11
أكتوبر
أكتوبر
اخبار
إعادة تقييم تأثيرات إدارة المخاطر باستخدام NIST Framework 2.0
إعادة تقييم تأثيرات إدارة المخاطر باستخدام NIST Framework 2.0 تسلط أحدث مسودة إطار عمل الأمن السيبراني الصادرة عن NIST الضوء على أربعة مواضيع رئيسية يجب على المؤسسات الاهتمام بها لإدارة المخاطر.
كما ارتفعت الهجمات الإلكترونية العالمية بشكل حاد خلال السنوات القليلة الماضية،.
حيث زادت بنسبة 38٪ في عام 2022، وفقًا لشركة Check Point.
كذلك بدمج هذا مع التكلفة المتزايدة لاختراق البيانات، والتي سيبلغ متوسطها 9.44 مليون دولار في الولايات المتحدة و4.25 مليون دولار على مستوى العالم في عام 2022.
هكذا فإن منع الهجمات الإلكترونية سيكون في قمة اهتمامات الجميع حتى عام 2024.
في أوائل أغسطس، شارك المعهد الوطني للمعايير والتكنولوجيا (NIST) تحديثًا لإطار عمل الأمن السيبراني (CSF) الخاص به.
كما تعكس المسودة الجديدة موقفها الشامل والمستجيب تجاه إدارة المخاطر للتخفيف من تكلفة الهجمات السيبرانية وتكرارها.
باعتباره المعيار الذهبي لبناء برنامج الأمن السيبراني والحد من المخاطر السيبرانية، يتضمن CSF 2.0 تعليقات من شركات Fortune 500 في الخطوط الأمامية للهجمات السيبرانية.
كذلك لمساعدة المؤسسات على مواكبة مشهد التهديدات السيبرانية المتطور باستمرار،.
يسلط NIST الضوء على المواضيع الرئيسية الأربعة التالية التي لها تأثيرات تجارية مباشرة على إدارة المخاطر.
يجب على كبار مسؤولي أمن المعلومات (CISOs) أن يضعوا المبادئ التالية في الاعتبار أثناء عملهم للمساعدة في تأمين مؤسساتهم وتقليل مخاطر الأمن السيبراني في عام 2024.
التأكيد على التقييم المستمر والكمي للمخاطر
هكذا يعد التقييم المستمر للمخاطر حجر الزاوية في برنامج قوي للأمن السيبراني.
إنه أمر بالغ الأهمية لتحسين وضع المخاطر، وتمكين المؤسسات من فهم أصول تكنولوجيا المعلومات الأكثر أهمية لديها،.
والتهديدات التي تؤثر عليها، ونقاط الضعف الأمنية، واحتمال استغلال نقاط الضعف هذه.
علاوة على ذلك، توصي وكالة الأمن السيبراني وأمن البنية التحتية (CISA) بأن تقوم المؤسسات بإجراء تقييمات للمخاطر السيبرانية بانتظام لفهم موقفها الأمني بشكل أفضل.
ويمكن أن تشمل فوائد هذه التقييمات المنتظمة تحسين المرونة السيبرانية وتلبية متطلبات التأمين السيبراني.
كذلك بالنسبة للمؤسسات التي تتطلع إلى تنفيذ تقييم المخاطر في الوقت الفعلي تقريبًا، .
كما تعد الأدوات المستندة إلى الأتمتة والذكاء الاصطناعي (AI) أمرًا بالغ الأهمية لمواكبة الحجم الهائل للمخاطر.
عندما تبدأ الجهات الفاعلة السيئة في استخدام الذكاء الاصطناعي لتحقيق الضرر.
فمن الأهمية بمكان أن نتعلم كيفية استخدامه لتحقيق الخير.
كذلك تتيح هذه الأدوات للمؤسسات اكتشاف الأصول وتحديد أولويات نقاط الضعف وتحديد احتمالية المخاطر وتأثيرها المحتمل على المؤسسات.
حتى مع تطور سطح الهجوم.
كما تعمل هذه التوصية الواردة في إطار عمل NIST المحدث على تحسين الفهم العميق لرؤساء أمن المعلومات للتعقيدات المرتبطة بقياس مخاطر الأمن السيبراني.
ومع ذلك،
فإن عملية التقييم المستمر للمخاطر لا تقع على عاتق رئيس أمن المعلومات وحده؛.
يجب أن تشمل الاستثمارات والمشاركة جميع أقسام المنظمة.
يجب على المنظمة بأكملها أن تنظر إلى هذا كوسيلة لاستخدام البيانات التي تستقبلها بشكل أفضل.
إعطاء الأولوية للتحسين المستمر
إن خلق ثقافة التحسين المستمر هو أكثر من مجرد مفهوم..
ويؤكد أن الأمن السيبراني لا يقتصر فقط على تنفيذ الفئة الإضافية التالية أو الفئة الفرعية التي أوصت بها NIST؛ .
إنها رحلة نحو تبني موقف شمولي بدعم على مستوى المنظمة.
على سبيل المثال، قد يكون البرنامج الذي قمت بتصحيحه وتأمينه بالأمس عرضة لاستغلال جديد اليوم.
لذا، يعد التكيف والتحسين المستمر أمرًا ضروريًا للحفاظ على جميع أسطحك خالية من الهجمات التي يمكن أن تظهر في أي لحظة.
تتبنى مسودة NIST المحدثة هذا الموقف من خلال تقديم فئة تحسين جديدة في وظيفة التحديد.
تتضمن المسودة أيضًا تحديثات لتعريفات مستويات التنفيذ والعوامل الإضافية، بما في ذلك إدارة مخاطر الأمن السيبراني والحوكمة ومخاطر الطرف الثالث.
وهذا يوضح نهجًا أكثر شمولية لإدارة المخاطر.
تعزيز إدارة مخاطر سلسلة التوريد
أصبحت الهجمات على سلسلة التوريد نقطة محورية للجهات الفاعلة السيئة خلال السنوات القليلة الماضية.
لا تنظر إلى أبعد من هجوم SolarWinds واستغلال Log4j.
ولا توجد أي علامات على التباطؤ، حيث تتوقع مؤسسة جارتنر أن 45% من المؤسسات العالمية ستتأثر بهجوم سلسلة التوريد بحلول عام 2025.
وتثبت هذه الهجمات أن معظم المؤسسات تكافح من أجل إنشاء قائمة مواد برمجية (SBOM) لأعمالها.
التطبيقات قيد الاستخدام، مما ينتج عنه فجوة في الحماية.
في المسودة المحدثة، تتناول NIST إدارة مخاطر سلسلة التوريد من خلال تحذير المؤسسات من أهمية السرعة والدقة.
تتضمن المسودة مثالاً على مطالبة الموردين تعاقديًا بتوفير مخزون المكونات والحفاظ عليه، والذي يمكن وصفه أيضًا بأنه SBOM.
عندما تعتمد الكثير من عمليات مؤسستك على بقاء سلسلة التوريد سليمة،
يجب عليك وضع الدقة في مقدمة إدارة المخاطر للبقاء أفضل في مواجهة أي هجوم وارد.
تعزيز أمثلة التنفيذ
في حين أن المسودة الأولى لإطار عمل NIST تضمنت بعض أمثلة التنفيذ المقترحة.
إلا أنها لم تكن كافية.
من خلال إضافة أمثلة إضافية، فإن المنظمات التي تتطلع إلى NIST للحصول على إرشادات الأمن السيبراني لديها موارد إضافية لتطبيق أفضل الممارسات المذكورة في الإطار.
إن وجود أكبر عدد ممكن من أمثلة التطبيق العملي يوفر لرؤساء أمن المعلومات وغيرهم من قادة الأمن خطوات واضحة وقابلة للتنفيذ لتنفيذ تدابير أمنية أفضل.
يمكن للأمثلة الإضافية المدرجة في المسودة المحدثة أن تمكن المؤسسات التي تتطلع إلى NIST للحصول على إرشادات بشأن الأمن السيبراني من تطبيق أفضل الممارسات.
يُظهر تضمين زوايا التنفيذ الإضافية أن NIST مهتمة بإنشاء عملية إدارة للأمن السيبراني أكثر وظيفية وواقعية واستجابة.
إعادة تقييم تأثيرات إدارة المخاطر باستخدام NIST Framework 2.0 مع زيادة التعقيد وزحف الأدوات، وسطح الهجوم المتزايد باستمرار، والضغوط التنظيمية المتزايدة، ستكون الأدوات الآلية والمدعومة بالذكاء الاصطناعي التي توفر لوحة واحدة من الرؤية الزجاجية أمرًا بالغ الأهمية.
يوفر هذا الإطار المحدث خطوات قابلة للتنفيذ لرؤساء أمن المعلومات للتكيف ومواءمة مؤسساتهم بشكل أفضل مع الطبيعة الديناميكية لمشهد الأمن السيبراني لعام 2024 وما بعده.
