چرا کارکنان، ضعیف‌ترین حلقه محافظت از داده‌های تجاری هستند؟

ارزش داده‌های سازمان شما ورای تصورتان است

تاکنون به این موضوع فکر کرده‌اید که اطلاعات در ظاهر بی‌اهمیت شرکت شما ممکن است برای شرکت‌های دیگر حائز اهمیت باشد؟ اگر برای چند روز به اطلاعات شرکت خود دسترسی نداشته باشید، کسب‌وکار شما با چه چالش‌هایی روبه‌رو خواهد شد؟ اگر جزییات قراردادها یا سوابق مالی محرمانه شرکت در اینترنت منتشر شوند، چه تاثیرات منفی روی کسب‌وکارتان خواهد گذاشت؟ آیا تاکنون به این موضوع فکر کرده‌اید که یک کلیک شتاب‌زده روی پیوند یا فایل دریافتی ضمیمه ایمیلی، بدون بررسی این موضوع که ایمیل از سوی چه فردی ارسال‌شده ممکن است چه پیامدهایی برای کسب‌وکارتان داشته باشد؟ پژوهش انجام شده سایت pwc در سال گذشته میلادی نشان داد، بیش از 90 درصد از شرکت‌های بزرگ به‌واسطه فاش شدن اطلاعات تجاری با مشکل جدی روبه‌رو شده‌اند. به‌ویژه اطلاعات فنی که جزییات زیرساخت‌ها و شبکه‌های ارتباطی یک سازمان را فاش کرده‌اند. گزارش سایت lookout نشان می‌دهد، ریسک اقتصادی فاش شدن اطلاعات موبایل برای یک سازمان بزرگ ممکن است میلیون‌ها دلار باشد.
متاسفانه، بخش عمده‌ای از رخنه‌های امنیتی و افشای اطلاعات مشکل انسانی دارند. در طبقه‌بندی و سلسله مراتب امنیت سایبری، کارکنان جزو ضعیف‌ترین بخش‌های حوزه امنیت هستند. بخش عمده‌ای از کارهایی که انسان‌ها انجام می‌دهند، احساسی و شتاب‌زده است. در نتیجه برای داده‌های مهم ارزش چندانی قائل نیستند و به‌درستی نمی‌دانند چگونه باید داده‌های مهم خود را مدیریت کنند. کلیک سریع روی هر پیوندی یا اشتیاق برای باز کردن ضمیمه‌های ایمیلی دریافتی به‌راحتی یک سامانه مجهز به بسته‌های امنیتی را مستعد حمله می‌کند. حال اگر این سامانه جزئی از یک شبکه سازمانی باشد، یک رخنه ناپیدا در پیکره سازمان به وجود آورده و سرآغازی برای استخراج اطلاعات خواهد بود. متاسفانه هرچه سازمان‌ یا شرکتی بزرگ‌تر می‌شود، تهدیدات نیز به همان نسبت بزرگ‌تر می‌شوند. شما نمی‌توانید در تمام طول روز همه کارمندان را کنترل کرده و کارهایی را که انجام می‌دهند، زیر نظر بگیرید. تنها یک کارمند برای افشای داده‌ها یا آلوده کردن کل سامانه‌های تحت شبکه یک شرکت کافی است. برای اجتناب از به وجود آمدن چنین مشکلاتی باید یکسری اقدامات پیشگیرانه انجام دهید تا امنیت داده‌هایتان حفظ شوند. این اقدامات پیشگیرانه باید در قالب برنامه‌های آموزشی به کارکنان آموزش داده شود. 
در یک برنامه آموزشی منسجم و درست باید به کارکنان درباره تصمیمات و دلایل اخذ تصمیماتی که با حوزه سایبری مرتبط هستند، اطلاعات کافی دهید. با ذکر مثال برای کارمندان تشریح کنید که چرا نباید گوشی هوشمند خود را به اینترنت شرکت متصل کنند. بهتر است یکی از کارمندان بخش دپارتمان امنیت سازمان را مشخص کنید تا پاسخ‌گوی سوالات سایر کارمندان باشد. شخصی که بتواند به‌درستی به پرسش‌ها پاسخ دهد. اما به‌عنوان یک خط‌مشی واحد و مشخص بهتر است نکات زیر را به کارمندان خود گوشزد کنید. 

1. هیچگاه برای ارسال اطلاعات حساس شتاب‌زده عمل نکنند

بخش عمده‌ای از شرکت‌های بزرگی که تحت تاثیر حملات سایبری قرار گرفته‌اند، هدف حمله فشینگ قلاب‌دار قرار گرفته‌اند. در این بردار حمله، هکرها خود را مدیران ارشد سازمان معرفی کرده بودند. شرکت‌های اسنپ‌چت و سی‌گیت از معروف‌ترین قربانیان این حمله در سال گذشته میلادی بودند. ایمیل‌های دریافتی کارمندان واحد منابع انسانی این شرکت‌ها به‌ظاهر از سوی مدیران ارشد سازمان‌ها ارسال‌شده بود و کارمندان بدون بررسی دقیق، ایمیل را باز کرده و اطلاعات محرمانه درخواست شده را برای آدرس ایمیل جعلی ارسال کرده بودند. این نقص داده‌ای یا به عبارت دقیق‌تر نشتی اطلاعات باعث شد تا فرم مالیاتی w-2 هزاران کارمند فعلی و جاری به‌راحتی افشا شود. شرکت‌ها باید آگاه باشند که یکی از کارآمدترین نوع حمله‌های فیشینگ حمله فیشینگ قلاب‌دار است. درحالی‌که این حمله به شکل خودکار انجام‌نشده و حالت ایستا دارد، اما ضریب موفقیت آن زیاد است. حمله فیشینگ قلاب‌دار از آن جهت موفق است که هکرها زمان بسیار زیادی را صرف پیاده‌سازی درست این حمله می‌کنند تا اطلاعات و مستندات مهمی از یک سازمان را به دست آورند. درست است که این حمله زمان‌بر است، اما نتایج به‌دست‌آمده از لحاظ مالی هم توجیه‌کننده این حمله می‌شود. 
چه تمهیداتی برای اجتناب از شکل‌گیری چنین حمله‌ای باید انجام شود؟ کارمندان باید چه کاری انجام دهند؟
از کارمندان سازمان درخواست کنید، قبل از ارسال اطلاعات یا اعتبارنامه‌ها، درخواست‌ها را یک‌مرتبه به‌درستی بررسی کرده و مطمئن شوند ایمیل دریافتی‌شان، معتبر است. به کارمندان اعلام کنید، پیش از ارسال داده‌ها، ابتدا از ایمن بودن سایت اطمینان حاصل کنند. به عبارت دقیق‌تر، سایتی که قرار است اطلاعات در آن درج شود از پروتکل SSL استفاده کرده باشد. پروتکل فوق این اطمینان خاطر را به وجود می‌آورد که داده‌های ارسالی و دریافتی همگی رمزگذاری شده ارسال خواهند شد. 

مطلب پیشنهادی

راهنمای گواهی‌نامه‌ها و دوره‌های آموزشی امنیت سایبری

2. هیچ‌گاه روی پیوندهایی که نمی‌دانید شما را به چه سایتی هدایت خواهند کرد، کلیک نکنید

15 تا 20 درصد از نشست‌های (Session) وبی که درون مرورگرها باز می‌شود، به دلیل کلیک کردن روی ایمیل‌های ناشناس انجام می‌شود. به‌اندازه یک‌چشم برهم زدن زمان می‌برد که سامانه‌ای تحت تاثیر یک حمله بدافزاری یا باج‌افزاری یا حتی حمله فیشینگ قرار گیرد. (بله درست خوانده‌اید، یک اسکریپت مخرب چند کیلوبایتی در کسری از ثانیه به درون یک سامانه وارد شده و در ادامه به دانلود بدافزارها اقدام می‌کند.) 
قانون اول: اگر اطلاع ندارید یک پیوند شما را به چه مکانی هدایت خواهد کرد، بهتر است روی آن پیوند کلیک نکنید. قبل از کلیک کردن روی یک پیوند اگر ظاهر پیوند درست بود و شما را به دامنه درست ارجاع می‌دهد؛ اما در مقابل، نگارش نام دامنه فرق دارد، ممکن است به سمت یک سایت مخرب هدایت شوید. یک چنین پیوندهایی با هدف آلوده‌سازی یک سامانه به بدافزار یا باج‌افزار طراحی شده‌اند. 
چه تمهیداتی برای اجتناب از شکل‌گیری چنین حمله‌ای باید انجام شود؟ کارمندان باید چه کاری انجام دهند؟
اگر پیوندهای دریافتی خلاصه‌شده و کوتاه هستند، از سایت‌های زیر برای بررسی وضعیت یک پیوند استفاده کنید تا مشاهده کنید قرار است به چه سایتی وارد شوید. این تکنیک به شما کمک می‌کند از دام بدافزارها و هکرها به دور باشید. 
http://www.checkshorturl.com/
http://www.internetofficer.com/seo-tool/redirect-check/
http://www.shrinktheweb.com/

3. هیچ‌گاه روی ضمیمه ایمیل‌هایی که درخواستی برای دریافت آن‌‌ها ارسال نکرده‌اید، کلیک نکنید

در اغلب موارد ضمیمه‌های ایمیل از سوی هکرها برای کنترل کامپیوتر کاربر و آلوده‌سازی کامپیوتر به بدافزارها استفاده می‌شوند. این تکنیک عمدتا در ارتباط با حمله‌های هرزنامه‌ای استفاده‌شده، اما در شبکه‌های اجتماعی به‌وفور استفاده می‌شود. اگر کارمندان‌تان عضو شبکه‌های اجتماعی هستند به آن‌ها آموزش‌های کافی را بدهید. (شکل 1)

شکل 1. 10 برنامه مخرب برتری که از طریق ایمیل در نیمه دوم سال 2015 میلادی ارسال شدند. 

چه تمهیداتی برای اجتناب از شکل‌گیری چنین حمله‌ای باید انجام شود؟ کارمندان باید چه کاری انجام دهند؟
به فایل‌های دریافتی‌شان مشکوک باشید(از نرم‌افزارهای نظارت بر فعالیت شبکه به‌منظور پیگیری فعالیت‌های کاربران استفاده کنید). ما درباره فایل‌هایی صحبت می‌کنیم که نه تنها از سوی افراد ناشناس ممکن است دریافت شوند، بلکه ممکن است بدون وجود درخواست برای کارمند دیگری ارسال کرده باشند. حتی فایل‌های به‌ظاهر عاری از مشکل همچون فایل‌های آفیس مایکروسافت ممکن است به بدافزارها و آسیب‌پذیری‌هایی آلوده باشند. یکی از بهترین تمهیدات در این زمینه، غیرفعال کردن ماکروها است. ماکروها می‌توانند حاوی ماژول‌های مخربی باشند که به زبان ویژوال بیسیک نوشته شده و برای آلوده کردن سامانه‌ها درون اسناد آفیس قرار می‌گیرند. 

4. هیچ‌گاه از شبکه‌های تورنت یا سایت‌هایی که محتویات قانونی را به شکل رایگان ارائه نمی‌کنند، استفاده نکنید

فایل‌هایی که روی شبکه‌های تورنت توزیع می‌شوند، در 90 درصد موارد دزدی هستند. در بیشتر سایت‌های تورنت طیف گسترده و متنوعی از بدافزارها و ویروس‌ها را مشاهده می‌کنید. درست است که این سایت‌ها اجازه دانلود غیرقانونی فیلم‌ها و آهنگ‌ها را می‌دهند، اما در مقابل سامانه‌های کامپیوتری را در معرض یک تهدید جدی قرار داده و راه را برای افشای اطلاعات هموار می‌کنند. در بیشتر کشورها سایت‌های تورنت جزو سایت‌های غیرقانونی هستند و فعالیت در آن‌ها جرم به‌شمار می‌آید. درحالی‌که بیشتر مدیران‌ تصور می‌کنند کارمندانشان به‌اندازه آن‌ها در مورد مشکلات امنیتی مطلع هستند، اما واقعیت چیز دیگری است. برخی از کارمندان حتی در مورد مباحث اولیه امنیت نیز اطلاعات کافی ندارند. برخی از مردم بر این باورند، هرگونه محتوایی که روی بستر اینترنت قرار می‌گیرد، فارغ از این‌که چه کیفیتی دارد، معتبر و قانونی بوده و بدتر از آن هیچ‌گونه خطری ندارد. در نتیجه تفاوتی میان خوب یا بد بودن محتوا قائل نمی‌شوند، این مشکل از آنجا رخ می‌دهد که افراد آموزش‌های لازم را دریافت نکرده‌اند و در این خصوص اطلاعات چندانی ندارند. 
چه تمهیداتی برای اجتناب از بروز این مشکل باید در نظر گرفته شود؟ کارمندان باید چه کاری انجام دهند؟
باج‌افزارها به‌راحتی از طریق شبکه‌های تبلیغاتی و سایت‌های بزرگ گسترش پیدا می‌کنند. یک هکر می‌داند که شبکه‌های اجتماعی بستر مناسبی برای انتشار سریع و گسترده باج‌افزارها است. هکرها از آسیب‌پذیری‌های مستتر در سایت‌ها، مرورگرها، افزونه‌ها و نرم‌افزارهای قدیمی برای آلوده‌کردن سامانه‌ها استفاده می‌کنند. به کارمندان خود یادآور شوید که هیچ‌گاه ضدویروس سامانه خود را غیرفعال نکنند، نرم‌افزارهای مهم همچون مرورگرها را به‌روز نگه دارند، افزونه‌های ضدتبلیغی همچون Adblocker را نصب کنند و افزونه‌های  آسیب‌پذیر جاوا و فلش پلیر را غیرفعال کنند (شکل 2). 

شکل 2. پیوند آلوده‌ای که درون یک ایمیل دریافت می‌شود، کاربر را به سمت صفحه وب آلوده هدایت می‌کند. اگر کاربر از نرم‌افزارهای آسیب‌پذیر استفاده کند، سامانه او به‌راحتی قربانی یک حمله باج‌افزاری خواهد شد. 

5. کارمندان به‌محض مشاهده فعالیت‌های عجیب کامپیوتر باید آن را گزارش دهند

از رفتارهای عجیب یک سامانه می‌توان به کند شدن بیش‌ازاندازه سیستم، کار کردن حداکثری فن پردازنده مرکزی، نمایش پیغام‌ خطاهای غیرمنتظره، مصرف پهنای باند اینترنت بدون دلیل یا غیرفعال شدن ضدویروس اشاره کرد. هر یک از موارد اشاره شده ممکن است نشانه‌هایی از آلودگی یک سامانه به بدافزارها باشد. در برخی موارد این نشانه‌ها ممکن است بیانگر این موضوع باشند که کامپیوتر شما به بات‌نتی تبدیل‌شده باشد. بات‌نت‌ها، شبکه‌ای متشکل از کامپیوترها و تجهیزات هوشمندی هستند که هکرها بدون اطلاع مالکان کنترل آن‌ها را به دست گرفته و هدایت می‌کنند. کامپیوترهای عضو یک شبکه بات‌نت ممکن است در ارسال هرزنامه‌ها، حمله‌های فیشینگ، منع سرویس توزیع شده، باج‌افزارها، جاسوس‌افزارها و..... استفاده شوند. 
چه تمهیداتی برای اجتناب از شکل‌گیری چنین حمله‌ای باید انجام شود؟ کارمندان باید چه کاری انجام دهند؟
کارمندان باید فعالیت‌ سامانه‌ خود را زیر نظر بگیرند و هرگونه فعالیت مشکوکی را در اسرع وقت گزارش دهند. در زمان بروز یک نقص داده‌ای، باید این مسئله به‌سرعت گزارش داده شود. در این حالت آسیب‌پذیری‌ها به شکل بهتری کنترل می‌شوند. گزارش امنیتی سال گذشته سیسکو نشان می‌دهد، شناسایی تبلیغ‌افزارها و تزریق کد در مرورگرها فرآیند پیچیده‌ای بوده و به‌سختی شناسایی می‌شوند. برآورد این شرکت نشان می‌دهد، بیش از 200 ساعت زمان نیاز است تا چنین تهدیداتی شناسایی شوند. در بیشتر سازمان‌ها کارمندان تمایلی ندارند درباره مشکلات امنیتی از کارشناسان دپارتمان‌های فناوری اطلاعات و امنیت سوال کنند. به همین دلیل مهم است به کارمندان یادآوری کنید، عدم گزارش به‌موقع رخنه‌ها یا آلودگی‌ها ممکن است به قیمت از دست رفتن شغل آن‌ها تمام شود. (شکل 3)

شکل 3. یک سامانه کامپیوتری می‌تواند به‌راحتی به یک بات تبدیل شده و در حمله‌ها به کار گرفته شود. 

6. از دستگاه‌ها یا شبکه‌هایی که به آن‌ها اطمینان ندارید، استفاده نکنید

برخی از سازمان‌ها به دلیل حجم بالای کارها به کارمندان خود اجازه می‌دهند بخشی از کارهای سازمان را درون منازل شخصی خود انجام دهند. کارمندان برای انجام کارهای اداری از اینترنت خانگی خود استفاده کرده و به بانک اطلاعاتی و داده‌هایی که درون سرورهای سازمان قرار دارند، متصل می‌شوند. اما فراموش نکنید، لپ‌تاپ‌ها، گوشی‌های هوشمند، تبلت‌ها و سیستم‌عامل‌ها هیچ‌کدام در برابر حمله‌ها و آسیب‌پذیری‌ها مصون نیستند. به همان میزانی‌که قابلیت حمل تجهیزات بیشتر شده و انعطاف‌پذیری کارمندان افزایش پیدا می‌کند، به همان نسبت مخاطرات امنیتی افزایش پیدا می‌کنند. گزارشی که یک ماه قبل سایت lookout منتشر کرد نشان داد، حدود 67 درصد از سازمان‌هایی که اجازه داده‌اند کارمندانشان از طریق گوشی‌های هوشمند به داده‌های سازمان دسترسی پیدا کنند، دچار نقص‌های داده‌ای شده‌اند. بر همین اساس، ضروری است کارمندان از گوشی‌های هوشمند و لپ‌تاپ‌های ایمن برای دسترسی به‌حساب کاربری خود و واکشی داده‌ها از بانک‌های اطلاعاتی استفاده کنند. 
چه تمهیداتی برای اجتناب از شکل‌گیری چنین مشکلی باید لحاظ شود؟ کارمندان باید چه کاری انجام دهند؟
به کارمندان آموزش دهید که تنها از دستگاه‌های هوشمند مطمئن برای ورود به‌حساب کاربری و دسترسی به اطلاعات مهم استفاده کنند. به آن‌ها یادآور شوید که به‌هیچ‌عنوان به هات‌اسپات‌های ناشناس متصل نشده و از شبکه‌های  وای‌فای همگانی برای انجام کارهای مهم سازمانی استفاده نکنند. حتی اگر کارمندی قصد اتصال به شبکه‌های وای‌فای عمومی را دارد، بهتر است از شبکه خصوصی مجازی که ترافیک را رمزگذاری می‌کند برای انجام کارهای شخصی استفاده کند. شبکه خصوصی مجازی با اضافه کردن یک لایه امنیتی مضاعف خطر افشای داده‌ها را به حداقل می‌رساند. 

7. هیچ‌گاه حافظه‌ فلش یا هارددیسک‌های خارجی متفرقه را به کامپیوتر یا لپ‌تاپ خود متصل نکنید

هارددیسک‌های خارجی یا حافظه‌ فلش‌ها در نگاه اول بی‌خطر هستند، اما این وسایل می‌توانند به‌راحتی به بدافزارها، تروجان‌ها یا کی‌لاگرها آلوده می‌شوند. 
چه تمهیداتی برای اجتناب از شکل‌گیری چنین حمله‌ای مشکلی باید در نظر گرفته شود؟ کارمندان باید چه کاری انجام دهند؟
ایده‌آل‌ترین کار این است که هیچ‌گاه حافظه‌های جانبی را به کامپیوتر یا لپ‌تاپ سازمانی متصل نکنید. اما رویکرد فوق کار چندان ساده‌ای نیست. اگر مجبور هستید هارددیسک‌های خارجی را به سامانه متصل کنید، بهتر است ویژگی Auto-Run را غیرفعال کنید و پیش از استفاده از این تجهیزات از نرم‌افزار ضدویروس برای پویش دستگاه‌های همراه استفاده کنید.

8. هر زمان دستگاهی مفقود شد، کارمندان باید گزارش دهند

برخی از کارمندان به دلایل مختلف همچون ترس سعی می‌کنند، این قضیه را گزارش نکرده یا دیر اطلاع دهند. به آن‌ها آموزش دهید هر چه از مدت‌زمان به سرقت رفتن یک دستگاه بگذرد، به همان نسبت شانس به سرقت رفتن و نفوذ به شبکه یک سازمان افزایش پیدا می‌کند. دسترسی غیرمجاز به اطلاعات قراردادها، مناقصه‌ها، فرم‌های مالیاتی کارمندان یا سایر اطلاعات حساس پیامدهای جدی برای یک سازمان به همراه دارد. 

مطلب پیشنهادی

اطلاعاتی دست نیافتنی و غیر قابل مشاهده

8 ابزار برتر رمزگذاری اطلاعات

9. کارمندان را مجبور کنید از گذرواژه‌های غیرمتعارف استفاده کرده و آن‌ها را دائم تغییر دهند

پیشرفت فناوری باعث شده، گذرواژه‌ها در مقابل حمله‌های هکری کارایی کمتری داشته باشند، با‌وجوداین، هنوز هم یک گذرواژه قدرتمند برگ برنده یک سازمان است. به کارمندان خود آموزش دهید از گذرواژه‌های قدرتمندی که بیشتر از 14 کاراکتر بوده و ترکیبی از لغات بزرگ، کوچک، اعداد و نشانه‌ها است استفاده کنند. کارمندان نباید از گذرواژه‌ها برای بیش از یک حساب کاربری استفاده کنند. گذرواژه دسترسی به کامپیوتر سازمان باید با گذرواژه‌ای که در منزل خود از آن استفاده می‌کند، متفاوت باشد. گذرواژه‌ها نباید با سایر کارمندان به اشتراک قرار گیرد، گذرواژه‌ها باید در بازه‌های زمانی کوتاه‌مدت تغییر کنند. برای راحتی کار به کارمندان پیشنهاد دهید، از ابزارهای مدیریت گذرواژه همچون LastPass برای مدیریت گذرواژه‌ها استفاده کنند. احراز هویت دو مرحله‌ای با اضافه کردن یک لایه امنیتی مضاعف در کنار گذرواژه‌ها مانع از آن می‌شود تا هکرها بتوانند مکانیزم‌های امنیتی را به‌راحتی دور بزنند.

سخن پایانی

برخی از افراد با اصول اولیه امنیت آشنایی کافی دارند و می‌دانند که حریم خصوصی چیست و هکرها همواره آماده هستند تا اطلاعات شخصی یا کاری آن‌ها را به سرقت ببرند، با این حال به‌درستی نمی‌دانند از دانش خود در چه مکانی باید استفاده کنند. به کارمندان خود هشدار دهید که سهل‌انگاری و عدم توجه به هر یک از معیارهای امنیتی ممکن است چه عواقبی برای آن‌ها و سازمان به همراه داشته باشد.