انطباق با امنیت مانند حفاظت نیست | نظر

در بیشتر سال‌های پس از جنگ جهانی دوم، سیاست امنیتی آمریکا از یک الگوی آشنا پیروی کرده است.

یک تهدید ظاهر می‌شود، مقامات ملاقات می‌کنند و خط‌مشی می‌نویسند، بودجه را تأمین می‌کنند و اقدامات متقابلی را اعمال می‌کنند. سال‌ها بعد، این موارد بررسی می‌شد.

زمانی که تهدیدها به آرامی تغییر کردند، این کار جواب داد. در دنیای امروز، با پیشرفت های تکنولوژیکی که وجود دارد، استانداردهای امنیتی دیروز به سادگی کافی نیستند. استانداردهای ناکافی می تواند سازمان های دولتی، پیمانکاران دفاعی، اطلاعات حساسی را که در اختیار دارند و در نهایت کل کشور را به گونه ای آسیب پذیر کند که قبلا هرگز پیش بینی نشده بود.

این مشکل فقط برای بخش اطلاعات نیست. هنگامی که استانداردهای امنیتی شکست بخورند، به خدمات مهم ملی نفوذ می کند و می تواند آسیب جدی ایجاد کند.

در ماه مه 2024، آژانس حفاظت از محیط زیست گزارش داد که بیش از 70 درصد از سیستم های آبی جامعه که از سپتامبر 2023 بازرسی کرده است، به طور کامل با الزامات ارزیابی خطر فدرال و برنامه ریزی اضطراری مطابقت ندارند.

بازرسان همچنین ضعف‌های امنیت سایبری را در برخی از سیستم‌ها شناسایی کردند، از جمله گذرواژه‌های پیش‌فرض بدون تغییر و ورود به سیستم مشترک کارکنان.

من نزدیک به 45 سال در صنعت امنیت کار کرده ام و با اطمینان می توانم بگویم که هرگز تغییری به این سرعت در صنعت ندیده ام. هوش مصنوعی، هوش منبع باز، 5G (و 6G در حال توسعه)، هواپیماهای بدون سرنشین، رمزگذاری، و محاسبات کوانتومی، همگی در حال تغییر شکل تصویر بزرگ‌تر هستند و حتی یک مورد ثابت نمی‌ماند.

برخی از کارهایی که زمانی به منابع قابل توجهی نیاز داشتند، اکنون می توانند از طریق صفحه کلید انجام شوند.

مشکل این است که استانداردهای امنیتی ما با تحولات صنعت مطابقت ندارند.

بسیاری از آنها برای مقابله با دشمنان قدیمی ساخته شده اند، و با درک نحوه کار آنها و ابزارهایی که استفاده می کنند. و اغلب، موفقیت به این صورت تعریف می‌شود که همه جعبه‌های این استانداردهای قدیمی را بررسی کنید و حمله به آن سخت‌تر نباشد. امروز می‌توانیم با بازرسی دقیق‌تر از امکانات امن، مشکل را به وضوح ببینیم.

اینها هنوز هم اغلب برای محافظت در برابر تهدیدات فیزیکی، مانند نفوذ شخصی طراحی می‌شوند. اما در حال حاضر، خطرات می‌توانند از طریق دستگاه‌های متصل، سیگنال‌های بی‌سیم و ابزارهای دیجیتال جدید نیز ایجاد شوند. با این حال، اطلاعات و مأموریت‌ها مانند همیشه آسیب‌پذیر هستند، یا حتی اکنون بیشتر آسیب‌پذیر هستند.

من معتقدم این قلب مشکل است. رعایت استانداردها موفقیت را تضمین نمی کند زیرا محافظت از آن یکسان نیست. چک لیست های سفت و سخت همچنین می تواند کار دولتی را برای پیمانکاران در مقیاس کوچک دشوار کند.

تلاش برای برآورده کردن استانداردهایی که عمدتا برای شرکت‌های بزرگ اعمال می‌شود، ممکن است به پیمانکاران کوچک نیاز داشته باشد که هزاران دلار هزینه کنند، حتی اگر آنها به ریسک مربوط نباشند. بنابراین، قیمت انطباق به تنهایی می تواند رقابت را برای پیمانکاران کوچک ناعادلانه کند.

همچنین، به نظر من، مقامات دولتی که انطباق را تضمین می‌کنند، اغلب فناوری‌هایی را که با آن سروکار دارند یا شرکت‌هایی را که بررسی می‌کنند، درک نمی‌کنند. این می‌تواند تا حدودی منعکس‌کننده چالش‌هایی در راستای همسو نگه‌داشتن آموزش با فناوری‌های در حال تکامل باشد.

اما زمانی که مقامات آموزش ببینند، سازمان‌های دولتی می‌توانند در مقابل شرکت‌های خصوصی که برای ارائه حقوق و مزایای بهتر وارد می‌شوند آسیب‌پذیر باشند. همه اینها به طور بالقوه منجر به مفروضات ناقصی می شود که تنها پس از استفاده از خط مشی مورد توجه قرار می گیرند.

راه حل این نیست که هر چیزی را که وجود دارد، پاره نکنید. استانداردهای انعطاف پذیر است. استانداردهای امنیتی باید به طور منظم بازنگری شوند، اغلب در ماه ها تا سال ها.

این بررسی‌ها باید از اطلاعات تهدیدات موجود استفاده کند و از کارشناسان فنی و متخصصان امنیتی عملیاتی استفاده کند، نه فقط سیاست‌گذاران. و هر بررسی و سیاست نهایی باید در برابر دو نگرانی مورد آزمایش قرار گیرد. آیا تهدیدهایی را که واقعا با آن روبرو هستیم متوقف می کند؟ آیا ارزش هزینه ای را دارد که می پردازیم؟

اگر در مسیر فعلی بمانیم، احساس می‌کنم سازمان‌ها به اشتباه کاغذبازی و استانداردهای سفت و سخت برای حفاظت را ادامه می‌دهند در حالی که ضعف‌های واقعی مورد توجه قرار نمی‌گیرند. این می تواند منجر به اختلالی شود که فقط در یک سیستم وجود ندارد.

در عوض، ممکن است هر چیزی و هر چیزی را که حتی از راه دور به سیستم‌های آسیب‌دیده متصل است، به خطر بیندازد. و هنگامی که اطلاعات حساس منتشر شد، این افشا هرگز قابل لغو نیست.

اگر این موضوع را درست انجام دهیم، نتایج عملی و موثر خواهد بود. امنیت می تواند مقرون به صرفه تر شود زیرا آژانس ها پول را برای خطرات واقعی و کمتر برای ریسک های نامربوط خرج می کنند.

اقدامات احتیاطی در مرکز توجه قرار می گیرد و خدمات حیاتی قبل از تحقق تهدید، نقاط ضعف شناخته شده را برطرف می کنند. همچنین فضایی را برای پیمانکاران کوچک ایجاد می کند تا به طور عادلانه برای کار دولتی رقابت کنند.

بیایید با ایجاد گروه‌های کاری در سطح کارشناسی برای حل مسائل، برنامه‌ریزی برای اقدامات آینده و آموزش مداوم رهبری در مورد وضعیت فعلی اقدامات متقابل امنیتی شروع کنیم. سازمان‌های دولتی و کارشناسان صنعت باید با یکدیگر همکاری کنند تا آمریکایی‌ها بتوانند با آگاهی از اینکه در برابر تهدیدات امروزی محافظت می‌شوند، راحت بخوابند.

میچ لارنس بنیانگذار Lawrence Solutions است که مشاوره ای به دولت و صنعت در زمینه امنیت اطلاعات طبقه بندی می کند. همه نظرات متعلق به نویسنده است.