هذا يخلق تحديا ل CISOs. قد تدرك فرق الأمان مدى الخطورة الفنية للثغرة الأمنية أو مدى تطور عامل التهديد أو المسار المحتمل للهجوم ، لكن يتعين على مجالس الإدارة والفرق التنفيذية فهم أمر مختلف: ماذا يمكن أن يعني ذلك بالنسبة للشركة؟
هل يمكن أن يقطع العمليات الحرجة؟ هل يمكنها فضح البيانات الحساسة؟ هل يمكن أن يؤخر الإيرادات؟ هل يمكن أن يؤدي إلى تدقيق تنظيمي؟ هل يمكن أن يضر بثقة العميل؟ هل يمكن أن يؤثر على قدرة المنظمة على تقديم الخدمات الأساسية؟
إن تقييم المخاطر السيبرانية من حيث الأعمال يعني ترجمة التعرض الفني إلى تأثير على الأعمال . يساعد القادة على اتخاذ قرارات أفضل حول الاستثمار وتحديد الأولويات والمرونة. كما أنه يساعد CISOs على نقل المحادثة بعيدًا عن درجات المخاطر المجردة ونحو النتائج التي تحاول المنظمة حمايتها.
إطار عملي لتقييم المخاطر السيبرانية من حيث الأعمال التجارية
يجب أن يربط تقييم المخاطر السيبرانية بين خمسة أشياء:
- أصول العمل الحرجة : ما هي الأنظمة والبيانات والعمليات والخدمات والأطراف الثالثة التي تعتبر ضرورية للمؤسسة؟
- التعرض للتهديد : ما هي التهديدات السيبرانية الأكثر صلة بهذه الأصول ، بناءً على قطاع المؤسسة ، والجغرافيا ، ونموذج التشغيل ، وطبيعة التهديدات؟
- الاحتمال : ما مدى احتمالية تأثير التهديد على المنظمة ، في ضوء نقاط الضعف والضوابط ونشاط المهاجم ونضج الأمان؟
- تأثير الأعمال : إذا تحقق التهديد ، فماذا ستكون النتائج من الناحية المالية والتشغيلية والتنظيمية والمتعلقة بالسمعة؟
- أولوية القرار: ما الذي يجب على المنظمة فعله أولاً ، بناءً على مستوى المخاطر والموارد المتاحة وأهداف العمل؟
يمنح هذا الإطار CISOs طريقة منظمة لشرح المخاطر السيبرانية دون اختزالها في اللغة الفنية. كما أنها تدعم عملية صنع القرار الأكثر عملية - لا تعتبر الثغرة الأمنية مشكلة على مستوى مجلس الإدارة تلقائيًا نظرًا لتصنيفها عالي الخطورة ؛ تصبح مشكلة على مستوى مجلس الإدارة عندما تؤثر على شيء يهم الشركة.
ابدأ بالعمل وليس بالتهديد
تبدأ العديد من تقييمات المخاطر الإلكترونية بالمدخلات الفنية: نقاط الضعف أو التنبيهات أو فجوات التحكم أو تقارير الحوادث أو نتائج التدقيق. هذه ضرورية ، لكنها ليست أفضل نقطة انطلاق لمحادثة عمل.
تتمثل نقطة الانطلاق الأفضل في التفكير في هذا السؤال: ما الذي يجب على المنظمة حمايته للعمل والنمو والاحتفاظ بالثقة؟
بالنسبة للبنك ، قد يشمل ذلك أنظمة الدفع وحسابات العملاء ومنصات التداول وأنظمة الهوية وعمليات إعداد التقارير التنظيمية. بالنسبة إلى الشركة المصنعة ، من المحتمل أن تتضمن خطوط الإنتاج وأنظمة التحكم الصناعية ومنصات سلسلة التوريد والملكية الفكرية. وبالنسبة لعملية الرعاية الصحية ، فإنها ستشمل سجلات المرضى والأنظمة السريرية والأجهزة الطبية المتصلة وأنظمة جدولة المواعيد.
وتتمثل النقطة الأساسية في ما يلي: يمكن أن يحمل الحدث الإلكتروني نفسه عواقب تجارية مختلفة تمامًا اعتمادًا على مكان وصوله - لا يختلف هجوم فدية ضد بيئة اختبار منعزلة عن برمجيات الفدية التي تؤثر على أنظمة الإنتاج أو الخدمات التي تواجه العملاء أو التكنولوجيا التشغيلية ؛ يختلف حساب الموظف الذي تم اختراقه عن حساب مسؤول تم اختراقه مع إمكانية الوصول إلى البيانات الحساسة أو البنية التحتية الحيوية.
هذا هو سبب أهمية سياق الأصول. يحتاج CISO إلى معرفة ليس فقط ما هو عرضة للخطر ، ولكن ما الذي تدعمه الأصول المعرضة للخطر.
ترجمة التعرض الفني إلى تأثير على الأعمال التجارية
غالبًا ما تصف فرق الأمن السيبراني المخاطر من حيث مكافحة التطرف العنيف ونواقل الهجوم ومؤشرات الاختراق والتكوين الخاطئ وتغطية الاكتشاف. هذه التفاصيل مهمة ، لكنها لا تجيب بالضرورة على السؤال التنفيذي: وماذا في ذلك؟
لتقييم المخاطر السيبرانية من حيث الأعمال التجارية ، قم بترجمة التعرض الفني إلى فئات يفهمها النشاط التجاري بالفعل. على سبيل المثال:
- التأثير التشغيلي: هل يمكن أن يؤدي ذلك إلى تعطيل الخدمات الأساسية أو الإنتاج أو اللوجستيات أو دعم العملاء أو العمليات الداخلية؟
- الأثر المالي: هل يمكن أن يؤدي إلى خسارة الإيرادات أو تكاليف الاسترداد أو طلبات الفدية أو التكاليف القانونية أو تعويض العملاء أو زيادة أقساط التأمين؟
- الأثر التنظيمي: هل يمكن أن يؤدي إلى إصدار تقارير إلزامية أو فرض عقوبات أو عمليات تدقيق أو إجراء قانوني؟
- تأثير السمعة: هل يمكن أن يلحق الضرر بثقة العملاء أو ثقة الشريك أو إدراك السوق أو ثقة المستثمر؟
- التأثير الاستراتيجي: هل يمكن أن يؤخر مشاريع التحول أو عمليات الدمج أو توسع السوق أو المبادرات الرقمية؟
لا يلزم أن تكون هذه الترجمة مثالية حتى تكون مفيدة. في كثير من الحالات ، يكون التقدير الاتجاهي كافيًا لدعم تحديد الأولويات المستنير. والهدف من ذلك ليس إنتاج إحساس زائف باليقين الرياضي ، ولكن لإعطاء القيادة رؤية أوضح للعواقب المرتبطة بالقرارات السيبرانية.
قم بتقييم الاحتمالية باستخدام سياق التهديد ، وليس التخمين
غالبًا ما يكون الاحتمال هو الجزء الأضعف في مناقشة المخاطر السيبرانية. قد يكون من المغري وصف الاحتمالية بأنها منخفضة أو متوسطة أو عالية بناءً على الحدس. لكن قرارات مخاطر المؤسسة تحتاج إلى أساس أقوى من الغريزة.
يأخذ التقييم الموثوق به في الاعتبار العديد من المدخلات:
نشاط ممثل التهديد ذي الصلة
هل تستهدف مجموعات المجرمين الإلكترونيين أو الجهات الفاعلة المرتبطة بالدولة أو نشطاء القرصنة قطاع المؤسسة أو منطقتها أو مكدسها التكنولوجي؟
نقاط الضعف المعروفة
هل توجد نقاط ضعف يمكن استغلالها في الأنظمة التي تواجه الإنترنت أو نقاط النهاية أو البيئات السحابية أو البنية التحتية للهوية أو التكنولوجيا التشغيلية؟
فعالية الرقابة
هل تعمل الضوابط الأمنية على النحو المنشود ، وهل يتم اختبارها ضد تقنيات الهجوم الواقعية؟
نضج الاكتشاف والاستجابة
هل تستطيع المنظمة اكتشاف العلامات المبكرة للتسوية والاستجابة لها قبل أن تتحول أي مشكلة فنية إلى أزمة عمل؟
التبعية لجهة خارجية
هل يمكن لمورد أو مزود برمجيات أو خدمة مُدارة أو شريك تقديم مخاطر في العمليات الحرجة؟
تعتبر المعلومات المتعلقة بالتهديدات ذات قيمة خاصة هنا لأنها توفر سياقًا إضافيًا حول التهديدات الناشئة ونشاط المهاجم الذي تمت ملاحظته ، بما في ذلك القطاعات التي يتم استهدافها والتكتيكات التي يتم استخدامها والمؤشرات التي قد تشير إلى نشاط الهجوم المبكر. وتعتمد قيمة معلومات التهديد على جودة واتساع وملاءمة مصادر البيانات الخاصة بها ، مما يجعل الرؤية العالمية القوية وجمع المعلومات الاستخبارية الموثوق أمرًا ضروريًا لتوفير سياق مفيد في الوقت المناسب.
بالنسبة إلى CISO ، يوفر هذا أساسًا أقوى لمحادثات المخاطر. وتتحول الرسالة من "هذه ثغرة خطيرة" إلى "هذه الثغرة الأمنية مهمة لأنها قابلة للاستغلال وذات صلة ببيئتنا ومرتبطة بنشاط التهديد النشط".
التحديد الكمي حيثما كان ذلك ممكنًا ، والتأهل عند الضرورة
غالبًا ما يرغب قادة الأعمال في التعبير عن المخاطر السيبرانية من الناحية المالية ، وهو أمر معقول: يتنافس الأمن السيبراني على الميزانية مع أولويات العمل الأخرى ، لذلك يحتاج CISOs إلى طريقة لشرح قيمة تقليل المخاطر.
حيثما أمكن ، حدد المخاطر السيبرانية باستخدام نطاقات التكلفة. وقد تتضمن هذه:
- التكلفة التقديرية لوقت التوقف عن العمل في الساعة أو اليوم
- خسارة الإيرادات المحتملة من تعطل الخدمة
- تكاليف الاسترداد والمعالجة
- التكاليف القانونية أو التنظيمية أو تكاليف الإخطار
- تعويض العميل المحتمل أو العقوبات التعاقدية
- تكلفة الإنتاجية المفقودة
- التأثير المحتمل على أقساط التأمين
- تكلفة مبادرات الأعمال المتأخرة.
ومع ذلك ، لا يمكن قياس كل المخاطر بدقة. قد تحتاج بعض التأثيرات ، مثل الإضرار بالسمعة أو فقدان ثقة أصحاب المصلحة أو التأخير الاستراتيجي ، إلى وصف نوعي.
يستخدم التقييم الجيد لمخاطر الأعمال كلا النهجين. إنه يتجنب الانزعاج الغامض ، لكنه يتجنب أيضًا التظاهر بأن كل عاقبة يمكن اختزالها إلى رقم واحد.
وإليك تنسيقًا مفيدًا:
إذا تحققت هذه المخاطر ، فإن التأثير المحتمل للأعمال هو تعطيل [العملية الحرجة] ، مما يؤثر على [وحدة العمل أو مجموعة العملاء أو السوق] ، مع وجود عواقب محتملة بما في ذلك [التأثير المالي أو التنظيمي أو التشغيلي أو المتعلق بالسمعة].
يؤدي ذلك إلى إنشاء خط واضح بين المشكلة الفنية ونتائج الأعمال.
تحديد أولويات المخاطر حسب نتائج الأعمال
لا تستطيع فرق أمان المؤسسة إصلاح كل شيء مرة واحدة. والسؤال ليس ما إذا كانت كل مخاطر مهمة ، ولكن ما هي المخاطر الأكثر أهمية.
يجب أن يستند تحديد الأولويات إلى نتائج الأعمال وقابلية الاستغلال والتعرض. قد تكون الثغرة الخطيرة من الناحية الفنية على أصل منخفض القيمة ومعزولة أقل إلحاحًا من الثغرة الأمنية المعتدلة التي تؤثر على نظام الأعمال الحرج والمعرض للهجوم النشط. وبالمثل ، قد ينطوي ضعف الرقابة في إدارة الهوية والوصول إلى مخاطر مؤسسية أكبر من مشكلة نقطة النهاية المحلية.
ينبغي على CISO النظر في أربعة أسئلة لتحديد الأولويات:
- ما هي وظيفة العمل التي تدعمها هذه الأصول؟
- ما مدى تعرضها للمهاجمين المحتملين؟
- ما مدى فعالية الضوابط الحالية؟
- ماذا سيحدث إذا فشلت ، أو تم تشفيرها ، أو تم التلاعب بها أو الوصول إليها من قبل المهاجم؟
يساعد ذلك فرق الأمان على الانتقال من تحديد الأولويات على أساس الحجم إلى تحديد الأولويات على أساس النتائج. الهدف ليس خلق المزيد من العمل. وهو تركيز جهود المعالجة والمراقبة والاستجابة حيث يمكنهم تقليل المخاطر الأكثر أهمية .
ربط المخاطر السيبرانية بالمرونة
بالإضافة إلى دعم الوقاية ، ينبغي أن يدعم تقييم المخاطر الإلكترونية من حيث الأعمال المرونة أيضًا.
تصبح الحادثة الإلكترونية أزمة عمل عندما لا تستطيع المنظمة اكتشافها واحتوائها والتعافي منها بالسرعة الكافية. وبالتالي ، فإن الاكتشاف والاستجابة والاحتواء والاسترداد هي جزء من معادلة مخاطر الأعمال. يمثل التهديد الذي يمكن اكتشافه بسرعة واحتوائه بشكل فعال والتعافي منه بأقل قدر من التعطيل مستوى مختلفًا من مخاطر العمل عن الخطر الذي يظل مخفيًا لأسابيع أو ينتشر عبر الأنظمة الهامة.
هذا هو المكان الذي يصبح فيه الاستعداد للحوادث مركزيًا. يجب على CISO تقييم ما إذا كان بإمكان المنظمة الإجابة عن الأسئلة العملية قبل وقوع أي حادث:
- من يتخذ القرارات أثناء الأزمة السيبرانية؟
- ما هي الأنظمة التي يجب استعادتها أولاً؟
- ما مدى السرعة التي يمكن بها للمؤسسة عزل الأصول المتأثرة؟
- ما هي الأدلة التي يجب حفظها للتحقيق؟
- من هم المنظمون أو العملاء أو الشركاء الذين قد يحتاجون إلى إخطار؟
- كيف ستتواصل المنظمة داخليًا وخارجيًا؟
- ما هو دعم الخبراء المتاح في حالة زيادة الضغوط على الفرق الداخلية؟
تعمل هذه الأسئلة على تحويل تقييم المخاطر السيبرانية إلى استعداد تشغيلي. كما أنها تساعد المجالس على فهم أن المرونة ليست مفهومًا نظريًا ، بل هي قدرة المنظمة على الاستمرار في العمل تحت الضغط.
استخدم السيناريوهات لجعل المخاطر السيبرانية حقيقة
يعد استخدام السيناريوهات من أكثر الطرق فعالية للإبلاغ عن المخاطر الإلكترونية.
سيناريو يحول المخاطر الفنية إلى قصة عمل. على سبيل المثال:
السيناريو: تؤثر R ansomware على الأنظمة التي تدعم العمليات اللوجستية الإقليمية
التأثير على الأعمال التجارية: تأخر تنفيذ الطلب ، وزيادة حجم خدمة العملاء ، وقد يتم تطبيق عقوبات تعاقدية وقد تتأخر الإيرادات.
محركات المخاطر: الوصول عن بُعد المكشوف ، وتغطية نقاط النهاية غير المتسقة ، وتجزئة الشبكة المحدودة ، واختبار الاسترداد غير الكافي.
قرار العمل: استثمر في اكتشاف واستجابة أقوى ، وتحسين اختبار النسخ الاحتياطي ، وتسريع تقسيم الشبكة وتشغيل محاكاة للحوادث مع قادة العمليات.
يعتبر هذا النوع من السيناريوهات أكثر فائدة من بيان المخاطر العام. إنه يساعد المديرين التنفيذيين على فهم سلسلة النتائج ويشجع الملكية متعددة الوظائف ، لأن التأثير لم يعد يقتصر على تكنولوجيا المعلومات أو الأمن.
السيناريوهات الجيدة محددة ومعقولة ومرتبطة بأولويات العمل. يجب أن تعكس نموذج التشغيل الفعلي للمؤسسة ، وليس افتراضات الحالة الأسوأ العامة.
بناء لغة مشتركة مع السبورة
لا تحتاج المجالس إلى فهم كل التفاصيل الفنية للأمن السيبراني ، ولكنها تحتاج إلى طريقة متسقة لمناقشة المخاطر والتعرض والمرونة. يمكن لـ CISO دعم ذلك من خلال الإبلاغ عن المخاطر الإلكترونية من خلال مجموعة صغيرة من الإجراءات التي تركز على الأعمال التجارية ، مثل:
- مخاطر على خدمات الأعمال الهامة
- انكشاف الأصول عالية القيمة
- الاستعداد لاكتشاف التهديدات ذات الأولوية والاستجابة لها
- تقدم المعالجة ضد مخاطر الأعمال الحرجة
- مخاطر الطرف الثالث التي تؤثر على العمليات الأساسية
- الجاهزية للاستجابة للحوادث
- تعيين الاستثمار الأمني للحد من المخاطر.
هذا يخلق محادثة أكثر فائدة. وبدلاً من التساؤل عما إذا كانت المنظمة "آمنة" ، يمكن للقيادة طرح أسئلة أكثر وضوحًا: أين نتعرض أكثر ، وما الذي يمكن أن يؤثر على العمليات ، وماذا سنفعل حيال ذلك ، وما هي المخاطر المتبقية؟
هذه النقطة الأخيرة مهمة - لا يمكن للأمن السيبراني القضاء على المخاطر ؛ يساعد المنظمات على تقليلها وإدارتها ومراقبتها. يحتاج قادة الأعمال إلى فهم المخاطر المتبقية حتى يتمكنوا من اتخاذ قرارات مستنيرة حول الاستثمار والتسامح والمساءلة.
كيف تدعم قدرات الأمن السيبراني تقييم مخاطر الأعمال
يعتمد تقييم المخاطر السيبرانية الذي تقوده الأعمال على رؤية أمنية دقيقة. يحتاج CISOs إلى الرؤية عبر الأصول والتهديدات ونقاط الضعف والضوابط والحوادث والقدرة على الاستجابة.
هذا هو المكان الذي تلعب فيه قدرات الأمن السيبراني للمؤسسات دورًا عمليًا:
- تساعد المعلومات المتعلقة بالتهديدات في تحديد نشاط المهاجم ذي الصلة والتهديدات الناشئة والمؤشرات التي قد تؤثر على المنظمة.
- تساعد قدرات الاكتشاف والاستجابة في تقليل الوقت بين التسوية والاحتواء.
- تدعم العمليات الأمنية المراقبة المستمرة والتحقيق والتصعيد.
- تساعد خدمات الاستجابة للحوادث المنظمات على التحقيق في الهجمات الخطيرة واحتوائها والتعافي منها.
- يساعد الوعي الأمني والتدريب على تقليل المخاطر التي يحركها الإنسان عبر القوى العاملة.
- يوفر تقييم الأمان ، مثل اختبار الاختراق والفريق الأحمر وتقييمات أمان التطبيق ، دليلًا على كيفية استغلال نقاط الضعف في بيئة المؤسسة ، مما يساعد CISO على التحقق من صحة الافتراضات حول الاحتمالية والتعرض وفعالية عناصر التحكم.
- تساعد تقييمات التسوية في تحديد الأدلة على التسوية السابقة أو الحالية التي ربما لم يتم اكتشافها. إنها توفر رؤية أوضح للتعرض الفعلي للمؤسسة ، مما يتيح المعالجة المبكرة وتقليل مخاطر العمل.
تساعد هذه القدرات معًا في تحويل تقييم المخاطر الإلكترونية من تمرين إبلاغ ثابت إلى عملية إدارة فعالة. لا تكمن القيمة في تحديد المخاطر فحسب ، بل في منح المنظمة البصيرة والخبرة اللازمتين للتصرف حيالها.
السمات المميزة لتقييم ناضج للمخاطر الإلكترونية
يتسم النهج الناضج لتقييم المخاطر الإلكترونية من حيث الأعمال بعدة خصائص.
- يبدأ بالأصول والعمليات الحيوية للأعمال
- ويستخدم ذكاء التهديدات لتقييم نشاط المهاجم ذي الصلة
- ويقيم الاحتمالية بناءً على التعرض والاستغلال وفعالية التحكم
- وهو يترجم التأثير إلى مصطلحات تشغيلية ومالية وتنظيمية وسمعة
- ويعطي الأولوية للمعالجة بناءً على نتائج الأعمال
- ويختبر جاهزية الاستجابة من خلال السيناريوهات والتمارين
- ويعطي المديرين التنفيذيين رؤية واضحة للمخاطر التي تم قبولها ، والتي تم تقليلها ، والمخاطر المتبقية .
يساعد هذا النهج CISO على أن يصبحوا شركاء أعمال أقوى. كما أنه يساعد القيادة على اتخاذ القرارات بفهم أوضح لما يهدف الاستثمار في الأمن السيبراني إلى حمايته.
الوجبات الجاهزة الرئيسية
تقييم المخاطر الإلكترونية من حيث الأعمال يعني ربط قرارات الأمن السيبراني بنتائج الأعمال. لا يكفي معرفة الثغرات الأمنية الموجودة أو التنبيهات التي يتم إطلاقها أو عناصر التحكم المفقودة. يحتاج CISO إلى إظهار كيف يمكن أن تؤثر هذه القضايا على العمليات والإيرادات والامتثال والثقة والتقدم الاستراتيجي.
لا ترهق أقوى تقييمات المخاطر الإلكترونية المديرين التنفيذيين بالتفاصيل الفنية. إنها تعطي القادة رؤية واضحة لما هو مهم ، ولماذا هو مهم وما هي القرارات المطلوبة.
بالنسبة للمؤسسات المؤسسية ، يعد الوضوح أمرًا ضروريًا - فهو يساعد فرق الأمان على تركيز الموارد حيث يكون لها أكبر تأثير على الأعمال ، ويساعد المجالس على فهم المخاطر التي تحملها ، ويساعد المؤسسة على بناء المرونة اللازمة لمواصلة العمل عندما تصبح التهديدات السيبرانية أحداثًا تجارية.
المصادر وقراءة المزيد
- Kaspersky Threat Intelligence
- موجزات بيانات التهديدات من Kaspersky
- Kaspersky Managed Detection and Response
- Kaspersky Incident Response
- Kaspersky Security Awareness
- NIST Cybersecurity Framework 2.0
- لمعهد FAIR
- من الأهداف المتعلقة بأداء الأمن السيبراني
- Kaspersky Security Assessment
- Kaspersky Compromise Assessment
