چرا امنیت سایبری ایران شکننده است؟ حلقه مفقوده «پذیرش ریسک»
یکی از بزرگ‌ترین چالش‌های امنیت سایبری در ایران، ضعف تکنولوژیک یا کمبود دانش فنی نیست؛ بلکه ریشه در یک نقیصه ساختاری و مدیریتی عمیق دارد: «عدم پذیرش رسمی ریسک توسط مدیران ارشد». در حالی که استانداردهای جهانی مانند NIST و سرفصل CISSPبر این اصل استوارند که امنیت صددرصدی وجود ندارد و ریسک‌های باقی‌مانده (Residual Risk) باید توسط بالاترین مقام اجرایی سازمان پذیرفته شوند، در ایران این چرخه معیوب است.
فقدان مالکیت ریسک در سطح مدیریت
در چارچوب‌های استاندارد جهانی، مدیر ارشد سازمان (Authorizing Official) تنها کسی است که حق دارد مسئولیت ریسک باقی‌مانده را بپذیرد و مجوز بهره‌برداری (ATO) صادر کند. در ایران اما، این فرآیند اغلب وارونه است. مدیران ارشد به جای آنکه «مالک ریسک» باشند، مسئولیت امنیت را تماماً به تیم‌های فنی و IT واگذار می‌کنند. این تصور غلط که «اگر نفوذی رخ داد، تقصیر واحد IT است»، باعث می‌شود ریسک‌های حیاتی پنهان بمانند و سرمایه‌گذاری لازم برای امنیت انجام نشود.
فرهنگ واکنشی به جای رویکرد مبتنی بر ریسک
مشکل دیگر، تبدیل شدن امنیت از یک فرآیند «ریسک‌محور» (Risk-Based) به یک واکنش «رخدادمحور» (Event-Based) است. در مدل صحیح، ابتدا تحلیل ریسک انجام می‌شود، بودجه تخصیص می‌یابد و پس از پذیرش ریسک توسط مدیر، سیستم عملیاتی می‌شود. اما در بسیاری از سازمان‌های ایرانی، سیستم‌ها صرفاً به دلیل «نیاز عملیاتی» و بدون دریافت مجوز امنیتی واقعی (ATO) راه‌اندازی می‌شوند. استراتژی غالب این است: «سیستم را بالا ببرید، اگر مشکلی پیش آمد، آن را وصله‌پینه می‌کنیم.»
ترس از امضا و مسئولیت‌پذیری
ریشه این نابسامانی در «ترس مدیران از امضا» نهفته است. در سیستم‌های استاندارد، امضای مدیر ارشد به معنای پذیرش آگاهانه ریسک است. اما در غیاب ساختارهای شفاف پاسخگویی، مدیران از پذیرش رسمی مسئولیت طفره می‌روند. نتیجه این است که ریسک نه کاهش می‌یابد، نه منتقل می‌شود و نه پذیرفته می‌شود؛ بلکه در فضای سازمان «رها» می‌شود تا زمانی که بحرانی امنیتی رخ دهد. تا زمانی که مفهوم Risk Acceptance به صورت رسمی و حقوقی در لایه مدیریت ارشد نهادینه نشود، امنیت سایبری کشور همچنان آسیب‌پذیر باقی خواهد ماند.
❤️دوره مدیر امنیت CISO
www.haumoun.com
09902857290
یکی از بزرگ‌ترین چالش‌های امنیت سایبری در ایران، ضعف تکنولوژیک یا کمبود دانش فنی نیست؛ بلکه ریشه در یک نقیصه ساختاری و مدیریتی عمیق دارد: «عدم پذیرش رسمی ریسک توسط مدیران ارشد». در حالی که استانداردهای جهانی مانند NIST و سرفصل CISSPبر این اصل استوارند که امنیت صددرصدی وجود ندارد و ریسک‌های باقی‌مانده (Residual Risk) باید توسط بالاترین مقام اجرایی سازمان پذیرفته شوند، در ایران این چرخه معیوب است.
فقدان مالکیت ریسک در سطح مدیریت
در چارچوب‌های استاندارد جهانی، مدیر ارشد سازمان (Authorizing Official) تنها کسی است که حق دارد مسئولیت ریسک باقی‌مانده را بپذیرد و مجوز بهره‌برداری (ATO) صادر کند. در ایران اما، این فرآیند اغلب وارونه است. مدیران ارشد به جای آنکه «مالک ریسک» باشند، مسئولیت امنیت را تماماً به تیم‌های فنی و IT واگذار می‌کنند. این تصور غلط که «اگر نفوذی رخ داد، تقصیر واحد IT است»، باعث می‌شود ریسک‌های حیاتی پنهان بمانند و سرمایه‌گذاری لازم برای امنیت انجام نشود.
فرهنگ واکنشی به جای رویکرد مبتنی بر ریسک
مشکل دیگر، تبدیل شدن امنیت از یک فرآیند «ریسک‌محور» (Risk-Based) به یک واکنش «رخدادمحور» (Event-Based) است. در مدل صحیح، ابتدا تحلیل ریسک انجام می‌شود، بودجه تخصیص می‌یابد و پس از پذیرش ریسک توسط مدیر، سیستم عملیاتی می‌شود. اما در بسیاری از سازمان‌های ایرانی، سیستم‌ها صرفاً به دلیل «نیاز عملیاتی» و بدون دریافت مجوز امنیتی واقعی (ATO) راه‌اندازی می‌شوند. استراتژی غالب این است: «سیستم را بالا ببرید، اگر مشکلی پیش آمد، آن را وصله‌پینه می‌کنیم.»
ترس از امضا و مسئولیت‌پذیری
ریشه این نابسامانی در «ترس مدیران از امضا» نهفته است. در سیستم‌های استاندارد، امضای مدیر ارشد به معنای پذیرش آگاهانه ریسک است. اما در غیاب ساختارهای شفاف پاسخگویی، مدیران از پذیرش رسمی مسئولیت طفره می‌روند. نتیجه این است که ریسک نه کاهش می‌یابد، نه منتقل می‌شود و نه پذیرفته می‌شود؛ بلکه در فضای سازمان «رها» می‌شود تا زمانی که بحرانی امنیتی رخ دهد. تا زمانی که مفهوم Risk Acceptance به صورت رسمی و حقوقی در لایه مدیریت ارشد نهادینه نشود، امنیت سایبری کشور همچنان آسیب‌پذیر باقی خواهد ماند.
❤️دوره مدیر امنیت CISO
www.haumoun.com
09902857290
Comments
Be the first to add a comment
Log in to comment