عندما يسألني الناس كيف أحقق التوازن بين عملي كرئيس لأمن المعلومات مع متابعة شغفي كقبطان صيد، أقول لهم الحقيقة: الأمر سهل. في الواقع، قد تتفاجأ بمدى التداخل بين العقليتين (هجمات “التصيد الاحتيالي” حصلت على اسمها لسبب ما، بعد كل شيء). الجانب السلبي الوحيد هو أنه لا يوجد ما يكفي من الوقت في اليوم لتحقيق كليهما! أنا أنحدر من سلسلة طويلة من قباطنة السفن وربابنة الموانئ، وقد أمضيت أكثر من ثلاثة عقود في قيادة القوارب من نيو أورليانز إلى بوسطن. لقد تعلمت الكثير من الدروس – بعضها بالطريقة السهلة وبعضها بالطريقة الصعبة – خلال فترة وجودي على الماء، بما في ذلك بعض الدروس التي يجب على كبار مسؤولي أمن المعلومات في كل مكان أن يأخذوها على محمل الجد.
الدرس رقم 1: تحكم فيما يمكنك التحكم فيه.
إذا قضيت الكثير من الوقت في الطبيعة الأم، فإنك تتعلم بسرعة كبيرة أن هناك أشياء يمكنك التحكم فيها، وهناك أشياء خارجة عن سيطرتك. لا يمكنك التحكم في الطقس، أو الرياح، أو ما إذا كانت الأسماك تشعر بالرغبة في العض. من ناحية أخرى، يمكنك التأكد من صيانة القارب الخاص بك بشكل جيد. يمكن أن يكون لديك تكرار في الأنظمة المهمة مثل المحركات والاتصالات. يمكنك إحضار قضبان احتياطية. يمكنك أيضًا التأكد من قيامك بالبحث. هل تعرف ما هي الأسماك التي من المحتمل أن تكون في المنطقة، وهل لديك النوع المناسب من الطُعم لصيد هذا النوع من الأسماك؟
هناك الكثير من الأشياء التي لا يمكنك التحكم فيها ولكن عليك بذل القدر المناسب من الجهد في الأشياء التي تريدها يستطيع التحكم سوف يصنع تجربتك أو يكسرها. ليس هناك ما هو أسوأ من أن تكون عالقًا في عاصفة كهربائية كانت متوقعة ولكنك لم تتحقق وأنت الآن تواجه رحلة طويلة إلى المنزل لعدة ساعات في البحار الكبيرة والأمطار الغزيرة. كما أنه ليس وقتًا ممتعًا عندما يكون لديك سمكة تتكسر في كل مكان حولك، لكنك لم تحضر معك الطعم أو الطعم المناسب!
الأمن هو نفسه إلى حد كبير. لا يمكنك التحكم في موعد ظهور يوم الصفر التالي أو كيفية عمل المهاجمين، ولكن يمكنك التحكم في وضعك الأمني العام ومدى نضج ممارسة الاستجابة للحوادث/الثغرات الأمنية للرد على هذه التهديدات. سيجد المهاجمون دائمًا طرقًا لمفاجأتك، لكن الإدارة الفعالة للمخاطر تبدأ بوضع الحلول والسياسات الصحيحة. لا يوجد حل سحري واحد يمكنه منع كل هجوم، ولكن وجود أدوات قوية للكشف والتخفيف يمكن أن يبقيك مرنًا ويمنحك مستوى معينًا من التحكم عند مكافحة التهديدات السيبرانية دائمة التطور. إن معرفة نقاط ضعفك والآليات الموجودة للتخفيف منها، سواء أكانت تلك الخدم أو MSPs أو خطط المرونة، ستبقي تلك المفاجآت عند الحد الأدنى ولكن لا يمكنك مواجهتها بالكامل.
الدرس الثاني: لا تحتاج بالضرورة إلى أحدث وأروع التقنيات.
يمتلك الصيادون الجادون الكثير من المعدات الفاخرة في متناول أيديهم هذه الأيام، لكن رحلة الصيد الناجحة لا تتطلب أكثر من مجرد صنارة وبكرة. بالطبع، المعدات التي لديك قد تحد مما يمكنك القيام به: في حين أنه من الممكن تقنيًا صيد سمكة أبو سيف عملاقة من قارب بحجم زورق كما اعتادوا على قبالة مارثا فينيارد، إلا أن هناك طرقًا أقل تحديًا (وإرهاقًا) بكثير لصيد سمكة.
لكن النقطة لا تزال قائمة، وهي تنطبق على الأمن أيضاً. يمكن أن تصل تكلفة نظام السونار المتطور إلى ما يزيد عن 300 ألف دولار، لكن هل تحتاج إليه حقًا؟ حسنًا، هذا يعتمد على المكان الذي تصطاد فيه، وعلى ما تصطاد من أجله. لا يهم مدى روعة معداتك أو تقنياتك — إذا لم تكن الأسماك موجودة، فلن تنجح. في عالم الأمن، يعد امتلاك الأدوات المناسبة والأشخاص الذين يعرفون كيفية استخدامها أكثر قيمة بكثير من البحث دائمًا عن شراء “أحدث وأفضل” المعدات.
ويُعد سوق الذكاء الاصطناعي الحالي مثالًا جيدًا على ذلك. قبل تنفيذ حل الذكاء الاصطناعي، هل تعرف فعليًا كيف يعمل وكيفية تعظيم الفوائد؟ يمكنك الحصول على قارب ضخم مجهز بأغلى جهاز يمكن شراؤه بمال مكتشف الأسماك، ولكن إذا كنت لا تعرف كيفية استخدامه، فسوف تعود إلى المنزل جائعًا. الأمر كله يتعلق بفهم نقاط القوة والضعف لديك والقيام بالاستثمارات المناسبة للتعويض. إن إنفاق كل وقتك ومواردك للتخفيف من المخاطر في بيئة أقل حساسية يشبه إلى حد كبير أخذ قارب صيد رياضي بطول 80 قدمًا إلى بركة سمك السلمون المرقط.
الدرس رقم 3: يتمتع البائعون المختلفون بنقاط قوة مختلفة.
سيخبرك أي صياد أنه لا يمكنك أن تتوقع من بائع واحد أن يلبي جميع احتياجاتك. هناك شركات تصنع حلولاً مذهلة للسونار، ولكن عندما يتعلق الأمر بالرادار، فهي متخلفة عن المنافسة. من ناحية أخرى، فإن الشركات التي تصنع أفضل حلول الرادار لا تقدم عادةً أفضل أجهزة تحديد العمق. لا تحتاج إلى إنفاق مبالغ طائلة، لكنك تحتاج إلى العثور على الحلول المناسبة لك – سواء كان ذلك برنامجًا واحدًا للتتبع أو اتباع نهج شامل لتجهيز قاربك بنظام شامل.
الأمن لا يختلف. ربما لن تتمتع الشركة التي توفر حلول هوية عالية الجودة بنفس المستوى من الخبرة عندما يتعلق الأمر بأمان نقطة النهاية. لن يساعدك حل الفحص العميق للحزم هذا كثيرًا عندما يقوم شخص ما بتوصيل محرك أقراص USB وجده في موقف السيارات. من المهم معرفة الأداة الأفضل لأي وظيفة، بغض النظر عن مجال الوضع الأمني لديك الذي تريد تعزيزه. إذا كنت بحاجة إلى حل للهوية، فابحث عن بائع يفهم عملك وصناعتك واحتياجاتك المحددة. إذا كنت تبحث عن مساعدة في الحوكمة والمخاطر والامتثال (GRC)، فابحث عن بائع يمكنه تقديم رؤية شاملة لنظامك البيئي الرقمي. تتطلب مجالات المخاطر والأمان المختلفة أنواعًا مختلفة من الخبرة، وتريد التأكد من أن كل مورد تعمل معه يفهم احتياجاتك حقًا ويستطيع تلبيتها.
الدرس الرابع: تعلم واستفد من ما يحفز الناس.
عند صيد أنواع معينة، من المهم معرفة دورة حياتها وعاداتها وأنماط التغذية والسلوكيات. قد يكون سمك القاروس ذو الفم الكبير سعيدًا بأكل ضفدع، لكن سمكة التونة ذات الزعانف الزرقاء العملاقة لن ترى مثل هذا الضفدع أبدًا. إن تعلم “جمهورك” أو “الهدف” وما يحفزهم يساعدك على النجاح داخل وخارج الماء.
ويصبح هذا الأمر بالغ الأهمية عند التحدث إلى قادة الأعمال لتأطير المخاطر بطريقة تحفز ذلك المسؤول التنفيذي. تعرف على ما يثير شغفهم، والمقاييس التي يتم الحكم عليهم بناءً عليها، وما هي استراتيجيتهم، وبعد ذلك يمكنك بسهولة شرح سبب تدمير حادث أمني يستحق النشر لسمعة العلامة التجارية عند التحدث إلى مدير التسويق لديك. والعكس صحيح عند محاولة فهم كيفية استهداف قسم معين بهجوم ما. يتم استهداف الفرق المالية بشكل منتظم من خلال محاولات الاحتيال الإلكتروني أو محاولات التصيد الاحتيالي. مثلما لم يكن الضفدع طعمًا محفزًا لسمكة التونة، فإن فاتورة XLS التي تحتوي على حمولة ضارة تحمل اسم “الفاتورة 123456” ليست طعمًا محفزًا لممثل الموارد البشرية. يساعد فهم الدافع على صياغة الدفاعات والتعليم لهؤلاء المستخدمين. وأخيرًا تعرف على ما يحفز موظفيك. انظر حولك في أي منظمة وعادة ما تكون هناك دائرة ألعاب، أو دائرة رياضية، أو دائرة طبخ – وفي كثير من الأحيان تقع خطوط الأقسام بشكل وثيق في تلك الدوائر. من المحتمل أن دوائر الألعاب تلك، تلك التي تسعى جاهدة لاكتشاف مشكلة أو استراتيجية، سيتم دفعها إلى وظائف مثل الاستجابة للحوادث حيث توجد دائمًا مشكلة جديدة يجب حلها وحلها. إنها طبيعة بشرية، وسيكون موظفوك أكثر سعادة في المجالات الوظيفية التي تدعم دوافعهم بشكل أفضل.
تعلم الدروس الصحيحة
غالبًا ما يتفاجأ الناس عندما يعلمون أن كبير مسؤولي أمن المعلومات في إحدى شركات إدارة المخاطر هو أيضًا أحد أفضل ربابنة رحلات الصيد في نيو إنجلاند (أعلن الركاب) – ولكن الحقيقة هي أن الوقت الذي أمضيته على الماء جعلني قائدًا أفضل. مع تزايد أعداد الأسماك التي يتم صيدها بعيدًا عن الشاطئ، تنمو جوانب إدارة المخاطر والسلامة بشكل كبير. إذا غرق قاربك في بركة صغيرة، فإنك تسبح إلى الشاطئ. إذا غرق قاربك في الأخاديد على بعد أكثر من 100 ميل في تيارات قوية، فسوف تأمل أن يكون لديك وسائل تخفيف وتدريب جاهز. إن معرفة أين تركز جهودك، وكيفية تخصيص الموارد، وكيفية تقييم البائعين المحتملين أمر مهم بالنسبة لـ CISO كما هو الحال بالنسبة للصياد. سواء كنت تتنقل في مشهد التهديدات الرقمية اليوم أو تتجه إلى المياه العميقة، فإن القليل من التخطيط يقطع شوطًا طويلًا – ومن الضروري التعامل مع مهمتك بالمعرفة والتخطيط والمعدات التي تحتاجها لتحقيق النجاح.
