خود را برای حمله‌های سایبری آماده کنید

دکتر محیا کربلایی | زمانی که شرکت ایکوئیفاکس (Equifax) مورد حمله سایبری قرار گرفت، حساب مالی ۱۴۳ میلیون نفر در دسترس هکرها قرار گرفت و سرمایه‌گذاری این افراد مورد تهدید قرار گرفت. این حمله سایبری به شرکت‌های بزرگ جزو بزرگترین حمله‌ها به‌شمار می‌رود. شرکت ورایزن (Verizon) چندی پیش اعلام کرد، حساب ۱۴ میلیون از کاربرانش توسط هکرها لو رفت.

بلاکانادا (Bella Canada) قبل از آن تایید کرد که ۱۹ میلیون کاربر آن مورد حمله سایبری قرار گرفته‌اند. سایت آموزشی ادمودو (Edmodo) گفت اطلاعات مربوط به ۷۸ میلیون کاربر آن در سایت‌های غیرقانونی به فروش رسیده‌اند و یکی از بزرگترین اتفاقاتی که یاهو آن را نهایتا پس از چهار سال تایید کرد، این بود که در حمله سایبری سال ۲۰۱۳، تمامی ۳ میلیارد حساب کاربری در یاهو هک شده بودند.

اخبار مربوط به حملات سایبری دیگر تقریبا به یک مورد روتین تبدیل شده‌ است. شاید اخبار مربوط به شرکت‌های ایرانی کمتر به گوش برسد، اما این به معنای آن نیست که شرکت‌های ایرانی از طرف هکرها تهدید نمی‌شوند. کارشناسان معتقدند، شرکت‌ها به دو دسته تقسیم می‌شوند: شرکت‌هایی که متوجه می‌شوند که مورد حمله سایبری قرار گرفته‌اند و شرکت‌هایی که از آن مطلع نمی‌شوند.

البته در این بین خبر خوبی نیز وجود دارد؛ و آن اینکه به دلیل انتشار این اخبار، بسیاری از شرکت‌ها اکنون این مساله را کاملا جدی می‌گیرند و سعی می‌کنند خود را پیشاپیش برای چنین مشکلاتی آماده کنند. سطح امنیت در بسیاری از شرکت‌ها برای حفاظت از اطلاعات و داده‌هایشان به‌طور قابل‌ملاحظه‌ای افزایش یافته است.

این در حالی است که یک دهه قبل، مساله امنیت اطلاعات تنها در صنعت فناوری اطلاعات (IT) مطرح بود. اما امروزه در بسیاری از شرکت‌ها مساله امنیت سایبری در سطح هیات‌مدیره و هیات‌رئیسه شرکت‌ها مطرح و بحث می‌شود. بسیاری از شرکت‌های بزرگ، به‌خصوص شرکت‌های بورسی موضوع بررسی وضعیت امنیت داده‌های شرکت را بخشی ثابت از صورت‌جلسه‌های خود قرار داده‌اند. ما در این مطلب با تاکید بر بحران‌های سایبری راهکارهایی را به مدیران پیشنهاد می‌کنیم که برای مواجهه با حملات احتمالی به بهترین شکل به‌کار بگیرند، اما بسیاری از این راهکارها می‌توانند برای هر بحران عمده‌ای به‌کار گرفته شوند.

تیم برخورد با بحران را از پیش تعیین کنید

حملات سایبری به هر شکلی که باشند می‌توانند به یک بحران واقعی بدل شوند. به همین دلیل لازم است از قبل افرادی را از مجموعه خودتان تعیین کنید که مسوولیت برخورد با این بحران را بر عهده داشته باشند. با اینکه این موضوع ممکن است ساده به نظر برسد، اما بسیاری از شرکت‌ها برای شرایط اضطراری، تیم مشخصی را ندارند و در نتیجه در این شرایط هرکس به دنبال مقصر می‌گردد.

این مساله باعث افزایش هرج و مرج در شرکت شده و روابط را بدتر از قبل می‌کند. هنگام بروز بحران، نباید به دنبال مقصر بگردید، در این شرایط حتی نباید به دنبال فرد شایسته برای حل آن نیز باشید، بلکه باید از قبل افراد مناسب را برای آن تعیین کرده باشید. افرادی که می‌توانند در بحرانی‌ترین شرایط آرامش و تمرکز خود را حفظ کرده و به دنبال بهترین راه‌حل باشند.

مسوولیت هر یک از افراد این تیم باید از قبل تعیین شده باشد؛ چه کسی قرار است این موضوع را به گوش کارمندان برساند؟ چه کسی آن را با بازار درمیان خواهد گذاشت؟ چه کسانی به دنبال بازگرداندن سیستم به شرایط قبلی خواهند بود؟ این تیم طبیعتا نباید تنها متشکل از متخصصان آی‌تی شما باشد، بلکه باید به غیر از چند متخصص آی‌تی، مدیرعامل و مدیرمالی شرکت، فرد یا افرادی، بسته به فعالیت و اندازه شرکت، از بخش ارتباطات عمومی و ارتباط با سرمایه‌گذاران نیز در این تیم حضور داشته باشند و شاید حتی فردی از بخش نیروی انسانی. مطمئن شوید که حداقل دو نفر از اعضای این تیم قابلیت برقراری ارتباط مناسب را با رسانه‌ها دارا هستند؛ اینکه خبر حمله سایبری را چگونه به رسانه‌ها ارائه می‌کنید، می‌تواند تاثیر زیادی در آینده شرکت شما در بازار سهام داشته باشد.

ریسک‌های خود را مشخص کنید

یکی از وظایف تیم ارتباط با سرمایه‌گذاران این است که یک استراتژی برخورد با شرایط بحرانی را از پیش تعیین کند و به‌صورت دستورالعمل آماده داشته باشد. این استراتژی باید براساس ریسک‌هایی که این حمله می‌تواند در شرکت شما ایجاد کنند، تعیین شود. ممکن است تیم آی‌تی شرکت شما خود به خود به‌صورت دوره‌ای چنین گزارش‌هایی داشته باشد و ریسک‌های موجود را شناسایی کرده باشد و بنابراین لازم نباشد شما دوباره این کار را انجام دهید.

تنها کافی است در بازه‌های زمانی مشخصی با تیم آی‌تی شرکت جلساتی را داشته باشید که در آن گزارش این ریسک‌ها به شما منتقل شوند. به یاد داشته باشید برای اینکه بتوانید استراتژی صحیحی از برخورد و کاهش این ریسک‌ها تعیین کنید، باید آنها را به درستی درک کنید. در بسیاری از موارد، از آنجا که مدیران سایر بخش‌ها ممکن است به اندازه متخصصان آی‌تی از این مسائل سررشته نداشته باشند، به سختی این مشکل را درک خواهند کرد. اما تجربه شرکت‌های موفق نشان داده است، اگر قصد دارید چنین بحرانی را با موفقیت پشت‌سر بگذارید، هر دو بخش آی‌تی و سایر مدیران باید سعی کنند این مفاهیم را برای گروه دیگر ساده و قابل درک کنند.

پس از اینکه ریسک‌ها تعیین شدند، باید وظایف هر فرد از تیم بحران در هنگام این ریسک‌ها را مشخص کنید. هرچه بتوانید این وظایف و عملکردها را در شرایط خارج از بحران بهتر مشخص کنید، در شرایط بحرانی کمتر دچار سردرگمی خواهید شد و هر فرد بهتر می‌تواند وظایفش را به‌درستی انجام دهد.

نقش هیات‌مدیره را فراموش نکنید

یکی از درس‌هایی که از لو رفتن اطلاعات ایکویفاکس گرفته شد، این بود که هیات‌مدیره باید به خوبی از میزان امنیت داده‌ها و اطلاعات شرکت مطلع باشد. معمولا در کشورهای توسعه‌یافته با بورس‌های پیشرفته، مقام ناظر بر بورس انتظار دارد هیات‌مدیره شرکت‌ها از وضعیت خود در برابر حملات سایبری کاملا مطلع باشند و سیاست مشخصی را برای برخورد با آن از پیش تعیین کرده باشند.

در برخی موارد مقام ناظر از شرکت‌های بزرگ می‌خواهد تیم برخورد با بحران سایبری را با حداقل یک متخصص آی‌تی خود معرفی کند که ریسک‌های شرکت را برآورد کرده‌اند. هرچند که انتظار نمی‌رود هیات‌مدیره مستقیما در تصمیم‌گیری برای حل مشکل وارد شود، اما انتظار می‌رود آنقدر آگاهی داشته باشد که در صورت بروز بحران بتواند پاسخگوی بازار و مقامات ناظر باشد.

پیام‌هایتان را از پیش تهیه کنید

زمانی که ریسک‌های شرکت را تعیین کردید و برای برخورد با هرکدام، یک یا چند سناریو را در نظر گرفتید، باید برای مخابره آنها از پیش پیام‌هایی را آماده کنید. برای این کار می‌توانید یک ساختار مشترک تعیین کنید. وقتی ساختار این پیام‌ها از قبل تعیین شده باشند، هر فرد در تیم بحران با توجه به نقش خود بخشی از آن را آماده خواهد ساخت؛ اینکه چه بخش‌هایی از شرکت حادثه دیده است، عواقب آن چه می‌توانند باشند؛ افرادی که مورد تهدید قرار گرفته‌اند چه گروه‌هایی هستند؛ این بحران نهایتا تا چه اندازه ممکن است شرکت شما را تهدید کند.

می‌توانید در جلساتی، گروهی از همکاران‌تان را در موقعیت سهامداران یا رسانه‌ها قرار دهید و سعی کنید سوالات احتمالی را از خود بپرسید و پاسخ‌های مناسبی برای آنها تعیین کنید. حتی می‌توانید گزارش‌های ارائه شده از سوی شرکت‌هایی که مورد حمله قرار گرفته‌اند را بررسی کنید و ببینید آیا برای شرایط مشابه پاسخ‌های مناسبی دارید یا خیر.

طبیعی است که هیچ فردی نمی‌تواند تمامی شرایط را از قبل پیش‌بینی کند و به همین دلیل لازم است تیمی که برای برخورد با بحران تعیین می‌‌کنید قابلیت پاسخگویی و تصمیم‌گیری در شرایط بحرانی را داشته باشند، اما هرچه بیشتر بتوانید از قبل شرایط را حدس بزنید، کار خود و تیم‌تان را در شرایط نامناسب ساده‌تر کرده‌اید.

بسیاری از شرکت‌ها تصور می‌کنند حل مشکلات ناشی از حمله سایبری می‌تواند به سرعت انجام شود و به همین دلیل مرتکب اشتباهی بزرگ می‌شوند؛ آنها سعی می‌کنند تا جایی که بتوانند این بحران را از رسانه‌ها و بازار مخفی نگه دارند و همین مساله به مشکلات عدیده‌ بعدی دامن می‌زند.

ایکویفاکس بعد از ۴۰ روز حمله سایبری، لو رفتن اطلاعات مشتریان خود را تایید کرد. این موضوع باعث شد تحلیلگران و سهامداران آن را بیش از پیش مقصر بدانند. در حالی که اطلاع‌رسانی به‌موقع نه‌تنها می‌تواند شما را از شایعات دور نگه دارد، بلکه به این ترتیب می‌توانید کنترل شرایط را به دست بگیرید.

سهامداران‌تان را قبل از شرایط بحرانی بشناسید، نه بعد از آن. یکی دیگر از اشتباهاتی که شرکت‌ها مرتکب آن می‌شوند این است که تا قبل از بروز بحران با سهامداران خود ارتباطی نزدیک برقرار نمی‌کنند. در زمان بروز بحران با عجله به سراغ آنها می‌روند و می‌خواهند همه را مطمئن سازند که قابلیت برخورد موفق با این مشکل را دارند و به عبارتی، جای نگرانی وجود ندارد.

در واقع مدیران به‌خصوص واحد ارتباط با سرمایه‌گذاران باید از قبل به فکر این مساله باشد و حداقل با سهامداران عمده و تحلیلگران اصلی بازار جلساتی را برگزار کند که مختص معرفی قدرت آنها در برخورد با بحران‌های سایبری است. وقتی این افراد متوجه شوند که شما از پیش آمادگی برخورد با این مساله را دارید، در زمان بروز مشکل با اعتماد بیشتری با آن برخورد خواهند کرد.

آنها به یاد خواهند آورد که شما این مشکل را از قبل پیش‌بینی کرده بودید و بنابراین راه‌حل‌های مناسبی را نیز تهیه کرده‌اید. این موضوع باعث می‌شود این سهامداران در هنگام انتشار اخبار مربوط به حمله سایبری به سرعت اقدام به فروش سهام خود نکنند و همین رفتار آنها می‌تواند آرامش خوبی را در بازار برقرار کند تا تیم برخورد با بحران شما به انجام وظایفش بپردازد.به‌یاد داشته باشید، اگر به دنبال سرمایه‌گذاران خارجی هستیم باید نشان دهیم که از استانداردهای بین‌المللی برای مقابله با بحران برخورداریم.

با توسعه تکنولوژی، هکرها نیز قابلیت‌های خود را دائما افزایش می‌دهند. انکار این مساله که ممکن است شما روزی قربانی چنین حمله‌هایی باشید، مانند این است که آشغال‌ها را زیر فرش مخفی کنید. پس بهتر است به جای آن خود را برای برخورد با این مشکلات مجهز کنید.