تصمیمات امنیت سایبری سال نو که هر رهبر سازمانی (و کاربر) باید اتخاذ کند

یک سال دیگر پشت سر ماست و بسیاری در مورد عادت هایی که می خواهیم در ماه های آینده بسازیم (یا بشکنیم) تصمیم گیری می کنند.

امنیت سایبری نباید از این امر مستثنی باشد. مانند زندگی روزمره، بهداشت خوب اساس هر برنامه امنیت سایبری را تشکیل می دهد. همیشه بهتر است اقدامات پیشگیرانه انجام دهید تا اینکه بعداً از انجام ندادن آن پشیمان شوید (مثلاً وقتی با یک تخلف پرهزینه روبرو می شوید).

با در نظر گرفتن این موضوع، در اینجا مهمترین تصمیمات امنیت سایبری در سال نو میلادی است که هر شرکتی باید اتخاذ کند.

۱: من از شلختگی با رمزهای عبور خودداری می کنم

همه ما می توانیم این را قبول داشته باشیم رمزهای عبور می تواند آزاردهنده باشد، به ویژه زمانی که مجبور باشیم تعداد زیادی از آنها را به خاطر بسپاریم که رشته های پیچیده ای از اعداد، حروف، حروف بزرگ و کوچک و کاراکترهای خاص را در خود جای داده اند.

اما همه ما باید این واقعیت را بپذیریم که رمزهای عبور جنبه ای از زندگی مدرن ما هستند که زیربنای فناوری است.

با این حال، رمزهای عبور ضعیف و غیر خلاق غالب هستند. حتی در سال ۲۰۲۳، پسوردهای برتر مدیریت به‌طور شگفت‌انگیزی «ادمین»، «۱۲۳۴۵۶»، «۱۲۳۴۵۶۷۸»، «۱۲۳۴» و «گذرواژه» بودند.

همانطور که کارین گاریدو، معاون AT&T و GM می گوید: “گذرواژه های ضعیف و قابل پیش بینی مانند یک قفل ضعیف بر روی صندوقچه گنج هستند.”

بنابراین چگونه می توانیم از دام های پیش پا افتاده اجتناب کنیم رمزهای عبور? برای شروع، مواردی را ایجاد نکنید که حدس زدن آن برای هکرها آسان باشد (مانند موارد بالا). برای هر حساب کاربری منحصر به فرد، طولانی و قوی ایجاد کنید و به یاد داشته باشید که مرتباً آنها را به روز کنید.

به همان اندازه مهم، رمز عبور را به اشتراک نگذارید. و اگرچه ممکن است وسوسه انگیز باشد که آنها را به صورت فیزیکی یادداشت کنید، آنها را برای خود ایمیل کنید یا آنها را در پیش نویس سند یا ایمیل ذخیره کنید، این اشتباه را مرتکب نشوید.

مدیران گذرواژه می‌توانند به کاربران کمک کنند تا اطلاعات کاربری ارزشمند خود را ذخیره و محافظت کنند و ابزارهای دیگر می‌توانند رمزهای عبور رایج را مسدود کنند. علاوه بر این، پلتفرم‌های ضد بدافزار، اعتبارنامه‌های ورود به سیستم را به طور مداوم اسکن می‌کنند تا مطمئن شوند که در معرض خطر قرار نگرفته‌اند و تعیین می‌کنند که آیا آنها در چندین حساب استفاده می‌شوند یا یکسان، خالی یا منقضی شده‌اند.

روش مهم دیگر غیرفعال کردن تنظیمات تکمیل خودکار و ذخیره رمز عبور مرورگر است.

۲: من همیشه احراز هویت چند عاملی را روشن می کنم

بدون شک، می‌تواند آزاردهنده باشد: نام کاربری و رمز عبور خود را وارد می‌کنید و فکر می‌کنید خوب هستید – سپس باید با یک ایمیل بعدی، تماس یا پیامک ارسال کنید که یک کد یکبار مصرف ارائه می‌دهد.

اما چند ثانیه اضافی انجام یک کار اضافی به عنوان بخشی از احراز هویت چند عاملی (MFA) بسیار بهتر از انتشار بالقوه اعتبار شما در طبیعت و به خطر انداختن خود و سازمانتان است.

تحقیقات مایکروسافت نشان می دهد که فعال کردن MFA می تواند بلوک ۹۹٫۹٪ حملات به خطر انداختن حساب

محققان مایکروسافت می نویسند: “به خطر انداختن بیش از یک عامل احراز هویت یک چالش مهم برای مهاجمان است زیرا دانستن (یا شکستن) یک رمز عبور برای دسترسی به یک سیستم کافی نخواهد بود.”

با این حال، کارشناسان توصیه می‌کنند که ادغام MFA به گونه‌ای که کمترین میزان اصطکاک را داشته باشد، مهم است. به عنوان مثال، آن را تنها زمانی اجرا کنید که احراز هویت اضافی به محافظت از داده های حساس و سیستم های حیاتی کمک کند. استفاده از احراز هویت عبور و ابزارهای ثبت نام واحد (SSO) همچنین خستگی رمز عبور را کاهش می دهد.

به یاد داشته باشید: MFA نباید برای کاربران نهایی چالش برانگیز باشد. اگر بیش از حد محدود کننده به نظر می رسد، کارمندان به احتمال زیاد راه حل هایی را پیدا می کنند که سازمان را در معرض خطر بیشتری قرار می دهد (به اصطلاح “IT سایه”).

۳: از حملات مهندسی اجتماعی اجتناب می کنم

با وجود اینکه در دنیای امنیت سایبری قدمت زیادی دارد، فیشینگ هنوز یک امر بسیار مهم است.

فیشینگ همچنان رواج دارد زیرا از ضعف انسانی سوء استفاده می کند و احساس کاذب فوریت ایجاد می کند – که پیامدهای وحشتناک آن می تواند شرکت ها را در معرض خطر قرار دهد. باج افزار حملات

یک تخمین زده شده ۷۳ درصد سازمان ها در سطح جهانی تحت تأثیر حملات باج افزار قرار گرفته اند، زیرا هکرها تاکتیک های فیشینگ خود را افزایش می دهند (و متنوع می کنند). برخی از روش های در حال تحول عبارتند از:

-Searphishing و Whaling: این اشکال فیشینگ پیچیده‌تر، هدفمندتر و شخصی‌شده‌تر هستند (برخلاف فیشینگ سنتی که تقریباً یک شبکه گسترده ایجاد می‌کند). به عنوان مثال، ایمیل های spearphishing برای اعضای بخش مالی یک شرکت که ادعا می کنند مدیر مالی هستند ارسال می شود. شکار نهنگ یک گام فراتر از آن است و مدیران خاص یا سایر کارمندان سطح بالا را هدف قرار می دهد.

-Vishing: هکرها هدف را به این امید صدا می زنند که آنها را انتخاب کنند. این روش معمولا شامل ابزارهای شبیه سازی یا دیپ فیک می شود. اغلب ممکن است به دنبال یک ایمیل شکار نهنگ یا شکار نهنگ برای اعتبار بخشید.

– SMishing: فیشینگ پیام متنی می تواند فیلترهای ضد هرزنامه را دور بزند و می تواند برای به دست آوردن کدهای یکبار مصرف برای ابزارهای MFA استفاده شود. به عنوان مثال، یک هکر وارد حساب کاربری کاربر می شود و سپس متنی را برای دریافت هدفی برای ارائه کد تولید شده توسط MFA ارسال می کند.

–کوشینگ: در این روش جدیدتر فیشینگ، عوامل تهدید از کدهای QR به ظاهر بی‌ضرر و در همه جا تقلید می‌کنند و کاربران را به سمت سایت‌های جعلی هدایت می‌کنند که اطلاعات آنها را می‌دزدند یا بدافزار نصب می‌کنند.

–فیشینگ ماهیگیر: این روش در حال تکامل اکانت های رسانه های اجتماعی کاربر را هدف قرار می دهد. به عنوان مثال، هکرها وانمود می کنند که عوامل پشتیبانی مشتری هستند که به کاربرانی که با یک مشکل برخورد می کنند، کمک می کنند. آن‌ها می‌توانند پیام‌های شکایت عمومی را در Meta یا X مشاهده کنند، سپس با هدف تماس بگیرند تا آنها را وادار کنند تا اعتبار خود را رها کنند یا پیوندهای «مفید» ارائه دهند که در واقع بدافزار را ارائه می‌دهند.

روش‌های مضر دیگر عبارتند از typosquatting دامنه (زمانی که هکرها دامنه‌هایی را با نام‌های اشتباه املایی وب‌سایت‌های رایج ثبت می‌کنند) و حملات انسان در وسط (زمانی که عوامل تهدید در وسط مکالمه بین دو کاربر یا یک کاربر و یک برنامه قرار می‌گیرند).

کلید طعمه نشدن: هوشیار باشید. اگر چیزی، خوب، ماهیگیر به نظر برسد، به احتمال زیاد اینطور است. هرگز اطلاعات حساسی را در اختیار تماس ها، پیامک ها، ایمیل ها یا ربات های چت ناخواسته قرار ندهید. فقط نمی خواهید کدهای QR را اسکن کنید. مراقب پیوندهای دارای غلط املایی باشید. اگر مطمئن نیستید که پیامی از طرف کسی که ادعا می کند ارسال می شود، مستقیماً با آن شخص تماس بگیرید.

همانطور که گاریدو خاطرنشان کرد، “همه پیوندها با نیت خوب پیچیده نشده اند. قبل از کلیک کردن روی آنها و سه بار قبل از وارد کردن اطلاعات، دو بار فکر کنید.

او توصیه کرد در عین حال، از “حفظ یک خانه دیجیتالی به هم ریخته” خودداری کنید. عاقلانه است که دانلودها و ایمیل های قدیمی که مملو از اطلاعات شخصی هستند را حذف کنید.

۴: من به عنوان یک ادمین اصول کمترین امتیاز را رعایت می کنم

اعتماد صفر مدتی است که به عنوان یک مفهوم وجود داشته است، اما در نهایت اکنون شروع به تحقق می کند.

“حداقل دسترسی به امتیاز”، همانطور که همچنین شناخته می شود، از ابتدا فرض می کند که هر کاربر می تواند یک تهدید قانونی باشد. همه کاربران پس از ورود تأیید می‌شوند و فقط به داده‌ها و سیستم‌هایی که نیاز دارند (و زمانی که به آن نیاز دارند) دسترسی پیدا می‌کنند و اغلب لازم است در مراحل خاصی دوباره تأیید کنند.

با اعتماد صفر، تمام ترافیک شبکه ثبت، بازرسی و احراز هویت می شود. به کاربران بر اساس سطح امتیازات و سیاست های امنیتی اجازه دسترسی داده می شود. ناهنجاری ها از طریق الگوهای داده شناسایی می شوند.

علاوه بر این، ادمین ها نیز باید در مورد لغو مجوزها هنگام خروج کارمند یا پس از پروژه کوشا باشند.

۵: از داده ها نسخه پشتیبان تهیه می کنم و برنامه ها و سیستم ها را به روز نگه می دارم

همانطور که گفته شد، داده ها “جواهر تاج” شما هستند. شرکت ها باید یک استراتژی پشتیبان داشته باشند که داده ها را کپی و در مکان های امن ذخیره کند. کارشناسان توصیه می کنند از قانون ۳-۲-۱ پیروی کنید: داشتن سه نسخه از داده ها. دو در پلتفرم‌های رسانه‌ای مختلف مانند ابر یا on-prem و یکی خارج از سایت برای بازیابی فاجعه. پشتیبان گیری نیز باید به طور منظم انجام شود.

در همین حال، هکرها با سوء استفاده از آسیب‌پذیری‌ها دست به کار می‌شوند و یکی از ساده‌ترین راه‌ها از طریق سیستم‌های قدیمی است. وصله منظم و حذف اتصالات و پورت های غیر ضروری بسیار مهم است.

به همان اندازه که در محیط کار ترکیبی امروزی مهم است، رهبران سازمانی باید به کارمندان در مورد وصله دستگاه های خود آموزش دهند. این شامل دستگاه‌های مخفی مانند ترموستات‌های هوشمند می‌شود که می‌توانند راه آسانی را به هکرها بدهند.

در پایان، بررسی وضعیت امنیتی سازمان شما می تواند آسیب پذیری ها و ضعف های حیاتی را شناسایی کند.

در حالی که شما نمی خواهید فکر کنید که یک نقض برای شرکت شما اتفاق می افتد، درصد بالایی است که در نهایت رخ خواهد داد (اگر قبلاً چنین نشده است). همیشه بهترین کار این است که برای بدترین ها آماده شوید و برای بهترین ها امیدوار باشید!