پنج گام به سوی یک برنامه استراتژیک کارآمد

Stan Gatewood, مدیر ارشد امنیت اطلاعات دانشگاه جورجیا, اهداف امنیتی را بر اساس انطباقشان با اهداف و استراتژی عمده دانشگاه سازماندهی می نماید وی دلایل متعددی برای این امر که چرا مدیران ارشد امنیت اطلاعات نباید خود را برای برنامه ریزی استراتژیک به زحمت بیاندازند, دارد فقط کافیست بپرسید

Stan Gatewood، مدیر ارشد امنیت اطلاعات دانشگاه جورجیا، اهداف امنیتی را بر اساس انطباقشان با اهداف و استراتژی عمده دانشگاه سازماندهی می‌نماید. وی دلایل متعددی برای این امر که چرا مدیران ارشد امنیت اطلاعات نباید خود را برای برنامه‌ریزی استراتژیک به زحمت بیاندازند، دارد. فقط کافیست بپرسید. مدیر ارشد امنیت اطلاعات دانشگاه جورجیا، می‌گوید: ”شما مسئله اقتصاد را دارید که در مقابل شما نقش ایفا می‌کند. شما دارای رفتار اجتماعی هستید که در مقابل شما نقش ایفا می‌نماید. شما تکنولوژی را دارید. شما قوانین و مقررات را در پیش رو دارید.“ و خود را برای یافتن کتاب‌ها یا سمینارهای تخصصی در جهت کمک به شما برای اعمال اصول برنامه‌ریزی استراتژیک تجاری در امنیت به زحمت نیاندازید. چون چیزی نخواهید یافت.

علی‌رغم همه این موارد، Gatewood اینجاست تا بگوید که شما به انجام برنامه‌ریزی استراتژیک نیاز دارید. او می‌پرسد: ”اگر شما هیچ برنامه‌ای نداشته باشید، چگونه متوجه خواهید شد که آن را به درستی انجام می‌دهید؟“ او این گونه ادامه می‌دهد: ”شما در برابر هر چیز کوچکی که در شب تکان می‌خورد عکس‌العمل نشان خواهید داد.“ نهایتا، این روشی بوده که اغلب گروه‌های امنیت اطلاعات سال‌ها بر اساس آن عمل کرده‌اند: شیشه را بشکن، دستگیره را بکش. دپارتمان‌های امنیت به دشواری می‌توانستند آینده خود را کنترل نمایند، زمانی که راهبری آنها بیش از حد بر اساس حوادث بود، این ایده کاربرد خود را از دست داد.اما همه این‌ها در حال تغییر است، همچنان که مدیران ارشد امنیت و مدیران ارشد امنیت اطلاعات شروع به مد نظر قرار دادن ارزش استفاده از اصول شناخته شده‌ی برنامه‌ریزی استراتژیک برای راهبری تلاش‌ خود نموده‌اند. در اساس خود، برنامه‌ریزی استراتژیک چیزی بیش از یک فرایند رسمی برای تنظیم اهداف بر اساس منظورهای تجاری و سپس مشخص کردن شیوه دستیابی به این اهداف نیست – البته در طی سال‌های پیش رو، نه ماه‌ها.

مطمئنا، بسیاری از شما دارای سیاست‌های بلندپروازانه‌ای هستید. و مطمئنا، اغلب شما دارای برنامه‌های تاکتیکی در راستای بودجه‌هایتان برای سال پیش رو هستید. به هر حال، یک برنامه استراتژیک خوب، در مکان مطبوعی میان این دو سطح قرار می‌گیرد. مدیران ارشد امنیت که نحوه ایجاد و پیاده‌سازی یک برنامه تاکتیکی را درک نموده‌اند مدعی‌اند که این امر در استفاده خردمندانه از منابع، جلب پشتیبانی برای طرح‌های امنیتی و نائل شدن به هم‌ترازی با تجارت به آنها کمک می‌نماید. هیچ شیشه‌ای شکسته نشده است.James Quinnild، یک همکار امنیتی در طرح مشورتی در PricewaterhouseCoopers، می‌گوید: ”در مورد مدیر ارشد امنیت، ارشدیت اهمیت ویژه‌ای دارد. مدیران ارشد امنیت سرمایه‌های بیشتری را اداره می‌کنند، سطح میدان دید آنها درون سازمان بسیار بالاتر است، و افراد بیشتری مدیر ارشد امنیت را مورد پرس و جو قرار می‌دهند، کارها چطور پیش می‌رود؟ مشغول انجام چه کاری هستید؟ آیا کارهای خود را اولویت‌بندی می‌نمایید؟ یک برنامه خوب طراحی شده در پاسخگویی به این سوالات مفید واقع می‌شود.

به خصوص در حوزه امنیت اطلاعات که به سرعت در حال تغییر است، برنامه‌ریزی برای آینده می‌تواند مخاطره‌آمیز باشد. تکنولوژی‌ها تغییر می‌کنند، و تهدیدات جدید پدیدار می‌شوند. اما در مقابل این چالش‌ها، در صورتی که شما خواهان خارج ساختن سازمان خود از حالت بحرانی هستید، فرایند برنامه‌ریزی استراتژیک یک امر حیاتی است. در ادامه پنج گام برای آغاز کار مطرح می‌گردد. همان گونه که مشاهده خواهید نمود، این یک روند محرمانه نیست. این Business ۱۰۱ است، که در حوزه امنیت اعمال گردیده است.

۱) کار را با برنامه تجاری دارای چشم‌انداز وسیع آغاز نمایید

هنگامی که Gatewood دو سال پیش کار خود را در دانشگاه جورجیا آغاز کرد، یکی از نخستین کارهایی که انجام داد مطالعه همه برنامه‌های تجاری برای دانشگاه بود که او می‌توانست مورد استفاده قرار دهد. مهمترین مورد؟ یک برنامه پنج ساله که توسط رییس دانشگاه (که بیش از ۳۳۰۰۰ دانشجو داشت) نوشته شده بود. این نوع رویکرد با چشم‌انداز وسیع و طولانی‌مدت می‌تواند به مدیر ارشد امنیت در خارج شدن از وضعیت تاکتیکی یاری برساند. Gatewood می‌گوید: ”من نقطه‌ای که دانشگاه قصد رسیدن به آن را داشت دیدم، و سپس کار ایجاد اهداف استراتژیک امنیتی را بر مبنای آن آغاز کردم.“

برای نمونه، یکی از اولویت‌های رییس جذب استادان رده بالا و عالی بود. Gatewood اطمینان حاصل نمود که برنامه‌های دپارتمان او انعکاس دهنده همین هدف باشد. Gatewood می‌گوید: ”اگر شما پا پیش بگذارید و بگویید، ‘من برای یک فایروال جهت حفاظت از گروه تحقیقات به ۵۰۰۰۰ دلار نیاز دارم’ این کافی نیست.“ در عوض، او اهداف خود را بر اساس مطابقتشان با اهداف و استراتژی عمده دانشگاه سازماندهی می‌نماید. او می‌گوید: ”من این سوال را مطرح کردم: شما چگونه می‌توانید یک استاد را برای انجام تحقیقات پیشرفته جذب نمایید در صورتی که تکنولوژی مورد استفاده او قابل اعتماد نباشد؟“ گاهی اوقات یک تغییر معنایی می‌تواند تفاوت بزرگی ایجاد نماید. به هر حال، فقط مطالعه استراتژی تجاری کافی نیست. شرکت دادن افراد تجاری در فرایند برنامه‌ریزی تضمین می‌نماید که امنیت در مسیر درست پیش می‌رود و همچنین به شما در جذب پشتیبانی برای برنامه‌تان کمک می‌کند. Bobby Gillham، رییس سابق امنیت ConocoPhillips که اکنون یک مشاور است، می‌گوید: ”کسب و کارها بودجه‌های ثابتی دارند و همچنین محدودیت‌هایی در مورد کارهایی که می‌توانند انجام دهند و کارهایی که نمی‌توانند. شما مجبورید اینها را متقاعد نمایید که یک پیشرفت امنیتی واقعا جزو بهترین موارد مورد علاقه کسب و کارها به شمار می‌آید، و این که آنها در مورد پرداخت پول برای آن راضی و موافق هستند.“

Gillham می‌گوید، با نگاه به پیشرفت‌هایی که قصد دارید در طی سه سال آینده به آنها نائل آیید به جای این که تنها نگاهتان به چرخه بودجه جاری باشد، ممکن است شما توانایی متقاعد ساختن رؤسای تجاری نسبت به دادن التزام طولانی‌مدت‌تر در قبال یک پروژه خاص را داشته باشید. اگر یک دپارتمان خاص در بودجه خود برای سال مالی آتی برای پروژه شما پول ندارد، شاید بتوانید گروه را نسبت به گنجاندن آن برای سال بعد متقاعد نمایید. حتی این احتمال وجود دارد که راهی برای بسط هزینه در طی چندین سال بیابید. در پیش گرفتن یک چشم‌انداز طولانی مدت اغلب می‌تواند به عملی شدن اهدافی که نمی‌توانند در بودجه یک ساله بگنجند کمک کند.

۲) همواره یک ارزیابی ریسک انجام دهید

هنگامی که از اولویت‌های تجاری آگاهی یافتید، گام بعدی درک این مطلب است که چه ریسک‌های امنیتی ممکن است مانع دستیابی کسب و کار به اهداف گردد. این کار با یک ارزیابی ریسک صورت می‌پذیرد. در Avon Products، این فرایند چهار ماه قبل از این که Robert Littlejohn، قائم‌مقام مدیرعامل در امنیت جهانی، مدیران رده بالای خود را برای یک نشست استراتژی سالانه دو روزه گرد هم آورد آغاز ‌گردید. با آغاز در ماه ژوئن، از سرتاسر جهان مدیران امنیت منطقه‌ای فرم‌هایی را برای مدیران تجاری Avon ارسال می‌نمایند تا از آنها برای ارزیابی ریسک‌هایی که در پیش روی آنها قرار دارد استفاده گردد. از مدیران تجاری خواسته شده است که احتمال وقوع هر رویداد و تاثیر بالقوه آن بر شرکت (که در ۱۴۵ کشور مشغول به فعالیت است) را برآورد نمایند. در ماه آگوست، این ارزیابی ریسک توسط یک نظرخواهی مشتری در این مورد که مدیران تجاری فرایندهای ریسک سازمانی و امنیتی را چگونه می‌بینند همراهی خواهد شد: چه چیز نتیجه می‌دهد؟ چه چیز نتیجه نمی‌دهد؟ مهمترین دغدغه‌های آنها چیست؟

سپس مدیران امنیت منطقه‌ای به بررسی دقیق ارزیابی ریسک می‌پردازند تا اعتبار آن را مورد تایید قرار دهند، تغییراتی را در آن اعمال نمایند یا در صورت لزوم مواردی را به آن بیافزایند. برای نمونه، Littlejohn به یاد می‌آورد که سال گذشته، یک مدیر تجاری در مورد شرکتی نشان داد ریسک بالایی وجود دارد که ورشکست گردد. مدیر امنیت منطقه‌ای به شرکت مراجعه کرد، با مدیر امنیت منطقه‌ای و مدیر آن شرکت به همفکری پرداخت، و مشخص گردید که از آن چه که مدیر تجاری نشان داده بود، این شرکت با ثبات‌تر است. تنها چیزی که می‌توان گفت این است که اگر چه باید مدیران تجاری را در فرایند برنامه‌ریزی شرکت داد، اما در برخی موارد به وجود یک متخصص امنیت برای تایید اعتبار ارزیابی ریسک نیاز است.

این مهارت، اتفاقا می‌تواند خارج از برنامه‌ریزی استراتژیک دپارتمان امنیت حاصل گردد. می‌تواند مدیر ارشد امنیت را در طی برنامه‌ریزی استراتژیک تجاری نیز به فردی فوق‌العاده با ارزش تبدیل نماید. Paul Laudicina، یک قائم‌مقام‌ مدیرعامل A.T. Kearney و مدیر Global Business Policy Council که World Out of Balance را نوشته است: Navigating Global Risks to Seize Competitive Advantage، بر این عقیده است که شرکت‌هایی که خواهان کسب موفقیت در بازار جهانی هستند باید در مورد اداره همه انواع ریسک فهیم‌تر و زرنگ‌تر باشند – از بیماریهای مسری و واگیردار گرفته تا اپیدمی‌ها، تا ویروس‌های کامپیوتری. یک مدیر ارشد امنیت می‌تواند در این فرایند نقش حیاتی داشته باشد. یا اصلا نقشی نداشته باشد. Laudicina می‌گوید: ”در هر صورت مدیریت این ریسک‌ها وظیفه مدیر ارشد امنیت است یا شخص دیگری باید تعیین نماید که آیا مدیر ارشد امنیت قادر به نیل به اهداف است.“

۳) اهداف قابل سنجش را برای گروه خود تعیین نمایید، تا برنامه خود را استوار نگه دارید

هنگامی که وظیفه خود را انجام دادید، نوبت به پیوند دادن اهداف و ریسک‌های تجاری است. شما نیازمند استراتژی خودتان هستید. در بالاترین سطح، اهداف شما قرار دارند. آنها می‌توانند به همان سادگی که شما می‌خواهید باشند. Littlejohn در شرکت Avon یک وظیفه آسان بر عهده دارد: حفاظت از کارکنان، محصولات، منافع، دارایی‌ها، فرایندها، و اعتبار Avon. در AT&T، اهداف CISO Ed Amoroso به همین میزان ساده است: بهبود امنیت، کاهش هزینه‌ها، و استفاده از امنیت برای برقرار ساختن تفوق رقابتی. (فقط مدیر ارشد اجرایی AT&T را در حال سر و کله زدن با هر یک از آنها تصور کنید، مهم نیست که استراتژی کلی این غول ارتباطی با چه عظمتی در حال تغییر است.)

استراتژی، راهی است که شما از آن طریق این وظایف را در طی سال‌های آتی انجام می‌دهید. هر چه برنامه جلوتر می‌رود، جنبه‌های خاص و جزئیات آن کمتر می‌گردد. همچنین، شما ممکن است این روند را برگزینید که یک برنامه دارای جزئیات کمتر را با هیئت مدیره شریک شوید و یک برنامه مفصل‌تر داشته باشید که آن را در دپارتمان امنیت بخشنامه نمایید. ترفند این است که برای سال آینده فراتر از تاکتیک‌های خود بنگرید و اهدف خود را برای سال‌های پیش رو مجددا شکل دهید. برای نمونه، یک برنامه تاکتیکی ممکن است چگونگی اداره برنامه‌های اصلاحی نرم‌افزاری برای آینده نزدیک از سوی دپارتمان امنیت را در بر گیرد. اما بخش استراتژیک مدیریت برنامه‌های اصلاحی (patch ها) بسیار متفاوت است، منوط به این که مدیر ارشد امنیت اطلاعات پیش‌بینی نماید که برای چه مدتی مدیریت جدی برنامه‌های اصلاحی لازم خواهد بود.

Amoroso می‌گوید: ”اگر ما به این نتیجه می‌رسیدیم که صنعت نرم‌افزار در دو یا سه ماه آینده به باگ دیگری در نرم‌افزارهای خود بر نخواهد خورد، در آن صورت ما تصمیم به سرمایه‌گذاری برای یک زیربنای patch نمی‌گرفتیم. درون من به من می‌گوید که این وضعیت در دو ماه آینده بهتر نخواهد شد. اما سوال اینجاست که چه وقت این اتفاق خواهد افتاد؟“ اگر مدیر ارشد امنیت اطلاعات پیش‌بینی نماید که گروه او در طی پنج سال آینده مجبور به نصب تعداد فراوانی برنامه اصلاحی باشد، شاید به این نتیجه برسد که برای ادامه این راه و کارآمد سازی فرایند نصب نیاز به بودجه وجود دارد. اما اگر او به این نتیجه برسد که برنامه‌های اصلاحی یک راه‌حل موقتی هستند و فروشندگان نهایتا محصولات بهتری را تولید خواهند نمود، شاید او یک تصمیم استراتژیک مبنی بر انجام patchها به صورت دستی اتخاذ نماید.

نویسنده: Sarah D. Scalet

مترجم: امین ایزدپناه

---