در محیطهای امروزی فناوری اطلاعات، سازمانها با مجموعهای پیچیده از الزامات مواجهاند؛ از قوانین و مقررات ملی و بینالمللی گرفته تا الزامات انطباقی، الزامات قراردادی، ریسکهای عملیاتی و سیاستهای حاکمیت شرکتی. همزمان با این پیچیدگی، تهدیدات سایبری نیز از نظر حجم، تنوع و sophistication بهشدت افزایش یافتهاند. در چنین شرایطی، مدلهای سنتی مدیریت امنیت که صرفاً بر تیمهای داخلی متکی هستند، در بسیاری از سازمانها دیگر پاسخگو نیستند. به همین دلیل، استفاده از Managed Security Service Providers (MSSPs) بهعنوان یک راهکار راهبردی، بیش از گذشته مورد توجه مدیران ارشد امنیت اطلاعات (CISOs) قرار گرفته است.
یکی از چالشهای اساسی سازمانهای مدرن، همزمانی الزامات مختلف است. سازمانها باید:
با قوانین و مقررات تطبیق داشته باشند؛
الزامات انطباقی داخلی و خارجی را رعایت کنند؛
ریسکهای عملیاتی و امنیتی را مدیریت نمایند؛
و در عین حال، کارایی و تداوم کسبوکار را حفظ کنند.
مدیریت همزمان این الزامات نیازمند دانش تخصصی، فرآیندهای بالغ، ابزارهای پیشرفته و نیروی انسانی ماهر است. این سطح از بلوغ امنیتی، بهویژه برای سازمانهای کوچک و متوسط، اغلب از نظر هزینه یا منابع انسانی قابل دستیابی نیست. در چنین شرایطی، MSSPها بهعنوان یک گزینهی عملی و واقعگرایانه مطرح میشوند.
یکی از دلایل اصلی گرایش سازمانها به MSSPها، economies of scale است. MSSPها:
هزینههای زیرساختی را بین چندین مشتری تقسیم میکنند واز ابزارها و پلتفرمهای پیشرفتهای استفاده میکنند که خرید و نگهداری آنها برای یک سازمان منفرد مقرونبهصرفه نیست همچنین تیمهایی از متخصصان امنیتی را بهکار میگیرند که استخدام و حفظ آنها برای بسیاری از سازمانها بسیار پرهزینه یا حتی غیرممکن است.
در نتیجه، سازمانها میتوانند با هزینهای قابل پیشبینی و کنترلشده، به سطحی از خدمات امنیتی دست یابند که در حالت داخلی، دستیابی به آن بسیار دشوار است.
تهدیدات سایبری امروزی، دیگر حملات ساده و قابل پیشبینی نیستند. مهاجمان از تکنیکهای پیشرفته،زیرساختهای پیچیده،و دانش عمیق نسبت به فناوریها و فرآیندهای سازمانی استفاده میکنند. مقابله با چنین تهدیداتی مستلزم پایش ۲۴×۷،تحلیل پیشرفته رخدادها،واکنش سریع و هماهنگ،و بهروزرسانی مداوم دانش و ابزارهاست.
MSSPها بهدلیل تمرکز تخصصی بر امنیت، معمولاً از بلوغ بالاتری در این حوزه برخوردارند و میتوانند پاسخ مؤثرتری به تهدیدات پیشرفته ارائه دهند.
با وجود مزایای فوق، بسیاری از سازمانها نسبت به برونسپاری امنیت تردید دارند. دلیل اصلی این تردید آن است که:
امنیت اطلاعات یک نیاز و قابلیت هستهای برای سازمان تلقی میشود.
مدیران نگراناند که با واگذاری بخش زیادی از عملیات امنیتی به یک تأمینکننده خارجی:
کنترل خود را از دست بدهند؛
دید کافی نسبت به وضعیت امنیت نداشته باشند؛
یا در صورت بروز حادثه، پاسخگویی دچار ابهام شود.
این نگرانیها واقعی و مشروع هستند و دقیقاً به همین دلیل، استفاده از MSSP نباید بهصورت صرفاً فنی یا عملیاتی دیده شود، بلکه باید راهبرانه و حاکمیتی مدیریت گردد.
صرفنظر از اینکه چه کسی خدمات امنیتی را ارائه میدهد، کنترل و پاسخگویی نهایی همواره بر عهدهی خود سازمان است.
این اصل، پایهی تفکر ISSMP و دوره مدیریت امنیت CISO آکادمی روزبه است. به بیان دیگر:
MSSP میتواند اجراکننده باشد؛اما مالک ریسک، مالک داده و پاسخگوی نهایی سازمان باقی میماند.
بنابراین، استفاده از MSSP باید با قراردادهای شفاف،تعریف دقیق نقشها و مسئولیتها، شاخصهای عملکرد (SLA/KPI)،و سازوکارهای نظارتی و ممیزیهمراه باشد.
یکی از سوءبرداشتهای رایج این است که MSSP بهعنوان جایگزین کامل تیم امنیت داخلی در نظر گرفته میشود. در حالی که در نگاه راهبردی:
MSSP تکمیلکننده توانمندیهای داخلی است، نه جایگزین حاکمیت امنیت.
تصمیمگیریهای کلان، سیاستگذاری، مدیریت ریسک و انطباق باید در داخل سازمان باقی بماند.
MSSP ابزار و توان عملیاتی برای اجرای این تصمیمها را فراهم میکند.
در واقع، سازمان بالغ امنیتی، از MSSP برای افزایش ظرفیت، عمق تخصص و سرعت واکنش استفاده میکند، نه برای شانه خالی کردن از مسئولیت.
نکتهی بسیار مهم دیگر، پیگیری مستمر عملکرد MSSP است. برونسپاری امنیت، یک اقدام یکباره نیست، بلکه یک رابطهی مستمر است که نیازمند پایش منظم عملکرد، بررسی گزارشهای امنیتی، ارزیابی انطباق با الزامات،و بازنگری دورهای قراردادها میباشد. بدون این پیگیری، سازمان ممکن است تنها «توهم امنیت» داشته باشد، نه امنیت واقعی.
با افزایش پیچیدگی محیطهای IT، الزامات انطباقی و تهدیدات سایبری، استفاده از MSSP به یک گزینهی رایج و در بسیاری موارد ضروری تبدیل شده است. MSSPها میتوانند با ارائهی تخصص، زیرساخت و صرفههای اقتصادی، خلأهای مهمی را برای سازمانها پر کنند؛ بهویژه برای سازمانهای کوچک و متوسط. با این حال، استفاده از MSSP تنها زمانی موفق خواهد بود که در چارچوب یک راهبرد حاکمیتی روشن انجام شود. کنترل، پاسخگویی و مالکیت ریسک هرگز قابل واگذاری نیست و باید همواره در داخل سازمان باقی بماند. در نهایت، MSSP نه یک راهحل جادویی، بلکه ابزاری راهبردی است که اگر بهدرستی انتخاب، مدیریت و نظارت شود، میتواند نقش مهمی در ارتقای سطح امنیت و انطباق سازمان ایفا کند.
دوره مدیریت امنیت CISO آکادمی روزبه
