تحول دیجیتال باعث شده آمادگی امنیت سایبری به بخشی جداییناپذیر از تابآوری عملیاتی سازمانها تبدیل شود. همین تغییر، نیازمند شکلگیری یک رابطه جدید و هدفمند میان مدیر امنیت اطلاعات (CISO) و مدیر عملیات (COO) است.
در نگاه اول، CISO و COO انگار در دو دنیای کاملاً متفاوت فعالیت میکنند؛ حتی گاهی در تضاد با هم. CISO غرق در بردارهای حمله، آسیبپذیریها و نفوذهاست، در حالی که COO وسواس حاشیه سود، پایداری سرویسها و بهرهوری عملیاتی را دارد.
اما سازمان های دیجیتال امروز، دیگر اجازه چنین فاصلهای را نمیدهند. نه به این دلیل که مدیران امنیت ناگهان دغدغه «محاسبه هزینه هر تراکنش!» پیدا کردهاند، بلکه چون اختلال عملیاتی ناشی از حملات سایبری به یک ریسک وجودی برای کسبوکار تبدیل شده؛ ریسکی که COO ناگزیر باید آن را مدیریت کند. عملیات مدرن کاملاً دیجیتال است و تعالی عملیاتی بدون تابآوری امنیت سایبری معنا ندارد.
CISO باید رابطه با COO را در سطح روابط کلیدی خود، همردیف CEO و CFO ببیند؛ چون اختلال در عملیات، اغلب بزرگترین ریسک عملیاتی واقعی کسبوکار است.
چرا این مشارکت برای عملیات حیاتی است؟
تابآوری سایبری، توانایی سازمان برای آمادگی، پاسخ و بازیابی در برابر تهدیدات سایبری است؛ آن هم در حالی که عملیات کسبوکار در تمام چرخه حادثه ادامه پیدا کند. موضوع فقط بازیابی بعد از حمله نیست، بلکه توان ادامه فعالیت حتی زیر فشار حمله فعال است.
برای COOهای امروزی، شبح اختلال فرآیندها، افت بهرهوری کارکنان، تأخیر در زنجیره تأمین و شکست در خدمات مشتری، کابوسی واقعی است. وقتی یک حمله باجافزاری محیط تولید را قفل میکند، اقدامات مهار کننده CISO ممکن است سازمان را نجات دهد، اما COO همزمان شاهد دود شدن درآمد است.
وقتی عملیات دچار اختلال میشود، نه COO و نه CISO بهتنهایی قادر به عبور موفق از این شرایط نیستند.
دیجیتالی شدن عملیات، ماهیت ریسک را برای COOها دگرگون کرده است. مدیریت سنتی ریسک عملیاتی بر فرض در دسترس بودن سامانههای داخلی بنا شده بود. امروز اما یک حمله باجافزاری که از یک ضعف در فرآیند کسبوکار سوءاستفاده میکند، میتواند موثرتر از خرابی فیزیکی تأسیسات، عملیات را متوقف کند.
سازمانها دیگر فقط بر اساس قیمت و سرعت رقابت نمیکنند، بلکه بر اساس توانایی ادامه فعالیت در برابر تهدیدات دیجیتال پیچیده سنجیده میشوند. به همین دلیل، COOها بیش از گذشته درک کردهاند که سرمایهگذاری در امنیت سایبری مستقیماً از شاخص اصلی عملکرد آنها یعنی تداوم عملیات محافظت میکند.
این رابطه را قبل از بحران بسازید
یکی از بزرگترین اشتباهات سازمانها این است که رابطه CISO و COO را تا لحظه وقوع حادثهای مخرب، رها میکنند. پاسخ اضطراری زیر فشار، تقریباً همیشه منجر به تصمیمهای ضعیف، سوءتفاهم و ناهماهنگی در اولویتهای بازیابی میشود.
تماس اضطراری ساعت ۳ بامداد درباره یک حادثه امنیتی، زمانی قابل مدیریت است که این دو مدیر ماهها قبل اعتماد، درک مشترک و چارچوبهای تصمیمگیری مشترک ساخته باشند.
این تعامل پیشدستانه نیازمند جلسات منظم برای همراستاسازی وابستگیهای عملیاتی، فرآیندهای حیاتی کسبوکار و بررسی این است که کنترلهای امنیتی چگونه عملیات را توانمند یا محدود میکنند.
COO باید بداند کدام سامانهها از نظر CISO حیاتیاند و چرا.
CISO هم باید بفهمد کدام فرآیندهای کسبوکار در صورت اختلال، بیشترین ریسک عملیاتی را ایجاد میکنند — نه از نگاه امنیتی، بلکه از منظر تداوم کسبوکار.
وقتی این گفتگوها پیشاپیش شکل گرفته باشد، در بحران، توصیههای CISO وزن و اعتبار دارند. روایت رابطه از «امنیت دارد به عملیات دستور میدهد» به «ما برای این سناریو با هم برنامهریزی کردهایم» تغییر میکند.
این ارتباط مستمر همچنین اصطکاک کلاسیک بین امنیت و عملیات را کاهش میدهد؛ همان بنبست معروف «الان پچ نکنیم چون داونتایم میدهد».
برنامه بحران مشترک، باید واقعیت عملیاتی داشته باشد
بسیاری از برنامههای مدیریت بحران سازمانها، از نظر عملیاتی مبهماند. آنها مشخص میکنند چه کسی با رگولاتور یا مشتری صحبت کند، اما جزئیاتی که COO نیاز دارد را ندارند:
دقیقاً کدام سیستمها فعال میمانند؟
کدام بکاپها بالا میآیند؟
ترافیک مشتری چگونه مدیریت میشود؟
و جدول زمانی اثر بر درآمد چیست؟
برنامه پاسخ به حادثه مشترک CISO–COO باید درختهای تصمیم عملیاتی برای سناریوهای مختلف حمله داشته باشد. اگر باجافزار سیستم تراکنش مشتری را هدف بگیرد، باید مشخص باشد:
کدام سیستمها Failover دارند؟
فعالسازی چقدر زمان میبرد؟
چه افت ظرفیتی رخ میدهد؟
ارتباط با مشتری چگونه مدیریت میشود؟
اگر سامانههای زنجیره تأمین آسیب ببینند، باید مسیرهای ارتباط جایگزین با تأمینکنندگان، مدیریت موجودی و زمان بازیابی مشخص باشد.
همچنین باید اختیار تصمیمگیری نهایی در زمان بحران شفاف باشد. آیا راهبرد مهار CISO مستلزم خاموش کردن سیستمی است که COO آن را حیاتی میداند؟ اینکه چه کسی تصمیم نهایی این مصالحه را میگیرد، باید در زمان آرامش مشخص شود؛ نه وسط بحران
تمرینهای Tabletop منظم باید با حضور تیمهای CISO و COO انجام شود؛ تمرینهایی که بازیابی عملیاتی را به چالش بکشند، نه فقط پاسخ فنی به حادثه.
سؤالهایی مثل:
عملیات چه مدت میتواند داونتایم را تحمل کند؟
آستانه قابل قبول اختلال چیست؟
تصمیم بین مهار تهدید و ادامه عملیات چگونه گرفته میشود؟
جمعبندی
مشارکت CISO و COO نشانه یک واقعیت بنیادین است:
امنیت سایبری و تعالی عملیاتی دیگر دو مفهوم جداگانه نیستند.
سازمانهایی که این رابطه را بهصورت فعال میسازند، برنامههای بحران را در زمان آرامش تدوین میکنند، ریسک سایبری را به پیامد عملیاتی ترجمه میکنند و سرمایهگذاری امنیتی را به شاخصهای پایداری و Uptime گره میزنند، حتی در حملات پیچیده هم عملیات خود را حفظ میکنند.
سازمانهایی که این رابطه را به بعد از وقوع فاجعه موکول میکنند، احتمالاً زمانی با شکستهای زنجیرهای عملیاتی مواجه میشوند که کمترین توان تحمل آن را دارند.
