مهارتی برای CISO
خطر: دامِ کمیت‌گرایی در استفاده از MITRE
از دیدگاه مدیریت ریسک، استفاده از ماتریس MITRE ATT&CK بدون تحلیلِ بافت کسب‌وکار، CISO را به خطای استراتژیک «معادل‌سازی پوشش فنی با کفایت امنیتی» می‌کشاند. تصور اینکه «پوشش ۸۰٪ تکنیک‌ها برابر با ۸۰٪ کاهش ریسک است»، اشتباهی مهلک است؛ زیرا تکنیک‌های حمله وزن یکسانی ندارند و نفوذ اغلب از طریق یک نقطه ضعف حیاتی رخ می‌دهد، نه میانگین پوشش کلی.
جدول MITRE صرفاً نقشه‌ای از رفتار مهاجم است، نه ابزاری برای سنجش بلوغ یا ROI. اتکای صرف به پر کردن خانه‌های این ماتریس، منجر به انحراف بودجه می‌شود؛ مانند تمرکز افراطی بر ابزارهای تشخیص (Detection) و غفلت از تاب‌آوری (Resilience).
فرمول صحیح دفاعی باید به جای «تعداد تکنیک‌های مسدود شده»، بر اساس «اثر هر تکنیک بر دارایی‌های حیاتی» بنا شود. بدون این رویکرد، سازمان تنها با یک امنیت ساختگی و کاغذی روبرو خواهد بود، نه کاهش واقعی ریسک.
در دوره CISO بیشتر بیاموزیم
شرکت پیشگامان فناوری اطلاعات هامون
www.haumoun.com
خطر: دامِ کمیت‌گرایی در استفاده از MITRE
از دیدگاه مدیریت ریسک، استفاده از ماتریس MITRE ATT&CK بدون تحلیلِ بافت کسب‌وکار، CISO را به خطای استراتژیک «معادل‌سازی پوشش فنی با کفایت امنیتی» می‌کشاند. تصور اینکه «پوشش ۸۰٪ تکنیک‌ها برابر با ۸۰٪ کاهش ریسک است»، اشتباهی مهلک است؛ زیرا تکنیک‌های حمله وزن یکسانی ندارند و نفوذ اغلب از طریق یک نقطه ضعف حیاتی رخ می‌دهد، نه میانگین پوشش کلی.
جدول MITRE صرفاً نقشه‌ای از رفتار مهاجم است، نه ابزاری برای سنجش بلوغ یا ROI. اتکای صرف به پر کردن خانه‌های این ماتریس، منجر به انحراف بودجه می‌شود؛ مانند تمرکز افراطی بر ابزارهای تشخیص (Detection) و غفلت از تاب‌آوری (Resilience).
فرمول صحیح دفاعی باید به جای «تعداد تکنیک‌های مسدود شده»، بر اساس «اثر هر تکنیک بر دارایی‌های حیاتی» بنا شود. بدون این رویکرد، سازمان تنها با یک امنیت ساختگی و کاغذی روبرو خواهد بود، نه کاهش واقعی ریسک.
در دوره CISO بیشتر بیاموزیم
شرکت پیشگامان فناوری اطلاعات هامون
www.haumoun.com
Comments
Be the first to add a comment
Log in to comment