تصور کنید صبح دوشنبه به محل کار می‌رسید و متوجه می‌شوید کارکنان نمی‌توانند وارد سیستم شوند، خدمات مشتریان از دسترس خارج شده و برنامه‌های حیاتی کسب‌وکار متوقف شده‌اند. هشدارهای امنیتی در حال چشمک زدن هستند و تیم IT در حال بررسی وضعیت است. در این لحظه، مدیران ارشد تنها یک سوال دارند: عملیات چه زمانی از سر گرفته می‌شود؟
سپس سوالی مطرح می‌شود که همه امیدوارند هرگز مجبور به پرسیدن آن نشوند: آیا می‌توانیم به‌صورت ایمن بازیابی (Recover) کنیم و این فرآیند چقدر زمان می‌برد؟
بسیاری از سازمان‌ها سرمایه‌گذاری‌های گسترده‌ای در حوزه امنیت سایبری، از فایروال‌ها و کنترل‌های شناسایی گرفته تا ابزارهای مانیتورینگ و سیستم‌های بک‌آپ (Backup) انجام داده‌اند. با این حال، یک حمله سایبری جدی همچنان می‌تواند عملیات را مختل کرده، اعتماد مشتریان را تخریب کند و تیم‌ها را در مورد اینکه به کدام سیستم‌ها و داده‌ها می‌توان اعتماد کرد، دچار تردید کند.
تفاوت امنیت سایبری و تاب‌آوری سایبری
امنیت سایبری (Cybersecurity) بر کاهش احتمال وقوع حمله و محدود کردن اثرات آن تمرکز دارد. سازمان‌ها برای بستن آسیب‌پذیری‌ها، محدود کردن دسترسی‌ها و شناسایی فعالیت‌های مشکوک تلاش می‌کنند. این کنترل‌ها ضروری هستند، اما هیچ کنترلی کامل نیست.
در مقابل، تاب‌آوری سایبری (Cyber Resilience) بر این موضوع متمرکز است که سازمان چگونه می‌تواند عملیات ضروری خود را در حین اختلال ادامه دهد، خسارات را محدود کند، سیستم‌های قابل اعتماد را بازیابی نماید و با تهدیدات آینده سازگار شود. به عبارت ساده‌تر، امنیت درباره دور نگه داشتن تهدیدات است، اما تاب‌آوری تضمین می‌کند که یک حمله موفق، کل سازمان را به زانو در نیاورد.
مؤسسه NIST در رویکرد مهندسی امنیت سیستم‌های خود، چهار هدف مرکزی برای تاب‌آوری سایبری تعریف می‌کند که مفاهیم انتزاعی را به سوالات عملی تجاری تبدیل می‌کند: اگر یک سیستم حیاتی از کار بیفتد چه اتفاقی می‌افتد؟ آیا می‌توانیم بدون بازگرداندن عامل تهدید به محیط، بازیابی را انجام دهیم؟ و آیا نقاط ضعفی که در جریان حادثه آشکار شدند، برطرف خواهند شد؟
چالش بک‌آپ: بازیابی یا اعتماد؟
برای بسیاری از سازمان‌ها، بک‌آپ‌ها پایه و اساس بازیابی هستند. اما در یک حمله سایبری، مشکل متفاوتی ایجاد می‌شود: سازمان دیگر نمی‌داند به کدام سیستم‌ها، اعتبارنامه‌ها (Credentials) یا نسخه‌های داده‌ها می‌توان اعتماد کرد.
به عنوان مثال، در یک حمله باج‌افزار (Ransomware)، حتی اگر بک‌آپ‌ها موجود باشند، تیم بازیابی باید تشخیص دهد که عامل تهدید چه زمانی وارد محیط شده، آیا سیستم‌های بک‌آپ تحت تأثیر قرار گرفته‌اند و کدام نقطه بازیابی (Recovery Point) ایمن است. بازیابی داده‌ها از یک محیط آلوده یا غیرقابل اعتماد می‌تواند به عامل تهدید اجازه دهد دوباره دسترسی پیدا کند.
راهنمای #StopRansomware متعلق به CISA توصیه می‌کند که بک‌آپ‌های آفلاین و رمزنگاری شده نگهداری شوند و یکپارچگی و رویه‌های بازیابی آن‌ها به‌طور منظم تست شود. موفقیت در داشتن بک‌آپ، به‌طور خودکار به معنای بازیابی کسب‌وکار نیست؛ یک سیستم که از نظر فنی در دسترس است، لزوماً سیستمی ایمن نیست.
ادغام تاب‌آوری در سیستم‌های متصل و Zero Trust
در محیط‌های مدرن، برنامه‌ها به سرویس‌های شناسایی، زیرساخت‌ها به شبکه و پلتفرم‌های ابری (Cloud) وابسته هستند. این اتصالات مسیرهای نفوذ را برای مهاجمان فراهم می‌کنند. در اینجا است که مفهوم اعتماد صفر (Zero Trust) اهمیت می‌یابد.
رویکرد Zero Trust با شعار «هرگز اعتماد نکن، همیشه تأیید کن»، دسترسی‌ها را محدود و تأیید می‌کند. در حالی که Zero Trust فرصت‌های نفوذ و حرکت عرضی (Lateral Movement) مهاجم را محدود می‌کند، تاب‌آوری سایبری به این می‌پردازد که وقتی مهاجم با وجود تمام کنترل‌ها موفق شد، چه اتفاقی می‌افتد.
- کنترل‌های شناسایی: دسترسی را محدود می‌کنند.
- بخش‌بندی شبکه (Network Segmentation): به مهار سرایت حمله کمک می‌کند.
- قابلیت‌های بازیابی مستقل: راهی برای بازگرداندن عملیات در یک محیط کنترل‌شده فراهم می‌کنند.
سوال سخت: به چه چیزی هنوز می‌توان اعتماد کرد؟
در طول یک حادثه سایبری بزرگ، سازمان‌ها ممکن است مجبور شوند شبکه‌ها را ایزوله کنند، حساب‌های دارای دسترسی بالا (Privileged Accounts) را غیرفعال کنند یا سیستم‌ها را از عملیات عادی جدا کنند. تیم‌های بازیابی باید به سوالات دشواری پاسخ دهند:
- کدام سرویس‌ها برای بقای کسب‌وکار حیاتی هستند و وابستگی‌های آن‌ها چیست؟
- آیا می‌توانیم محیطی ایجاد کنیم که سیستم‌ها در آن بررسی و بازسازی شوند؟
- اگر اعتبارنامه‌های مدیر سیستم (Administrator) لو رفته باشند، چگونه می‌توانیم به محیط بازیابی اعتماد کنیم؟
تاب‌آوری یک دستاورد یک‌باره نیست، بلکه یک قابلیت سازمانی مستمر است. این موضوع تنها بر عهده تیم امنیت نیست؛ معماران سیستم باید سناریوهای شکست را پیش‌بینی کنند، تیم‌های بازیابی باید برای شرایط غیرعادی آماده باشند و مدیران کسب‌وکار باید اولویت‌های سرویس‌ها و میزان تحمل اختلال را تعیین کنند.
