يشعر أغلب مدراء أمن المعلومات أن لأمن لا يعتبر دائمًا أولوية بالنسبة للإدارات العليا. إن ذلك يضيف تحديات جديدة لمسؤولي أمن المعلومات الذي يأملون أن يتم وضع لأمن السيبراني على جدول أعمال شركاتهم.
للأسف فإن هذه من الحقائق التي يجب على مديري الأمن قبولها – على الرغم من الطبيعة المعقدة وسريعة الخطى لصناعة الأمن السيبراني. ومع ذلك، فقد ارتفع مستوى الوعي بين قادة الشركات والأفراد بشكل عام حول حماية المعلومات. يمثل ذلك أخباراً جيدة ، لكن بعض الارتباك لا يزال يحيط بأدوار مديري الأمن السيبراني ومسؤوليات الآخرين في المساهمة في تعزيز الموقف الأمني للشركة.
التحديات الداخلية لمدراء أمن المعلومات
ثلاث حقائق يجب على مديري الأمن السيبراني قبولها – أولها “لا أحد يهتم حقًا”. لماذا لا يتصدر الأمن جدول أعمال أي شخص آخر؟
إذا كنت مديرًا للأمن السيبراني في أحد البنوك ، فإن منصبك مهم للغاية لأن المعلومات التي تحميها شديدة الحساسية. لا يمكنك أن تسمح بسرقة معلومات الحسابات أو أموال الناس. لكن إذا كنت تعمل في مكتبة عامة ، فإن منصبك ليس مهمًاً لأنه لا توجد معلومات يجب حمايتها. بالنسبة لمعظم الشركات ، فإن ما يهمهم هو ألا يتصدروا عناوين الأخبار نتيجة لتعرضهم لاختراق أو هجوم فدية أواستغلال ثغرة أمنية. إذا لم يحدث ذلك فإن الأمن السيبراني لن يكون مدرجاً على أجندة الشركة. أغلب الإدارات تعتبر الأمن وظيفة داعمة إن لم نقل ثانوية.
يطرح Todd Barnum مثالاً : انظر إلى آخر حادثة أمنية لك ، وأخبرني من في الشركة كان مهتمًا بها حقًا. الحقيقة هي: لا أحد يهتم ، إلا مدير أمن المعلومات وفريقه. ما لم يكن خرقًا كبيراً أو هجوماً- فعندئذٍ يهتمون ويريدون مقابلة ذلك المدير ومعرفة ما الذي يفعله.
إن ما يهم بهذا الخصوص هو الفعل و ليس الأقوال. قد لا يكون الأمن ضمن أولويات الشركة. خذ شركة تصنيع أغذية ، على سبيل المثال. هل تعتقد أن الأمن مهم هناك؟ هناك شركات يكون فيها الأمر أكثر أهمية ، مثل الخدمات المالية والمستشفيات. لكن بشكل عام ، بالنسبة لـ 80٪ إلى 85٪ الآخرين ، ليس الأمر بهذه الأهمية.
كيف يمكن لـمدير أمن المعلومات مواجهة التحديات؟
هناك ثلاث طرق يمكنك من خلالها زيادة قيمة برنامج أمن المعلومات في الشركة لمواجهة التحديات. الطريقة الأولى من خلال التعليم. بينما تقوم بتعليم المزيد من الناس ، سيبدأون في معرفة سبب أهمية الأمن السيبراني. التعليم هو أفضل طريقة لفعل ذلك.
الطريقة الثانية تتضمن غرور الشخص في الإدارة العليا. إنهم بحاجة إلى الأمن ليكونوا أكثر أهمية لأنفسهم. ثم يتم دفع الأمن من خلال كبريائهم بحيث أن يُنظر إليه على أنه مهم.
الطريقة الثالثة هي من خلال الحدث الأمني. إذا كان هناك خرق ، سنكون تحت الضوء. ثم تبدأ اسئلة من نوع، “كيف أهملنا هذه المنطقة؟” هذا مهم جدا للمضي قدماً. عادة عندما يتم طرد مدير أمن معلومات وتوظف المنظمة شخصًا جديدًا نتيجة لحدث أمني فإنه عادة ما يتم رفع مستوى الأمان و اعطاؤه أهمية أكبر على جدول أعمال الشركة.
الخوف و الأمن السيبراني
يعتبر الخوف محركاً أساسياً للإدارات فيما يتعلق بالتحديات المرافقة للأمن السيبراني. بالخوف. بعد ثغرة Log4j. في الواقع ، تزايد الخوف و التركيز على الأمن السيبراني. كان ذلك حالة غير مألوفة في بعض الشركات. ولكن هذه هي أيضاً الطريقة التي يستثمرها بائعو منتجات الأمن لإقناع الشركات بالشراء. هذه هي رسالة الخوف.
لماذا لا يفهم الناس دور مدير الأمن السيبراني؟
قلة من الناس يفهمون عدد المجالات الموجودة في الأمن السيبراني. يقسم مخطط Deloitte الأمن السيبراني إلى 176 مجالًا مختلفاً. وكل موضوع هو مجال كبير للتعامل معه. تبدو السياسة الأمنية في شركة ما مختلفة تمامًا عن السياسة الأمنية في شركة أخرى.
ما هو أكبر مفهوم خاطئ حول دور مدير أمن المعلومات
لا يوجد سوء فهم و لكن نقص في الفهم. لا أعتقد أن هناك الكثير من الأشخاص الذين يفهمون خصوصيات وعموميات عمل الأمن السيبراني. يكون ذلك المدير مسؤولاً عن حماية معلومات الموظفين وحماية جميع أجهزتهم. يتطلب ذلك تنفيذ أجندة يومية تتضمن مجموعة متنوعة من المهام . يتضمن بعضها مناقشات مع محامين ، والعمل مع المبرمجين لتطوير كود المصدر ، ومراجعة إعدادات الـ firewall مع فريق الشبكات ثم التشفير مع مسؤولي قاعدة البيانات. في الحقيقة لا يوجد مجال آخر لديه هذا النوع من التنوع.
