مقاله · امنیت سایبری
اصول امنیت سایبری برای کسب‌وکارهای کوچک و متوسط کانادایی
برای اینکه به‌طور محسوسی امن‌تر باشید، لازم نیست واحد امنیت داشته باشید. مرجع ملی امنیت سایبری کانادا مجموعه‌ای از کنترلهای پایه را منتشر کرده که برای سازمان‌هایی مانند شما طراحی شده است. این راهنما آن کنترلها را به زبان عملی توضیح می‌دهد و پیشنهاد می‌کند از کجا شروع کنید.
- تاریخ انتشار
- ۷ دقیقه مطالعه
در این صفحه
نکات کلیدی
- مرکز امنیت سایبری کانادا (Canadian Centre for Cyber Security) کنترلهای پایه امنیت سایبری را به‌طور ویژه برای سازمانهای کوچک و متوسط منتشر می‌کند.
- بیشتر این کنترلها با ابزارهایی قابل اجراست که ممکن است همین حالا لایسنسشان را داشته باشید، مانند Microsoft 365 Business Premium.
- از کنترل‌هایی شروع کنید که جلوی رایج‌ترین رخدادها را می‌گیرند: احراز هویت چندعاملی (MFA)، وصله‌گذاری، پشتیبان‌های محافظت‌شده، محافظت از نقاط پایانی و آگاهی کارکنان.
- برنامه پاسخ به رخداد را پیش از آنکه به آن نیاز پیدا کنید بنویسید، از جمله اینکه با چه کسی تماس بگیرید و اگر ایمیل از کار افتاده بود چگونه به او دسترسی پیدا کنید.
- برنامه CyberSecure Canada یک برنامه فدرال است که به کسب‌وکارهای کوچک و متوسط امکان می‌دهد شیوه‌های امنیتی‌شان به‌طور مستقل در برابر استانداردی ملی مبتنی بر کنترلهای پایه ارزیابی شود.
- تعهدات حریم خصوصی و گزارش نقض داده بسته به استان و صنعت متفاوت است؛ تعهدات خود را با مشاوران صلاحیت‌دار تأیید کنید.
چرا سازمانهای کوچک و متوسط هدف قرار می‌گیرند
بسیاری از صاحبان کسب‌وکار تصور میکنند مهاجمان فقط به شرکت‌های بزرگ علاقه دارند. در عمل، بخش بزرگی از جرائم سایبری امروز خودکار و فرصت‌طلبانه است. کارزارهای فیشینگ، ابزارهای حدس گذرواژه و اسکن‌هایی که به دنبال تجهیزات دسترسی از راه دور وصله‌نشده‌اند، پیش از حمله اندازه سازمان را بررسی نمی‌کنند. یک دفتر حسابداری کوچک، شرکت ساختمانی یا کلینیکی که داده‌های ارزشمند مشتریان، پرداخت‌های منظم و نظارت محدود فناوری اطلاعات دارد، هدفی جذاب است.
رایج‌ترین پیامدها برای کسب‌وکارهای کوچک، نفوذ به ایمیل کاری (BEC) است که در آن مهاجم از صندوق پستی ربوده‌شده برای تغییر مسیر پرداخت‌ها استفاده می‌کند، و باج‌افزار که در آن فایل‌ها و سامانه‌ها رمزگذاری و اغلب پیش از درخواست باج کپی می‌شوند. هر دو مختل‌کننده و پرهزینه‌اند و احتمال هر دو با چند اصل پایه که بهخوبی اجرا شده باشند به‌شدت کاهش می‌یابد.
کنترلهای پایه مرکز امنیت سایبری کانادا
مرکز امنیت سایبری کانادا، که بخشی از اداره امنیت ارتباطات (CSE) است، مرجع فدرال کانادا در امنیت سایبری است. در میان راهنماییهای عمومی این مرکز، سندی با عنوان کنترلهای پایه امنیت سایبری برای سازمانهای کوچک و متوسط وجود دارد. این سند نوشته شده تا به سازمان‌هایی که تیم امنیتی اختصاصی ندارند کمک کند بر اقداماتی تمرکز کنند که در برابر تلاش لازم، بیشترین محافظت را فراهم میکنند.
این کنترلهای پایه با گام‌های سازمانی شروع می‌شوند، مانند شناسایی مهم‌ترین اطلاعات و سامانه‌های کسب‌وکار و تعیین مسئول تصمیم‌های امنیتی، و سپس کنترل‌هایی را در حوزه‌های زیر مطرح میکنند: برنامه‌ریزی پاسخ به رخداد، وصله‌گذاری خودکار، نرم‌افزار امنیتی، پیکربندی امن دستگاه‌ها، احراز هویت قوی کاربران، آموزش آگاهی کارکنان، پشتیبان‌گیری و رمزگذاری، امنیت دستگاه‌های موبایل، دفاع پیرامونی، ایمن‌سازی سرویس‌های ابری و خدمات برون‌سپاری‌شده فناوری اطلاعات، امنیت وبسایت، کنترل دسترسی و مدیریت رسانه‌های قابل حمل.
این راهنما بهرایگان در وبسایت مرکز امنیت سایبری در دسترس است و ارزش دارد مستقیماً آن را مطالعه کنید. بخش‌های زیر محورهای آن را به گام‌های عملی نخست برای یک دفتر معمولی که از Microsoft 365 استفاده می‌کند در بریتیش کلمبیا یا آلبرتا تبدیل میکنند.
گام‌های عملی نخست، محور به محور
احراز هویت قوی
احراز هویت چندعاملی را برای ایمیل، دسترسی از راه دور، بانکداری، حسابداری و سامانه‌های حقوق و دستمزد فعال کنید. از مدیر گذرواژه استفاده کنید تا کارکنان بدون یادداشت کردن، گذرواژه‌های یکتا داشته باشند.
وصله‌گذاری
به‌روزرسانی خودکار را برای سیستم‌عامل‌ها، مرورگرها و برنامه‌های رایج فعال کنید. فایروال‌ها، تجهیزات VPN و دیگر دستگاه‌های شبکه را جداگانه پیگیری کنید، چون خودشان به‌روز نمی‌شوند.
نرم‌افزار امنیتی
روی همه رایانه‌ها محافظت به‌روز نقاط پایانی اجرا کنید، با محافظت در برابر دستکاری روشن و فردی مسئول برای بررسی هشدارها.
پیکربندی امن
گذرواژه‌های پیش‌فرض را حذف کنید، سرویس‌های بلااستفاده را غیرفعال کنید، دسترسی مدیر محلی را از حساب‌های روزمره بردارید و لپ‌تاپ‌ها را رمزگذاری کنید.
پشتیبان‌گیری و رمزگذاری
از داده‌های مهم به‌طور منظم پشتیبان بگیرید، دست‌کم یک نسخه را جایی نگه دارید که باج‌افزار به آن دسترسی نداشته باشد و بازیابی را آزمایش کنید. داده‌های روی دستگاه‌های قابل حمل را رمزگذاری کنید.
آموزش آگاهی امنیتی
به کارکنان یاد دهید فیشینگ را تشخیص دهند، تغییر اطلاعات پرداخت را با تماس تلفنی به شماره‌ای شناخته‌شده تأیید کنند و اشتباهات را بدون ترس از سرزنش سریع گزارش دهند.
کنترل دسترسی
به افراد فقط به آنچه نقششان نیاز دارد دسترسی بدهید، با تغییر نقش‌ها دسترسی را بازبینی کنید و وقتی کسی می‌رود، حسابش را بی‌درنگ غیرفعال کنید.
سرویس‌های ابری و برون‌سپاری‌شده
بدانید کدام مسئولیت‌های امنیتی بر عهده ارائه‌دهندگان ابری و تأمین‌کنندگان فناوری اطلاعات شماست و کدام‌ها بر عهده خودتان باقی می‌ماند، و از تأمین‌کنندگان بپرسید چگونه از داده‌های شما و دسترسی خودشان به آن محافظت میکنند.
یک برنامه ساده پاسخ به رخداد بنویسید
کنترلهای پایه، برنامه‌ریزی برای رخداد را نقطه شروع می‌دانند، نه کاری فرعی برای بعد. یک برنامه مفید برای کسب‌وکار کوچک می‌تواند در چند صفحه جا شود.
تعریف کنید چه چیزی رخداد به حساب می‌آید
برای نمونه: صندوق پستی مشکوک به نفوذ، باج‌افزار، لپ‌تاپ رمزگذاری‌نشده گم‌شده، یا کارمندی که داده‌های مشتری را برای فرد اشتباهی فرستاده است.
افراد را مشخص کنید
فهرست کنید چه کسی تصمیم می‌گیرد، چه کسی پاسخ فنی را بر عهده دارد، چه کسی با کارکنان و مشتریان ارتباط برقرار می‌کند، و مخاطبان بیرونی مانند ارائه‌دهنده فناوری اطلاعات، بیمه‌گر سایبری، وکیل و بانک.
برای از دسترس خارج شدن ایمیل برنامه داشته باشید
فهرست تماس چاپی یا آفلاین با شماره‌های موبایل نگه دارید، چون ممکن است همان تنتی که به آن نفوذ شده، چیزی باشد که دیگر نمی‌توانید به آن اعتماد کنید.
اقدامات نخست را مستند کنید
برای نمونه: دستگاه‌های آسیب‌دیده را از شبکه جدا کنید اما خاموششان نکنید، اعتبارنامه‌ها را بازنشانی و نشست‌ها را باطل کنید، گزارش‌ها را حفظ کنید و اگر بیمه‌نامه‌تان الزام می‌کند، پیش از به‌کارگیری پاسخ‌دهندگان بیرونی با بیمه‌گر تماس بگیرید.
بدانید کجا گزارش دهید
رخدادهای سایبری را میتوان به مرکز امنیت سایبری کانادا گزارش داد و کلاهبرداری را به مرکز مبارزه با کلاهبرداری کانادا (Canadian Anti-Fraud Centre) و پلیس محلی. نقض حریم خصوصی ممکن است تعهدات اطلاع‌رسانی جداگانه‌ای داشته باشد.
برنامه CyberSecure Canada چیست و آیا برای شما مناسب است
برنامه CyberSecure Canada یک برنامه فدرال به رهبری وزارت نوآوری، علوم و توسعه اقتصادی کانادا (ISED) است. این برنامه به سازمانهای کوچک و متوسط امکان می‌دهد شیوه‌های امنیتی‌شان توسط یک نهاد ارزیابی مستقل و اعتباریافته، در برابر استانداردی ملی که بر پایه کنترلهای پایه مرکز امنیت سایبری تدوین شده، ارزیابی شود. سازمان‌هایی که الزامات استاندارد را برآورده میکنند می‌توانند نشان برنامه را نمایش دهند؛ برخی از این نشان برای نشان دادن رویههای درست به مشتریان و شرکا یا پاسخ به پرسش‌نامه‌های امنیتی تأمین‌کنندگان استفاده میکنند.
مشارکت در این برنامه داوطلبانه است، نهاد ارزیابی‌کننده بابت آن هزینه دریافت می‌کند و لازم است کنترلها واقعاً برقرار و مستند باشند. برای بسیاری از کسب‌وکارهای کوچک و متوسط، ارزش فوری‌تر این است که از همان کنترلهای پایه بهعنوان یک خودارزیابی ساختاریافته و برنامه بهبود استفاده کنند. اگر مشتریان یا قراردادهایتان شروع به درخواست شواهدی از رویههای امنیتی کرده‌اند، این برنامه ارزش بررسی دارد. الزامات و روند فعلی را در وبسایت رسمی برنامه بررسی کنید.
تعهدات حریم خصوصی و نقض داده
قوانین امنیت سایبری و حریم خصوصی با هم همپوشانی دارند. سازمانهای بخش خصوصی در کانادا ممکن است مشمول قانون فدرال حریم خصوصی باشند و بریتیش کلمبیا و آلبرتا هر کدام قانون حریم خصوصی بخش خصوصی خود را دارند که بر بسیاری از سازمانهای فعال در این استان‌ها اعمال میشود. برخی از این قوانین شامل تعهد به گزارش برخی نقض‌ها به نهاد ناظر و اطلاع‌رسانی به افراد آسیب‌دیده است و در حوزه‌هایی مانند بهداشت و درمان ممکن است قواعد ویژه صنعت نیز اعمال شود.
اینکه کدام قواعد بر شما اعمال میشود به سازمان، صنعت و محل مشتریانتان بستگی دارد. ارائه‌دهنده فناوری اطلاعات شما می‌تواند در اجرای تدابیر حفاظتی، ثبت سوابق رخدادها و پشتیبانی از بررسی کمک کند، اما تعیین تعهدات حقوقی پرسشی است که باید مشاوران حقوقی و حریم خصوصی صلاحیت‌دار به آن پاسخ دهند.
اگر این فصل فقط پنج کار انجام می‌دهید
احراز هویت چندعاملی را هر جا امکانش هست فعال کنید، از وصله‌گذاری خودکار روی همه رایانه‌ها مطمئن شوید، بررسی کنید دست‌کم یک نسخه پشتیبان آفلاین یا تغییرناپذیر است و بازیابی از آن کار می‌کند، محافظت از نقاط پایانی را مستقر و پایش کنید، و یک جلسه کوتاه آگاهی از فیشینگ همراه با روندی روشن برای تأیید تغییرات پرداخت برگزار کنید.
پرسش‌های متداول
کنترلهای پایه مرکز امنیت سایبری کانادا را کجا میتوانم بخوانم؟
کنترلهای پایه امنیت سایبری برای سازمانهای کوچک و متوسط بهرایگان در وبسایت مرکز امنیت سایبری کانادا منتشر شده است، همراه با راهنماییهای دیگر برای کسبوکارها و عموم مردم.
آیا مشارکت در برنامه CyberSecure Canada اجباری است؟
خیر. این یک برنامه فدرال داوطلبانه است. برخی سازمانها آن را دنبال میکنند تا رویههای امنیتی خود را به مشتریان یا شرکا نشان دهند و برخی دیگر فقط از کنترلهای پایه زیربنای آن بهعنوان چارچوب خودارزیابی استفاده میکنند.
ما فقط ده نفر هستیم. آیا این کنترلها واقعاً به ما هم مربوط میشود؟
بله. کنترلهای پایه دقیقاً برای سازمانهای کوچک و متوسط نوشته شدهاند، چون آنها با همان حملات خودکاری روبهرو هستند که سازمانهای بزرگتر. بیشتر کنترلها بهخوبی برای مقیاس کوچک قابل اجرا هستند و میتوان آنها را با ابزارهایی پیاده کرد که شاید همین حالا لایسنسشان را دارید.
آیا Podium Catchers می‌تواند ما را با قوانین حریم خصوصی منطبق کند؟
ما در اجرا و مستندسازی تدابیر حفاظتی فنی که از عملیات آگاه به حریم خصوصی پشتیبانی میکنند کمک می‌کنیم، اما مشاوره حقوقی ارائه نمی‌دهیم و انطباق را تأیید نمی‌کنیم. تعهدات شما باید توسط مشاوران حقوقی و حریم خصوصی‌تان تأیید شود.
خدمات مرتبط
محصولات و بسته‌ها
کسب‌وکار خود را با کنترلهای پایه بسنجید
ارزیابی امنیت، کنترلهای فعلی شما را با راهنماییهای شناخته‌شده برای کسب‌وکارهای کوچک مقایسه می‌کند و شکاف‌ها را به برنامه‌ای عملی و اولویت‌بندی‌شده تبدیل می‌کند.