عملکرد بد مدیران: 5 روش برای مدیریت تهدیدات سایبری اجرایی

امنیت کسب و کار

ناتوانی در عمل به آنچه موعظه می کنید، به ویژه زمانی که هدفی شاداب برای بازیگران بد هستید، موقعیتی مملو از خطرات قابل توجهی ایجاد می کند.

فیل مونکستر

نوامبر 30 2023  •  , 5 دقیقه خواندن

وقتی صحبت از امنیت سایبری شرکتی می‌شود، رهبری به عنوان مثال اهمیت دارد. بله، برای هر کارمند مهم است که نقش خود را در یک فرهنگ امنیت به طراحی. اما نشانه های آنها اغلب از بالا آمده است. اگر هیئت مدیره و رهبری ارشد نمی توانند برای یادگیری اصول اولیه بهداشت سایبری وقت بگذارند، چرا بقیه شرکت باید این کار را انجام دهند؟

علاوه بر این، مدیران اجرایی با توجه به دسترسی آنها به اطلاعات حساس و قدرتی که برای تأیید نقل و انتقالات پولی کلان دارند، خود هدف بسیار ارزشمندی برای عوامل تهدید هستند. بنابراین، عمل نکردن به آنچه آنها موعظه می کنند می تواند منجر به آسیب مالی و اعتبار قابل توجهی شود.

در واقع، یک گزارش جدید از ایوانتی یک "شکاف رفتار" قابل توجه در امنیت سایبری بین آنچه مدیران ارشد می گویند و آنچه انجام می دهند را نشان می دهد. بستن آن باید برای همه سازمان ها یک فوریت باشد.

شکاف رفتار

این گزارش ماهیت جهانی دارد و از مصاحبه با بیش از 6,500 رهبر اجرایی، متخصصان امنیت سایبری و کارمندان اداری در اروپا، ایالات متحده، چین، ژاپن و استرالیا تهیه شده است. در میان چیزهای دیگر، یک گسست عمده بین آنچه رهبران کسب و کار می گویند و آنچه که واقعا انجام می دهند را آشکار می کند. مثلا:

• تقریباً همه (96٪) ادعا می کنند که "حداقل به طور متوسط ​​از دستورات امنیت سایبری سازمان خود حمایت می کنند یا در آن سرمایه گذاری می کنند."
• 78 درصد می گویند که سازمان فراهم می کند آموزش اجباری امنیتی
• 88٪ می گویند "آنها آماده شناسایی و گزارش تهدیدهایی مانند بدافزار و فیشینگ هستند"

تا اینجای کار خیلی خوبه. اما متاسفانه این تمام ماجرا نیست. در واقع، بسیاری از رهبران تجاری نیز:

• درخواست دور زدن یک یا چند اقدام امنیتی در سال گذشته (49%)
• استفاده از رمزهای عبور آسان برای به خاطر سپردن (77%)
• با کلیک بر روی لینک های فیشینگ (٪ 35)
• استفاده از رمزهای عبور پیش فرض برای برنامه های کاری (24%)

رفتار اجرایی اغلب با آنچه که رویه امنیتی قابل قبول است فاصله دارد. همچنین در مقایسه با کارمندان عادی قابل توجه است. تنها 14 درصد از کارمندان می گویند که از رمزهای عبور پیش فرض استفاده می کنند، در مقابل 24 درصد مدیران اجرایی. بر اساس این گزارش، گروه دوم سه برابر بیشتر احتمال دارد که دستگاه های کاری را با کاربران غیرمجاز به اشتراک بگذارند. مدیران همچنین دو برابر بیشتر احتمال دارد که تعامل گذشته با امنیت فناوری اطلاعات را «ناجور» توصیف کنند و 33 درصد بیشتر احتمال دارد که بگویند در گزارش دادن خطاهایی مانند کلیک کردن روی پیوندهای فیشینگ «احساس امنیت ندارند».

اقداماتی برای کاهش تهدید اجرایی

این موضوع به دلیل حقوق دسترسی که رهبران ارشد معمولاً در یک سازمان دارند اهمیت دارد. ترکیبی از این، عملکرد ضعیف امنیتی و «استثنایی‌گرایی اجرایی» - که باعث می‌شود خیلی‌ها به دنبال راه‌حل‌هایی باشند که کارمندان عادی از آن محروم شوند - آنها را به یک هدف جذاب تبدیل می‌کند. این گزارش ادعا می کند که 47 درصد از مدیران یک هدف فیشینگ شناخته شده در سال گذشته بوده اند، در مقابل 33 درصد از کارکنان اداری عادی. و 35 درصد روی یک لینک مخرب کلیک کرد یا پول ارسال کرد، در مقایسه با تنها 8 درصد از کارمندان.

کارشناسان امنیتی اغلب در مورد نیاز به الف صحبت می کنند امنیت بر اساس طراحی یا فرهنگ امنیت محور، که در آن آگاهی از بهترین شیوه ها و بهداشت سایبری در کل سازمان نفوذ می کند. اگر رهبری ارشد این ارزش‌ها را در بر نگیرد، تقریباً غیرممکن است. بنابراین، سازمان‌ها برای کاهش خطرات مرتبط با سایبری که توسط مدیرانشان ایجاد می‌شود، چه کاری می‌توانند انجام دهند؟

1. انجام ممیزی داخلی از فعالیت های اجرایی در سال گذشته. این می‌تواند شامل فعالیت‌های اینترنتی، رفتارهای پرخطر بالقوه مانند کلیک‌های فیشینگ که مسدود شده‌اند و تعامل با مدیران امنیتی یا فناوری اطلاعات باشد. آیا الگوهای قابل توجهی مانند ریسک پذیری بیش از حد یا عدم ارتباط وجود دارد؟ درس های آموخته شده چیست؟

   مهمترین هدف این تمرین این است که بفهمید شکاف رفتار اجرایی چقدر گسترده است و چگونه در سازمان شما آشکار می شود. حتی ممکن است برای دریافت دیدگاه شخص ثالث در مورد چیزها، یک ممیزی خارجی مورد نیاز باشد.

2. ابتدا با میوه کم آویزان مقابله کنید. این به این معنی است که رایج‌ترین روش‌های امنیتی بد هستند که راحت‌ترین آنها را برطرف می‌کنند. این می‌تواند به معنای به‌روزرسانی سیاست‌های دسترسی برای احراز هویت دو مرحله‌ای (2FA) برای همه باشد، یا ایجاد یک خط‌مشی طبقه‌بندی و حفاظت از داده‌ها که مواد خاصی را خارج از محدوده برای مدیران خاص قرار می‌دهد. به همان اندازه که به‌روزرسانی خط‌مشی مهم است، ابلاغ منظم آن و توضیح دلیل نگارش آن است تا از برخوردهای اجرایی جلوگیری شود.

   تمرکز در طول این فرآیند باید بر روی قرار دادن کنترل‌هایی باشد که تا حد امکان غیرقابل نفوذ هستند، مانند کشف خودکار داده‌ها، طبقه‌بندی و حفاظت. این به ایجاد تعادل مناسب بین امنیت و بهره وری اجرایی کمک می کند.

3. به مدیران کمک کنید تا نقاط بین قصور امنیتی و ریسک تجاری را به هم بپیوندند. یکی از راه‌های ممکن برای انجام این کار، اجرای جلسات آموزشی است که از تکنیک‌های گیمیفیکیشن و سناریوهای دنیای واقعی برای کمک به مدیران در درک تأثیر بهداشت ضعیف سایبری استفاده می‌کند. می تواند توضیح دهد که چگونه یک پیوند فیشینگ منجر به نقض یک رقیب اصلی می شود. یا چگونه یک حمله به خطر انداختن ایمیل تجاری یک مدیر اجرایی را فریب داد تا میلیون ها دلار برای کلاهبرداران ارسال کند.

   چنین تمرین‌هایی باید نه تنها بر آنچه اتفاق افتاده، و چه درس‌هایی از منظر عملیاتی آموخته شود، بلکه باید بر تأثیر انسانی، مالی و اعتباری نیز متمرکز شود. مدیران اجرایی به ویژه علاقه مند هستند که بدانند چگونه برخی از حوادث جدی امنیتی به همتایان خود منجر شده است مجبور شدن به بیرون از نقش های آنها

4. روی ایجاد اعتماد متقابل با رهبری ارشد کار کنید. این امر برخی از رهبران فناوری اطلاعات و امنیت را از منطقه آسایش خود خارج می کند. همانطور که گزارش توضیح می دهد، این باید به معنای "صداقت و حمایت دوستانه" باشد تا "محکومیت یا اغماض" که اغلب در هنگام اشتباه یک کارمند دنبال می شود.

   تمرکز باید بر روی درس گرفتن از اشتباهات باشد نه جدا کردن افراد. بله، آنها باید عواقب اقدامات خود را درک کنند، اما همیشه در چارچوب بهبود مستمر و یادگیری.

5. برنامه امنیت سایبری "دستکش سفید" را برای رهبران ارشد در نظر بگیرید. مدیران اجرایی بیشتر از کارمندان عادی می گویند که تعامل آنها با امنیت احساس ناخوشایندی دارد. بهداشت سایبری آنها بدتر است و آنها هدف بزرگتری برای عوامل تهدید هستند. همه اینها دلایل خوبی برای توجه ویژه به این گروه نسبتاً کوچک از رهبران ارشد است.

   یک نقطه تماس ویژه برای تعامل با مدیران اجرایی، و فرآیندهای آموزشی طراحی شده و درون/برون‌بورد در نظر بگیرید. هدف ایجاد اعتماد و بهترین عملکرد و کاهش موانع گزارش حوادث امنیتی است.

بسیاری از این مراحل مستلزم تغییر فرهنگی است که طبیعتاً زمان بر است. اما با صادق بودن با مدیران، قرار دادن فرآیندها و کنترل‌های مناسب و آموزش عواقب ناشی از عدم رعایت بهداشت سایبری، شانس موفقیت زیادی خواهید داشت. امنیت یک ورزش تیمی است، اما باید از کاپیتان شروع شود.

قبل از اینکه بری: 6 مرحله برای وارد شدن به هیئت مدیره با برنامه امنیت سایبری شما