كونه كبير مسؤولي أمن المعلومات يجلب (CISO) للمورد الرئيسي تحديات: فأنت تعمل مع أشخاص يفهمون وظيفتك مثلك تمامًا، ولديك هدف كبير وراء ظهرك للمهاجمين.
الجلوس مع ستيفن ماكديرميد، كبير مسؤولي الأمن الإقليمي (CSO) في أوروبا والشرق الأوسط وأفريقيا اوكتايتحدث بصراحة عن الحفاظ على اتصال قوي مع العملاء والشركاء، وضمان تجربة سلسة للجميع – وهو أمر يتمتع بخبرة من خلال خدمته في مناصب عليا في مجال الأمن السيبراني لأمثال Salesforce وقوة الشرطة الاسكتلندية.
داخل شركة Okta، يقول إنه يعمل كعيون وآذان لشركة CISO David Bradbury، حيث يكون قادرًا على التعامل مع العملاء ومساعدتهم على فهم مفاهيم Okta للأمن، وتقديم الدعم “والقيام بكل الأشياء الصحيحة فيما يتعلق استراتيجية الشركة”.
وفيما يتعلق بالعميل، يقول ماكديرميد إنه ينظر إليهم كشركاء للشركة، حيث يتم منحهم أكبر قدر ممكن من الحماية.
“نجد أنفسنا نقوم بأشياء عادةً ما تكون بمثابة SaaS [software as a service] لن يفعل المزود؛ إذا كنت مزود SaaS عادي، فلن تتمكن من مراقبة المهاجمين الذين يستهدفون عميلك بشكل استباقي، ولكن Okta تفعل ذلك لأننا نعلم أنه إذا كنت تعلم أن لدينا هذه الرؤية فيمكننا رؤيتها، وإذا تمكنا من إيقافها وتنبيهها العميل، فسيكون ذلك أمرًا جيدًا.”
هذا المفهوم أ نموذج المسؤولية المشتركة كان الأمر الذي حرص ماكديرميد على الضغط عليه، مشيدًا بالعمل الذي قام به كبار المسؤولين التنفيذيين في الشركة لتمكين Okta من العمل مع فريق الأمان لضمان موافقة الشركة، والسماح بتجربة أكثر مرونة داخليًا.
ويقول: “أعتقد أن الأمن في نهاية المطاف لا يزال مسألة تتعلق بالناس”. “على الرغم من أن لدينا أشخاصًا خبراء لا يصدقون [working for Okta]في نهاية المطاف، الأمن هو عمل الناس. إنها القلوب والعقول حتى مجرد توضيح سبب قيامنا بالأشياء أمر مهم، لأنه على الرغم من أنهم قد لا يفهمون ذلك، فمن المنطقي القيام بذلك، لأن الأمر يتعلق بخريطة الطريق حقًا.
اتجاه واحد
ذكر ماكديرميد التزام Okta بالهوية الآمنة، انطلقت في فبراير 2024، والذي يقول إنه يحدد مهمة الشركة، وبالتالي لا يعرف العملاء والشركاء فقط اتجاه الشركة، ولكن في النهاية يعرف موظفوهم ما الذي تحاول الشركة تحقيقه، وما هي الرؤية طويلة المدى.
“أعتقد أنه من المهم حقًا أن تشرح “السبب” للأشخاص بغض النظر عما إذا كانوا في وضع أمني أم لا، لأن ذلك سيسمح لهم في نهاية المطاف بالانضمام إلى الفريق وإحضارهم معك، بدلاً من مجرد إخبارهم لفعل شيء ما.”
أحد الأمثلة التي استشهد بها هو كيفية الاستخدام محاكاة التصيد كطريقة تدريب، من أجل تحديد الاستعداد وكيفية تأثيره على عقلية المستخدم.
يقول: “مثل أي منظمة، نقوم بالتدريب على التصيد الاحتيالي ونقوم بقياس مدى نجاح التصيد الاحتيالي، ونرسل أيضًا التدريب وبعد ذلك، حرفيًا، الشيء التالي الذي سيتلقونه هو رسالة بريد إلكتروني مشروعة تطلب منهم تقديم تعليقات لنا”. “لذا فإن هذه العقلية هي معرفة متى يكون الأمر جيدًا ومتى لا يكون كذلك.”
عديم الاحتكاك
ويقول إن الهدف من كونك أكثر مرونة هو عدم فرض التغييرات على الناس “دون أن يفهموا ذلك بشكل كامل أو لماذا تفعل ذلك أو كيف قد تبدو النهاية”. أدى ذلك إلى تشكيل فريق الثقافة الأمنية، لضمان وجود تركيز على المراسلة داخليًا وقياس تلك الثقافة ومراقبتها، حيث “في النهاية، هذه هي الطريقة التي سنقوم بها برفع مستوى الأمن الذي لدينا ورفعه ومواصلة التقدم”. وإجراء هذه التحسينات.”
وهو يعترف بأن مفهوم “قسم الرفض” الذي غالبًا ما يشوبه الأمان، والذي غالبًا ما ينجح لأنه “غالبًا ما يكون الخيار الأقل خطورة”، لكنه يعترف بأن هذا الموقف لا يساعد الشركة على المضي قدمًا، ولا يفعل ذلك. لا تساعد العملاء أيضًا.
“لذا، فالحقيقة هي أننا يجب أن نكون في هذا الموقف حيث نقوم بتمكين الأعمال التجارية وتوعيتهم بالمخاطر.” من خلال الحفاظ على تناغم الموظفين وجانبهم، يجب أن يشعروا بمزيد من المشاركة في خريطة الطريق الأمنية ويفهموا مكان مواجهة العوائق، ولا يتعلق الأمر بمنعها أو إبطائها.
الهجمات على الآخرين
تقودني هذه النقطة المتعلقة بالمخاطر إلى التساؤل، كيف يرى رئيس أمن المعلومات في إحدى شركات الأمن السيبراني الكبرى الهجمات على الشركات الأخرى، ويستخلص نقاط التعلم منها؟ يقول ماكديرميد: “كيف نرد عندما نرى هذه الأحداث في الصحافة; نحن نرد من خلال النظر إلى ما حدث، والنظر إلى جهة التهديد والنظر في كيفية استجابتنا لذلك. وهذا يمنحنا القدرة على التفكير في هذه التهديدات من منظور حقيقي بدلاً من التفكير في “ماذا لو حدث هذا”.
وقال أيضًا إن هناك فترة من التأمل الذاتي والتفكير في التأثير الذي سيحدث على العملاء، وما هي الأسئلة التي قد يطرحها العملاء على Okta. “وهذا يمنحنا فرصة لإعداد وتحليل قدراتنا الخاصة، ويمنحنا فرصًا للتعلم – فنحن نراقب هذه الأشياء ويمكننا التعلم منها.”
يقول ماكديرميد إن أي شيء يؤثر على العملاء سيكون مصدر قلق رئيسي، ومعالجة أي مشكلات والتعامل معها ستمكن الشركة من معالجتها على الفور – على سبيل المثال إذا تم استخدام ثغرة أمنية أو استغلال شائع، أو إذا كان المهاجم يحدد أهدافًا في قطاعات محددة.
في صناعة متماسكة مثل الأمن السيبراني، يقول ماكديرميد إنه إذا كانت الشركة المتضررة شريكا أو عميلا، فإنه سيتصل بها لتقديم أي مساعدة، لأنه “حتى مجرد مجموعة ثانية من الآذان لرد شيء ما هو أمر موضع تقدير”.
وهو حريص على التأكيد على النقطة التي مفادها أنه يمكن ويجب التعلم من الأمثلة، والمفتاح بالنسبة لـ Okta هو الحاجة إلى الشفافية، “وهذا هو المكان الذي تكتسب فيه الثقة – ما حدث، وما الذي تفعله حيال ذلك، وما الذي يتغير؟ أنت تقوم بذلك وأعتقد أن هذا هو المكان الذي أعتقد أنه يمكنك التعلم فيه من أخطاء الآخرين ثم من الواضح أن تحاول رفع مكانتك الخاصة.
بعد حوالي 12 شهرًا من الإبلاغ الجيد خرق رموز الوصول، تتخذ Okta خطوات للأمام في مجال الأمن السيبراني وتثبت أن الحادث لم يعيقها. في الواقع، تعمل الشركة الآن على تطوير دورها كمزود هوية آمن، وكعامل تمكين للخدمات المستندة إلى السحابة، ويعمل جوهرها القوي الواضح داخليًا كجزء من تلك الرحلة.
