يعرف محلل التهديدات الإلكترونية الجيد متى يستخدم BLUF.
غالبًا ما تتعارض فِرَق الأمن الإلكتروني مع قادة الأعمال حول أولويات إدارة التهديدات والتخفيف منها. وقد يساعد سد فجوة التواصل على هذا الأمر.
في عالم الأمن الإلكتروني، طريقة قولنا للأشياء لها نفس أهمية ما نقوله بالفعل، وربما أكثر.
تجربة فكرية لتوضيح هذه النقطة:
أنت الرئيس التنفيذي لأحد أكبر خطوط أنابيب الوقود في الدولة. تم استدعاؤك لحضور إحاطة حول استعلامات التهديدات بعد أن اكتشف المحللون لديك بعض التهديدات الإلكترونية المهمة التي قد تؤثِّر في مؤسستك.
أيٌّ من هذين التهديدين تعطيه الأولوية للاستجابة؟
التهديد الأول: "عصابة برامج الفدية تستهدف شركات الطاقة الأخرى، وتقوم بتشفير البيانات الحيوية حتى تدفع الشركة فدية. إذا تمكَّن برنامج الفدية هذا من اختراق شبكتنا، فنحن نقدِّر أنه قد يقوم بتشفير ما يصل إلى 100 جيجابايت من بياناتنا".
التهديد الثاني: "برنامج ضار شديد التعطيل أصاب عدة أنظمة بنية تحتية حرجة خلال الأشهر القليلة الماضية، ما أدى إلى توقف الخدمات الأساسية. إذا اخترق هذا البرنامج الضار شبكتنا، فنحن نقدِّر أنه قد يوقِف تشغيل خط الأنابيب بالكامل لمدة أسبوع".
إنه سؤال محيّر. كِلا التهديدين يصفان الهجوم نفسه: هجوم برنامج الفدية على خط أنابيب كولونيال عام 2021، وهو أكبر هجوم إلكتروني على بنية تحتية نفطية في تاريخ الولايات المتحدة. أوقف المخترقون تشغيل خط الأنابيب الذي ينقل 45% من وقود الساحل الشرقي، وضغطوا على الضحايا لدفع فدية قدرها 4.4 ملايين دولار أمريكي. (استردت وزارة العدل في نهاية المطاف بعضًا من تلك الفدية).
لاحِظ كيف أنه، رغم وصف الهجوم نفسه، لا تبدو تقارير التهديد هذه متساوية في الإلحاح. يبدو أن التهديد الأول خطير، لكن التهديد الثاني يتطلب استجابة عاجلة بمشاركة الجميع.
يبدو التهديد الثاني أكثر إلحاحًا بكثير لأنه يركِّز على تأثير الهجوم في الأعمال، بدلًا من التفاصيل التقنية. للأسف، غالبًا ما يخطئ محللو التهديدات في هذا الأمر، ما يزيد من فجوة التواصل الكبيرة بين الأمن الإلكتروني والأعمال.
هذه الفجوة أكثر من مجرد إزعاج، فهي قد تترك المؤسسة عرضةً لمختلَف أنواع الهجمات.
النشرة الإخبارية الخاصة بالمجال
أحدث الأخبار التقنية، مدعومة برؤى خبراء
ابقَ على اطلاع دومًا بأهم—اتجاهات المجال وأكثرها إثارة للفضول—بشأن الذكاء الاصطناعي والأتمتة والبيانات وغيرها الكثير مع نشرة Think الإخبارية. راجع بيان الخصوصية لشركة IBM.
سيتم تسليم اشتراكك باللغة الإنجليزية. ستجد رابط إلغاء الاشتراك في كل رسالة إخبارية. يمكنك إدارة اشتراكاتك أو إلغاء اشتراكك هنا. راجع بيان خصوصية IBM لمزيد من المعلومات.
الجميع.
من ناحية، نحن خبراء الأمن الإلكتروني لا نعبِّر دائمًا عن رؤانا بمصطلحات أعمال. غالبًا ما نتَّبِع نهجًا تقنيًا بحتًا، حيث نركِّز على التفاصيل الدقيقة: أسماء عناصر التهديد وأنواع البرمجيات الضارة ومؤشرات الاختراق (IOCs) ونقاط الضعف والتعرُّض الشائعة (CVEs) وتقييمات CVSS، أي جدار كامل لا يمكن اختراقه من الاختصارات المتخصصة.
هذه الأمور مهمة جدًا بالنسبة لنا كممارسين، لكنها أقل أهمية بكثير بالنسبة إلى قادة الأعمال الذين نسعى إلى توعيتهم.
من ناحية أخرى، قد تكون لدى قادة الأعمال أنفسهم بعض الأفكار الخطأ حول دور الأمن الإلكتروني والقيمة الحقيقية التي يضيفها. غالبًا ما يتم التعامل مع الأمن الإلكتروني على أنه مجرد واجب شكلي، يتعلق بالالتزام ببعض القواعد لتجنُّب الغرامات أو الحصول على شهادة.
هذه العقلية تجعل الأمن لا يعدو كونه بندًا إضافيًا في الميزانية، مركز تكلفة لا مصدر توفير أو ميزة تنافسية.
نتيجةً لذلك، عندما نجلس على طاولة الاجتماع، نجد أنفسنا نتحدث دون أن نفهم بعضنا. هناك عواقب مادية هنا. إذا لم يتمكَّن الأمن من نقل التهديدات بلغة يفهمها قطاع الأعمال، فقد يقلل القطاع من تقدير المخاطر أو يرفض بعض الاستثمارات الأمنية لأنها "لا تبدو جديرة بالاهتمام".
حتى تقع الكارثة.
لكن لا أحد يحب أن يسمع "لقد أخبرتك بذلك". من المؤكد أن هذا لن يجعلك تكسب أي أصدقاء في الإدارة العليا.
مرة أخرى، خبراء الأمن الإلكتروني ليسوا المسؤولين وحدهم عن هذه الفجوة، لكننا في موقع فريد يمكِّننا من سدها.
إذا تواصلنا بمصطلحات تهم قادة الأعمال، يمكننا تحقيق توافق أفضل داخل المؤسسة بشأن أولويات إدارة التهديدات والضوابط الأمنية.
هذا التوافق بدوره يسهِّل على فريق الأمن الحصول على الدعم لتوصياته. مع مرور الوقت، ومع تحقيق هذه الاستثمارات الأمنية لعوائدها، يبدأ قطاع الأعمال برؤية الأمن كمولِّد حقيقي للقيمة.
إليكم أربعة تغييرات في أسلوب التواصل يمكن لفِرَق الأمن الإلكتروني اعتمادها لبدء سد الفجوة:
1. التركيز على الواقع الفعلي، لا على الاحتمالات.
من السهل التركيز على ما قد يحدث: الهجمات التي قد تقع والأنظمة التي قد تكون عرضة للخطر وعناصر التهديد التي قد تظهر.
يميل قادة الأعمال إلى الاهتمام بما حدث بالفعل: الهجمات التي منعناها والثغرات التي استطعنا سدها.
هذا، من بعض النواحي، أمر إيجابي. فهو علامة على الثقة بفريق الأمن. لا يحتاج قادة الأعمال إلى معرفة كل احتمال لأنهم يثقون بنا لمنع معظمها، إن لم يكن جميعها.
هذا يُتيح لنا أيضًا تسليط الضوء على إنجازاتنا بشكل أكبر - لإثبات قيمتنا من خلال إعداد التقارير حول كيفية حماية المؤسسة بنجاح من المخاطر.
مع ذلك، علينا الموازنة هنا. ففي حين نريد التركيز على الواقع الفعلي، لا يمكننا تجاهل الاحتمالات بالكامل. فجزء من مسؤولياتنا يشمل التعرُّف على التهديدات الإلكترونية الجديدة ووضع التدابير الأمنية المناسبة لإيقافها.
إليك أحد الأساليب التي يمكن اعتمادها لتحقيق التوازن بين هذه العوامل:
عندما يظهر تهديد إلكتروني جديد، حدِّد احتماليته والتأثير الذي قد يُحدثه. بعد ذلك، حدِّد أي تدابير يمكنك استخدامها لمواجهة التهديد دون الحاجة إلى إذن أو موارد جديدة، ثم نفِّذها. قيِّم كيف تقلل هذه التدابير من احتمالية التهديد وتأثيره، ثم حدِّد مستوى الخطر الإجمالي للتهديد.
من المرجح أن تتطلب التهديدات عالية المخاطر موارد إضافية، ويجب إعلام قادة الأعمال بها. يمكن جمع التهديدات منخفضة المخاطر في قائمة إضافية أو الإشارة إليها باختصار، لكنها لا تحتاج إلى استهلاك وقت ثمين في الاجتماع.
2. التركيز على الآثار الملموسة.
بالحديث عن تأثيرات التهديدات: من الأفضل أن تعتمد تقارير التأثير والتقديرات على أرقام دقيقة والعواقب الملموسة للأعمال.
نحن، كممارسين في مجال الأمن، نفترض أحيانًا أن الثغرات الأمنية واضحة الضرر بطبيعتها. إذا كان هناك خلل في النظام، فأنت تريد إصلاحه لأنه خلل.
لكن خارج نطاق الأمن، قد لا يكون مجرد وجود ثغرة أمنية دافعًا كافيًا.
جزئيًا، يعود السبب إلى أننا غالبًا ما نناقش الثغرات الأمنية بمصطلحات مجردة: "نظامنا معرض لأنواع جديدة من برامج الفدية تتجاوز العديد من ضوابطنا الحالية". نقترح تطبيق إجراءات حماية جديدة من برامج الفدية بتكلفة 200,000 دولار أمريكي".
توصية معقولة، لكن 200,000 دولار أمريكي مبلغ كبير. قد يتردد صانعو القرار في القيام بمثل هذا الاستثمار، خاصةً إذا كان التبرير الوحيد عبارة عن شيء عام مثل "إيقاف برنامج الفدية".
ضَع في اعتبارك هذا الأسلوب في العرض: "نظامنا عرضة لأنواع جديدة من برامج الفدية". لقد أجرينا تحليلًا للحوادث في مؤسسات مماثلة، ووجدنا أن هجمات برامج الفدية تكلِّف في المتوسط 2 مليون دولار أمريكي يوميًا نتيجةً لمزيج من خسائر الأعمال وتكاليف المعالجة. نقترح تطبيق إجراءات حماية جديدة من برامج الفدية بتكلفة 200,000 دولار أمريكي".
الآن، نحن نتحدث عن إنفاق 200,000 دولار أمريكي ليس من أجل "إيقاف برامج الفدية"، بل لمنع المؤسسة من خسارة 2 مليون دولار أمريكي يوميًا. تبدو هذه صفقة جيدة.
3. التوافق على مستوى تحمُّل المخاطر.
نحن خبراء الأمن السيبراني نميل عادةً إلى الحذر الشديد. لكن بالنسبة إلى العديد من الشركات، المستوى الأمثل من المخاطر ليس صفرًا.
فكِّر في نموذج المثلث الكلاسيكي لوكالة المخابرات المركزية لأمن المعلومات. والذي ينص على أن نظام المعلومات الآمن يحتاج إلى السرية والنزاهة والتوافر.
بعبارة أخرى: تجب حماية البيانات والأنظمة الحساسة، ولكن يجب أيضًا أن تكون متاحة لاستخدام الموظفين. هذا التوازن صعب تحقيقه. قد تحافظ الحماية الصارمة على أمان الأنظمة، لكن التأثير في الإنتاجية قد لا يكون دائمًا مبرَّرًا.
على سبيل المثال، عمل أحدنا في شركة إعلامية كانت تفضِّل فرض قيود مرنة إلى حد ما على أنواع التقنيات التي يستخدمها الموظفون. سمحت هذه السياسة بظهور تكنولوجيا المعلومات الظلية غير المُدارة وتصفُّح الإنترنت المليء بالمخاطر، لكنها في الوقت نفسه مكَّنت الموظفين من البحث بسرعة ومرونة عن الأخبار المتطورة. كان هذا النشاط أساسيًّا لنموذج أعمال الشركة، لذلك كانت المؤسسة على استعداد لقبول المخاطر التي تصاحب ذلك.
مع وجود فهم مشترك لمعنى المخاطر، يمكن لفِرَق الأمن الإلكتروني تبنّي أساليب وأدوات تُلبي احتياجات الأمان دون تعطيل عمليات الأعمال.
لاحِظ أن التوافق على مستوى تحمُّل المخاطر لا يعني أن الأمن الإلكتروني يستجيب دائمًا لرغبات الأعمال. يمكن لفِرَق الأمن الإلكترونية استخدام خبرتها لتوجيه فهم الأعمال للمخاطر، ويجب عليها ذلك.
يتذكَّر أحدنا إحاطة استعلامات محددة للتهديدات. فقد حدَّدت الإحاطة هجومًا معينًا على أنه منخفض المخاطر، لكن أحد المسؤولين التنفيذيين اعترض على ذلك. فقد اعتقد أن مستوى المخاطر يجب أن يكون أعلى لأن المؤسسة تعرَّضت لمثل هذا الاختراق في الماضي.
أشار فريق استعلامات التهديدات إلى أن المشهد قد تغيَّر منذ ذلك الحين. فقد عَمِلت المؤسسة على تركيب تدابير حماية قلَّلت من احتمالية مثل هذا الهجوم وشدته. علاوةً على ذلك، لم يكن هذا التهديد قد استهدف مؤخرًا مؤسسات مماثلة لهذه الشركة.
استمع المسؤول التنفيذي إلى الحجة ووافق على التقييم منخفض المخاطر. لو لم نأخذ الوقت الكافي للتنسيق بشأن المخاطر، لكنّا قد أضعنا وقتًا وموارد على تهديد يشكِّل ضررًا قليلًا.
4. أسلوب BLUF.
هذه النقطة الأخيرة هي الأبسط، لكنها ربما الأكثر تأثيرًا. فهي لا تتطلب تغييرات في العقلية أو إعادة توجيه استراتيجي، بل هي مجرد تعديل بسيط في طريقة صياغة التقارير.
نحن نتحدث عن أسلوب BLUF، أي وضع الخلاصة في المقدمة مباشرةً.
خاصةً في أوساط استعلامات التهديدات، لدينا عادة إعداد تقارير طويلة وتفصيلية تمتد إلى 20 أو 30 صفحة، تشمل تحليلات متعمقة لكل المعلومات الجديدة التي تجب مشاركتها.
قد يكون كل هذا ممتعًا بالنسبة لنا، لكن العديد من المسؤولين التنفيذيين ينظرون إليه ويقولون: "طويل جدًا، لم أقرأه!".
عند استخدام أسلوب BLUF، تبدأ بالخلاصة مباشرةً: إليك ما حدث. إليك ما يجب أن تقلق بشأنه. هذا تقييمنا للوضع، وما نقترحه من خطوات للتعامل معه.
يمكن لبقية التقرير أن تكون تحليلًا متعمقًا للقراء الذين يريدون ذلك. لكن ملخصًا يسهُل استيعابه -يركِّز على تفاصيل ملموسة وذات صلة- غالبًا ما يكون كافيًا لتمكين قادة الأعمال من اتخاذ قرار مستنير.
لسد فجوة التواصل في الأمن الإلكتروني، ما نحتاج إليه في النهاية هو ترجمة المصطلحات التقنية لفننا إلى لغة تعبِّر عن الإلحاح والأثر، بحيث تلقى صدًى لدى قادة الأعمال.
من خلال تغيير أسلوبنا في التواصل، يمكننا أيضًا تغيير تصوُّر الأعمال للأمن: من مجرد بند في الميزانية إلى استثمار حيوي يساعد المؤسسة على العمل والابتكار والازدهار.