साइबर हमले अब रोजमर्रा की जिंदगी का हिस्सा हैं। कंपनी का आकार और उद्योग शायद ही अब कोई भूमिका निभाते हैं। हालाँकि, किसी पर हमला कैसे किया जाता है और हमलावर ऐसा करने में सफल होते हैं या नहीं, यह किसी के साइबर सुरक्षा उपायों से संबंधित है। इस बिंदु पर निरंतर जोखिम मूल्यांकन महत्वपूर्ण है। इन दिनों जिम्मेदार मुख्य सूचना अधिकारियों (सीआईएसओ) के लिए आसान काम नहीं है।
नवीनतम एलियांज रिस्क बैरोमीटर के अनुसार, साइबर घटनाएं वर्तमान में दुनिया भर में शीर्ष व्यावसायिक जोखिम हैं। चूँकि IT आज लगभग सभी व्यावसायिक प्रक्रियाओं का आधार है, इसकी विफलता कंपनी के सभी क्षेत्रों को प्रभावित करती है। यह परिस्थिति एक या दूसरे CISO को एक जटिल स्थिति में डाल देती है: उन्हें न केवल साइबर जोखिमों के बारे में जानने की आवश्यकता होती है, बल्कि उनके द्वारा उत्पन्न जोखिम का आकलन करने में भी सक्षम होना चाहिए। सुरक्षित साइबर सुरक्षा के अपने लक्ष्य को प्राप्त करने के लिए आपको जोखिम मूल्यांकन के दौरान खुद से निम्नलिखित पांच प्रश्न पूछने चाहिए:
1. हमारी कमजोरियां कहां हैं?
भेद्यताएँ तीन प्रकार की होती हैं: प्रक्रियात्मक, तकनीकी और मानवीय। पहले बिंदु में ऐसी आपातकालीन योजनाएँ शामिल हैं जिनका कभी परीक्षण नहीं किया गया है और वे आपात स्थिति में काम नहीं करती हैं। तकनीकी कमजोरियों को सीवीएसएस (सामान्य भेद्यता स्कोरिंग सिस्टम) का उपयोग करके उनकी गंभीरता के अनुसार वर्गीकृत किया जा सकता है। मानवीय त्रुटियाँ उतनी ही सामान्य हैं जितनी कि साइबर सुरक्षा में तकनीकी खामियाँ। उदाहरण के लिए, क्योंकि तनावपूर्ण क्षण में आप एक नए क्लाउड इंस्टेंस के लिए पासवर्ड सेट करना भूल जाते हैं या फ़िशिंग मेल के झांसे में आ जाते हैं। इन कमजोर बिंदुओं को खोजने के लिए विभिन्न विभागों के बीच सूचनाओं के आदान-प्रदान और आईटी वातावरण, सभी क्लाउड सेवाओं और सभी प्रणालियों में प्रक्रियाओं के अवलोकन की आवश्यकता होती है।
2. हमलावर कैसे आगे बढ़ते हैं?
संभावित रूप से कम सीवीएसएस स्कोर के बावजूद, सीआईएसओ को पुरानी, निम्न-प्राथमिकता वाली कमजोरियों की उपेक्षा नहीं करनी चाहिए। ये साइबर अपराधियों के लिए अत्यधिक आकर्षक हो सकते हैं, क्योंकि अक्सर उन तक पहुंचना बहुत आसान होता है क्योंकि विश्लेषण में उनकी अनदेखी की जाती है या उन्हें प्राथमिकता नहीं दी जाती है। इसलिए जोखिम मूल्यांकन के लिए यह महत्वपूर्ण है कि, उद्योग और कंपनी के आकार के अलावा - जैसे एक बड़े प्राधिकरण या मध्यम आकार के शिल्प व्यवसाय - वर्तमान हमलावर समूहों और उनके दृष्टिकोण के बारे में जानकारी भी ध्यान में रखी जाती है - जिसमें वे कमजोरियों का उपयोग करते हैं .
3. मेरे हमले की संभावना कितनी अधिक है?
हमले की संभावना कारकों "वर्तमान साइबर आपराधिक घटनाओं" और "खोजी गई कमजोरियों" से दो प्रश्न पूछकर निर्धारित की जाती है: "क्या मेरी कंपनी का आकार वर्तमान हैकर गतिविधियों के शिकार पैटर्न के भीतर आता है?" और: "क्या इसमें कोई भेद्यता है?" कंपनी जिसे वर्तमान में बार-बार संबोधित किया जा रहा है?" यदि इन दो प्रश्नों का उत्तर "हाँ" है, तो किसी घटना का जोखिम अधिक है। यह भी ध्यान दिया जाना चाहिए कि सभी साइबर हमलों के लगभग 90 प्रतिशत वित्तीय रूप से प्रेरित होते हैं और यथासंभव कम प्रयास के साथ किए जाने चाहिए। संक्षेप में: कम सुरक्षा प्रदान करने वाली कंपनियां साइबर अपराधियों के लिए अधिक आकर्षक होती हैं।
4. साइबर हमले के क्या परिणाम होंगे?
रिचर्ड वर्नर, ट्रेंड माइक्रो में बिजनेस कंसल्टेंट (इमेज: ट्रेंड माइक्रो)
जोखिम मूल्यांकन और कार्रवाई की आवश्यकता घटना की संभावना और संभावित क्षति की सीमा से परिणामित होती है। दोनों की गणना करने के लिए, सीआईएसओ को खुद से कंपनी की निर्भरता, सुरक्षा मुद्रा और आईटी अवसंरचना के बारे में निम्नलिखित डब्ल्यू-प्रश्न पूछने चाहिए: यदि हैकर नेटवर्क पर है तो उसके पास क्या विकल्प हैं? आंतरिक नियंत्रणों द्वारा पता लगाए बिना वह कैसे चल सकता है? क्या नियंत्रण मौजूद हैं? मूल्यवान डेटा तक पहुँचने के लिए घुसपैठिए के पास क्या विकल्प हैं? हमले के कारण उत्पादन बंद होने का ग्राहकों और आपूर्तिकर्ताओं पर क्या प्रभाव पड़ेगा?
5. जोखिम को कम करने में क्या लगता है?
घटना की संभावना और हमले के प्रभावों के संबंध में वांछित जोखिम न्यूनीकरण प्राप्त करने के लिए, विशिष्ट उपाय किए जाने चाहिए। उदाहरण के लिए, तकनीकी भेद्यता को बंद करने के लिए एक पैच या पासवर्ड की सेटिंग या परिवर्तन। बड़े सुरक्षा उपाय जैसे नेटवर्क विभाजन आवश्यक हो जाते हैं जब विशेष रूप से कमजोर डेटा और संपत्तियों को सुरक्षा की आवश्यकता होती है। इसके बाद सीआईएसओ को नियमित रूप से जोखिम को कम करने के लिए किए गए उपायों की प्रभावशीलता की जांच करनी चाहिए। यदि आप अपने आप को लागत-लाभ की गणना से बचाना चाहते हैं, तो आप व्यापक प्लेटफॉर्म वाले सुरक्षा निर्माताओं की ओर रुख कर सकते हैं।
सीआईएसओ का लक्ष्य: क्षति को कम करना
सुरक्षा विशेषज्ञों के रूप में, सीआईएसओ कंपनी में महत्वपूर्ण भूमिका निभाते हैं। आपको सबसे बड़े जोखिमों की पहचान करने और लक्षित प्रतिउपाय लेने की आवश्यकता है। हालाँकि, आज अत्यधिक गतिशील आईटी परिदृश्य पर नज़र रखना आसान काम नहीं है। संबोधित किए गए प्रश्न एक सतत जोखिम मूल्यांकन बनाने में मदद करते हैं, जिसके परिणामस्वरूप एक सक्रिय सुरक्षा रणनीति बनती है। यह और भी महत्वपूर्ण है क्योंकि साइबर घटनाएं अब दुनिया भर में नंबर एक व्यापार जोखिम के रूप में पहचानी जाती हैं।
TrendMicro.com पर अधिक
ट्रेंड माइक्रो के बारे में आईटी सुरक्षा के दुनिया के अग्रणी प्रदाताओं में से एक के रूप में, ट्रेंड माइक्रो डिजिटल डेटा एक्सचेंज के लिए एक सुरक्षित दुनिया बनाने में मदद करता है। 30 से अधिक वर्षों की सुरक्षा विशेषज्ञता, वैश्विक खतरा अनुसंधान और निरंतर नवाचार के साथ, ट्रेंड माइक्रो व्यवसायों, सरकारी एजेंसियों और उपभोक्ताओं के लिए सुरक्षा प्रदान करता है। हमारी XGen™ सुरक्षा रणनीति के लिए धन्यवाद, हमारे समाधान अग्रणी-एज वातावरण के लिए अनुकूलित रक्षा तकनीकों के एक क्रॉस-जेनरेशनल संयोजन से लाभान्वित होते हैं। नेटवर्क की खतरे की जानकारी बेहतर और तेज सुरक्षा को सक्षम बनाती है। क्लाउड वर्कलोड, एंडपॉइंट्स, ईमेल, IIoT और नेटवर्क के लिए अनुकूलित, हमारे कनेक्टेड समाधान तेजी से खतरे का पता लगाने और प्रतिक्रिया के लिए पूरे उद्यम में केंद्रीकृत दृश्यता प्रदान करते हैं।