ده مورد از بزرگ‌ترین تهدیدات امنیتی درون‌سازمانی

مدیر عامل(CEO)
با توجه به اینکه مسئولیت‌های مدیر عامل از سوی هیئت مدیره یا دیگر مقامات اجرایی تخصیص می‌شود، این شغل باید در صدر فهرست شما قرار گیرد. به‌طور کلی، مسئولیت‌های مدیر عامل اداره‌ کردن، رهبری کسب ‌و کار، تعیین اهداف داخلی و خارجی سازمان و تصمیم‌گیری در ارتباط با سیاست‌ها و استراتژی‌های سطح بالای سازمان است. در نتیجه جای تعجبی ندارد که این شخص در صدر اهداف هکرها قرار داشته باشد.

الیوت می‌گوید: «پلیس فدرال در اوایل سال جاری میلادی تخمین زد کلاهبرداری‌های پیچیده به‌طور مستقیم مدیر عاملان شرکت‌ها را هدف قرار داده‌اند. بر اساس گزارش منتشر شده در 3 سال گذشته این حملات 2.3 میلیارد دلار ضرر و زیان عاید شرکت‌ها کرده است. این مدل از حملات با هدف به سرقت بردن اعتبارنامه‌های مدیر عامل و اطلاعات به مرحله اجرا درمی‌آید. این رویکرد به ما اعلام می‌دارد هکرهای برون‌سازمانی هم به اهداف سطح بالای سازمانی و هم به اهداف سطح پایین سازمانی علاقه‌مند هستند.»

 

دستیار اجرایی
دستیاران اجرایی به‌منظور تهیه گزارش‌های آماری، رسیدگی به درخواست‌های اطلاعاتی و انجام امور دفتری به کار گرفته می‌شوند. آن‌ها نیز شبیه به منشی یا دستیار شخصی امور دفتری را انجام می‌دهند. این دستیاران اجرایی وظایف مهم دیگری نیز دارند که از آن جمله می‌توان به مشارکت در تحقیقات بازاریابی، آموزش کارکنان، برنامه‌ریزی جلسات مهم و بررسی راهکارهایی برای سودآوری بیشتر یک کسب و کار اشاره کرد. در حالی که دامنه وظایف دستیاران اجرایی در سازمان‌های مختلف متغیر است، اما جزئی‌ترین و ناچیزترین اطلاعاتی که این افراد افشا می‌کنند ممکن است به چالش خطرناکی تبدیل شود. دستیاران اجرایی در بسیاری از سازمان‌ها ممکن است کلیدهای زیادی در اختیار داشته باشند. اغلب به این افراد اجازه داده می‌شود به اطلاعات حساس اجرایی، فرآیندها، سامانه‌ها، گردش کارها، اطلاعات لاگین، اطلاعات مالی و فایل‌های سطح بالا دسترسی داشته باشند. همین موضوع باعث می‌شود تا این افراد برای هکرهای برون‌سازمانی به اهداف ارزشمندی تبدیل شوند.
 

مشاور امنیتی
به این موضوع توجه داشته باشید مشاوران امنیتی در واقع بخش ثابتی از یک سازمان به شمار نمی‌روند. الیوت می‌گوید: «برای آنکه یک لایه امنیتی به دسترسی پیاده‌سازی شود، در اغلب موارد باید به‌شکل یکپارچه‌‌ای طراحی و از سوی ارائه‌دهنگان سرویس‌های امنیتی مختلف پشتیبانی شود. این ارائه‌دهندگان سرویس‌های امنیتی قادر هستند رخنه‌های امنیتی احتمالی در ساز و کار دفاعی یک سازمان را شناسایی کنند. به احتمال زیاد سازمان‌ها مجبور هستند به این افراد مجوزها و اعتبارنامه‌هایی با سطح دسترسی بالا تخصیص دهند. همین موضوع باعث می‌شود این افراد به‌راحتی به منابع مختلف درون‌سازمانی دسترسی داشته باشند. در نتیجه شرکت‌ها باید بخشی از زمان کاری خود را صرف ممیزی کردن این ارائه‌دهندگان کنند و زیرساخت‌های امنیتی موجود را مورد ارزیابی قرار دهند و پس از بررسی این موارد با مشاوران امنیتی قرارداد منعقد کنند.»

کارمندان یا فروشندگان سابق
بسیاری از سازمان‌ها برای انجام فعالیت‌های تجاری خود به فروشندگانی نیاز دارند. به طوری که در هریک از بخش‌های وابسته به سازمان چنین کارمندانی را مشاهده خواهید کرد. این کارمندان زمانی که از کار خود برکنار می‌شوند، به یکی از نقطه ضعف‌های سازمان تبدیل می‌شوند. شاید از شنیدن این حرف تعجب کنید، اما در بعضی موارد دیده شده است سازمان‌‌ها زمانی که کارمند یا فروشنده خود را اخراج می‌کنند، ارتباط کارمند یا فروشنده برکنار شده با سامانه‌ها را قطع نمی‌کنند. در صورتی که به‌محض اخراج کارمندی ارتباط او با سامانه‌ها باید به‌طور کامل برداشته شود. بی‌توجهی به این نکته و دسترسی آزادانه به سامانه‌ها باعث می‌شود تا شرکت‌ها در برابر حملات سایبری آسیب‌پذیر شوند. بهترین راه برای پیشگیری از بروز یک تهدید امنیتی جدی حذف پروفایل‌های مربوط به این کارمندان است تا سطح آسیب‌پذیری سازمان به حداقل برسد.

رهبر جدید فناوری اطلاعات
این گروه از مدیران از موضوع خیلی مهمی بی‌اطلاع هستند. این افراد می‌توانند قربانی یک حمله هکری شوند و ناخواسته به سازمان مطبوعشان خسارت وارد کنند. الیوت می‌گوید: «هکرها کاملاً عجیب و پیچیده‌ هستند. آن‌ها پیوسته در فضای مجازی جست‌وجو می‌کنند تا بتوانند تکنیک‌های مهندسی اجتماعی را پیش از آغاز یک حمله به مرحله اجرا درآورند و پس از به دست آوردن اطلاعات لازم نفوذ به شبکه سازمان را آغاز کنند. یک مدیر جدید فناوری اطلاعات که با پروتکل‌ها و فرآیندها آشنایی نداشته باشد، به‌طور بالقوه به هدفی تبدیل می‌شود که هکرها در جست‌وجوی به دست آوردن او هستند. این فرد به‌دلیل فقدان دانش لازم در ارتباط با تهدیدات و کلاه‌برداری‌هایی که برای دستیابی به مجوزها با آن روبه‌رو است، ممکن است به یک هدف بالقوه تبدیل و ناخواسته قربانی یک حمله هکری شود. هکرها همواره در جست‌وجوی این گروه از مدیران هستند تا بتوانند از آن‌ها به بهترین شکل ممکن سوء استفاده کنند.»

مدیر شبکه اجتماعی
بیشتر کارشناسان شبکه‌های اجتماعی بر این باور هستند که هرگونه توجهی در شبکه‌های اجتماعی نوعی بازخورد خوب به شمار می‌رود. الیوت می‌گوید: «با توجه به آنکه یک مدیر شبکه اجتماعی مرتب آنلاین بوده و با مردم در ارتباط است، به‌راحتی اطلاعات زیادی از او در فضای مجازی باقی می‌ماند. اطلاعاتی که به‌راحتی از طریق شبکه‌هایی همچون لینکدین یا فیسبوک قابل جمع‌آوری هستند. مجرمان سایبری ممکن است به اشکال مختلف اطلاعاتی درباره مدیر شبکه اجتماعی جمع‌آوری و در جهت دستیابی به منابع سازمانی از این اطلاعات سوء استفاده کنند. آن‌ها ممکن است ادعا کنند مدیر شبکه اجتماعی سازمان هستند و برای دستیابی به یک سامانه یا اطلاعات دیگر به مجوزهای مربوطه نیاز دارند.»

فروشندگان برون‌سازمانی
بیشتر سازمان‌ها به‌ویژه سازمان‌های بزرگ با اتکا بر شبکه پیچیده‌ای از فروشندگان عملیات عادی مربوط به کسب‌ و کار خود را به جلو هدایت می‌کنند. الیوت در این ارتباط توضیح می‌دهد: «در بسیاری از حملات سایبری پروفایل‌های سطح بالایی را مشاهده کردم که هک شده‌اند. زمانی که به این فروشندگان از طریق VPN دسترسی مستقیم به سامانه‌ها تخصیص داده می‌شود تا فعالیت‌های خود را مدیریت کنند، این دستیابی می‌تواند همانند دروازه عبوری در اختیار هکرها قرار بگیرد. سازمان‌ها باید اطمینان حاصل کنند که تنها فروشندگان آن‌ها به مجوز‌های تخصیص داده شده دسترسی خواهند داشت و مهم‌تر آنکه این مجوزهای دسترسی باید به‌شکل محدودی در اختیار آ‌ن‌ها قرار داده شود. این رویکرد به سازمان‌ها اجازه می‌دهد به‌سادگی همه چیز را تحت کنترل داشته باشند.»

کارمندان موقت (قراردادی)
کارمندان پیمانی به نظارت و توجه دقیق‌تری نیاز دارند. امروزه در بسیاری از صنایع و سرویس‌های خرده‌فروشی از کارکنان فصلی، پاره‌وقت و موقت استفاده می‌شود. شرکت‌های فعال در حوزه فناوری اطلاعات نیز از این قاعده مستثنا نیستند و از وجود چنین افرادی بهره می‌برند. اما این افراد ممکن است خود به‌تنهایی به تهدید بالقوه‌ای تبدیل شوند. الیوت می‌گوید: «این گروه از افراد به‌طور معمول و به‌شکل موقت به سامانه‌های آنلاینی همچون سامانه حقوق و دستمزد و دیگر پرتال‌ها دسترسی دارند. سامانه‌هایی که اطلاعات ارزشمندی را در خود جای داده‌اند. سازمان‌ها به‌طور معمول برای این گروه از کارمندان سخت‌افزارهایی همچون لپ‌تاپ‌ها و دستگاه‌های همراه را تهیه می‌کنند. این کارمندان باید با تدابیر حفاظتی امنیتی و حتی تحت نظارت گروه‌های امنیتی و افراد باتجربه به فعالیت‌های خود ادامه دهند.»

مدیر رایانش ابری
میزبانی داده‌ها در زیرساخت‌های ابری به‌طور بالقوه مخاطرات و آسیب‌پذیری‌ها را افزایش می‌دهد. الیوت می‌گوید: «زمانی که تصمیم می‌گیرید اطلاعات بیشتری را به زیرساخت‌های ابری منتقل کنید، برای مدیریت این زیرساخت‌های ابری به کارمندانی با سطح مجوزهای بالا نیاز دارید تا بتوانند این حجم از اطلاعات را مدیریت کنند. این افراد ممکن است به‌منظور طراحی معماری زیرساخت ابری یا مدیریت زیرساخت ابری مورد استفاده قرار گیرند. این افراد با توجه به سطح دسترسی عمیقی که به اطلاعات دارند، حاکم بلامنازع این سامانه‌ها خواهند بود. با توجه به اینکه در اکثر موارد این اطلاعات در تعامل با جزئی‌ترین و مهم‌ترین مسائل یک سازمان هستند، در نتیجه این گروه از افراد به اهداف بالقوه‌ای تبدیل می‌شوند که هکرها به‌دنبال آن‌ها هستند.»

شرکت‌های اسپانسر سازمان‌های خیریه
الیوت می‌گوید: «آن‌ چنان که در سال 2014 شاهد هک شدن JP Morgan Chase بودیم، هکرها هیچ‌گاه از نبوغ و خلاقیت دست نخواهند کشید. در سال 2014 بانک بزرگ امریکایی  JPMorgan Chase مورد نفوذ قرار گرفت. در ابتدا تصور بر این بود که بدافزار پیچیده‌ای همانند آنچه Sony Pictures را مورد حمله قرار دارد به کار گرفته شده است. اما تحقیقات بیشتر نشان داد نقص موجود در سامانه تأیید هویت دو مرحله‌ای این بانک باعث بروز این هک شده بود. در این حمله هکرها موفق شدند اطلاعات مربوط به ورود کارکنان به سامانه‌های بانک، شماره تلفن‌های همراه، نشانی منازل و گذرواژه‌های آن‌ها را بردارند و دست به سرقت‌های مالی بزرگی بزنند.»

بسیاری از سازمان‌های خیریه کوچک و بزرگ برای انجام امور بشردوستانه خود به شرکت‌ها یا اسپانسرهایی وابسته هستند. شرکت‌هایی که ممکن است به این مؤسسات اجازه دهند به بانک اطلاعاتی کارمندان آن‌ها دسترسی داشته باشند. این سازمان‌ها مشخصات افرادی که به آن‌ها در انجام امور خیریه کمک می‌کنند را نیز در بانک اطلاعاتی خود به ثبت می‌رسانند.
همین موضوع باعث می‌شود تا هکرها به‌دنبال هک کردن بانک‌های اطلاعاتی این مؤسسات باشند. زمانی که چنین هکی صورت گیرد، نه‌تنها مشخصات کارکنانی که در سازمان‌های بزرگ مشغول به کار هستند به سرقت می‌رود، بلکه گزارش‌های مالی مؤسساتی که اسپانسر این سازمان‌های خیریه شده‌اند نیز به سرقت رفته و زمینه را برای یک کلاه‌برداری بزرگ مهیا می‌کنند. در ادامه، هکرها از طریق تکنیک‌های مهندسی معکوس قادر هستند خود را به‌عنوان مقامی که در یک سازمان خیریه کار می‌کند نشان دهند و از یک سازمان بزرگ طلب پول یا اطلاعات کنند.