من الأهمية بمكان التأكد من استمرار إدارة مخاطر الأمن السيبراني بمرور الوقت. هناك حاجة إلى إدارة مخاطر الأمن السيبراني المستمرة حيث تتطور الشركة وبيئة التهديدات الخارجية بعد أن حدد التقييم الأولي لمخاطر الضعف جميع الأصول الرقمية للمؤسسة وفحص التدابير الأمنية الحالية. لذلك تغطي هذه المقالة كل ما تحتاج لمعرفته حول إدارة مخاطر الأمن السيبراني.
ما هي إدارة مخاطر الأمن السيبراني؟
إدارة مخاطر الأمن السيبراني هي العملية المستمرة لإيجاد وتقييم وتقييم والاستجابة لتهديدات الأمن السيبراني في مؤسستك.
إدارة مخاطر الأمن السيبراني هي مسؤولية الجميع في المنظمة ، وليس فقط أفراد الأمن. كثيرًا ما ينظر الموظفون وقادة وحدات الأعمال إلى إدارة المخاطر كنشاط تجاري منفصل. وللأسف ، فإنهم يفتقرون إلى وجهة النظر الكاملة والمتسقة المطلوبة لمواجهة المخاطر.
كل وظيفة لها هدفها الخاص ، وغالبًا ما يصاحبها نقص في الفهم والتعاطف مع الآخرين. تعتبر تكنولوجيا المعلومات روادًا للأفكار والتقنيات الجديدة ، حيث تدرك باستمرار الأمان والامتثال كعقبات غير ملائمة للنمو. الأمن على دراية بالسلامة ولكنه غالبًا ما يكون بعيدًا عن التشريعات والتقنيات المتطورة. يريد موظفو المبيعات إرضاء عملائهم ، وهم يبحثون عن حل عملي لإجراء فحوصات أمنية. يحاول الامتثال إبقاء الجميع بعيدًا عن المشاكل من خلال الالتزام الصارم باللوائح ، ومع ذلك فهو يعمل في كثير من الأحيان دون فهم شامل للأمن.
يجب أن تعمل جميع الوظائف بأدوار ومسؤوليات محددة بوضوح لإدارة مخاطر الأمن السيبراني بشكل فعال. لقد ولت أيام الإدارات المعزولة التي كانت تتخبط في حيرة مفككة منذ زمن طويل. يتطلب مشهد المخاطر اليوم نهجًا متماسكًا ومنسقًا ومنضبطًا ومتسقًا لإدارة المخاطر. فيما يلي بعض مكونات إجراءات إدارة المخاطر الهامة التي يجب على جميع الشركات تذكرها:
- إنشاء سياسات وأدوات قوية لتقييم مخاطر البائعين
- تحديد المخاطر الناشئة ، مثل القواعد الجديدة ذات الآثار التجارية
- تم تحديد العيوب الداخلية ، مثل الافتقار إلى المصادقة الثنائية.
- التخفيف من مخاطر تكنولوجيا المعلومات ، ربما من خلال برامج التدريب ، واللوائح الجديدة ، والضوابط الداخلية
- اختبار الوضع الأمني العام
- توثيق إدارة وأمن مخاطر البائعين استعدادًا للتدقيق التنظيمي أو لطمأنة العملاء الجدد
ما هي فوائد إدارة مخاطر الأمن السيبراني؟
يمكن أن تمنع الشركة عملياتها اليومية من التعامل مع الأمن السيبراني كفكرة لاحقة من خلال تنفيذ إدارة مخاطر الأمن السيبراني. تضمن خطة إدارة مخاطر الأمن السيبراني المعمول بها اتباع البروتوكولات والسياسات بانتظام والحفاظ على تحديث الأمان.
تتم مراقبة المخاطر التالية وتحديدها والتخفيف من حدتها بشكل مستمر من خلال إدارة مخاطر الأمن السيبراني:
- كشف الخداع ،
- حماية الشخصيات المهمة والتنفيذية ،
- حماية العلامة التجارية،
- منع الغش،
- مراقبة تسرب البيانات الحساسة ،
- نشاط على الويب المظلم ،
- التخفيف الآلي من التهديدات ،
- مراقبة وثائق التفويض المسربة ،
- تحديد تطبيقات الأجهزة المحمولة الضارة ،
- ومخاطر سلسلة التوريد ليست سوى أمثلة قليلة.
إطار إدارة مخاطر الأمن السيبراني
بالنسبة لقادة الأمن عبر الدول والشركات ، يوفر إطار عمل الأمن السيبراني لغة مشتركة ومجموعة من المعايير التي تسمح لهم بفهم مواقفهم الأمنية ومواقف مزوديهم. يسهل إطار العمل تحديد خطوات مؤسستك لتقييم مخاطر الأمن السيبراني وإدارتها وتقليلها.
يمكن أن يكون إطار الأمن السيبراني بمثابة معيار مهم.
يتم توفير الأساس لدمج إدارة مخاطر الأمن السيبراني في إدارة أداء الأمان واستراتيجيات إدارة المخاطر التابعة لجهات خارجية من خلال أطر عمل الأمن السيبراني ، والتي غالبًا ما تكون مطلوبة. ستكتسب نظرة ثاقبة حول أكبر مخاطر أمنية لديك من خلال استخدام إطار عمل كبوصلة ، وستشعر بالراحة عند إخبار بقية المؤسسة أنك مكرس للتميز الأمني.
إطار عمل NIST للأمن السيبراني
دعا الأمر التنفيذي للرئيس السابق ، تحسين الأمن السيبراني للبنية التحتية الحرجة ، إلى زيادة التعاون بين القطاعين العام والخاص لتحديد وتقييم وإدارة المخاطر السيبرانية. ردا على ذلك ، تم إنشاء إطار عمل الأمن السيبراني NIST. برز NIST كمعيار ذهبي لتقييم نضج الأمن السيبراني ، وتحديد الثغرات الأمنية ، والالتزام بلوائح الأمن السيبراني ، على الرغم من أن الامتثال اختياري.
معايير ISO 27002 و 27001
تعتبر شهادات ISO 27001 و ISO 27002 ، التي أنشأتها المنظمة الدولية للتوحيد القياسي (ISO) ، بمثابة معيار عالمي للتحقق من برنامج الأمن السيبراني داخليًا ومع أطراف خارجية. من خلال شهادة ISO ، يمكن للشركات أن تثبت لمجلس الإدارة والعملاء والشركاء والمساهمين أنهم يقومون بالأشياء الصحيحة لإدارة المخاطر السيبرانية. وبالمثل ، إذا كان البائع حاصلًا على شهادة ISO 27001/2 ، فهذا مؤشر جيد (على الرغم من أنه ليس الوحيد) على أن لديه ممارسات وضوابط ناضجة في مجال الأمن السيبراني.
NERC-CIP
تم تقديم مؤسسة الموثوقية الكهربائية لأمريكا الشمالية - حماية البنية التحتية الحرجة (NERC CIP) للتخفيف من ارتفاع الهجمات على البنية التحتية الحيوية للولايات المتحدة وتزايد مخاطر الأطراف الثالثة ، وهي عبارة عن مجموعة من معايير الأمن السيبراني المصممة لمساعدة أولئك في قطاعي المرافق والطاقة على تقليل السيبرانية المخاطر وضمان موثوقية الأنظمة الكهربائية السائبة.
يتطلب الإطار من المنظمات المتأثرة تحديد المخاطر السيبرانية والتخفيف من حدتها في سلاسل التوريد الخاصة بها. تم تحديد العديد من الضوابط في NERC-SIP ، مثل تصنيف الأنظمة والأصول الحرجة ، وتدريب الموظفين ، والاستجابة للحوادث والتخطيط ، وخطط الاسترداد للأصول السيبرانية الهامة ، وتقييمات الضعف ، وأكثر من ذلك. تعرف على المزيد حول استراتيجيات الامتثال NERC-CIP التي تعمل.
راتب إدارة مخاطر الأمن السيبراني
متوسط الراتب السنوي لإدارة مخاطر الإنترنت في الولايات المتحدة هو 102,856،19 دولارًا سنويًا اعتبارًا من 2022 ديسمبر XNUMX.
لنفترض أنك بحاجة إلى حاسبة رواتب سريعة تكلف حوالي 49.45 دولارًا للساعة. هذا يعادل 1,978،8,571 دولارًا أمريكيًا كل أسبوع أو XNUMX،XNUMX دولارًا أمريكيًا في الشهر.
بينما تحقق ZipRecruiter أرباحًا سنوية تصل إلى 167,000 دولار ومنخفضة تصل إلى 29,500 دولار ، فإن الجزء الأكبر من رواتب إدارة المخاطر الإلكترونية في الولايات المتحدة يتراوح الآن من 74,500 دولار (25 بالمائة) إلى 126,500 دولار (75 بالمائة) ، مع تحقيق أعلى رواتب (الشريحة المئوية التسعون) 90 دولار . يختلف متوسط الراتب لإدارة المخاطر الإلكترونية بشكل كبير (يصل إلى 156,000 دولار) ، مما يعني أنه قد تكون هناك احتمالات عديدة للترقية ودخل أعلى اعتمادًا على مستوى المهارة والموقع وسنوات الخبرة.
وفقًا لوظائف ZipRecruiter الأخيرة ، فإن سوق عمل Cyber Risk Management في أتلانتا ، جورجيا والمنطقة المحيطة بها نشط. تربح إدارة مخاطر الإنترنت في منطقتك متوسط راتب سنوي قدره 101,973،883 دولارًا ، وهو أقل بمقدار 1 دولارًا (102,856٪) من متوسط الراتب السنوي الوطني البالغ 49،50 دولارًا. تحتل جورجيا المرتبة XNUMX من بين XNUMX ولاية فيما يتعلق براتب إدارة المخاطر الإلكترونية.
يتحقق ZipRecruiter بانتظام من قاعدة بياناته الخاصة بملايين الوظائف النشطة المُعلن عنها محليًا في جميع أنحاء أمريكا لإنشاء نطاق رواتب سنوي أكثر دقة لمناصب إدارة المخاطر الإلكترونية.
هذا الموقف حاسم في منع الكوارث الأمنية من خلال اكتشاف أي نقاط ضعف محتملة في أنظمة المعلومات الخاصة بك. يقوم هؤلاء الخبراء بتقييم الإجراءات الأمنية المطبقة ومنع الهجمات المحتملة على أجهزة الكمبيوتر والشبكات والبيانات الخاصة بشركتك.
راتب مهندس الأمن السيبراني
مع متوسط رواتب الأمن السيبراني التي تتراوح من 120,000،210,000 دولار إلى XNUMX،XNUMX دولار ، فإن منصب مهندس الأمن السيبراني يجلب أيضًا واحدة من أعلى الرواتب في قطاع الأمن.
تقوم الشركات بتوظيف هؤلاء الخبراء لمجموعات مهاراتهم وخبراتهم لأنهم مسؤولون في المقام الأول عن مهام مهندس الأمن المختلفة ، مثل تصميم حلول الشبكات الآمنة وتطويرها وتنفيذها للحماية من الهجمات الإلكترونية المعقدة ومحاولات القرصنة والتهديدات المستمرة.
راتب مهندس أمن التطبيقات
يُعد مهندسو أمن التطبيقات ثالث أعلى العاملين في مجال الأمن السيبراني أجراً ، حيث تتراوح رواتبهم السنوية من 130,000،200,000 دولار إلى XNUMX،XNUMX دولار.
يعد توظيف مهندس أمان التطبيق أمرًا ضروريًا إذا كان عملك يستخدم حلول البرامج التي تقدمها أو تستضيفها جهات خارجية ، مثل AWS أو Azure من Microsoft ، أو حتى إذا قمت بتطوير حلولك من البداية.
سيقوم هؤلاء الخبراء بحماية جميع تطبيقات الأعمال والبرامج التي تستخدمها القوى العاملة لديك والتأكد من دمج جميع متطلبات الخصوصية والامتثال في البرنامج والالتزام بها.
راتب محلل الأمن السيبراني
يتراوح متوسط الراتب لهذا المنصب في الأمن السيبراني من 95,000 دولار إلى 160,000 ألف دولار ، وهو يستحق ذلك.
يساعد خبراء الأمان هؤلاء في تطوير وتنظيم وتنفيذ إجراءات الأمان لحماية البنية التحتية الخاصة بك.
وهي مجهزة بشكل خاص لتحديد نقاط الضعف قبل أن تتاح للقراصنة فرصة. لديهم المعرفة والخبرة للتعاون مع مختبري الاختراق ومديري أمن المعلومات لتخفيف وتجنب الهجمات الإلكترونية التي يمكن أن تلحق أضرارًا بالغة بعملك.
متى يجب تعيين مديري أمن المعلومات؟
هل كنت تتطلع إلى حماية بيانات العملاء والابتعاد عن التكاليف والعقوبات المرتبطة بتعرض معلوماتك الخاصة للاختراق أو السرقة؟ اعمل لنفسك معروفًا واملأ هذا المنصب قبل أن يتضرر عملك. أنت مجبر على تخصيص ميزانية للغرامات الباهظة للفشل في حماية بيانات العملاء ، مثل Uber ، التي تمت معاقبة 148 مليون دولار لخرق قوانين الولاية التي تتطلب إخطارًا بخرق البيانات.
خطة إدارة مخاطر الأمن السيبراني
اعتمادًا على متطلباتك وأهدافك التنظيمية ، اختر أفضل نهج ، والذي يمكن أن يكون كميًا أو نوعيًا أو مزيجًا من كليهما.
يمنحك النهج الكمي نظرة ثاقبة للتأثير المالي الذي تجلبه مخاطر معينة ، بينما يمنحك النهج الكمي رؤية للتأثير التنظيمي من حيث الإنتاجية.
وفقًا للمنشور الخاص NIST 800-30 ، يمكن إجراء تقييم للمخاطر على المستوى التكتيكي أو الاستراتيجي.
يعد إجراء جرد لجميع الأصول وتنظيمها وفقًا للأولوية والأهمية ونوع المعلومات التي يتم تقييمها الخطوة الأولى والأكثر أهمية في عملية تقييم المخاطر الأمنية.
الحصول على الدعم من جميع الأطراف المعنية وتحديد كيفية تصنيف الأصول المعلوماتية.
# 1. فرز مخاطر الأمن السيبراني حسب الأولوية
حدد البيانات التي يمكن الوصول إليها ولمن وكيف يمكن اختراقها.
مع اتساع مشهد تكنولوجيا المعلومات واعتماد المؤسسات لتقنيات أحدث وأنماط مختلفة من إدارة الأعمال ، مثل البنية التحتية المشتركة أو خدمات الجهات الخارجية التي تعمل فوق مجموعة برامج موجودة ، يمكن أن توجد ثغرات البيانات في أكثر المناطق غير المتوقعة.
بالإضافة إلى مشهد التحول ، تعزز العديد من سياسات الامتثال والممارسات التنظيمية أهمية تحديد كل حادث أمني محتمل أو خرق للبيانات يمكن أن يظهر في شبكة البنية التحتية.
بمجرد تحديد الأصول المعلوماتية وتصنيفها ، حدد قنوات التهديد المحتملة.
أثناء قيامنا بالمناورة على طول مشهد التهديد الديناميكي ، من المهم أن نبقي أنفسنا على اطلاع دائم بالمحفزات والضوابط وأن نتطور لابتكار استراتيجيات مختلفة لمواجهة هذه التهديدات بالاحتياجات المتغيرة.
تتراوح حوادث أمان البيانات من الهجمات الخارجية والمستخدمين والبرامج الضارة ونقاط الضعف التي تظهر نتيجة للإهمال والكوارث الطبيعية والتهديدات الداخلية.
تؤدي الثغرات الأمنية إلى خسارة الإيرادات ، وإلحاق الضرر بالسمعة ، والتداعيات القانونية ، وتعطيل استمرارية الأعمال ، وقائمة طويلة من الآثار السلبية الأخرى.
من خلال الفحص واختبار الاختراق وضوابط التدقيق ، ابحث عن نقاط ضعف الشبكة.
تعيش الثغرات الأمنية على الشبكة أو في التطبيق وهي نقاط ضعف تمر دون أن يلاحظها أحد بسبب الإشراف ونقص السرعة في تدوين عيوب النظام.
مع المزيد والمزيد من الشركات التي تستضيف وتشغل تطبيقاتها على السحابة ، فإن فرص تقديم مثل هذه النقاط الضعيفة عالية.
التهديدات التي تستهدف مثل هذه الثغرات خارجية وداخلية ومنظمة وغير منظمة.
# 2. تحديد استراتيجيات الوقاية من المخاطر والتخفيف من حدتها للأمن السيبراني
حان الوقت لتطوير آليات لتجنب التهديدات التي من المحتمل أن تواجهها بعد تقييم أصول المعلومات وتحديد التهديدات الأمنية المحتملة المرتبطة بهذه الأصول.
نشر أدوات مراقبة الأمان
انشر جميع حلول البنية التحتية والأمان الضرورية التي يمكنها أتمتة المراقبة لك. هذه خطوة أساسية في إدارة أمان شبكتك.
خدمات الأمن السيبراني
يتم تقديم هذه الخدمات بشكل فردي أو مشترك.
- دائرة عمليات إدارة المخاطر السيبرانية
تحديد وإدارة المخاطر السيبرانية ذات الصلة لتمكين اتخاذ قرارات فعالة وقائمة على المخاطر.
- تقييم برنامج الأمن السيبراني
قم بتقييم برنامج الأمان الخاص بك لتحديد أولويات الاستثمارات وزيادة المرونة وتقليل المخاطر.
- تقييم أمان جواهر التاج
تحديد الأصول التجارية الأكثر أهمية وحمايتها والدفاع عنها من التسويات الضارة.
- خدمة العناية الواجبة للأمن السيبراني
إدراك وتخفيف المخاطر الإلكترونية الموروثة المرتبطة بالمعاملات التجارية والعلاقات والأنظمة الخارجة عن السيطرة المباشرة.
- خدمة أمن نمذجة التهديد
اكتشف مخاطر الأعمال والأمن غير المحددة من خلال تحليل فعال وديناميكي للنظام.
- إدارة التهديدات والضعف
قم بتحسين واستقرار عمليات إدارة الثغرات الأمنية الخاصة بك من خلال إستراتيجيات الأمان المثبتة القائمة على المخاطر.
وفي الختام
اليوم ، أصبحت إدارة المخاطر في جميع أنحاء الشركة أكثر صعوبة من أي وقت مضى. تتغير المناظر الطبيعية الأمنية الحديثة في كثير من الأحيان ، وتواجه الشركات تحديات من خلال انفجار بائعي الطرف الثالث ، والتكنولوجيا الجديدة ، وحقل ألغام متوسع باستمرار من القواعد. دفع تفشي COVID-19 والركود فرق الأمن والامتثال لتحمل مسؤوليات إضافية مع تقليل الموارد.
مع هذه الخلفية ، يجب على شركتك تنفيذ عملية إدارة المخاطر. حدد المخاطر التي تتعرض لها من خلال تحديدها وتقييمها ، ثم قم بوضع استراتيجية للتخفيف والتحقق باستمرار من الضوابط الداخلية الخاصة بك للتأكد من أنها تتماشى مع المخاطر. تذكر أن أي مشروع لإدارة المخاطر يجب أن يعطي الأولوية دائمًا لإعادة التقييم والاختبار الجديد والتخفيف المستمر.
في النهاية ، ليس هناك فترة راحة في السعي الحديث لإدارة المخاطر. نادراً ما يبدو ذلك عادلاً في فترة التغيير غير المسبوق ، مع تزايد المخاطر ونقاط الضعف كل دقيقة. من ناحية أخرى ، ستستمر الشركات الذكية والناجحة في التمسك بمفردها في المعركة لإدارة مخاطر تكنولوجيا المعلومات والحفاظ على أمن الشركات بدعم من التحليلات وأدوات التعاون / الاتصال / إدارة المشكلات وأطر إدارة المخاطر التابعة لجهات خارجية.
مقالات ذات صلة
- محامي الأمن: كل ما يجب أن تعرفه (محدث)
- أربعة أسباب لماذا تحتاج جميع الشركات إلى الاهتمام بالأمن السيبراني في عام 2023
- مهندس مبيعات: تم تحديث الوصف الوظيفي والمهارات والراتب! (نحن)
- أنظمة الإدارة البيئية: أنواع وعناصر أساسية لنظام الإدارة البيئية
- مشكلات الأمان غريب الأطوار في Blockchain في عام 2023
مراجع حسابات
