کوید 19 و ریسک های امنیت اطلاعات سازمان ها
بیماری همه گیر کوید 19 (کرونا) دنیای کسب و کار را وادار به انجام موارد غیرقابل برنامه ریزی در عملیات کرده است که به نوبه خود مجموعه ای از خطرات منحصر به فرد را ایجاد کرده است. این امر به ویژه در مورد خطرات سایبری صادق است. در حالی که تغییرات عملیاتی مربوط به فاصله های اجتماعی و دستورالعمل های ماندن در خانه همچنان اعمال می شود، نیروهای فناوری اطلاعات در سازمان برای پشتیبانی از ارتباط از راه دور، کنفرانس ویدیویی و غیره در حال فعالیت هستند.
از آنجا که متخصصان فناوری اطلاعات بر پاسخگویی به این نیازمندی های جدید متمرکز شده اند. سازمان ها می توانند در معرض تهدیدات و آسیب پذیری های سایبری قرار بگیرند یا بدتر از آن، تمرکز خود را روی تهدیدهای موجود از دست بدهند.
روز صفر در زمان کوید 19 چیست؟
از جمله نگران کننده ترین خطر ناشی از کوید 19، سو استفاده های روز صفر (Zero Day) است. این اصطلاح توصیف کننده حملات سایبری است که شامل کشف آسیب پذیری در یک نرم افزار، سیستم عامل ، تنظیمات پیکربندی یا شبکه است به نحوی که برای توسعه دهنده و تیم فنی ناشناخته بوده و هیچ گونه راهکار جبران شناخته شده ای ندارد. چنین آسیب پذیری های امنیتی عواقب ناشناخته یا غیر منتظره ای را به همراه خواهند داشت است که غالباً ناشی از خطاهای برنامه نویسی یا تنظیمات نادرست رایانه یا امنیت است.
در حال حاضر تهدید دوچندان است. مجرمان سایبری می توانند از آسیب پذیری تا زمانی که یک وصله امنیتی ارائه شود، سوء استفاده کنند. اما در صورت عدم اجرای دستورالعمل یا وصله امنیتی به محض ارائه، این تهدید طولانی تر می شود.
یکی از وظایف مهمی که حسابرسان داخلی در حال حاضر می توانند انجام دهند ، ارزیابی تأثیر همه جانبه بیماری بر منابع فناوری اطلاعات، اولویت ها و تمرکز است. این امر شامل تعیین اینکه آیا روند فعلی برای به روز نگه داشتن فناوری اطلاعات و آگاهی از حملات احتمالی روز صفر و سایر آسیب پذیری ها کافی و موثر است.
برای این منظور حسابرسان داخلی باید در ارزیابی های خود در زمان کوید 19 خود سوالات کلیدی زیر را مورد توجه قرار دهند:
سوالات کلیدی در زمان ارزیابی
- سازمان چگونه منابع اطلاعاتی معتبر را برای آکاهی از بروز تهدیدات امنیتی خصوصا تهدیدات روز صفر پایش می کند؟
- چگونه سازمان اطمینان حاصل می کند که وصله های امنیتی به موقع اجرا می شوند؟
- آیا به دلیل تغییر در فرآیندهای سازمان و محیط کار، شناسایی آسیب پذیری ها یا سایر فعالیت های نظارت و پایش تغییر کرده است؟ چگونه خطرات ناشی از آن مرتفع می شود؟
- چگونه سازمان تضمین می کند شیوه های مدیریت آسیب پذیری به عنوان یک نتیجه از تغییرات در محیط کار به درستی اداره می شود؟ چه فعالیتهای پایش یا اصلاح خاص آسیب پذیری تغییر یافته یا به تعویق افتاده است؟
- چگونه سازمان از اثربخشی شیوه های مدیریت رخدادهای فناوری اطلاعات از جمله روش های پیشگیری، شناسایی و پاسخ به حوادث، اطمینان می یابد؟
- چگونه سازمان اطمینان می دهد که تغییرات در شبکه به درستی درخواست ، مستند ، تصویب و اجرا شد؟ این به طور خاص شامل تغییرات اضطراری یا موقت انجام شد برای تسهیل کار از راه دور است.
- فرایندهای امنیت دسترسی فیزیکی و منطقی سازمان چگونه تغییر کرده است؟ آیا تغییر در محیط کار ، مرورها و پایش های مستمر دسترسی های ارائه شده را به تعویق انداخته است؟
- چه فرآیندهای مهمی را نمی توان به صورت کار از راه دور انجام داد یا نظارت کرد؟ چگونه خطرات ناشی از آن مرتفع می شود؟
- چگونه فراگیری ویروس باعث این موضوع است تا روابط با تامین کنندگان تغییر کند؟
- چه تغییراتی در رابطه با مدیریت قرارداد انجام شد؟ به عنوان مثال، آیا الزامات قراردادی تقلیل پیدا کرده؟
- در نتیجه تغییرات در محیط کار ، چه چیز هایی در فرآیندهای خرید و تدارکات تغییر کرده؟ آیا برونسپاری خدمات با تغییراتی همراه بوده است؟