روایت منتشرشده
مسئله اصلی سازمانها «مدیریت اعتماد» است، نه مقابله با هکرها
چکیده پروژه
سالها حضور در پروژههای امنیت اطلاعات، یک الگوی مشترک را برای من آشکار کرد؛ دغدغه اصلی مدیران، حملات سایبری نبود، بلکه نداشتن تصویری روشن از دسترسیها و اعتماد به فرآیندهای داخلی سازمان بود. همین تجربه باعث شد سؤال همیشگی «چطور امنیت را بیشتر کنیم؟» جای خود را به پرسش دیگری بدهد؛ «چطور تجربه دسترسی را از نو طراحی کنیم؟». این تغییر نگاه، مسیر شکلگیری معماری سدرا را رقم زد؛ رویکردی که امنیت را از مجموعهای از ابزارها، به تجربهای شفاف، کماصطکاک و قابل اعتماد تبدیل کرد
مسئله اصلی سازمانها
در طول سالهایی که با مدیران سازمانهای مختلف جلسه داشتم، تقریباً همیشه یک داستان تکرار میشد؛ فقط شخصیتهای آن تغییر میکردند.
در یکی از همین جلسات، طبق معمول صحبت به امنیت اطلاعات رسید. انتظار داشتم بحث درباره حملات سایبری، باجافزارها یا هکرها باشد. اما مدیرعامل جملهای گفت که تا مدتها ذهنم را درگیر کرد.
او گفت:
«من از هکرها کمتر میترسم تا از اینکه ندانم چه کسی، چه زمانی و برای چه کاری وارد اطلاعات شرکت من شده است».
همانجا فهمیدم مسئلهای که مدیران را نگران میکند، با آن چیزی که ما متخصصان امنیت معمولاً دربارهاش صحبت میکنیم، تفاوت دارد.
ما امنیت را با دیوارهای بلند، رمزهای پیچیده و تجهیزات گرانقیمت میشناسیم؛ اما مدیران قبل از هر چیز میخواهند بدانند آیا میتوانند به فرآیندهای سازمان خود اعتماد کنند یا نه.
اجازه بدهید یک مثال بزنم.
فرض کنید سازمان شما برای بهروزرسانی نرمافزار مالی یا اتوماسیون اداری از یک پیمانکار کمک میگیرد. قرار است او فقط چند ساعت روی یک بخش مشخص کار کند و بعد همه چیز به حالت عادی برگردد.
اما معمولاً اتفاق دیگری میافتد.
برای اینکه کار سریعتر پیش برود، دسترسی گستردهای در اختیار او قرار میگیرد. یک حساب کاربری ایجاد میشود، اتصال از راه دور فعال میشود و شاید حتی رمز عبور هم برایش ارسال شود. همه این تصمیمها با نیت خوب گرفته میشوند؛ هیچکس نمیخواهد پروژه متوقف شود.
حالا چند ماه بعد از خودتان بپرسید:
• اگر امروز بخواهیم دقیقاً بدانیم آن پیمانکار در همان چند ساعت چه کارهایی انجام داده، آیا پاسخ روشنی داریم؟
• آیا مطمئن هستیم فقط به همان بخشی وارد شده که قرار بوده روی آن کار کند؟
• آیا هیچ دسترسی اضافهای بعد از پایان پروژه باقی نمانده است؟
در بسیاری از سازمانهایی که با آنها کار کردهام، پاسخ این سؤالها «نه» بوده است.
جالب اینجاست که این اتفاق معمولاً از ضعف کارکنان یا بیتوجهی مدیران ناشی نمیشود؛ بلکه نتیجه سالها عادت است.
هر بار که با یک مسئله روبهرو شدهایم، ابزار جدیدی به زیرساخت اضافه کردهایم؛ یک VPN، یک سامانه احراز هویت، یک ابزار ثبت رویداد یا یک راهکار کنترل دسترسی.
هرکدام بخشی از مسئله را حل کردهاند، اما تصویر کلی همچنان ناقص مانده است.
در تمام سالهایی که در حوزه امنیت و زیرساخت فعالیت کردهام، کمکم به این نتیجه رسیدم که شاید از ابتدا سؤال اشتباهی پرسیدهایم.
سالها از خودمان پرسیدهایم:
«چطور دسترسی را امنتر کنیم؟»
اما شاید سؤال درست این باشد:
«چطور تجربه دسترسی را از نو طراحی کنیم؟»
وقتی یک کارمند وارد سازمان میشود، نباید درگیر فناوری باشد؛ او فقط میخواهد کارش را انجام دهد.
وقتی یک مدیر در سفر است، نباید نگران تنظیمات امنیتی باشد.
وقتی یک پیمانکار برای انجام یک مأموریت مشخص وارد سازمان میشود، نباید بیشتر از همان چیزی را ببیند که برای انجام مأموریتش لازم است.
به باور من، امنیت زمانی موفق است که تقریباً دیده نشود، اما همیشه حضور داشته باشد.
جایی که مسیر سدرا آغاز شد
آن جلسه برای من فقط یک گفتوگوی معمولی نبود.
وقتی از ساختمان شرکت بیرون آمدم، همان جمله مدیرعامل مدام در ذهنم تکرار میشد:
«من از هکرها کمتر میترسم..»
چند روز بعد، یادداشتهای پروژههای سالهای گذشته را مرور کردم.
هرچه بیشتر جلو میرفتم، یک الگوی مشترک واضحتر میشد.
تقریباً هیچوقت مسئله اصلی کمبود ابزار نبود.
مسئله این بود که تجربه دسترسی، سالها بدون بازنگری باقی مانده بود.
همانجا تصمیم گرفتیم اگر قرار است این تجربه تغییر کند، باید از پایه معماری را دوباره طراحی کنیم؛ نه اینکه فقط ابزارهای بیشتری به آن اضافه کنیم.
اولین تصمیم، تغییر نگاه ما به زیرساخت بود.
سالها شبکهها را طوری طراحی کرده بودیم که ابتدا دیده شوند و بعد از آن از آنها محافظت کنیم.
ما مسیر دیگری را انتخاب کردیم.
اگر هویت کاربر تأیید نشده باشد، اصلاً نباید چیزی برای دسترسی وجود داشته باشد.
نتیجه این تصمیم، معماری Infrastructure Cloaking بود؛ رویکردی که منابع سازمان را تا قبل از احراز هویت از دید مهاجم پنهان میکند و بسیاری از حملات شناسایی را پیش از شروع متوقف میسازد.
اما هنوز یک سؤال باقی مانده بود.
اگر دستگاه کاربر آلوده باشد چه؟
آیا باید دادههای اصلی سازمان را تا همان دستگاه منتقل کنیم؟
پاسخ ما منفی بود.
همین سؤال، مسیر شکلگیری لایه Holographic Access را مشخص کرد.
کاربر همچنان با فایلها، سامانهها و اطلاعات موردنیاز خود کار میکند، اما داده اصلی در محیط امن سازمان باقی میماند. حتی اگر دستگاه کاربر با یک تهدید امنیتی روبهرو شود، داده اصلی سازمان همچنان در همان محیط امن باقی میماند.
بعد از حل این مسئله، نوبت به تجربه کاربران رسید.
سالها بود که کاربران برای انجام سادهترین کارها باید نرمافزارهای مختلف نصب میکردند، تنظیمات متعددی انجام میدادند و میان ابزارهای مختلف جابهجا میشدند.
ما تصمیم گرفتیم مرورگر را به محیط اصلی کار تبدیل کنیم.
کاربر بدون وابستگی به سیستمعامل یا تجهیزات خاص، تنها از طریق مرورگر به فضای کاری خود متصل میشود. این تصمیم علاوه بر سادهتر شدن تجربه کاربران، زمان آمادهسازی نیروهای جدید و مدیریت تجهیزات را نیز کاهش داد.
در نهایت، مفهوم دسترسی را هم بازنگری کردیم.
در بسیاری از سازمانها، دسترسیها بعد از پایان مأموریت همچنان باقی میمانند؛ گویی هیچوقت قرار نیست منقضی شوند.
در سدرا، دسترسی بر اساس هویت، شرایط و رفتار کاربر مدیریت میشود. مجوزها فقط زمانی صادر میشوند که واقعاً به آنها نیاز باشد و پس از پایان مأموریت، دوباره ارزیابی میشوند.
آنچه در پایان تغییر کرد
برای من، مهمترین نتیجه این مسیر ساخت یک محصول جدید نبود.
آنچه ارزش این مسیر را داشت، تغییر نگاه مدیران به امنیت بود.
کمکم گفتوگوها از تجهیزات، پورتها و سیاستهای امنیتی فاصله گرفت و به موضوع دیگری رسید؛ اعتماد.
اعتمادی که باعث میشود مدیر بداند چه کسی، چه زمانی و با چه هدفی به داراییهای سازمان دسترسی داشته است.
اعتمادی که کارمند را از درگیری با پیچیدگیهای فنی دور میکند تا روی کار اصلی خود تمرکز کند.
و اعتمادی که اجازه میدهد سازمان، بدون افزایش اصطکاک، کنترل بیشتری بر داراییهای دیجیتال خود داشته باشد.
هر بار که آن جمله مدیرعامل را به یاد میآورم، مطمئنتر میشوم که مسئله هیچوقت فقط امنیت نبود.
شاید آینده، ساختن سازمانهایی باشد که اعتماد را مدیریت میکنند، نه فقط دسترسی را.