كيف تؤثر تحديات الأفراد والعمليات والتكنولوجيا بالسلب على فرق الأمن الإلكتروني

من خلال دراسة أجرتها شركة Forrester Consulting في عام 2023 بالنيابة عن Tenable، شرعنا في استيعاب تحديات العالم الحقيقي التي تقف حائلاً في طريق الممارسات الفعالة للحد من المخاطر. إليك ما تعلمناه. 

في الوقت الذي تواجه فيه برامج الأمن الإلكتروني مستويات غير مسبوقة من التدقيق من قِبل الوكالات الحكومية، وشركات التأمين والمستثمرين، تجد العديد من المؤسسات صعوبة عندما يتعلق الأمر بالإبلاغ والتواصل بفاعلية بشأن المخاطر. فهي مكبلة اليدين بمجموعة من التحديات المتعلقة بالأفراد والعمليات والتكنولوجيا، والتي مجتمعة تجعل من الصعب للغاية على المؤسسات ممارسة الأمن الإلكتروني الوقائي، حتى عندما يصبح سطح الهجوم أكثر تعقيدًا من أي وقتٍ مضى.

مستند تقني جديد بعنوان "العادات القديمة يصعب تغييرها: كيف تؤثر تحديات الأفراد والعمليات والتكنولوجيا بالسلب على فرق الأمن الإلكتروني"، يكشف أنه في العامين الماضيين، كانت المؤسسات العادية مستعدة للدفاع بشكل وقائي عن 57٪ من الهجمات الإلكترونية التي واجهتها. ومع ذلك، فإن وجود هذا القدر فقط من التغطية يجعلها عُرضة لنسبة 43% من هذه الهجمات، والتي اضطروا إلى التخفيف منها بشكل تفاعلي بدلًا من إيقافها تمامًا. يعتقد ما يقرب من ثلاثة أرباع (74%) قادة الأمن وتكنولوجيا المعلومات أن مؤسساتهم ستكون أكثر نجاحًا في الدفاع ضد الهجمات الإلكترونية إذا خصصت المزيد من الموارد للأمن الإلكتروني الوقائي. يستند هذا المستند التقني إلى استبيان رأي 825 من قادة الأمن الإلكتروني وتكنولوجيا المعلومات أجرته شركةForrester Consulting في عام 2023 نيابةً عن Tenable.

وتجدر الإشارة إلى أن تعقيد البنية التحتية التكنولوجية - فضلاً عن تعويلها على أنظمة متعددة السُحُب، والعديد من أدوات إدارة الهوية والامتيازات، وتنوع الأصول التي يمكن الوصول إليها عبر الويب - يجلب معه العديد من الفرص للتكوينات غير الصحيحة والأصول التي يتم تجاهلها. إن الأمن الإلكتروني الوقائي يتطلب القدرة على تقييم الثغرات الأمنية والتكوينات غير الصحيحة وتحديد أولوياتها في سياق بيانات المستخدم وتحديد أولويات الأصول، بحيث يتمكن موظفو تكنولوجيا المعلومات والأمن الإلكتروني من اتخاذ القرارات الصائبة بشأن الأنظمة أو فئات المستخدمين والأصول التي يجب معالجتها أولاً. كما أن الطبيعة المنعزلة لآلاف الحلول المنفصلة التي يقدمها مورّدو الأمن الإلكتروني تجعل من المستحيل تقريبًا على قادة الأمن وتكنولوجيا المعلومات فهم العمق والاتساع الكاملين لتعرض أي مؤسسة للمخاطر. 

لا تزال العديد من المؤسسات تعاني من أساسيات تصحيح الثغرات الأمنية في البرامج - ومثل هذه المثالب ليست سوى عنصر واحد من العناصر التي تتعرض لها المؤسسة بشكل عام. إن المعالجة الوقائية للتكوينات غير الصحيحة للنظام تتمخض عن مجموعة من التحديات الخاصة بها. ومما يزيد الأمور تعقيدًا أن المؤسسات تكافح من أجل الحصول على صورة دقيقة لسطح الهجوم لديها، بما في ذلك رؤية الأصول غير المعروفة وموارد السحابة ونقاط الضعف للتعليمات البرمجية وأنظمة استحقاق المستخدم.

الأفراد هم نقطة البداية لكل شيء 

يمكن أن تؤدي العمليات والسلوكيات الداخلية إلى خلق صراعات تسفر في نهاية المطاف عن عرقلة الجهود المبذولة الرامية إلى تنفيذ إستراتيجيات الأمن الإلكتروني الوقائية. غالبًا ما يتم عزل فرق الأمن الإلكتروني وتكنولوجيا المعلومات ويتم تقييم أدائها بالاستعانة بمعايير وأهداف منفصلة ومتناقضة. كما أن المواقف الداخلية تجعل التنسيق بين فرق تكنولوجيا المعلومات والأمن ليس بالأمر الهين، بل ويستغرق وقتًا طويلًا. 

النتيجة المترتبة عن عدم التوافق هذا؟ يفيد ستة من كل 10 مشاركين (58%) تقريبًا بأن فريق الأمن الإلكتروني يكون منهمكًا للغاية بمكافحة الحوادث الخطيرة؛ بحيث لا يستطيع اتخاذ نهج وقائي للحدّ من تعرض مؤسسته للمخاطر. يجد أربعة من كل 10 مشاركين (40%) أن التنسيق بين فرق تكنولوجيا المعلومات والأمن الإلكتروني أمرًا مستعصيًا ويستهلك الكثير من الوقت، ويقول ما يقرب من الثلثين (65%) أن تكنولوجيا المعلومات تهتم بوقت التشغيل أكثر من التصحيح/المعالجة. 

لا تمثل الأنظمة المنعزلة استنزافًا للموارد البشرية فحسب، بل أنها تزيد من صعوبة إنشاء تقارير مخاطر ذات معنى من مصادر بيانات متباينة. هناك سبعة من كل 10 مشاركين (71%) لديهم 25 موظفًا أو أكثر مكرّسين للنشر والدعم والصيانة وعلاقات الموردين أو أي من ذلك من أجل أدوات الأمن الإلكتروني الوقائي التي يستخدموها. في المتوسط، تقضي المؤسسات 15 ساعة شهريًا في إنشاء تقارير أمنية لقادة الأعمال. 

تحديات الأفراد تولد تحديات العمليات

فالصوامع التنظيمية تقف حائلاً في سبيل التعاون الفعال. على سبيل المثال، على الرغم من أن غالبية المشاركين في الدراسة (53%) يرون أن البنية التحتية السحابية - وتحديدًا السحابة العامة و/أو متعددة السحب و/أو السحابة الهجينة - هي أعظم مصدر للتعرض للمخاطر في مؤسساتهم إلا أن الأمن الإلكتروني غالبًا ما يتم استبعاده من عملية صنع القرار بشأن نشر السحابة. 

يتفق ما يربو على ثلث قادة تكنولوجيا المعلومات والأمن الإلكتروني على أنه لا يتم استشارة فريق الأمن الإلكتروني في وقت مبكر بما فيه الكفاية في عملية اختيار الخدمات السحابية ونشرها، في حين يفيد 31٪ من المشاركين بأن فرق الأعمال والهندسة لديهم تشتري الخدمات السحابية وتنشرها دون إبلاغ فريق الأمن الإلكتروني.

تلعب الاجتماعات والتواصل على نحو متكرر لمناقشة أهمية الأنظمة في الأعمال دورًا أساسيًا لتقليل المخاطر، ومع ذلك يتم عقد مثل هذه الاجتماعات بصفة شهرية (في أحسن الأحوال!). بل ويجتمع أكثر من 20% من المؤسسات مرة واحدة فقط في السنة (أو أقل). 

التكنولوجيا من شأنها أن تفاقم التحديات التي تواجه فرق الأمن الإلكتروني

لا ريب أن وجود مزيج من أدوات الأمن الإلكتروني المنعزلة يجعل من العسير على قادة الأمن الإلكتروني وتكنولوجيا المعلومات الحصول على رؤى مفيدة حول عمق واتساع تعرضهم للمخاطر. لا يتمكن المتخصصون الذين يستخدمون الأدوات المنعزلة من تحديد العلاقات بين المستخدمين والأنظمة والبرامج، كما أن معايير القياس المتباينة بين جميع الأدوات المتعددة تجعل من الصعوبة بمكان تقييم المخاطر بدقة. ومما يزيد الأمور تعقيدًا أن ثلاثة من أصل أربعة من أدوات الأمن الإلكتروني الأكثر استخدامًا هي أدوات قائمة على رد الفعل، وليست أدوات وقائية، مما يجعل تنفيذ ممارسات الأمن الإلكتروني الاستباقية أمرًا شاقًا. والأمر الأكثر إثارة للقلق هو أن الطبيعة المنعزلة لأدوات الأمن الإلكتروني تجعل من الصعب على متخصصي تكنولوجيا المعلومات والأمن تزويد الإدارة العليا بمقاييس شاملة وسهلة الفهم لإدارة المخاطر - مما يصعب على الإدارة فهم موقف المخاطر في المؤسسة بشكل صحيح، وتخصيص الميزانيات وفقًا لذلك وأيضًا تلبية المعايير الحكومية والصناعية للإبلاغ عن المخاطر. 

كما أنه من العسير أيضًا الحصول على سياق مهم حول المستخدمين وامتيازات الوصول: يقول سبعة من كل 10 مشاركين (70٪) أن أنظمتهم المعزولة تشكل عائقًا أمام الحصول على بيانات المستخدم. في الوقت الذي يصرح فيه معظم المشاركين في الدراسة (75%) بأنهم يأخذون في الاعتبار هوية المستخدم وامتيازات الوصول عندما يمنحون الأولوية للثغرات الأمنية المطلوب معالجتها، يفيد نصف المشاركين أن مؤسساتهم تفتقر إلى طريقة ناجعة لدمج هذه البيانات في ممارسات الأمن الإلكتروني وإدارة التعرض للمخاطر الوقائية. 

إذا كنت مستعدًا لمعرفة المزيد حول هذه التحديات، يمكنك الحصول على نظرة ثاقبة حول كيفية تعامل المؤسسات الأكثر نضجًا معها والاطلاع على التوصيات الخاصة بالخطوات التالية:

• انضم إلى رئيس قسم المعلومات والرئيس التنفيذي للأمن والرئيس التنفيذي للتكنولوجيا في Tenable في 14 ديسمبر 2023 الساعة 2 ظهرًا بالتوقيت الشرقي لحضور ندوة عبر الإنترنت للجنة –تعرف على المزيد وسجل هنا

• اقرأ المستند التقني: "العادات القديمة تنتهي بشدة: كيف تؤثر تحديات الأفراد والعمليات والتكنولوجيا بالسلب على فرق الأمن الإلكتروني"