امنیت سایبری کسب و کارها، چیزی که تا اتفاق نیفتد جدی گرفته نمی شود

چند وقت پیش با مدیر یک شرکت پخش مواد غذایی صحبت میکردم که سه روز تمام سیستم فروشش از کار افتاده بود. نه سرقت فیزیکی بود، نه قطعی برق، نه خرابی سخت افزار. یک باجافزار معمولی که از طریق ایمیل یکی از کارمندهای حسابداری وارد شبکه شده بود و ظرف چند ساعت تمام فایلهای فاکتور، لیست مشتری ها و حتی بکاپ هایی که روی همان شبکه نگه می داشتند را قفل کرده بود. میگفت تا آن روز خیال میکرد اینجور اتفاقها فقط برای بانک ها و شرکتهای خیلی بزرگ میافتد.

واقعیت این است که مهاجم ها اتفاقاً دنبال همین شرکتهای متوسطی هستند که فکر میکنند کسی به آنها کاری ندارد. گروه آتنا به عنوان نماینده رسمی کسپرسکی در ایران هم در گزارشها و تحلیلهایی که منتشر کرده بارها همین نکته را تکرار کرده: بیشترین آسیب را کسانی میبینند که مطمئن بودند هدف نیستند.

مشکل اصلی کسب وکارهای متوسط این است که نه بودجهی یک بانک را دارند و نه میتوانند مثل یک مغازهی کوچک بیخیال همه چیز شوند. معمولاً یک نفر مسئول IT دارند که هم پرینتر را درست میکند، هم سرور را بالا نگه میدارد، هم به سوالهای کاربرها جواب میدهد و هم قرار است جلوی حمله های سایبری را بگیرد. خب طبیعی است که از پس همهی اینها برنیاید. آدمی که صبح تا شب درگیر رفع مشکل های روزمره است، وقت ندارد بنشیند لاگهای فایروال را بخواند یا دنبال رفتار مشکوک در شبکه بگردد.

برای همین سرویس هایی مثل امنیت کسب وکارهای متوسط آتنا شکل گرفته اند؛ یعنی بدون اینکه لازم باشد یک تیم امنیتی داخلی با حقوق های سنگین استخدام کنید، کسی از بیرون شبکه و سیستم هایتان را پایش کند، نقاط ضعف را پیدا کند و قبل از اینکه کار به باج و تعطیلی برسد خبرتان کند.

سازمان های بزرگ داستان دیگری دارند. آنجا بحث فقط یک سرور یا چند لپتاپ نیست. صدها یا هزاران کاربر، چندین شعبه در شهرهای مختلف، دسترسی پیمانکارها و شرکتهای طرف قرارداد، سامانه های قدیمی که کسی جرئت دست زدن به آنها را ندارد چون معلوم نیست بعد از تغییر دوباره بالا بیایند یا نه، و انبوهی از دادهای که اگر لو برود، خبرش تیتر یک میشود و پای مسائل حقوقی و نظارتی هم وسط میآید.

در چنین مقیاسی حتی داشتن تیم امنیت داخلی هم کافی نیست، چون تیم داخلی معمولاً درگیر کارهای جاری است و کمتر فرصت میکند از بیرون و با چشم یک مهاجم به سازمان نگاه کند. راهکارهای امنیت سازمانی در گروه آتنا دقیقاً برای همین لایه ساخته شدهاند؛ از تست نفوذ و ارزیابی آسیب پذیری گرفته تا راه اندازی مرکز عملیات امنیت، مدیریت رخداد و طراحی معماری امن برای شبکه هایی که سالها بدون نقشهی مشخص رشد کردهاند.

چرا هنوز خیلی ها در برابر بدافزار ها دست به کار نمی شوند؟

اگر بخواهم صادقانه بگویم، دلیلش فقط ترس از هزینه نیست. دلیل اصلی این است که امنیت تا وقتی کار میکند، دیده نمیشود. مدیری که دو سال پول امنیت داده و هیچ اتفاقی نیفتاده، کمکم به این فکر میافتد که شاید داشته پول دور میریخته. مدیری که هیچوقت پولی نداده و هنوز اتفاقی نیفتاده، مطمئن میشود که کارش درست بوده. هر دو اشتباه میکنند، فقط یکیشان زودتر و گرانتر میفهمد.

نکته دیگر اینکه خیلی از شرکت ها امنیت را با خرید تجهیزات اشتباه میگیرند. یک فایروال گرانقیمت میخرند، نصبش میکنند و خیالشان راحت میشود. در حالی که همان فایروال اگر درست پیکربندی نشود و کسی لاگهایش را نخواند، عملاً یک جعبهی روشن روی رک است که فقط برق مصرف میکند. من شرکتهایی دیدهام که آنتی ویروس سازمانی خریده بودند اما روی نیمی از سیستمها نصب نشده بود، یا نصب شده بود و یک سال بود که بروزرسانی نگرفته بود. امنیت بیشتر از اینکه محصول باشد، یک فرایند مداوم است؛ چیزی که باید هر روز کسی حواسش به آن باشد و هر بار که چیزی در سازمان تغییر میکند، دوباره بررسی شود.

یک دلیل دیگر هم هست که کمتر دربارهاش حرف زده میشود: خیلی از مدیرها اصلاً نمیدانند از کجا شروع کنند. وقتی با کلمههایی مثل SOC و SIEM و EDR Optimum روبه رو می شوند، حس میکنند وارد دنیایی شده اند که زبانش را بلد نیستند و ترجیح میدهند فعلاً به آن نزدیک نشوند. این حس کاملاً قابل درک است، ولی راه حلش عقب کشیدن نیست. راه حلش پیدا کردن کسی است که بتواند این مسائل را به زبان کسب وکار ترجمه کند؛ یعنی به جای اینکه بگوید “شما نیاز به یک راهکار EDR دارید”، بگوید “اگر فردا یکی از کارمندها روی لینک اشتباهی کلیک کند، ما در عرض چند دقیقه میفهمیم و جلویش را میگیریم”.

اشتباههایی که بارها تکرار شده اند

بگذارید چند مورد را که واقعاً دیدهام بگویم، چون اینها از هر توصیهی کلی آموزنده ترند.

یک شرکت تولیدی متوسط، سرور فایل مشترکی داشت که همهی کارمندها با یک رمز عبور مشترک به آن وصل می شدند. رمز را روی کاغذی کنار مانیتور منشی نوشته بودند. وقتی یکی از کارمندها اخراج شد، هیچکس رمز را عوض نکرد. سه ماه بعد، اطلاعات قیمت گذاری و لیست تامین کننده ها دست رقیب بود. هیچ حمله پیچیدهای در کار نبود؛ فقط کسی از خانه با همان رمز وصل شده بود.

یک شرکت بازرگانی، سالها هر شب بکاپ می گرفت. روزی که باجافزار خورد، رفتند سراغ بکاپ ها و دیدند از هشت ماه پیش به خاطر پر شدن فضای دیسک، فرایند بکاپ بیصدا با خطا متوقف شده و کسی متوجه نشده بود. آخرین نسخهی سالمی که داشتند، مال هشت ماه قبل بود.

یک سازمان نسبتاً بزرگ، سامانه حضور و غیابی داشت که پیمانکار ده سال پیش نصب کرده بود. روی یک سرور ویندوز قدیمی که هیچ بروزرسانی امنیتی نمیگرفت و به شبکه اصلی هم وصل بود. مهاجم از همانجا وارد شد و سه هفته در شبکه چرخید بدون اینکه کسی بفهمد.

در هیچکدام از اینها، مشکل نبود ابزار گران قیمت نبود. مشکل نبود کسی بود که مسئولیت داشته باشد این چیزها را چک کند.

چند نکته که تجربه نشان داده در امنیت سایبری جواب میدهد

1. اینکه از آدمها شروع کنید نه از ابزارها. اکثر نفوذهایی که من از نزدیک دیدهام از یک کلیک اشتباه شروع شده. ایمیلی که ظاهراً از طرف مدیرعامل آمده و درخواست پرداخت فوری دارد، فایلی که اسمش “فاکتور اصلاح شده” است و در واقع یک اسکریپت مخرب است، پیامی که میگوید رمز ایمیل شما منقضی شده و باید فوراً تمدید کنید. آموزش سادهی کارکنان دربارهی اینها شاید خسته کننده به نظر برسد، ولی بیشتر از هر نرم افزاری جلوی خرابکاری را میگیرد. البته منظورم آن جلسه های یک ساعته سالانه نیست که همه گوشی دستشان است. منظورم این است که هر چند وقت یک بار، یک ایمیل آزمایشی مشکوک برای کارکنان بفرستید و ببینید چند نفر کلیک میکنند. عددش معمولاً تکان دهنده است و خودش بهترین آموزش است.
2. نسخهی پشتیبان را جدی بگیرید و مهمتر از آن، یک بار واقعاً امتحان کنید که برمیگردد یا نه. بکاپی که هیچوقت بازیابی نشده، در واقع بکاپ نیست؛ امید است. و حتماً یک نسخه از آن را جایی نگه دارید که به شبکه اصلی وصل نباشد. باجافزارهای امروزی اول دنبال بکاپها میگردند و بعد فایلهای اصلی را قفل میکنند، چون میدانند اگر بکاپ داشته باشید، باج نمیدهید.
3. دسترسی ها را محدود کنید. لازم نیست کارمند فروش به پوشه مالی دسترسی داشته باشد. لازم نیست پیمانکاری که سه ماه پیش پروژهاش تمام شده هنوز حساب کاربری فعال داشته باشد. لازم نیست همه کاربرها روی سیستم خودشان دسترسی مدیر داشته باشند و بتوانند هر نرم افزاری را نصب کنند. اینها چیزهای پیش پا افتادهای هستند که هیچکس دوست ندارد به آنها رسیدگی کند، چون نه هیجان دارند و نه نتیجهشان دیده میشود، اما همین ها راه ورود مهاجم را باز می گذارند یا اگر وارد شد، اجازه میدهند همه جا بچرخد.
4. بروزرسانی ها را عقب نیندازید. میدانم که هر آپدیت احتمال دارد چیزی را خراب کند و برای همین خیلیها ترجیح میدهند دست به سیستمی که کار میکند نزنند. اما بخش بزرگی از حمله های موفق، از حفره هایی استفاده میکنند که ماه ها یا حتی سالها قبل وصل شان منتشر شده بوده. مهاجم دنبال آسیبپذیری تازه نمیگردد؛ دنبال کسی میگردد که آسیبپذیری قدیمی را نبسته.
5. احراز هویت دومرحله ای را روی هر چیزی که میشود فعال کنید. ایمیل، پنل مدیریت سایت، دسترسی از راه دور، حساب های بانکی. رمز عبور به تنهایی دیگر کافی نیست، چون رمزها لو میروند، حدس زده میشوند یا در نشتهای اطلاعاتی سایتهای دیگر پیدا میشوند و مهاجم امتحانشان میکند.
6. اگر خودتان نمیتوانید مدام حواستان به شبکه باشد، این کار را به کسی بسپارید که شغلش همین است. نه به خاطر اینکه تبلیغ کسی را کرده باشم، بلکه چون واقعاً منطقی تر است. همانطور که حسابداریتان را به حسابدار می سپارید و برای مسائل حقوقی وکیل می گیرید، امنیت هم تخصصی است که نمیشود با چند ساعت جستوجو در اینترنت یادش گرفت.

روز بعد از حمله سایبری چه شکلی است؟

این بخش را مینویسم چون خیلی ها تصور درستی از آن ندارند. فکر میکنند حمله یعنی چند ساعت اختلال و بعد همه چیز برمیگردد.

واقعیت این است که روز اول معمولاً در سردرگمی میگذرد. کسی نمیداند دقیقاً چه شده، از کجا شروع شده، چه سیستم هایی آلوده اند و چه سیستم هایی سالم. اگر برنامه ای از پیش نوشته شده ای نداشته باشید، تصمیم ها در فشار و عجله گرفته میشوند و بعضی از آنها اوضاع را بدتر می کنند؛ مثلاً کسی سرور آلوده را خاموش میکند و شواهدی که برای تحلیل لازم بود از بین میرود.

روز دوم و سوم، بحث بازیابی است. اگر بکاپ سالم داشته باشید، شاید بشود چیزی را برگرداند. اگر نداشته باشید، بین پرداخت باج و از دست دادن دادهها گیر میکنید و هیچکدام گزینهی خوبی نیست. پرداخت باج هم تضمینی نیست که کلید درست را بدهند یا دفعهی بعد سراغتان نیایند.

بعد از آن، تازه مسائل دیگر شروع میشود. مشتری هایی که باید به آنها توضیح داد، شرکای تجاری که نگران شدهاند، احتمال اینکه داده های شخصی کارکنان یا مشتریها منتشر شده باشد، و در بعضی صنایع، الزامات قانونی برای گزارش رخداد. همهی اینها زمان و انرژی میبرد؛ زمانی که باید صرف کار اصلی میشد.

برای همین میگویم بخش مهمی از امنیت، آمادگی برای روزی است که همه چیز خراب میشود. اینکه از قبل بدانید چه کسی مسئول چیست، اول با چه کسی تماس بگیرید، چه سیستم هایی اولویت دارند و چطور با مشتری ها حرف بزنید. شرکتی که این برنامه را دارد، ممکن است ظرف یک روز سر پا شود. شرکتی که ندارد، ممکن است هفتهها درگیر بماند.

چطور یک همکار امنیتی انتخاب کنیم؟

اگر به این نتیجه رسیده اید که باید کار را به یک تیم متخصص بسپارید، چند نکته را در نظر داشته باشید.

1. اول از همه ببینید آیا طرف مقابل کسبوکار شما را میفهمد یا فقط میخواهد یک بسته ای ثابت بفروشد. شرکتی که با یک کارخانه ی تولیدی، یک فروشگاه آنلاین و یک شرکت خدمات مالی دقیقاً یک جور برخورد میکند، احتمالاً به نیازهای شما فکر نکرده.
2. بپرسید در صورت بروز رخداد چه اتفاقی میافتد. آیا فقط هشدار میفرستند یا خودشان وارد عمل می شوند؟ زمان پاسخشان چقدر است؟ کسی که در سه صبح جواب میدهد یا فقط ساعت اداری؟
3. از آنها بخواهید گزارش نمونه نشانتان بدهند. گزارشی که پر از اصطلاح فنی است و مدیر غیرفنی چیزی از آن نمیفهمد، به درد شما نمیخورد. گزارش خوب باید بگوید مشکل چیست، چقدر جدی است، اگر رفع نشود چه میشود و رفعش چقدر هزینه و زمان میبرد.
4. به این توجه کنید که آیا فقط ابزار میفروشند یا سرویس مداوم ارائه میدهند. همانطور که گفتم، امنیت فرایند است. کسی که یک بار میآید، چیزی نصب میکند و میرود، مشکل شما را حل نکرده؛ فقط یک جعبهی جدید به رک اضافه کرده ولی درباره تیم فنی گروه آتنا بیشتر بدانید تا متوجه کیفیت خدمات آنها بشوید.

حرف آخر

آن مدیر شرکت پخش که اول متن گفتم، بعد از آن ماجرا تازه فهمید که هزینهی سه روز تعطیلی، از دست دادن چند مشتری عمده و ماهها تلاش برای بازسازی اعتماد، چند برابر چیزی بوده که می توانست صرف پیشگیری کند. الان یکی از کسانی است که هر وقت با مدیر دیگری صحبت میکند، اول از همه از او میپرسد بکاپش را کجا نگه میدارد.

این را نه برای ترساندن میگویم، بلکه چون داستانش تکراری تر از آن است که فکر میکنید. هر هفته شرکتی جایی در همین کشور با همین وضعیت روبرو میشود و بیشترشان تا لحظه ی آخر فکر میکردند نوبت آنها نمیرسد. تفاوت بین شرکتی که از یک حمله جان سالم به در میبرد و شرکتی که ماهها درگیر می ماند، معمولاً در همان تصمیم های سادهای است که قبل از حادثه گرفته شده یا نشده. تصمیم هایی که امروز شاید غیرضروری به نظر برسند و فردا معلوم شود تنها چیزی بودهاند که اهمیت داشته.