مدل‌سازی تهدید (Threat Modeling) باید به عنوان یک اصل سازمان‌دهنده برای هر برنامه امنیتی در نظر گرفته شود. اما به جای سرمایه‌گذاری سنگین روی گزارش‌های بسیار پرهزینه و صد صفحه‌ای، می‌توان با استفاده از یک رویکرد ساده و مبتنی بر چهار پرسش کلیدی، برنامه‌ای عملیاتی برای تیم‌های امنیتی تدوین کرد.
روش چهار سوالی برای مدیریت ریسک
این تمرین ساده که توسط متخصصان امنیت پیشنهاد شده، می‌تواند در طیف وسیعی از سازمان‌ها، از شرکت‌های کوچک و متوسط (SMB) تا سازمان‌های بزرگ، مورد استفاده قرار گیرد. پاسخ به این سوالات می‌تواند نقشه‌ای برای تصمیم‌گیری‌های مربوط به سرمایه‌گذاری‌های امنیتی ارائه دهد.
۱. بدترین سناریوهای ممکن چیست؟
اگر صبح روز دوشنبه وارد محل کار شوید، بدترین اتفاقی که ممکن است رخ دهد چیست؟ برای مثال:
- یک حمله باج‌افزار (Ransomware) که منجر به نشت اطلاعات حساس شود؟
- قفل شدن سیستم‌های تولیدی؟
- نفوذ گسترده به فایروال‌ها و تجهیزات لبه (Edge Devices)؟
- یا حملات جعل ایمیل تجاری (BEC) که منجر به انتقال غیرقانونی مبالغ هنگفت شود؟
پس از شناسایی این موارد، باید آن‌ها را بر اساس میزان آسیب به کسب‌وکار رتبه‌بندی کرد. ریسک‌ها معمولاً به سه دسته تقسیم می‌شوند: حیاتی (Existential) که می‌تواند منجر به بسته شدن کسب‌وکار شود، آزاردهنده (Painful) که باعث اختلال در عملیات و آسیب به شهرت می‌شود، و مزاحم (Annoying) که به راحتی قابل رفع است.
۲. چه کسی واقعاً سازمان شما را هدف قرار می‌دهد؟
درک پروفایل ریسک مستلزم شناخت عامل‌های تهدید (Threat Actors) است. آیا گروه‌های تهدید پیشرفته (APT) تحت حمایت دولت‌ها شما را هدف گرفته‌اند؟ یا احتمال حمله از سوی وابستگان باج‌افزاری (Ransomware Affiliates) یا کلاهبرداری‌های BEC بیشتر است؟ همچنین بررسی وضعیت وصله کردن (Patching) و وجود باگ‌های شناخته شده بسیار حیاتی است.
۳. ارزان‌ترین کنترل برای شکست دادن سناریوی حمله کدام است؟
هدف این است که بدانید کجا با کمترین هزینه می‌توان جلوی حمله را گرفت. برخی از کنترل‌های رایگان یا کم‌هزینه که بسیار موثر هستند عبارتند از:
- استفاده از احراز هویت چندعاملی (MFA) در همه جا.
- داشتن یک موجودی دقیق از دارایی‌ها (Asset Inventory).
- وصله کردن (Patching) باگ‌های مورد سوءاستفاده قرار گرفته.
- بک‌آپ‌گیری منظم و استفاده از بخش‌بندی شبکه (Network Segmentation) برای مقابله با باج‌افزارها.
۴. چگونه نتایج را به مدیریت ارائه دهیم؟
برای همسو کردن اولویت‌های امنیتی با اهداف تجاری، باید هزینه‌ها را به نتایج کسب‌وکار مرتبط کرد. به جای وعده دادن “امنیت مطلق”، باید بر “کاهش ریسک” تمرکز کرد. پیشنهاد می‌شود همیشه سه گزینه برای بودجه ارائه شود (مثلاً هزینه‌های بالا، متوسط و صفر). گزینه “صفر” به معنای پذیرش ریسک (Risk Acceptance) توسط مدیریت است که باید به صورت مکتوب ثبت شود تا در صورت بروز حادثه، مسئولیت‌ها مشخص باشد.
