خرافات ومفاهيم خاطئة عن الأمن السيبراني

السلام عليكم ورحمة الله وبركاته 

يعد الاستعداد للأمن السيبراني أمرًا بالغ الأهمية لضمان العمليات التجارية في مشهد التهديدات السيبرانية المتطور، ونظرًا لوجود انتهاكات وهجمات جديدة للبيانات يوميًا فقد يؤدي عدم كفاية الاستعداد إلى عواقب وخيمة ومع ذلك على الرغم من التركيز المتزايد على تأمين الأعمال التجارية فإن العديد من الخرافات والمفاهيم الخاطئة حول الأمن السيبراني يمكن أن تمنع حماية المؤسسة بشكل فعال. 

فيما يلي بعض الخرافات الأمنية الشائعة في أمن المعلومات التي تحتاج إلى كشف زيفها من أجل زيادة الأمن السيبراني: 

1) لقد استثمرنا في أدوات أمنية متطورة لذلك نحن بأمان: عادةً ما تخطئ المنظمات في أن الاستثمار في أدوات وحلول الأمان المتطورة يمكن أن يساعدها في بناء درع لا يقهر بين شبكاتها ومجرمي الإنترنت وتعد حلول الأمن السيبراني المتطورة بالتأكيد جزءًا أساسيًا للحفاظ على أمان عملك ولكنها لن تحميك من كل شيء فالأدوات لا تكون أدوات وحلول أمان فعالة بشكل كامل إلا إذا تم تكوينها ومراقبتها وصيانتها ودمجها بشكل مناسب مع عمليات الأمان الشاملة.

 2) نجري اختبارات الاختراق بانتظام: تفترض العديد من الشركات أنها تستطيع منع مخاطر الأمن السيبراني أثناء إجرائها اختبارات الاختراق بانتظام ولكن اختبارات الاختراق غير فعالة ما لم تتمكن المنظمة من إدارة وتصحيح نقاط الضعف والثغرات في وضعهم الأمني التي تم اكتشافها أثناء الاختبار وعلاوة على ذلك يجب على المنظمة النظر في نطاق الاختبار سواء كان يغطي الشبكة بأكملها  أو لا ويسمح بتكرار دقيق للتهديدات السيبرانية الأكثر إنتشارًا. 

3) سيؤمن مزود الأمان التابع لجهة خارجية كل شيء: على الرغم من أن شركة الأمن السيبراني تتحمل مسؤولية تنفيذ ومراجعة سياسات الأمان للحفاظ على أمان الشركة ولكن من الأهمية أن تفهم المخاطر الإلكترونية التي تتعرض لها مؤسستك وكيفية معالجتها بغض النظر عن إمكانات وبيانات اعتماد موفر الأمان فإنك تتحمل مسؤولية قانونية وأخلاقية لتأمين الأصول الهامة والتأكد من أن موفر الأمان يبقيك على اطلاع بأدواره ومسؤولياته وقدراته الأمنية وأي انتهاكات. 

4) يجب علينا تأمين التطبيقات التي تواجه الإنترنت فقط: يجب على المنظمات تأمين تطبيقاتها التي تواجه الإنترنت ولكن لا ينبغي أن يكون تركيزهم الوحيد وعلى سبيل المثال قد يتعرض نظام تكنولوجيا المعلومات بالكامل لمؤسستك للاختراق إذا استخدم الموظف عن طريق الخطأ محرك أقراص مصابًا لذلك يجب أن يكون لدى المنظمات ضوابط كافية لمنع التهديدات الداخلية ومعالجتها. 

5) لم نشهد هجومًا إلكترونيًا من قبل لذا فإن وضعنا الأمني قوي بما فيه الكفاية: تتزايد التهديدات الإلكترونية باستمرار من حيث التطور والتعقيد وتحتاج المؤسسات إلى السعي باستمرار من أجل الأمن السيبراني، لا يتمثل هدفك في تحقيق الأمان المثالي ولكن الحصول على وضع أمني استراتيجي يساعدك على الاستجابة بسرعة لحادث أمني والتخفيف من حدته قبل أن يتسبب في الكثير من الضرر. 

6) الأمن هو مسؤولية قسم تكنولوجيا المعلومات: لا يمكن إنكار أن تكنولوجيا المعلومات تتحمل المسؤولية الأكبر عن إدارة الأمن السيبراني للمؤسسة ولكن لا ينبغي أن تكون مسؤولة وحدها عن الأمن فنظرًا لأن الخرق الأمني يمكن أن يكون له تأثيرات محتملة وطويلة الأمد على العمل بأكمله فإن الاستعداد الحقيقي للأمن السيبراني هو مسؤولية كل موظف.

 7) لقد حققنا الأمن السيبراني الكامل: الأمن السيبراني هو عملية مستمرة وليست نتيجة فالهجمات الإلكترونية تتطور بطريقة جديدة ومبتكرة ومتطورة بمرور الوقت مما يعرض مؤسستك لخطر مستمر لذا فأنت بحاجة إلى المراقبة المستمرة للأصول الهامة وإجراء عمليات تدقيق داخلية ومراجعة سياسات الأمان ويجب على المنظمة تضمين ممارسات الأمن السيبراني في العمليات التجارية الرئيسية والاستثمار في التحديثات المستمرة. 

8) من غير المحتمل أن نشهد خرقًا أمنيًا: تفترض العديد من المؤسسات أنه من غير المحتمل أن يتعرضوا لخرق أمني بسبب الصناعة التي يعملون بها أو طبيعة عملهم ولكن من المحتمل جدًا أن تتعرض كل شركة لخرق أمني في مرحلة ما لذا كن مستعدًا ويجب أن تكون كل مؤسسة جاهزة للرد بسرعة على الهجمات الإلكترونية وأن يكون لديها خطة استجابة للحوادث بحيث يمكن تقليل التأثير على الأعمال.

9) كلمات المرور الخاصة بنا قوية بما يكفي لتجنب خرق البيانات : غالبًا ما تعتقد المؤسسات أن كلمات المرور المعتادة الخاصة بها قوية بما يكفي للحفاظ على أمان أعمالها ومع ذلك فإن ممارسات كلمات المرور القوية ليست سوى البداية، يأتي نظام الأمان القوي مع دفاع متعدد الطبقات فلذلك تحتاج المنظمات إلى استخدام مصادقة ثنائية ومراقبة منتظمة للبيانات. 

10) لا يستهدف مجرمو الإنترنت الشركات الصغيرة والمتوسطة: غالبًا ما تعتقد معظم الشركات الصغيرة والمتوسطة الحجم أنها محصنة ضد الهجمات الإلكترونية وخرق البيانات وهذه واحدة من أهم الخرافات حول الأمن السيبراني والتي يجب فضح زيفها الآن، لا يتم استهداف الشركات الصغيرة والمتوسطة بشكل صريح بل هم ضحايا هجمات الرش والصلاة وغالبًا ما تفتقر الشركات الصغيرة إلى برامج الأمان المتقدمة وفرق الأمان الماهرة مما يجعلها هدفًا أكثر سلاسة لمجرمي الإنترنت. 

11) تأتي التهديدات الإلكترونية من جهات خارجية: لا يمكن إنكار أن التهديدات الخارجية هي أهم اهتمامات المنظمة ويجب مراقبتها بدقة ومع ذلك فإن التهديدات الداخلية خطيرة بنفس القدر ويؤدي إهمال الموظف والجهل والسلوك الضار إلى جعل التهديدات الداخلية تمثل مخاطر أمنية عالية مقارنة بالتهديدات الخارجية لذلك يجب على المنظمات مراقبة وردع التهديدات الداخلية على نطاق واسع.

 12) برامج مكافحة الفيروسات والبرامج الضارة كافية للحفاظ على أمان الأعمال: من المؤكد أن برامج مكافحة الفيروسات والبرامج الضارة ضرورية للحفاظ على شبكة وأنظمة المؤسسة آمنة ولكن البرنامج لن يحمي البنية التحتية لتكنولوجيا المعلومات بالكامل من جميع المخاطر الإلكترونية فيجب على المنظمة اعتماد خطة أمن إلكتروني شاملة تشمل كل شيء من خطة الاستجابة للحوادث إلى اكتشاف التهديدات الداخلية وتدريب الموظفين.

 13) تحافظ كلمة المرور على شبكة Wi-Fi آمنة: في بيئات العمل عن بُعد أو أماكن العمل المشتركة يعتقد الموظفون غالبًا أن كلمة مرور تحافظ على أمان شبكة Wi-Fi الخاصة بهم ولكن يمكن اختراق جميع شبكات Wi-Fi العامة حتى عند وجود كلمة مرور، تحد كلمات المرور من عدد المستخدمين لكل شبكة Wi-Fi ويمكن للمستخدمين في الشبكة الوصول إلى البيانات الحساسة التي يتم إرسالها لذلك يجب على الموظفين استخدام الشبكات الخاصة الافتراضية (VPN) لتأمين بياناتهم.

 14) سنعرف على الفور ما إذا تم اختراق أي من أنظمتنا: في العصر الرقمي الحالي قد يستغرق الأمر شهورًا أو حتى سنوات حتى تدرك أن الأمن السيبراني الخاص بك قد تعرض للخطر وأن جهاز الكمبيوتر الخاص بك قد أصيب ببرامج ضارة وتعتبر السلالات الحديثة من البرامج الضارة أكثر تخفيًا ويصعب اكتشافها. 

15) إحضار جهازك الخاص آمن: على الرغم من أن سياسات إحضار جهازك الخاص هي بالتأكيد نهج فعال من حيث التكلفة إلا أنها تأتي مع عدد كبير من المخاطر وعندما يقوم الموظفون بإحضار أجهزتهم الشخصية وتوصيلها بشبكة الشركة فإنهم يزيدون من نطاق التهديدات لذلك يجب أن تخضع الأجهزة الشخصية بما في ذلك الهواتف المحمولة وأجهزة الكمبيوتر المحمولة والأجهزة القابلة للارتداء وأجهزة إنترنت الأشياء لبروتوكولات الأمان الموضوعة على أجهزة كمبيوتر الشركة. 

المصدر هنا.