📉چرا بسیاری از سازمان‌ها و زیرساخت‌های حیاتی کشور در پروژه‌های امنیت سایبری شکست می‌خورند؟ 3⃣قسمت س

📉چرا بسیاری از سازمان‌ها و زیرساخت‌های حیاتی کشور در پروژه‌های امنیت سایبری شکست می‌خورند؟ 3⃣قسمت سوم | امنیت سایبری، پروژه نیست؛ یک فرآیند مستمر است. ⬅یکی از رایج‌ترین اشتباهات در بسیاری از سازمان‌ها این است که امنیت سایبری را مانند یک پروژه عمرانی می‌بینند؛…📉چرا بسیاری از سازمان‌ها و زیرساخت‌های حیاتی کشور در پروژه‌های امنیت سایبری شکست می‌خورند؟4⃣قسمت چهارم | وقتی امنیت «مسئول» دارد، اما «صاحب» ندارد!⬅در بسیاری از سازمان‌ها تقریباً همه واحدها به‌نوعی درگیر امنیت سایبری هستند؛ واحد IT، #حراست، امنیت، بهره‌برداری، تدارکات، پیمانکار، مشاور، مدیر پروژه و حتی نهادهای بالادستی.⬅اما درست همین تعدد بازیگران، به یک مشکل جدی تبدیل می‌شود:◀️همه در موضوع امنیت نقش دارند، اما مسئول نهایی ریسک مشخص نیست.⬅در چنین ساختاری معمولاً با جملاتی از این جنس مواجه می‌شویم:⛔«سیاست‌گذاری با ما نیست! #افتا و #پدافند_غیرعامل ابلاغ می‌کنند.»⛔«انتخاب محصول با ما نیست؛ از بالا ابلاغ شده است.»⛔«بودجه دست ما نیست؛ امور مالی باید تأمین کند.»⛔«خرید انجام شده، حراست اجازه بهره‌برداری نمی دهد!»⛔«این تجهیز متعلق به پیمانکار است.»⛔«پیمانکار طبق Scope خودش کار کرده است.»⛔«این موضوع در شرح وظایف ما نیست.»⛔«رفع آسیب‌پذیری ممکن است سرویس را مختل کند؛ بهره‌بردار باید تصمیم بگیرد.»⛔«ما هشدار را اعلام کردیم؛ پیگیری با واحد دیگری است.»⬅و در نهایت، وقتی حادثه‌ای رخ می‌دهد، تازه مشخص می‌شود که بین همه این نقش‌ها، هیچ‌کس مالک واقعی ریسک نبوده است.◀️وجود الزامات بالادستی، بخشنامه‌ها و چارچوب‌های نهادهای حاکمیتی کاملاً ضروری است؛ اما ابلاغ الزام، جایگزین مسئولیت سازمان در مدیریت ریسک خودش نمی‌شود.⬅نهاد بالادستی می‌تواند بگوید چه الزامی باید رعایت شود، اما اینکه این الزام چگونه در معماری سازمان پیاده شود، چه محصولی متناسب با نیاز واقعی انتخاب شود، چه کسی مالک دارایی باشد، چه ریسکی پذیرفته یا اصلاح شود و چه کسی پاسخگوی نتیجه باشد، نهایتاً باید در داخل خود سازمان تعیین شود.⬅مشکل از جایی آغاز می‌شود که «الزام بالادستی» به «انتقال مسئولیت» تبدیل می‌شود.◀️در آن نقطه، تصمیم‌های امنیتی به‌جای آنکه بر اساس ریسک، معماری و نیاز واقعی سازمان گرفته شوند، صرفاً به اجرای یک ابلاغ، خرید یک محصول یا تکمیل یک چک‌لیست تبدیل می‌شوند.⬅نتیجه چنین ساختاری قابل پیش‌بینی است:◀️یک آسیب‌پذیری ماه‌ها باقی می‌ماند، یک دسترسی غیرضروری تمدید می‌شود، یک هشدار جدی بین چند واحد دست‌به‌دست می‌شود، محصولی خریداری می‌شود که مسئله اصلی سازمان را حل نمی‌کند و در پایان همه می‌توانند ثابت کنند که «وظیفه خودشان را انجام داده‌اند»؛ در حالی که ریسک همچنان باقی مانده است.✅#امنیت_سایبری با تقسیم وظایف قوی‌تر می‌شود، اما با تقسیم مسئولیت و نبود پاسخگویی، ضعیف‌تر می‌شود.⬅در یک سازمان بالغ، باید برای هر دارایی، ریسک، کنترل امنیتی، اقدام اصلاحی و تصمیم مهم، مالک مشخص وجود داشته باشد؛ کسی که اختیار تصمیم‌گیری دارد و در برابر نتیجه نیز پاسخگوست.◀️به‌ویژه در زیرساخت‌های حیاتی و محیط‌های OT، که مرز میان IT، بهره‌برداری، مهندسی، امنیت، پیمانکار و سازنده تجهیزات بسیار پیچیده است، نبود این مالکیت می‌تواند یکی از جدی‌ترین نقاط ضعف امنیتی سازمان باشد.◀️وقتی همه مسئول‌اند، در عمل هیچ‌کس مسئول نیست!🔜در قسمت بعد به یکی دیگر از ضعف‌هایی می‌پردازیم که در بسیاری از سازمان‌ها کمتر دیده می‌شود، اما می‌تواند بخش بزرگی از سرمایه‌گذاری امنیتی را بی‌اثر کند. همراه ما باشید...✈️@PingChannel خبر، تحلیل، انتقاد - فناوری اطلاعات🅰️🅰️🅰️🅰️