امروزه اکثر سازمان‌ها تأثیر عمیق امنیت سایبری روی کسب‌و‌کار خود را درک می‌کنند. این تأثیرگذاری به‌طور خاص در حوزه مالی و بانکی اهمیت پیدا می‌کند، زیرا معمولاً نیاز است که شرکت‌ها مقدار زیادی داده‌ی خصوصی را ذخیره کنند. به همین دلیل، معمولاً این حوزه هدف بسیار خوبی برای حملات سایبری است. به همین دلیل لازم است که سازمان‌ها و شرکت‌های فعال در این زمینه، یک چک‌لیست امنیت سایبری داشته باشند تا بتوانند به مقاوم‌سازی امنیت خود کمک کنند.
این چک‌لیست امنیت سایبری با توسعه‌ها و راهنمایی‌هایی در مورد ایمن‌سازی داده‌های شرکت، به سازمان‌ها کمک می‌کند یاد بگیرند که چطور باید وضعیت امنیتی خود را تقویت کنند.
ساخت نیروی کاری آگاه نسبت به امنیت
بدون آگاهی امنیتی مناسب، افراد معمولاً برای بهره‌وری بیشتر از میان‌بر استفاده می‌کنند. اما ممکن است در این راه دست به اقداماتی غیرحرفه‌ای نیز بزنند، مثلاً نوشتن رمزهای عبور روی کاغذی که به مانیتورشان چسبیده باشد. ایجاد ذهنیت و فرهنگی برمبنای امنیت در سازمان بهترین راه برای از بین بردن ریسک خطای انسانی است.
داشتن برنامه آموزشی مستمر برای افراد سازمان
امنیت سایبری باید نگرانی شماره ۱ در سازمان باشد. همه منابع انسانی سازمان، باید از ریسک‌های امنیتی و اتفاقاتی که در صورت نقض امنیتی رخ می‌دهد، آگاه باشند. حتماً باید در مورد حملات شناسایی‌شده افراد را بروز کرد و اطلاعاتی را در مورد بهترین فرایندهای امنیتی، مثل احراز هویت دومرحله‌ای و مدیریت رمز عبور ارائه داد.
مانیتور کردن پیچیدگی فرایندهای IT
هر زمان که فرآیندها تغییر کرده یا بروزرسانی می‌شوند، باید سهولت استفاده مدنظر باشد تا از روی آوردن کاربران به میان‌برهای ناامن جلوگیری شود.
محدود کردن دسترسی به داده‌ها و برنامه‌های کاربردی
دسترسی به اطلاعات فقط باید به افرادی ارائه شود که برای انجام کاری به آن نیاز دارند. حتماً همین پروتکل باید برای دسترسی فیزیکی نیز رعایت شود.
پیاده‌سازی کنترل‌های استفاده از داده
اقدامات ناامنی مثل آپلود کردن داده روی وب، ارسال ایمیل به آدرس‌های غیرمجاز یا کپی کردن در درایوهای خارجی باید مسدود شود.
ایجاد پالیسی سخت‌گیرانه برای رمز عبور
پالیسی‌های رمز عبور نیاز به تغییرات رمز عبور به‌طور منظم دارد. به علاوه باید اطمینان حاصل کرد که رمزهای عبور قوی هستند و جایی نوشته نشده باشند. این شیوه‌ی آسانی برای ایمن‌سازی داده‌ها است. نباید با قرار دادن اطلاعات مشتری در معرض افشا، اعتبار شرکت را به خطر انداخت.
ایجاد یک فهرست از دارایی‌های سخت‌افزاری و نرم‌افزاری
یکی از موارد مهم در چک‌لیست امنیت سایبری، ایجاد یک فهرست کامل از تمام دارایی‌های ساطمان است تا بتوان به نحو احسن این دارایی‌ها را کنترل کرد زیرا نمی‌توانیم دارایی‌هایی که از آن‌ها مطلع نیستیم را ایمن‌سازی کنیم. کاهش میزان آسیب‌پذیری‌های شرکت از نمایی کامل از تمام دستگاه‌ها روی شبکه آغاز میشود. باید حساب تمام دستگاه‌های موجود در شرکت را داشته باشیم و اطمینان حاصل کنیم که هرگاه چیزی اضافه شد، به‌طور منظم این فهرست را بروزرسانی کنیم.
وقتی تمام دارایی‌ها ممیزی شدند، باید یک برنامه‌ی منظم برای بروزرسانی، کنار گذاشتن و حفاظت از آن دارایی‌ها آماده کرد. این کار فرصت حمله را از هکرها می‌گیرد. بدون ایجاد این اقدامات، فرصت‌های خیلی زیادی برای دسترسی به شبکه‌های یک شرکت از طریق دستگاه‌های Patchنشده وجود خواهد داشت و هکرها خواهند توانست، اسناد را از سیستم‌های داخلی به سرقت ببرند.
مستندسازی تمام دستگاه‌های متصل به شبکه
باید تمام دستگاه‌هایی که می‌توانند به شبکه دسترسی داشته باشند را ثبت و ایمن‌سازی کرد. این امر شامل لپ‌تاپ‌ها، گوشی‌های همراه، سخت‌افزار در سایت و دستگاه‌های شخصی کارمندان است. باید از ابزار Inventory استفاده کرد تا آمار به‌روزی از نرم‌افزار و سخت‌افزار موجود به‌دست آید.
ایجاد شبکه مهمان برای دفاتر شرکت
باید شبکه‌های مهمان برای دفاتر شرکت ایجاد و اطمینان حاصل گردد که کارمندان و مهمانان از شبکه‌های مناسبی استفاده کنند. باید Clientها و بازدیدکنندگان در شبکه‌ی خود باشند و نتوانند به اطلاعات خصوصی دسترسی پیدا کنند.
نظارت بر دسترسی کاربران شبکه
خطاهای احراز هویت و دسترسی غیرمجاز باید ثبت شده و شبکه برای فعالیت غیرعادی بررسی گردد. همچنین باید اطمینان حاصل کرد که دسترسی هر دستگاه غیرمجاز که در شبکه شناسایی میشود و هر دستگاهی که ممکن است نرم‌افزار خطرناکی را اجرا کند به‌سرعت قطع شود.
تجزیهوتحلیل، اولویت‌بندی و مدیریت آسیب‌پذیری‌ها به‌طور منظم
از دیگر موارد مهم در چک‌لیست امنیت سایبری تجزیه و تحلیل و مدیریت آسیب‌پذیری‌ها بصورت منظم است. تیم‌های IT باید عملیات امنیت سایبری ۷*۲۴ و Real-Time داشته باشند که بتواند آسیب‌پذیری‌ها را مدیریت کرده، تهدیدات را مانیتور و شناسایی کنند و به فعالیت مخرب و ریسکی به‌صورت Real-Time پاسخ دهند. در غیر این صورت شرکت‌ها در معرض ریسک‌های تطبیق‌پذیری بزرگی قرار خواهند گرفت. پس باید ریسک‌ها را سنجید و پیشگیرانه عمل کرد.
آنالیز پیوسته
بدون پیاده‌سازی بیست‌چهارساعته‌ی مانیتورینگ و تجزیهوتحلیل مداوم تهدیدات ممکن، شرکت‌ها در معرض آسیب‌های احتمالی قرار می‌گیرند.
شناسایی و اولویت‌بندی آسیب‌پذیری‌ها
از مواردی که نباید در چک‌لیست امنیت سایبری فراموش شود، شناسایی آسیب‌پذیری‌ها و اولویت‌بندی مواردی است که نیاز به Patchشدن دارند. یک رویکرد مبتنی بر ریسک به مدیریت آسیب‌پذیری، توانایی شناسایی و رفع آسیب‌پذیری‌ها به‌صورت روشمند را به سازمان می‌دهد به طوری که از شدیدترین ریسک‌ها شروع کرده و سپس به سراغ ریسک‌های خفیف‌تر برود.
پیکربندی‌های ایمن برای سخت‌افزار و نرم‌افزار بر روی تمامی دستگاه‌هاروی دستگاه‌های موبایل، لپ‌تاپ‌ها، ایستگاه‌های کار و سرورها
در چک لیست امنیت سایبری، پیکربندی‌های ایمن برای سخت‌افزار و نرم‌افزار بر روی دستگاه‌های موبایل، لپ‌تاپ‌ها، ایستگاه‌های کار و سرورها حاثز اهمیت است. تولیدکنندگان با در نظر گرفتن تجربه کاربری و سادگی استفاده، پیکربندی‌های پیش‌فرضی را طراحی می‌کنند. کنترل‌های ساده، سیستم‌های قدیمی، پروتکل‌های قدیمی، پیش‌نصب نرم‌افزارهای اضافی و پورت‌های باز اهداف ساده‌ای برای مجرمان سایبری هستند.
یک پیکربندی خوب حتی بعد از دسترسی کاربران به دستگاه‌ها متوقف نمی‌شود، ، زیرا وقتی سیستم‌ها Patch یا به‌روزرسانی می‌شوند، باید دائم تغییرات را رصد کرد.
- باید به کارمندان در مورد الزامات آنتی‌ویروس و ضدبدافزار و فرایند پیاده‌سازی بروزرسانی‌های نرم‌افزاری خودکار آموزش داده شود تا اطمینان حاصل گردد که آسیب‌پذیری‌ها به‌صورت ایمنی Patch شده‌اند.
- پیکربندی موارد پیش از اینکه مورداستفاده قرار گیرند و حذف تنظیمات و رمزهای عبور پیش‌فرض.
- ارزیابی و اعمال بروزرسانی‌های نرم‌افزاری و Patchهای امنیتی.
حفظ، مانیتور و تجزیهوتحلیل لاگ‌های ممیزی
بدون لاگ‌های ممیزی، ممکن است حملات شناسایی نشده و مورد بررسی قرار نگیرند. که باعث بازماندن درهایی به روی حملات اضافی و آسیب‌های احتمالی باشد. اکثر تیم‌های IT با هدف تطبیق‌پذیری، اسناد مربوط به ممیزی را نگه می‌دارند، اما درصورت رخ دادن یک نقض امنیتی داده، لاگ‌ها می‌توانند مدرکی باشند مبنی بر اینکه داده‌های شخصی به دست مجرمان سایبری نیفتاده است.
لاگ، مانیتور و تجزیهوتحلیل ریسک‌های امنیتی
- بدون ردیابی‌های ممیری، شرکت‌ها مجبور هستند از اقدامات فارنزیک پیچیده و پرهزینهاستفاده کنند تا وخامت حوادث امنیتی مشخص گردد. لاگ کردن داده همچنین می‌تواند پاسخگوی الزامات قانونی باشد و به شرکت‌ها این امکان را بدهد که بیش‌ازحد مورد موشکافی قرار نگیرند.
- انجام ارزیابی‌های ریسک منظم برای شناسایی نقاط ضعف در شبکه‌ها.
- می‌توان برای درک وضعیت امنیت IT و وضعیت ریسک سازمان خود از خدمات ارزیابی آسیب‌پذیری مدیریت‌شده استفاده کرد.
وقتی شرکت‌ها داده‌های لاگ پرجزئیاتی را نگهداری می‌کنند، می‌توانند متوجه شوند که یک حادثه‌ی سایبری چه زمانی باید به مشتریان یا تنظیم‌کنندگان اطلاع داده شود؛ آن‌ها همچنین از مشکلات احتمالی پیشگیری می‌کنند که وقتی اندازه و حوزه‌ی نقض امنیتی نامشخص است رخ می‌دهند.
پشتیبان‌گیری از داده‌ها خارج از سایت
در حملات باج‌افزار، مجرمان سایبری که داده‌ها را به سرقت برده یا سیستم‌ها را گروگان می‌گیرند، فقط پس از پرداخت باج آن‌ها را پس می‌دهند. در نتیجه برای اجتناب از پرداخت باج، داشتن یک بک‌آپ ثانویه از داده‌های حساس ضروری است. همچنین درصورتی‌که فاجعه‌ای طبیعی یا خرابی سیستم رخ دهد، بازیابی داده امکان‌پذیر خواهد بود. با پشتیبان‌گیری داده، می‌توان با استفاده از یک کپی که آلوده نشده باشد شروع به کار کرد و اینگونه Downtime به حداقل می‌رسد.
- باید یک فرایند به‌روز، منعطف، ایمن و سریع برای دسترسی به داده در هر زمان حفظ شود. سازمان‌ها به یک راهکار بازیابی نیاز دارند که به آن‌ها امکان بازیابی سریع داده را داده و برنامه‌های کاربردی را مجدداً به یکپارچه‌ترین شکل ممکن آنلاین کنند.
- می‌توان راهکارهای پشتیبان‌گیری فیزیکی و Cloud را مدنظر قرار داد و یک برنامه‌ی پشتیبان‌گیری را ایجاد کرد که به‌تناوب تغییرات داده نیز توجه دارد.
ایجاد یک برنامه‌ی پاسخ به رخداد جامع
اطلاع‌رسانی به مشتریان در مورد یک نقض امنیتی، فرایندی پرهزینه است. حتی اگر در نهایت شرکت مسئول دانسته نشود، آسیبی که به اعتبار شرکت زده میشود و ساعت‌های بی‌شماری که صرف حل مسئله میشود می‌تواند برای شرکت‌های بزرگ و کوچک به معنای فاجعه باشد. داشتن یک برنامه پاسخ به حادثه جامع برای اینکه نه‌تنها از نقض‌های امنیتی جلوگیری کنیم، بلکه همچنین به حوادث سایبری به‌صورت Real-Time پاسخ دهیم، حیاتی است.
- باید اطمینان حاصل شود که ابزار و پالیسی‌های حفاظت از داده پیاده‌سازی شده و دنبال می‌شوند تا بتوان در زمان ممیزی، تطبیق‌پذیری با قوانین را اثبات کرد.
- می‌توان یک مأمور حفاظت از داده را استخدام کرد و قراردادهایی کتبی با شرکای خارجی منعقد کرد که از تطبیق‌پذیری شرکت اطمینان حاصل می‌کنند.
- باید تمام نقض‌های امنیتی داده را ثبت کرد تا در زمان لازم بتوان آن‌ها را به مسئولان مربوطه گزارش داد.