کتاب ببین، بررسی کن، گزارش بده

کتاب ببین، بررسی کن، گزارش بده (راهنمای کارکنان برای مواجهه با تهدیدهای امنیتی) نوشته مهدی آزادی، نقش رفتارهای روزمره‌ی کارکنان را در حفاظت از اطلاعات سازمان توضیح می‌دهد. موضوع اصلی این کتاب، فاصله‌ی میان داشتن تجهیزات امنیتی و درست‌عمل‌کردن هنگام دریافت یک درخواست مشکوک است؛ فاصله‌ای که گاهی یک تصمیم عجولانه ایجاد می‌کند. انتشارات متخصصان این کتاب را منتشر کرده است. نویسنده از محرمانگی اطلاعات، فیشینگ، مهندسی اجتماعی و امنیت حساب‌های کاربری سخن گفته است و گزارش‌دادن خطا را بخشی از مسئولیت کارکنان می‌داند، نه دلیلی برای سرزنش آن‌ها. نسخه‌ی الکترونیکی این اثر را می‌توانید از طاقچه خرید و دانلود کنید.

درباره کتاب ببین، بررسی کن، گزارش بده

کتاب ببین، بررسی کن، گزارش بده نوشته مهدی آزادی، امنیت سازمان را حاصل همکاری کارکنان، مدیران و واحد فناوری اطلاعات می‌داند. نویسنده بحث را از تفاوت امنیت سایبری و امنیت اطلاعات آغاز کرده است. امنیت سایبری به حفاظت از ابزارها و خدمات دیجیتال مربوط است، اما امنیت اطلاعات، اسناد کاغذی و شیوه‌های انتقال اطلاعات را هم در بر می‌گیرد. محرمانگی، یکپارچگی و دسترس‌پذیری، سه مفهوم پایه‌ی این توضیحات هستند. اطلاعات باید فقط در اختیار افراد مجاز قرار بگیرند، درست و کامل باقی بمانند و هنگام نیاز در دسترس باشند. این کتاب شش فصل دارد و موضوعات اصلی فصل‌ها شامل امنیت سایبری، اطلاعات سازمانی و محرمانگی، تشخیص فیشینگ، مهندسی اجتماعی، رمز عبور و احراز هویت و گزارش‌دهی رخدادهای مشکوک است. فصل‌هایی مانند «فیشینگ چیست و چگونه تشخیص دهیم؟» و «مهندسی اجتماعی و فریب انسانی» نشان می‌دهند که فریب کارکنان می‌تواند از راه پیام، تماس یا مراجعه‌ی حضوری صورت بگیرد.
کتاب ببین، بررسی کن، گزارش بده، توضیح مفاهیم را به موقعیت‌های مشخص محیط کار پیوند می‌زند. مقایسه‌ی رفتار امن و ناامن، یکی از شیوه‌های ارائه‌ی مطالب است؛ نویسنده موقعیتی آشنا را شرح می‌دهد و سپس تفاوت تصمیم‌های کارکنان را روشن می‌کند. بحث محرمانگی نیز صرفاً به پنهان‌نگه‌داشتن اسناد محدود نمی‌شود. چهار سطح عمومی، داخلی، محرمانه و بسیار محرمانه، مبنایی برای تشخیص حدود اشتراک‌گذاری اطلاعات فراهم می‌کنند. اصل حداقل دسترسی هم توضیح می‌دهد که محدودیت دسترسی، نشانه‌ی بی‌اعتمادی به کارمند نیست؛ این محدودیت می‌تواند دامنه‌ی خسارت احتمالی را کاهش دهد. بخش مهندسی اجتماعی، احساس فوریت، احترام به عنوان شغلی و تمایل به همکاری را از زمینه‌های سوءاستفاده معرفی می‌کند. کارکنان در چنین موقعیت‌هایی باید اعتبار درخواست را از مسیر رسمی بررسی کنند، نه اینکه فقط به ظاهر حرفه‌ای یا لحن مطمئن درخواست‌کننده اعتماد کنند. مخاطب برای دنبال‌کردن این مباحث به تحلیل فنی پیچیده نیاز ندارد. محور آموزش، شناخت موقعیت‌های حساس و تصمیم‌گیری پیش از اقدام است. نویسنده همچنین جایگاه مدیران و ضرورت روشن‌بودن مسیر گزارش‌دهی را مطرح کرده است تا مسئولیت امنیت فقط بر دوش کارمند باقی نماند. این مطالب برای آموزش داخلی کارکنان و کارگاه‌های سازمانی در نظر گرفته شده‌اند.

خلاصه کتاب ببین، بررسی کن، گزارش بده

پیام اصلی کتاب ببین، بررسی کن، گزارش بده این است که امنیت فقط به جلوگیری از سرقت اطلاعات خلاصه نمی‌شود؛ صحت داده‌ها، تداوم دسترسی به سامانه‌ها و نحوه‌ی واکنش کارکنان نیز اهمیت دارند. نویسنده توضیح می‌دهد که مهاجم گاهی به‌جای نفوذ مستقیم به تجهیزات، از اعتماد یا عجله‌ی افراد استفاده می‌کند. اطلاعات پراکنده درباره‌ی کارکنان، سامانه‌ها یا روال‌های اداری هم می‌توانند زمینه‌ی حمله را فراهم کنند. کارکنان باید پیش از ارسال اطلاعات، مجوز گیرنده و مسیر انتقال را بسنجند و درخواست‌های خارج از روال را بررسی کنند. امنیت حساب‌های کاربری نیز به انتخاب رمز قوی و غیرتکراری، محرمانه‌ماندن رمز و استفاده از احراز هویت چندمرحله‌ای وابسته است. گزارش سریع هنگام مشاهده‌ی نشانه‌ی مشکوک یا وقوع اشتباه، بخش پایانی این مسئولیت است. هدف آموزش، ایجاد نگرانی دائمی نیست؛ هدف، افزایش دقت و کاهش آسیب است.

چرا باید کتاب ببین، بررسی کن، گزارش بده را بخوانیم؟

دلایل خواندن کتاب ببین، بررسی کن، گزارش بده را می‌توان این‌طور خلاصه کرد:

• مقایسه‌ی رفتارهای امن و ناامن، پیامد تصمیم‌های روزمره‌ی کاری را روشن می‌کند.
• طبقه‌بندی اطلاعات، به تشخیص حدود مجاز اشتراک‌گذاری کمک می‌کند.
• توضیح شیوه‌های فریب، شناخت درخواست‌های مشکوک تلفنی و حضوری را افزایش می‌دهد.
• بحث گزارش‌دهی بدون سرزنش، زمینه‌ی گفت‌وگو درباره‌ی خطاهای امنیتی را فراهم می‌کند.

خواندن این کتاب را به چه کسانی پیشنهاد می‌کنیم؟

کتاب ببین، بررسی کن، گزارش بده به این گروه‌ها پیشنهاد می‌شود:

• کارکنانی که با اطلاعات مشتریان، اسناد داخلی و سامانه‌های سازمانی سروکار دارند.
• مدیرانی که مسئول پیگیری گزارش‌های امنیتی کارکنان هستند.
• مسئولان آموزش سازمانی که برای آگاهی‌بخشی امنیتی به کارکنان، محتوای پایه نیاز دارند.