چطور بودجه امنیت سایبری را بهینه کنیم، بدون اینکه حفاظت سازمان کاهش یابد؟

بهینه سازی بودجه امنیت سایبری

بودجه امنیت سایبری معمولا اولین جایی است که موقع فشرده شدن هزینه ها، با کاهش بودجه مواجه می شود؛ چون کارکردش دیده نمی شود. اینترنت کار میکند، سیستم ها روشن اند، پس به نظر میرسد آنتی ویروس و فایروال “الان” به درد نمی خورند و میشود تا سال بعد صبر کرد. اما این محاسبه یک متغیر غایب دارد: هزینه رخدادی که با حفاظت ناقص رخ میدهد. یک باج افزار سازمانی میتواند در چند روز، خسارتی بزند که چند سال صرفه جویی را یکجا آب می کند. پس سوال درست این نیست که “چطور کمتر خرج کنیم”؛ سوال درست این است که “چطور همان پول را هوشمندتر خرج کنیم تا حفاظت کم نشود”.

در این مقاله سه راه اصلی را مرور میکنیم: تخصیص هوشمند بودجه بر اساس ریسک، صرفه جویی های کم ریسک در خرید و تمدید، و تقویت لایه ای که ارزانترین دفاع جهان است. اینها همان تکنیکهایی است که در سازمانهای حرفه ای به صورت استاندارد اجرا میشود و هیچکدام نیازمند تیم بزرگ یا بودجه اضافه نیست و همهشان در سازمانهای ایرانی هم قابل اجراست.

بودجه امنیت را بر اساس ریسک واقعی سازمان تخصیص دهید

اشتباه رایج در خرج کردن بودجه امنیت، برخورد یکسان با همه دارایی هاست؛ یعنی برای سرور ایمیلی که کل مکاتبات رسمی از آن عبور میکند، همان سطحی خرج شود که برای یک رایانه تایپ در انبار. در واقعیت، دارایی ها ارزش و ریسک متفاوتی دارند: سروری که داده مالی و مشتریان را نگه میدارد، سیستم هایی که با بانک کار میکنند و ایمیل سازمانی، هدفهای اصلی مهاجمان اند و نسخه های پیشرفته تر با تحلیل رفتار و EDR نیاز دارند؛ در حالی که برای بسیاری از ایستگاه های کاری معمولی، حفاظت پایه و بروز کافی است.

این تخصیص هوشمند، سطح حفاظت را در نقاط حساس بالا میبرد بدون اینکه کل بودجه را بالا ببرد؛ در واقع پول را از جاهایی که کمتر لازم است به جاهایی که بیشتر لازم است منتقل میکند. مثلا فرض کنید سازمانی 100 دستگاه دارد. اگر به جای پوشش یکسان، ده سرور و دستگاههای حساسش را با نسخه پیشرفته تر و نود دستگاه باقیمانده را با نسخه پایه حفاظت کند، کل هزینه تقریبا همان است، اما حفاظت در نقاطی که مهاجم اول به آنها نگاه میکند، چند پله بالاتر است. این همان تفاوت “خریدن امنیت” و “چیدن امنیت” است.

چطور هزینه خرید و تمدید لایسنس را کاهش دهیم؟

بعد از رتبه بندی ریسک، نوبت صرفه جویی های بدون ریسک است؛ کارهایی که هیچکدام از سطح حفاظت کم نمی کنند ولی هزینه را پایین می آورند.

• اولین و ساده ترینشان، تمدید لایسنس کسپرسکی به جای خرید از صفر است؛ تمدید لایسنس معمولا ارزانتر است و تنظیمات قبلی هم سر جای خودش می ماند.
• دوم، خرید چندساله به جای سالانه که به ازای هر سال ارزانتر تمام میشود.
• سوم، هم تراز کردن تاریخ های انقضا و خرید دسته جمعی که پله های تخفیف حجمی را فعال میکند؛ همان تخفیف هایی که در خریدهای پراکنده دپارتمانی هرگز دیده نمی شوند.
• چهارم و مهمترین: استفاده کامل از چیزی که خریده اید. خیلی از سازمان ها قابلیت های جدی محصولشان را خاموش میکنند؛ کنسول مدیریت متمرکز، کنترل دستگاههای جانبی، گزارشهای رخداد و سیاستهای یکسان سازی، همه معمولا جزو همان لایسنسی است که پولش داده شده است. ابزاری که خریده اید ولی روشن نیست، خالص ترین شکل اتلاف بودجه است.

درباره خرید چندساله هم یک شرط را فراموش نکنید: باید از منبع رسمی باشد؛ چون اگر لایسنس مشکلدار باشد، چند سال آینده هم روی یک پایه لرزان ساخته شده است.

آموزش کارکنان؛ یک لایه دفاعی با هزینه کم

بخش بزرگی از حملاتی که به سازمانها میرسد، از یک دروازه وارد میشود: کارمند. فیشینگ، ضمیمه های خطرناک و لینک های جعلی از آنجا عبور میکنند که کسی ندانسته رویشان کلیک کرده است. از هر 4 نفر 1 نفر طبق آمار تجربه هک شدن را داشته است؛ و خیلی از این هک ها با یک ایمیل شروع شده اند، نه با یک حمله فنی. جلسه آموزشی ماهانه یکساعته برای شناخت فیشینگ، تستهای ساده داخلی، و فرهنگ “اگر شک داری بپرس”، ارزانترین لایه دفاعی است که میتوانید اضافه کنید؛ هزینه اش تقریبا صفر است و اثرش در گزارش های رخداد همه شرکتها دیده میشود.

کنار آموزش، دو عادت فنی هم هستند که تقریبا مجانی اند و جلوی بخش بزرگی از حملات را میگیرند: به روزرسانی به موقع سیستم ها و نرم افزارها، و بکاپ منظم با یک نسخه آفلاین. ماجرای باج افزار WannaCry در سال 2017 یادآوری خوبی است؛ آسیب پذیری که استفاده شد، ماهها قبل پچش منتشر شده بود و سازمانهایی که به روزرسانی را عقب انداخته بودند، درست همانهایی بودند که چراغهای قرمز داشبوردشان روشن شده بود.

چهار بخش امنیت سایبری که نباید بودجه‌شان را کاهش دهید

اگر قرار است هزینه ها را کم کنیم، اول باید لیست “خطرناکترین کاهش بودجه” را داشته باشیم؛ چون در این لیست، هر ریال صرفه جویی چند ریال خسارت پنهان دارد.

• بالای لیست، آپدیت و پچ است؛ همان چیزی که در ماجرای WannaCry دیدید و هزینه اش تقریبا صفر است، اما حذفش یعنی باز گذاشتن درها.
• دوم، بکاپ؛ بدون بکاپ با نسخه آفلاین، در برابر باج افزار هیچ چانه زنی ای ندارید و مذاکره با مهاجم هم از لحظهای شروع میشود که ضرر داده شده است.
• سوم، خرید لایسنس آنتی ویروس کسپرسکی اورجینال؛ اینکه وسط بحران بودجه، سراغ کلیدهای غیرمعتبر بروید، یعنی داراییتان را دقیقا در پرفشارترین لحظه بدون حفاظت بگذارید.
• چهارم، دسترسیها؛ حذف مسئول کنترل دسترسی کارکنان به اطلاعات، درهای داخلی را به روی هر خطای انسانی باز میکند.

این چهار مورد را که رد کردید، حالا میتوانید درباره بقیه بودجه با خیال راحتتر صحبت کنید؛ چون پایه های غیرقابل مذاکره حفاظت شده اند. به تجربه، سازمانی که این چهار پایه را دارد، حتی با بودجه متوسط هم در برابر اکثر حوادث رایج مقاوم است؛ و سازمانی که اینها را ندارد، با بودجه چند برابر هم در برابر یک ایمیل ساده فیشینگ بی پناه است. تفاوت اصلی این دو سازمان، نه در تعداد ابزارها، بلکه در اولویت دهی درست به پایه هاست.

ارتقای امنیت سازمان، متناسب با سطح ریسک و بودجه

اگر بعد از اینها حس کردید سطح تهدید سازمانتان بالاتر از تصور قبلی است و نسخه های فعلی جوابگو نیستند، به جای حذف ابزار، به جایگاه مناسبتر مهاجرت کنید؛ راهکارهای امنیت سازمانی کسپرسکی از حفاظت پایه Endpoint تا EDR و XDR و خدمات تحلیل تهدید، طیف کامل را پوشش میدهند و میشود بدون پرش بزرگ پله پله ارتقا داد. در سایت گروه آتنا همین طیف کنار هم آمده و میتوانید با یک نگاه گزینه های مناسب اندازه خودتان را ببینید. حتی مشورت اولیه هم رایگان است و میتواند نشان بدهد کدام لایه برای سازمان شما واقعا اولویت دارد و کدام هنوز لازم نشده است.

مدیریت هزینه امنیت سایبری؛ اولویت‌بندی به جای حذف حفاظت

اینکه مدیریت هزینه امنیت، هنر حذف نیست؛ هنر جای درست خرج کردن است. رتبه بندی ریسک، تخصیص هوشمند نسخه ها، تمدید چندساله، استفاده کامل از قابلیت های موجود و لایه انسانی، پنج اهرمی هستند که هزینه را پایین و حفاظت را بالا نگه میدارند. هزینه امنیت را وقتی میشود کم کرد که حفاظتِ اضافه داشته باشید، نه وقتی همه لایه ها تازه دارند کارشان را شروع میکنند. و اگر فقط یک نکته از این مقاله بخواهید نگه دارید، همین باشد: در امنیت، کوتاهترین مسیر به خسارت، همان برش هزینه از پایه هاست.