌ها و راهکارهای احراز هویت، فقط بر اساس اطلاعات شبکه خصوصی‌شان است. این در حالی است که فرایند تغییر کلمه عبور باید به راحتی بر روی هر دستگاه و در هر شبکه‌ای قابل انجام باشد.
متأسفانه ویروس کرونا با سرعت بسیار زیادی شیوع و گسترش یافت. در نتیجه سازمان‌ها باید در کوتاه ترین زمان ممکن اقدامات لازم را برای حفظ بهره‌وری کارمندان و تداوم عملیات های کسب‌وکاری‌شان انجام می‌دادند. برای مثال آنها یکسری راهکارهای موقتی از جمله تغییر سریع پیکربندی سیستم‌ها را برای پشتیبانی از کارمندان دورکار خود اجرا کردند.
به تدریج و با گسترش پدیده دورکاری، برنامه‌های کاربردی جدید که امکان همکاری از راه دور را فراهم می‌کردند برای بسترهای ابری طراحی شدند. این برنامه‌ها با سرعت زیادی طراحی و پیاده‌سازی شدند بنابراین فرصتی برای ادغام آنها با سیستم‌های احراز هویت یکپارچه باقی نماند. در نتیجه یکسری منابع تفکیک شده و مجزا برای احراز هویت کاربران شکل گرفت. این عوامل منجر به افزایش تعداد کلمات عبوری شد که کاربران باید آنها را به خاطر سپرده و مدیریت می‌کردند.
مجرمان سایبری هم مثل همیشه از این فرصت به وجود آمده سوءاستفاده کرده و کارکنان دورکار را مورد هدف حملات مخرب خود قرار دادند. علاوه بر اینکه راهکارهای امنیتی پیاده‌سازی شده در دو سال اخیر با رویدادهای جدید در محیط کار سازگاری لازم را ندارند، عملکرد کارمندانی که در پی انجام سریع وظایف کاری خود هستند نیز باعث سخت‌تر شدن شرایط شده است.
با توجه به تحولات دیجیتالی اخیر، وجود یک سیستم مدیریت هویت و دسترسی (IAM[1]) مناسب برای کمک به تسریع فرایندهای کاری، همزمان با امن‌سازی دارایی‌های سازمانی یک امر ضروری است. به همین خاطر توصیه می‌کنیم برای انتخاب یک سیستم IAM به نکات زیر توجه داشته باشید:
- انعطاف‌پذیری و ایجاد تجربیات کاربری متناسب با شرایط که به پیاده‌سازی احراز هویت چندعاملی قوی کمک کند.
- وجود یک پلتفرم ادغام شده که همه جوانب احراز هویت، از جمله احراز هویت کاملاً یکپارچه، پشتیبانی خودکار از کاربران، یک ابزار احراز هویت و مجوزدهی قوی، مدیریت چرخه حیات هویت، آماده‌سازی تدارکات و نظارت بر هویت را پوشش دهد.
- مجهز به فناوری هوش مصنوعی، با قابلیت تشخیص و واکنش به تغییرات رفتاری باشد.
چرا تجربیات کاربری برای سازمان‌ها اهمیت دارد؟
در گذشته کارشناسان امنیت سایبری به تجربیات کاربری کارمندانی اولویت می‌دادند که تحمل توجه و رسیدگی به هشدارهای امنیتی متوالی را داشتند. این عملیات در دوره شیوع کرونا هزینه و اتلاف وقت زیادی را در پی داشت و موجب برقراری تماس‌های مکرر با تیم پشتیبانی شد. خوشبختانه با حرکت روزافزون جهانی به سمت تحول دیجیتالی، همه کاربران به تجربیات کاربری روان و بی‌دردسر که تأثیری در کاهش بهره‌وری هم ندارند، خو گرفته‌اند.
سازمان‌ها همچنین برای ایجاد تجربیات کاربری قوی و استانداردهای امنیتی سطح بالا، به یک پلتفرم هماهنگ‌کننده که به صورت پویا تغییر کرده و با عواملی مثل موقعیت جغرافیایی، نوع دستگاه و زمان تطبیق یابد، نیاز دارند. این ابزار به آنها کمک می‌کند تا سطح مخاطرات فعلی را تخمین زده و بر اساس آن از روش‌های احراز هویت مختلف استفاده کنند. البته این انعطاف‌پذیری نباید منجر به افزایش نفوذ شود.
نفوذهای امنیتی معمولاً به دلیل استفاده از کلمات عبور ضعیف یا سرقت کلمه عبور کاربران رخ می‌دهند. از این رو کاربران باید از فرایندهای احراز هویت قوی که دارای گزینه‌های مختلفی هستند، استفاده کنند. همچنین سیستم‌هایی که از روش‌های مختلف احراز هویت مثل روش‌های بدون کلمه عبور، کلمه عبور یکبار مصرف، احراز هویت زیست‌سنجی و غیره پشتیبانی می‌کنند باید امکان پیاده‌سازی احراز هویت قوی را داشته باشند. ادغام احراز هویت قوی با اطلاعات زمینه‌ای که درباره دستگاه وجود دارد می تواند یکی از ابزارهای احراز هویت ساده و قوی را ایجاد کند.
مسیر حرکت و فعالیت کاربر پس از احراز هویت اولیه به پایان نرسیده و در طول کل زمان دسترسی وی به برنامه‌های کاربردی مختلف باید ادامه داشته باشد. سازمان‌ها برای پیاده‌سازی یک مدل اعتماد صفر کارآمد نیازمند یک سیستم IDM هستند. این سیستم به آنها کمک می‌کند که به صورت مستمر، شرایط و نشانه های مختلف را مدنظر داشته باشند. این اطلاعات جانبی به سیستم امکان می‌دهد تا در هر رویداد دسترسی، اقدام مناسب همچون صدور مجوز دسترسی یا رد کردن آن، درخواست یک مرحله احراز هویت بیشتر یا محدود نمودن دسترسی به بعضی از داده‌ها را انجام دهد. سازمان‌ها باید راهکارهایی را در اختیار داشته باشند که از قابلیت‌های غیرآنلاین نیز برای کارهایی مثل رسیدگی به توکن‌های دسترسی پشتیبانی کند.
روش تغییر کلمه عبور معمولاً با پیچیدگی‌های خاص خود همراه است. در هنگام انتخاب یک روش برای تغییر کلمه عبور، توجه به شرایط و امکان انتخاب بین گزینه‌های مختلف ضروری است. سازمان ها با در نظر گرفتن شرایط می‌توانند نشانه های مخاطره را پیگیری کنند. در این صورت اگر کاربری در یک مکان عمومی قصد استفاده از دستگاه‌های سازمانی را داشته باشد، سطح احراز هویت مورد نیاز برای تغییر کلمه عبور ارتقا خواهد یافت. همچنین استفاده از یک راهکار ادغام شده و یکپارچه، نیاز به ورودهای پیاپی کلمه عبور و احراز هویت مکرر را از بین میبرد.
قدرت پلتفرم‌های یکپارچه
توسعه سریع برنامه‌های کاربردی و روش‌های احراز هویت باعث ایجاد نیاز به استفاده از یک پلتفرم احراز هویت یکپارچه شده است. سازمان‌ها به راهکاری نیاز دارند که قابلیت پشتیبانی از ابزارهای احراز هویت مختلف از جمله احراز هویت یکپارچه کامل، پشتیبانی خودکار از کاربران، یک ابزار احراز هویت و مجوزدهی قوی، مدیریت چرخه حیات هویت و نظارت بر هویت را داشته باشد.
ایجاد یک مدل دسترسی مورد پسند کاربران
ویژگی اصلی یک پلتفرم IAM، داشتن قابلیت‌های مدیریت دسترسی است. قابلیت ایجاد تجربیات کاربری غنی و پشتیبانی از احراز هویت یکپارچه برای برنامه‌های کاربردی مختلف از اهمیت بسیار زیادی برخوردار است. با حذف هر کلمه عبور برای احراز هویت کاربران، یک مسیر حمله کمتر شده و یکی از سیستم‌های مدیریت کلمات عبور حذف می‌شود.
سازمان‌ها می‌توانند با استفاده از استانداردهای احراز هویت جدید و صدور مجوز، برنامه‌های کاربردی تحت بستر ابر را بدون اینکه به تشکیل یک منبع احراز هویت جدید نیاز داشته باشند در سریع‌ترین زمان ممکن امن‌سازی کنند. علاوه بر این، ادغام یکپارچه با سیستم‌های قدیمی به پیاده‌سازی مدل امنیتی نوین (بدون نیاز به کدنویسی دوباره برنامه‌های کاربردی) کمک می‌کند. استفاده از یک سیاست امنیتی یکپارچه در سطح کل زیرساخت فناوری اطلاعات سازمان نیز سطح مخاطره را کاهش داده و موجب افزایش سرعت انجام فرایندهای کاری و حفظ رضایت کارمندان می‌شود.
ایجاد یک سیستم حاکمیتی برای مدیران سیستم
قابلیت‌های مدیریت هویت، ابزارهای مورد نیاز برای مدیریت و کنترل کل چرخه احراز هویت کاربران را در اختیار راهبران و مدیران سیستم قرار می‌دهد. این ابزارها می‌توانند در اسرع وقت، دسترسی‌های لازم و مناسب را برای کارمندان جدید فراهم کنند. آنها همچنین می‌توانند به منظور افزایش چابکی و سرعت انجام فرایندهای کاری، امکان اضافه کردن سریع دسترسی‌های جدید را برای اعضای بعضی از تیم‌ها ایجاد نمایند. سازمان‌ها همچنین باید برای پیروی از استانداردهای قانونی و کاهش مخاطره کلاهبرداری‌های داخلی، دسترسی‌های کارمندان را همزمان با تغییر سمت یا خاتمه اشتغال آنها تغییر دهند.
استفاده از روش دستی بر اساس فایل‌های صفحه گسترده، به ویژه با توجه به گسترش استفاده از ابزارهای تحت ابر با چالش‌های خاصی همراه است. با چنین روشی ممکن است آماده کردن دسترسی‌های لازم برای یک کاربر جدید، چندین روز و تغییر دسترسی‌های کاربران در سطح سازمان چندین ماه طول بکشد. استفاده از یک پلتفرم یکپارچه به سازمان‌ها امکان می‌دهد دسترسی‌های کاربران را به صورت خودکار بررسی، بازبینی و اصلاح کنند. به این ترتیب حساب‌های کاربری بدون استفاده به سرعت حذف شده و یکی از مسیرهای احتمالی حمله از بین می‌رود.
استفاده از قدرت هوش مصنوعی
هوش مصنوعی به یکی از معیارهای مهم پلتفرم‌های مدیریت هویت تبدیل شده و از جمله راهکارهای معدود برای همگام ماندن فناوری اطلاعات با چشم‌انداز پویای فناوری‌های احراز هویت مانند سوءاستفاده از تمام تغییرات رفتاری کاربران توسط مهاجمان سایبری و شکل‌گیری انواع روش‌های احراز هویت مبتنی بر انسان، ماشین و اشیا بر اساس داده‌های بلادرنگ است.
از هوش مصنوعی می‌توان برای شناسایی سریع رفتارهای مشکوک در هنگام تلاش برای ورود به سیستم استفاده کرد. به این ترتیب فرصت هکرها برای بهره‌برداری از آسیب‌پذیری‌ها کمتر خواهد شد. هوش مصنوعی همچنین می‌تواند نشست‌های کاربری را زیرنظر گرفته و تشخیص هویت کاربر را با نظارت بر روی الگوهای دسترسی وی به صورت دقیق انجام دهد. اگر رفتار کاربر تفاوت زیادی با الگوی رفتاری همیشگی او نداشته باشد، هوش مصنوعی اطمینان بیشتری نسبت به هویت کاربر پیدا کرده و مراحل بعدی احراز هویت را نادیده می‌گیرد. انتظار می‌رود این راهکار، شروعی برای فناوری «اعتماد صفر 2» باشد. لازم به ذکر است که با گذشت زمان، اطمینان ما از شناسایی هویت کاربر در این فناوری افزایش خواهد یافت.
از نظر جنبه‌های حاکمیتی، وجود هوش مصنوعی برای مدیریت انبوه نقش‌ها، برنامه‌های کاربردی، هویت انسان‌ها، ماشین‌ها و اشیا ضروری است. سازمان‌ها به سیستمی نیاز دارند که علاوه بر داده‌های سیستم‌های مدیریت هویت، از داده‌های بیرونی مثل گزارش برنامه‌های کاربردی یا مخازن LDAP هم استفاده کند. به این ترتیب با نظارت پیوسته بر روی استفاده‌های صورت گرفته از حقوق دسترسی و نیز تنظیم دسترسی‌ها و نقش‌ها بر اساس الگوی استفاده از آنها می‌توان اطمینان داشت کاربران فقط به آنچه نیاز دارند، دسترسی خواهند داشت. همچنین استفاده از هوش مصنوعی برای تأیید، ابطال و تغییر دسترسی‌ها علاوه بر بهبود امنیت سازمان، به کاهش حجم کار کارمندان بخش فناوری اطلاعات نیز کمک زیادی می‌کند.
هوش مصنوعی قابلیت به اشتراک‌گذاری اطلاعات و نشانه ها را در بین پلتفرم‌های مختلف داشته و در صورت مشاهده یک فعالیت مشکوک می‌تواند هشدارهای لازم را برای هوش مصنوعی مدیریتی صادر کند. بنابراین امکان غیرفعال‌سازی حساب کاربری مشکوک وجود خواهد داشت. همچنین اگر کاربری قصد دسترسی به یک بخش غیرمجاز را داشته باشد می‌توان سطح احراز هویت را افزایش داده یا هشدارهای لازم را برای بررسی بیشتر موضوع ارسال کرد.
اگرچه دورکاری به سازمان‌ها امکان داده تا به فعالیت های کسب‌وکاری‌شان ادامه دهند، اما از طرف دیگر در زمینه مدیریت هویت و دسترسی، آسیب پذیری هایی را برای سازمان ها رقم زده است. از سوی دیگر، غلبه بر چالش‌های امنیتی دورکاری، مستلزم دسترسی به یک پلتفرم مدیریت هویت یکپارچه است که تجربیات کاربری مناسبی را ایجاد نموده و با کمک هوش مصنوعی به حفظ امنیت و ساده‌تر شدن کارها کمک کند. چنین سیستمی زمینه‌ساز موفقیت سازمان‌ها همزمان با تغییر زیرساخت‌های فناوری اطلاعات آنها در سال‌های پیش رو خواهد بود.
[1] Identity and Access Management System
منبع: securitymagazine
