في الأشهر القليلة الأخيرة فقط من عام 2023، كان هناك عدد لا بأس به من الحوادث الأمنية التي تم الكشف عنها علنًا، من المؤسسات الكبيرة والصغيرة. ومن الممكن أن فاتني البعض بسبب تعاملت MongoDB مع حادثة خاصة بنا. كانت إدارة ذلك جهدًا مستهلكًا على مدار الساعة للفرق عبر MongoDB.
على الرغم من أن حادثة MongoDB كانت مزعجة، إلا أنها عززت الدروس التي يجب على أي قائد أمني أن يضعها موضع التنفيذ على الفور. كما شدد على أهمية بناء ثقافة الأمن.
كما ملاحظات المعهد الوطني للمعايير والتكنولوجياإن وجود ثقافة أمنية قوية يعني أن الموظفين “ينظرون إلى ممارسات الأمن السيبراني الجيدة على أنها عمل جيد”. كلما زاد الأمن المتأصل في الممارسات اليومية للمنظمة، وكلما زاد الأمن مسؤولية الجميع، كلما أصبحت المنظمة أكثر يقظة واستجابة.
فيما يلي بعض المفاتيح لبناء ثقافة الأمن:
1. استعد لما هو غير متوقع.
يمكن أن تحدث الحوادث الأمنية في أي وقت. يدرك فريقي أنه في عالم اليوم شديد الترابط، تعد الحوادث جزءًا طبيعيًا (وإن كان غير سار) من ممارسة الأعمال، ودورنا هو تقليل تأثير أي حدث. ومع ذلك، فإن الأشياء التي تحيط بالحوادث – ما الذي أدى إلى حدوثها، وما يحدث أثناء إدارة واحدة – يمكن أن تكون غير متوقعة حقًا.
على سبيل المثال، أثناء تعاملنا مع الحادث الأمني الذي تعرضت له MongoDB، واجه فريقي أيضًا انقطاع التيار الكهربائي، وتحطم الكمبيوتر المحمول الخاص بالقائد، و- بشكل مأساوي- وفاة اثنين من أفراد الأسرة. لكي تحدث كل هذه الأشياء في أسبوع و في خضم الأزمة كانت ساحقة.
2. لا تكون نحيفاً على الأرض.
وفقا لLayoffs.fyiخلال عام 2023، تم تسريح أكثر من 250 ألف شخص من وظائفهم في مجال التكنولوجيا، بما في ذلك الآلاف من المتخصصين في مجال الأمن. على الرغم من أن خفض التكاليف ليس بالأمر الجديد، إلا أن مبدأ “إنجاز المزيد بموارد أقل” لا يخدم الأمن. يمكن أن يؤدي التخفيض المفرط في الوظائف إلى زيادة المخاطر خلق تهديدات داخلية عن غير قصد، أو من قبل موظفين غير مدربين أو مثقلين بالأعباء يقومون بعمل إضافي و خلق نقاط الضعف عن غير قصد.
وبدلاً من ذلك، يجب على القادة الأمنيين تبني “الدفاع في العمقاستراتيجية لمنع الحوادث وتجنب الاعتماد المفرط على الأفراد عند وقوع الحوادث. تذكر أيضًا كيف يمكن أن تكون الاستجابات للحوادث مرهقة. لذا، يعد منح فريقك وقتًا للتوقف أمرًا مهمًا، وكذلك التعرف على الدور الذي تلعبه أنظمة الدعم الخاصة بهم.
لكن قادة الأمن لا يمكنهم ضمان المستوى المناسب من الاستثمار دون توفير فرص للتعامل مع القيادة. لسوء الحظ، في العديد من المنظمات CISOs ليسوا أعضاء في C-suite، ومشاركة مجلس الإدارة غير مضمونة. يعد الحصول على أذن قيادة المنظمة أمرًا بالغ الأهمية لقادة الأمن لتأمين الموارد.
وأخيرًا، يجب أن يكون لكل رئيس أمناء أمن المعلومات نائب يثق به ضمنًا، وتكمل مهاراته مهاراته. المنزل قوي بقدر أساسه.
3. التواصل بصوت واحد ورسالة واحدة.
على الرغم من أنني لا أميل إلى التحدث وفق أقوال مأثورة، إلا أن لدي شعارًا واحدًا أحب ترديده: “صوت واحد، رسالة واحدة”. لا يوجد مكان للغموض في العمل، خاصة أثناء وقوع حادث أمني. يجب أن يعرف فريقي من يفعل ماذا ومتى ولماذا.
عند وقوع حوادث، يعد التواصل الواضح في الوقت المناسب أمرًا مهمًا لاستجابة المنظمة بقدر أهمية احتواء الحادث نفسه. في الواقع، يمكن أن يكون التصور العام للاستجابة للحوادث أكثر ضررًا من الحوادث نفسها إذا تم النظر إلى المنظمة على أنها سرية أو مخادعة.
في MongoDB، نعتقد أنه من المهم أن نكون شفافين وفي الوقت المناسب مع اتصالاتنا، والدرس الذي تعلمناه من الحادث الذي وقعنا هو ضمان مشاركة الأشخاص المناسبين منذ البداية. على سبيل المثال، يقوم المسؤولون التنفيذيون للحسابات بالرد على العديد من استفسارات العملاء، لذا فإن مشاركة الحقائق والمعلومات الواضحة أمر حيوي حتى يتمكنوا من إخبار الجميع بنفس القصة، في كل مرة.
والحصول على تأييد القيادة في بداية أي أزمة سيضمن تبسيط الاتصالات طوال الوقت.
مونغو دي بي اليوم
لحسن الحظ، قام MongoDB بالفعل بتطبيق بعض هذه الدروس عندما وقع الحادث. على الرغم من وجود أشياء كان من الممكن أن أفعلها بشكل مختلف، لأنه كان لدينا فريق قوي ومجموعة من العمليات المعمول بها عندما وقع حادث MongoDB، فقد تمكنا من الاستجابة بسرعة لما هو غير متوقع.
منذ ذلك الحين، اتخذت MongoDB خطوات لتشديد وضعنا الأمني والاستعداد للمستقبل. على سبيل المثال، ستقوم الفرق عبر MongoDB بعمل أكثر شمولاً تمارين الطاولةونحن نفكر في كيفية دمج أشياء أقل واقعية، مثل زيادة التوتر، في تخطيطنا.
وأضافت الشركة أيضًا أول رئيس قسم لها، وهو جورج غيرتشو. تقديم التقارير إلى CISO، سيقوم رئيس الثقة في MongoDB بتكوين علاقات لتعزيز إستراتيجيتنا وحلولنا الأمنية. بالإضافة إلى التعاون مع عملاء MongoDB لتحسين وضعهم الأمني، سيكون جورج مبشرًا للأمن الداخلي، وسيجلب شغفًا بثقافة الأمن أولاً إلى MongoDB.
مثل وقال الرئيس التنفيذي لشركة ديلويت بونيت رينجين“الثقة ليست مجرد نتيجة للنجاح. إنه ضروري للنجاح.”
لقد عملت في مجال الأمن لعقود من الزمن لقد كنت أتحدث عنه العلاقة بين الثقافة والأمن لسنواتأشعر بقوة أكبر من أي وقت مضى أن الاثنين متشابكان. نظرًا للعدد المتزايد من التهديدات الناجمة عن التكنولوجيا مثل الذكاء الاصطناعي التوليدي، أصبحت الثقافات الأمنية القوية أكثر أهمية من أي وقت مضى. لاستخدام مبدأ آخر (مفرط الاستخدام)، فإنه يأخذ القرية لمنع الحوادث الأمنية والاستجابة لها.
