امروزه بخش قابلتوجهی از فعالیتهای کسبوکارها به فضای دیجیتال منتقل شده است؛ از ارتباط با مشتریان و ثبت سفارش گرفته تا نگهداری اطلاعات مالی، اسناد سازمانی و دادههای کارکنان. همین وابستگی باعث شده است که حفاظت از اطلاعات دیگر یک موضوع جانبی نباشد و به یکی از بخشهای مهم مدیریت هر کسبوکار تبدیل شود.
با این حال، بسیاری از شرکتها زمانی به فکر محافظت از زیرساختهای خود میافتند که با یک مشکل جدی مانند نفوذ به حسابهای کاربری، سرقت اطلاعات یا از دسترس خارج شدن سیستمها مواجه شدهاند. سؤال مهم این است که برای کاهش این خطرات، امنیت دیجیتال کسبوکار را باید از کجا شروع کرد؟
ابتدا داراییهای مهم را شناسایی کنید
اولین قدم برای افزایش امنیت، شناختن چیزهایی است که باید از آنها محافظت شود. اطلاعات مشتریان، اطلاعات مالی، ایمیلهای سازمانی، حسابهای کاربری، فایلهای داخلی، سرورها، وبسایت و حتی دستگاههای کارکنان میتوانند بخشی از داراییهای دیجیتال یک مجموعه باشند.
اگر سازمان نداند چه اطلاعاتی دارد و این اطلاعات کجا نگهداری میشوند، طبیعتاً نمیتواند برای محافظت از آنها برنامه دقیقی داشته باشد.
به همین دلیل بهتر است کسبوکارها ابتدا فهرستی از داراییهای دیجیتال خود تهیه کنند و مشخص کنند کدام اطلاعات اهمیت بیشتری دارند و در صورت افشا، حذف یا تغییر آنها چه خسارتی ممکن است ایجاد شود.
رمزهای عبور را جدی بگیرید
یکی از سادهترین نقاط ضعف در بسیاری از سازمانها، استفاده از رمزهای عبور ضعیف یا تکراری است. یک رمز عبور که در چند سرویس مختلف استفاده شده باشد، در صورت افشای یکی از حسابها میتواند سایر حسابها را نیز در معرض خطر قرار دهد.
استفاده از رمزهای عبور منحصربهفرد، فعال کردن احراز هویت چندمرحلهای و استفاده از ابزارهای مدیریت رمز عبور میتواند تا حد زیادی احتمال دسترسی غیرمجاز به حسابها را کاهش دهد.
همچنین بهتر است دسترسی کارکنان به اطلاعات بر اساس وظایف آنها تعیین شود؛ به این معنا که هر فرد تنها به اطلاعات و سامانههایی دسترسی داشته باشد که برای انجام وظایفش نیاز دارد.
کارکنان؛ یکی از مهمترین حلقههای امنیت
حتی اگر یک شرکت از تجهیزات و نرمافزارهای امنیتی مناسب استفاده کند، یک اشتباه انسانی همچنان میتواند مسیر نفوذ را باز کند.
ایمیلهای جعلی، لینکهای آلوده، فایلهای مشکوک و پیامهایی که کاربر را برای وارد کردن اطلاعات حساب ترغیب میکنند، از روشهایی هستند که میتوانند افراد را هدف قرار دهند.
به همین دلیل آموزش کارکنان باید بخشی از برنامه امنیتی هر سازمان باشد. کارکنان باید بتوانند پیامهای مشکوک را تشخیص دهند و بدانند در صورت مشاهده یک رفتار غیرعادی، چه اقدامی انجام دهند.
نرمافزارها و سیستمها را بهروز نگه دارید
بهروزرسانی نرمافزارها فقط برای اضافه شدن امکانات جدید نیست. بسیاری از بهروزرسانیها شامل اصلاح آسیبپذیریهای امنیتی هستند که ممکن است مهاجمان از آنها سوءاستفاده کنند.
سیستمعاملها، نرمافزارهای سازمانی، افزونههای وبسایت و سایر سرویسهای مورد استفاده باید در بازههای مشخص بررسی و بهروزرسانی شوند.
استفاده از نرمافزارهای قدیمی که دیگر پشتیبانی نمیشوند نیز میتواند ریسک امنیتی بیشتری برای سازمان ایجاد کند.
از اطلاعات مهم نسخه پشتیبان داشته باشید
هیچ کسبوکاری نمیتواند احتمال وقوع تمام حوادث را به صفر برساند. بنابراین داشتن برنامهای برای بازگرداندن اطلاعات در شرایط بحرانی اهمیت زیادی دارد.
تهیه نسخه پشتیبان منظم از اطلاعات مهم میتواند در شرایطی مانند خرابی سیستم، حذف اشتباهی فایلها یا حملات مخرب، امکان بازیابی اطلاعات را فراهم کند.
البته صرفاً تهیه نسخه پشتیبان کافی نیست؛ بهتر است فرآیند بازیابی اطلاعات نیز بهصورت دورهای آزمایش شود تا سازمان مطمئن باشد در زمان نیاز واقعاً میتواند اطلاعات خود را بازیابی کند.
امنیت وبسایت را فراموش نکنید
وبسایت برای بسیاری از کسبوکارها یکی از مهمترین کانالهای ارتباط با مشتری است. به همین دلیل امنیت آن نیز باید بهطور مستمر بررسی شود.
استفاده از گواهی SSL، بهروزرسانی سیستم مدیریت محتوا و افزونهها، کنترل سطح دسترسی کاربران، تهیه نسخه پشتیبان و بررسی دورهای آسیبپذیریها از اقداماتی هستند که میتوانند به کاهش ریسک کمک کنند.
در کسبوکارهایی که اطلاعات مشتریان یا تراکنشهای آنلاین دارند، اهمیت این موضوع حتی بیشتر میشود.
جداسازی اینترنت از شبکههای داخلی
یکی از موضوعات مهم در معماری امن شبکه، کنترل ارتباط میان اینترنت و منابع داخلی سازمان است. اگر تمام سیستمها و سرورهای داخلی بدون محدودیت در معرض ارتباطات خارجی باشند، در صورت بروز یک رخداد امنیتی، احتمال گسترش آن به بخشهای مختلف شبکه افزایش پیدا میکند.
به همین دلیل، بررسی نحوه جداسازی اینترنت از شبکه های داخلی میتواند یکی از اقدامات مهم برای کاهش ریسکهای امنیتی باشد. در این معماری میتوان با استفاده از فایروال، شبکههای تفکیکشده، VLAN، DMZ و قوانین دسترسی مشخص، ارتباط میان بخشهای مختلف را کنترل کرد.
برای مثال، سروری که یک وبسایت عمومی را میزبانی میکند، لزوماً نباید دسترسی مستقیمی به سرورهای حاوی اطلاعات حساس سازمان داشته باشد. با تفکیک صحیح شبکهها میتوان سطح دسترسی هر بخش را محدود کرد و در صورت وقوع نفوذ، از گسترش آن به سایر قسمتها جلوگیری کرد.
البته نحوه اجرای این جداسازی به عواملی مانند ساختار شبکه، تعداد کاربران، نوع سرویسها و میزان حساسیت اطلاعات بستگی دارد. بنابراین طراحی معماری شبکه بهتر است بر اساس نیاز واقعی هر سازمان انجام شود و صرفاً به استفاده از یک ابزار امنیتی خاص محدود نباشد.
فقط به یک ابزار امنیتی اکتفا نکنید
امنیت دیجیتال یک محصول یا نرمافزار واحد نیست که با نصب آن بتوان همه تهدیدها را برطرف کرد. امنیت مؤثر معمولاً نتیجه مجموعهای از اقدامات فنی، مدیریتی و آموزشی است.
فایروال، آنتیویروس، کنترل دسترسی، احراز هویت چندمرحلهای، پشتیبانگیری، آموزش کارکنان و بررسی آسیبپذیریها هر کدام میتوانند بخشی از یک برنامه جامع باشند.
در کسبوکارهای بزرگتر یا مجموعههایی که اطلاعات حساستری در اختیار دارند، ارزیابی تخصصی زیرساختها میتواند نقاط ضعفی را مشخص کند که در بررسیهای معمول به چشم نمیآیند.
ارزیابی امنیتی؛ نقطه شروع یک برنامه جدیتر
یکی از راههای مناسب برای شناخت وضعیت فعلی، انجام ارزیابی امنیتی است. در این فرآیند، زیرساختها، سامانهها، دسترسیها و نقاط آسیبپذیر بررسی میشوند تا مشخص شود کدام بخشها نیازمند اصلاح یا تقویت هستند.
مزیت این رویکرد آن است که به جای انجام اقدامات پراکنده، سازمان میتواند بر اساس میزان ریسک و اهمیت هر بخش، اولویتبندی مشخصی داشته باشد.
برای مجموعههایی که زیرساخت پیچیدهتری دارند، استفاده از خدمات تخصصی امنیت سایبری میتواند به شناسایی تهدیدها، ارزیابی آسیبپذیریها و طراحی راهکارهای متناسب با نیاز سازمان کمک کند.
امنیت، یک فرایند مداوم است
یکی از اشتباهات رایج این است که امنیت را یک پروژه یکباره در نظر بگیریم. در حالی که تهدیدهای دیجیتال دائماً تغییر میکنند و روشهای جدیدی برای حمله به سامانهها و کاربران ایجاد میشود.
به همین دلیل لازم است وضعیت امنیتی سازمان بهصورت دورهای بررسی شود، دسترسیها بازبینی شوند، نرمافزارها بهروز باشند و کارکنان نیز آموزشهای لازم را دریافت کنند.
از کجا شروع کنیم؟
برای شروع لازم نیست همه اقدامات امنیتی را بهصورت همزمان انجام دهید. میتوان مسیر را با چند اقدام ساده آغاز کرد:
-
شناسایی اطلاعات و داراییهای مهم
-
بررسی حسابهای کاربری و سطح دسترسیها
-
فعال کردن احراز هویت چندمرحلهای
-
استفاده از رمزهای عبور منحصربهفرد
-
بهروزرسانی سیستمها و نرمافزارها
-
تهیه و آزمایش نسخههای پشتیبان
-
آموزش کارکنان درباره تهدیدهای رایج
-
بررسی آسیبپذیریهای زیرساخت و وبسایت
-
جداسازی بخشهای حساس شبکه از دسترسیهای غیرضروری
-
تدوین برنامه واکنش به حوادث امنیتی
در نهایت، امنیت کسبوکار بیشتر از آنکه به یک ابزار خاص وابسته باشد، به داشتن یک رویکرد منظم و مستمر نیاز دارد. هرچه سازمان زودتر نقاط ضعف خود را شناسایی و برای کاهش ریسکها برنامهریزی کند، احتمال تبدیل شدن یک مشکل کوچک به یک بحران جدی نیز کمتر خواهد شد.
چگونه يك كسبوكار ميتواند در برابر تهديدهاي پنهان دنياي ديجيتال آماده باشد؟
دومین مطلب آزمایشی من
اولین مطالب آزمایشی من