معظم فرق الأمن السيبراني تدرك ما هو مهم من الناحية التقنية في بيئتها، لكن الأصعب هو تحديد ما هو “حيوي للأعمال”. هذه الأصول هي التي تدعم العمليات التي لا يمكن للشركة العمل بدونها. قد لا تكون الأكثر وضوحاً أو تعرضاً للهجمات، لكنها مرتبطة مباشرة بالإيرادات، والعمليات، والخدمات. إذا تعطلت، فإن الأمر يتجاوز كونه مشكلة أمنية ليصبح مشكلة أعمال.
على مدار العام الماضي، وبعد نشر منهجية مكونة من أربع خطوات لتحديد الأصول الحيوية للأعمال وتأمينها، أجرى فريقنا ورش عمل مع عشرات العملاء في مجالات مثل التمويل، التصنيع، والطاقة. كشفت هذه الجلسات عن رؤى قيمة حول كيفية تطور استراتيجيات الأمن لدى المؤسسات.
هذه المنهجية لم تعد نظرية، بل أثبتت فعاليتها ميدانياً، حيث أبلغت منظمات عن تقليل جهود الإصلاح بنسبة تصل إلى 96% مع تعزيز الحماية في الأصول الأكثر أهمية.
الدرس الأول: ليست كل الأصول متساوية الأهمية
ما اكتشفناه: معظم فرق الأمن تستطيع تحديد ما هو “حساس تقنياً”، لكنها تجد صعوبة في تحديد ما هو “حيوي للأعمال”. الأصول الحيوية للأعمال هي التي تدعم بشكل مباشر توليد الإيرادات، واستمرار العمليات، وتقديم الخدمات.
الدرس الثاني: سياق العمل يغير كل شيء
ما اكتشفناه: فرق الأمن تتلقى كماً هائلاً من الإشارات مثل نتائج الفحص الأمني والتنبيهات، لكن بدون ربط هذه البيانات بسياق الأعمال، تصبح قيمتها محدودة.
الدرس الثالث: منهجية الأربع خطوات فعّالة
ما اكتشفناه: المؤسسات تحتاج لنهج منظم يربط الأمن بأولويات الأعمال. وقد ثبت أن منهجيتنا فعالة في مختلف القطاعات.
الخطوات الأربع:
-
تحديد العمليات الحيوية للأعمال: ركز على العمليات التي يؤدي توقفها إلى تعطيل كبير للإيرادات أو الخدمات.
-
ربط العمليات بالتكنولوجيا: حدد الأنظمة والبنية التحتية وقواعد البيانات التي تدعم هذه العمليات.
-
تحديد الأولويات بناءً على المخاطر: ركز على نقاط الاختناق التي يمكن للمهاجمين استغلالها للوصول للأصول الحيوية.
-
التحرك في الأماكن المهمة: أصلح الثغرات التي تشكل مساراً مباشراً نحو الأصول الحيوية.
الدرس الرابع: المديرون الماليون يصبحون شركاء في الأمن السيبراني
ما اكتشفناه: قادة القطاع المالي يشاركون بشكل متزايد في قرارات الأمن السيبراني، حيث يريدون رؤية المخاطر من منظور الأعمال.
الدرس الخامس: الوضوح يتفوق على حجم البيانات
ما اكتشفناه: فرق الأمن لا تحتاج المزيد من البيانات، بل سياق أفضل لفهم البيانات الموجودة.
الدرس السادس: الفعالية تأتي من التركيز
ما اكتشفناه: المؤسسات التي طبقت هذا النهج القائم على الأعمال شهدت تحسناً كبيراً في الكفاءة وخفضاً هائلاً في جهود الإصلاح.
قائمة فحص للبدء بتأمين الأصول الحيوية للأعمال
الخطوة 1: تحديد العمليات الحيوية
-
عقد اجتماعات مع قادة الوحدات لتحديد العمليات الأساسية للإيرادات.
-
مراجعة كيفية توليد وإنفاق الأموال لاكتشاف العمليات عالية القيمة.
-
وضع قائمة قصيرة بالعمليات التي يسبب توقفها اضطراباً كبيراً.
الخطوة 2: ربط العمليات بالتكنولوجيا
-
تحديد الأنظمة والبنية التحتية التي تدعم كل عملية حيوية.
-
توثيق بيانات الاعتماد ونقاط الوصول لهذه الأنظمة.
-
مراجعة التبعيات ومتطلبات التعافي مع مالكي الأنظمة.
الخطوة 3: تحديد الأولويات بناءً على المخاطر
-
تحديد نقاط الاختناق المحتملة التي قد يستغلها المهاجمون.
-
تقييم الثغرات التي تشكل مسارات مباشرة للأصول الحيوية.
-
إعداد قائمة بالأولويات وفقاً لتأثيرها على الأعمال.
الخطوة 4: تحويل الرؤية إلى عمل
-
التركيز على إصلاح الثغرات المؤثرة مباشرة على الأصول الحيوية.
-
صياغة مبررات أمنية بلغة الأعمال.
-
قياس التقدم من خلال تقليل المخاطر على الوظائف الأساسية.
