رخنه‌ها اتفاق می‌افتند: وقت آن است که بازی سرزنش را کنار بگذارید و با هم شروع به یادگیری کنید

بعد از اینکه یک فروشنده یا شریک با تخلف مواجه شد چه می کنید؟ بعد از اینکه قلب شما یک بار (یا دو ضربان) می زند، این یک سوال رایج است که ممکن است بپرسید.

به عنوان اخیر مطالعه نشان می دهد، بیش از نیمی از همه سازمان ها در طول دو سال گذشته قربانی نقض شخص ثالث شده اند. متأسفانه واکنش قاطع به چنین حادثه ای طرد قربانی است. در واقع، تا ۸۳٪ از مصرف کنندگان اعتراف می کنند که آنها مخارج خود را متوقف کرده یا پایان دهید با یک سازمان پس از یک حادثه اگرچه قابل درک است، اما این واکنش فرصتی را که صنعت برای یادگیری و رشد با هم پس از در دسترس قرار گرفتن جزئیات یک حادثه دارد، از دست می دهد.

نقض‌ها همچنان اتفاق می‌افتند – حتی پس از اینکه سازمان‌ها یک برنامه امنیتی منطقی تجاری در اختیار دارند. هیچکس غیر قابل نفوذ نیست یکی از جنبه های کلیدی که باید در هنگام ارزیابی شرکا و فروشندگان بالقوه در نظر گرفته شود، درک توانایی آنها در پاسخگویی موثر به آنها و تمایل به شفافیت در زمانی است که حادثه امنیتی رخ می دهد.

تنبیه شریک یا فروشنده برای متحمل شدن یک نقض، تنها به تشویق سازمان ها برای پنهان کردن حوادث امنیتی خود ادامه می دهد. در عوض، کسب‌وکارهای امروزی باید محیطی از تفاهم، شفافیت و اشتراک اطلاعات را تقویت کنند. پذیرش این ارزش ها به تقویت شیوه های امنیتی در سراسر چشم انداز اقتصادی کمک می کند.

دور شدن از سرزنش

تغییر به سمت درک در حال حاضر در سطح کارمند اتفاق می افتد. به طور فزاینده ای، کارمندان دیگر به طور خودکار به دلیل کلیک تصادفی روی یک مورد سرزنش قرار نمی گیرند لینک فیشینگ یا پاسخ دادن به یک ایمیل جعلی متخصصان امنیتی می‌دانند که تاکتیک‌های حمله مانند فیشینگ یک بازی اعدادی است: اگر مهاجمان به اندازه کافی افراد را هدف قرار دهند، احتمال اینکه کسی در نهایت طعمه را بگیرد، خوب است. حملات فیشینگ ماهرانه تر و باورپذیرتر می شوند. این کاملا طبیعی است که واقعیتی را که اعتماد انسانی – و خطای انسانی – در چشم انداز خطر ما بازی می کند، بپذیریم.

اگر کارمندی که در ترس از مجازات یا تلافی به سر می برد، به طور تصادفی روی پیوند فیشینگ کلیک کند، آن کارمند ممکن است تصمیم بگیرد هر کاری ممکن است برای پوشاندن آن انجام دهد و وانمود کند که هرگز اتفاق نیفتاده است. از سوی دیگر، کسب‌وکاری که خود گزارش دادن آن اشتباهات را تشویق می‌کند (و حتی تجلیل می‌کند) و با درک درست از آنها استقبال می‌کند، درمی‌یابد که کارمندان بسیار مایلند که اشتباهی را تصدیق کنند و از آن درس بیاموزند.

این نیاز به آموزش کارکنان برای تشخیص حملات را برطرف نمی‌کند – این واقعیت را تصدیق می‌کند که هر چه سازمان زودتر از یک نقض احتمالی مطلع شود، زودتر می‌توانند کاری در مورد آن انجام دهند. در واقع، IBM 2023 هزینه گزارش نقض داده دریافتند که تشخیص زودهنگام یکی از مهم ترین عواملی است که می تواند تأثیر نقض را محدود کند. همراه با پیاده‌سازی فناوری که می‌تواند به جلوگیری از رسیدن این ایمیل‌های فیشینگ به صندوق‌های ورودی کارکنان در وهله اول کمک کند، این تلاش‌ها می‌توانند تفاوت واقعی ایجاد کنند.

درک در مقیاس

در حالی که کسب‌وکارها در اجرای آن سیاست‌ها در مقیاس فردی موفق بوده‌اند، معمولاً همان وضعیت را برای شرکا، فروشندگان و سایر اشخاص ثالث اعمال نکرده‌اند. یک نقض ممکن است برای هر سازمانی اتفاق بیفتد، از جمله سازمان هایی که تمام اقدامات احتیاطی منطقی تجاری را انجام داده اند – و درک می کنند که آیا این اقدامات احتیاطی انجام شده است یا خیر، باید بخشی استاندارد از فرآیند بررسی هر کسب و کار باشد. دور زدن یک شریک خوب و قابل اعتماد به دلیل حمله ممکن است در نهایت خطرات بیشتری از جمله چالش های عملیاتی را به همراه داشته باشد.

البته، مهم است که تفاوت بین کسب‌وکاری که به‌طور غیرمنتظره‌ای متحمل نقض می‌شود و کسب‌وکاری که در یک الگوی مستمر از رفتار مخاطره‌آمیز یا سهل‌آمیز درگیر می‌شود (یا به‌دنبال پوشاندن فعال یا پس گرفتن جزئیات مربوط به نقض) مهم است. اما ظهور چارچوب‌های انطباق، پرسشنامه‌های امنیتی و معیارها و جامع‌تر برنامه های امنیتی ارزیابی آمادگی شریک احتمالی برای نقض را بسیار آسان‌تر کرده است.

گفته می‌شود، اگر تخلفی رخ دهد، دانستن اینکه چه اتفاقی افتاده و چگونه با آن برخورد شده است نیز مهم است. نحوه انتخاب کسب و کارها برای برقراری ارتباط در مورد حوادث سایبری، نقش مهمی در ارزیابی و حفظ اعتماد در رابطه دارد.

همانطور که کارمندان در حال حاضر تشویق می شوند تا مسائل بالقوه خود را گزارش دهند، تشویق کسب و کارها برای مقابله با چالش های خود نه تنها ارزیابی قابلیت های امنیتی شرکای خود را برای کسب و کارها آسان تر نمی کند، بلکه به کاهش تأثیر نقض های آینده کمک می کند. هرچه تیم‌های امنیت اطلاعات در رابطه با تاکتیک‌ها، تکنیک‌ها و رویه‌های حمله (TTP) با آنها کار کنند، شانس بهتری برای شناسایی، تشخیص و اصلاح آن‌ها در هنگام مواجهه با یک حمله مشابه خواهند داشت.

به جای مجازات فروشندگان به دلیل قربانی شدن توسط مهاجمان، ما باید آنها را تشویق کنیم که بازتر، صادق‌تر، شفاف‌تر و آسیب‌پذیرتر باشند – به معنای انسانی.

تصور آینده ای امن و شفاف

اتخاذ نگرش درک‌تر نسبت به نقض‌ها به این معنا نیست که سازمان‌ها باید اقدامات لازم را انجام دهند. برعکس، کسب‌وکارها باید همیشه وضعیت انطباق شرکا و فروشندگان خود را تأیید کنند، و پرسش‌نامه‌های امنیتی و گزارش‌های امنیتی و گواهی‌نامه‌ها همچنان نقش مهمی در تأیید اینکه سازمان‌ها مراقب داده‌هایشان هستند، ایفا می‌کنند.

اما حقیقت این است که حتی سازمانی که همه کارها را به درستی انجام داده باشد، باز هم ممکن است دچار تخلف شود. زمان آن فرا رسیده است که از سرزنش قربانی خودداری کنید. زمان آن فرا رسیده است که با همدیگر همانگونه رفتار کنیم که با کارکنانی که با حسن نیت رفتار می کنند رفتار کنیم: با درک این موضوع که هیچ کس کامل نیست و اذعان به اینکه پذیرفتن صداقت و شفافیت در دراز مدت به نفع همه خواهد بود.

مت هیلاری CISO از دنرخ.