از سال ۲۰۱۵ تاکنون، چشم‌انداز فناوری‌های سازمانی تغییرات گسترده‌ای داشته است. رایانش ابری (Cloud Computing) زیرساخت‌ها را باز تعریف کرد، باج‌افزارها (Ransomware) به تهدیداتی صنعتی تبدیل شدند و هوش مصنوعی (AI) وارد بحث‌های اتاق‌های هیئت مدیره شد. مفاهیمی مانند Zero Trust به بخشی از لغت‌نامه فنی تبدیل شدند و رایانش کوانتومی به عنوان یک ریسک استراتژیک شناخته شد.
تداوم چالش‌های مدیریتی در دنیای پیشرفته
با وجود پیشرفت‌های عظیم تکنولوژیک، افزایش سرمایه‌گذاری‌ها و گسترش مقررات، سازمان‌ها همچنان با مشکلاتی نظیر ضعف در حاکمیت (Governance)، نبود پاسخگویی (Accountability)، سیلوهای سازمانی و دیدگاه‌های کوتاه‌مدت دست‌وپنجه نرم می‌کنند. این‌ها مشکلاتی بودند که در سال ۲۰۱۵ مورد بحث بودند و متأسفانه امروز نیز پابرجا هستند.
بسیاری از سازمان‌ها می‌دانند چه کاری باید انجام شود؛ استانداردهای امنیتی، چارچوب‌های کنترلی و متدولوژی‌های بهینه از سال‌ها پیش وجود داشته‌اند. اما چالش اصلی در چگونگی اجرا و چه کسی است که مسئولیت آن را بر عهده بگیرد، نهفته است. این پرسش‌ها با خرید یک محصول امنیتی یا اجرای یک چارچوب فنی پاسخ داده نمی‌شوند، بلکه نیازمند رهبری و مدیریت صحیح هستند.
اشتباه در تحلیل جایگاه CISO
بحث‌های بی‌پایان درباره اینکه مدیر امنیت اطلاعات (CISO) باید به چه کسی گزارش دهد (مدیر فناوری اطلاعات (CIO)، مدیرعامل یا مدیر ریسک)، در واقع انحرافی از مشکل اصلی است. تا زمانی که سازمان‌ها هدف، اختیارات و سطح پاسخگویی CISO را شفاف نکنند، تغییر در نمودار سازمانی هیچ نتیجه‌ای نخواهد داشت.
تنش بین CIO و CISO لزوماً یک تضاد مخرب نیست. CIO بر هزینه، تحویل پروژه و نوآوری تمرکز دارد و CISO بر شناسایی نقاط ضعف و تضمین تاب‌آوری (Resilience). این تنش می‌تواند سازنده باشد، به شرطی که مدلی برای حل اختلافات و اولویت‌بندی استراتژیک وجود داشته باشد.
تفاوت بودجه با مدیریت
افزایش بودجه‌های امنیتی لزوماً به معنای ارتقای سطح امنیت نیست. پول می‌تواند ابزار، نیروی متخصص و فناوری بخرد، اما نمی‌تواند اولویت‌های استراتژیک ایجاد کند، سیاست‌های داخلی سازمان را حل کند یا همکاری بین دپارتمان‌ها را اجبار نماید. بسیاری از سازمان‌ها با مشکل کمبود مدیریت (Undermanaged) روبرو هستند، نه لزوماً کمبود بودجه.
تله انطباق (Compliance) و چرخه شکست
انطباق با قوانین و گواهینامه‌ها ضروری است، اما نباید جایگزین مدیریت واقعی شود. یک سازمان می‌تواند تمام الزامات ممیزی را برآورده کند اما همچنان دارای ضعف‌های ساختاری باشد که در زمان وقوع یک حادثه واقعی، منجر به شکست شود.
بسیاری از سازمان‌ها در «چرخه شکست امنیت سایبری» گرفتار شده‌اند: یک حادثه شدید رخ می‌دهد $
ightarrow$ فوریت ایجاد می‌شود $
ightarrow$ بودجه آزاد می‌شود $
ightarrow$ اقدامات اصلاحی سریع انجام می‌شود $
ightarrow$ فشار کاهش می‌یابد و توجه مدیران پرت می‌شود $
ightarrow$ مشکلات ساختاری نادیده گرفته می‌شوند $
ightarrow$ و در نهایت حادثه‌ای دیگر چرخه را از نو آغاز می‌کند.
نتیجه‌گیری: امنیت به عنوان بخشی از مدیریت عادی
امنیت سایبری نباید صرفاً به عنوان «مشکل CISO» دیده شود. مسئولیت امنیت باید متناسب با اختیارات توزیع شود: CIO باید معماری‌های امن را تضمین کند، مدیران کسب‌وکار باید مسئولیت برنامه‌های تحت مالکیت خود را بپذیرند و هیئت مدیره باید نظارت استراتژیک را بر عهده بگیرد.
تکنولوژی‌ها تغییر می‌کنند، اما اصول مدیریتی ثابت می‌مانند. اولویت‌های شفاف، پاسخگویی همسو با اختیارات و اجرای منضبط، تنها راه خروج از بحران‌های تکراری است. امنیت سایبری در واقع یک چالش مدیریتی است که توسط فناوری پشتیبانی می‌شود، نه یک چالش فنی که مدیریت باید با آن کنار بیاید.
