ماذا يريد مسؤولو أمن المعلومات حقًا من بائعي الأمن السيبراني؟ يقدم دينيس ياكيموف من مجموعة Equiti وجهة نظره في هذه المقابلة الحصرية المنشورة في CodeRED June–July Edition. بدءًا من أهمية مواءمة مبادرات الأمن السيبراني مع استراتيجية العمل وحتى العيوب في إدارة الثغرات الأمنية وقيمة أدوات التطوير المشترك، يحدد ياكيموف ما ينجح وما هو معطل وكيف يمكن للبائعين دعم أهداف أمان المؤسسة بشكل أفضل في نظام بيئي رقمي متطور.

ما هي أهم أولويات الأمن السيبراني لمؤسستكم هذا العام؟

أولويتنا القصوى هذا العام هي دعم الأعمال في تحقيق النمو والاستقرار المستدام أثناء العمل على تحقيق أهدافها الاستراتيجية. غالبًا ما أرى مدراء أمن المعلومات يضعون أهدافًا بمعزل عن التركيز على مؤشرات الأداء الرئيسية الداخلية أو يتفاعلون مع التهديدات الناشئة دون التوافق مع سياق العمل الأوسع. ولكن من الأهمية بمكان أن نتذكر أن الأمن موجود لتمكين الأعمال، وكل ما نقوم به يجب أن يسترشد بهذا المبدأ.

كيف يمكنك مواءمة مبادرات الأمن السيبراني مع الأهداف العامة للأعمال؟

يبدأ كل شيء بتحديد الشركة لأهدافها لهذا العام، والتي عادةً ما تستند إلى توقعات المساهمين. في Equiti، يتم تحديد أهداف العمل بوضوح وإبلاغها علناً، بحيث يفهم كل موظف الاتجاه الذي تسير فيه المؤسسة.

من وجهة نظر أمنية، نستخدم هذه الأهداف كأساس، وفي بداية العام، أثناء التخطيط الاستراتيجي، نقوم بالعصف الذهني لإجراءات الأمن السيبراني التي ستدعم تحقيق هذه الأهداف بشكل أكثر فعالية. على سبيل المثال، حصلنا في عام 2024 على شهادة ISO 27001، مما ساعد Equiti على اتخاذ خطوة مهمة نحو بناء ثقة أقوى مع العملاء والشركاء الرئيسيين وأن تصبح واحدة من شركات الوساطة الرائدة في الإمارات العربية المتحدة. تتماشى المبادرات الأمنية المماثلة مع الأهداف المتعلقة بالمرونة التشغيلية وغيرها.

ما هي العوامل الرئيسية التي تضعها في الاعتبار عند تقييم موردي خدمات الأمن السيبراني؟

نحن نتبع نهجاً شاملاً عند اختيار البائعين، باستخدام جداول مقارنة ومعايير تقييم محددة جيداً. وتشمل هذه المعايير دائماً التوافق مع بيئتنا الحالية والامتثال للمتطلبات التنظيمية المحلية. على سبيل المثال، في دولة الإمارات العربية المتحدة، يجب على المؤسسات المالية تخزين بيانات العملاء الخاضعة للتنظيم داخل الدولة، وهو ما يستبعد على الفور العديد من بائعي البرمجيات كخدمة الذين لا يمتلكون مراكز بيانات محلية.

وبالنظر إلى أن Equiti مؤسسة سريعة النمو، فإن قابلية التوسع وسهولة النشر من العوامل الحاسمة بالنسبة لنا. وبمجرد استيفاء جميع معايير التقييم، نبدأ في إجراء اختبار أداء وتقييم لخصوصية البيانات وتقييم للمخاطر من طرف ثالث. وعلى الرغم من أن العملية قد تبدو معقدة في البداية، إلا أننا نهدف إلى إكمال التقييمات بوتيرة سريعة – عادةً في غضون 2-3 أسابيع.

كيف تفضل أن يتواصل معك البائعون، من خلال التعليم، والعروض التوضيحية للمنتجات، وإثبات القيمة؟

أعتقد أن أي شيء يساعد على تقييم حل ما في سياق بيئتنا الخاصة هو أمر قيّم للغاية. أجد صعوبة في فهم البائعين الذين يرفضون إثبات المفهوم وبدلاً من ذلك ينشغلون بدورات الموافقة الداخلية في هذه المرحلة. بالنسبة لي، عادةً ما يكون ذلك علامة صفراء. إذا كان البائع مستعدًا لجدولة أكبر عدد ممكن من الاجتماعات اللازمة لضمان عمل الحل بفعالية داخل بنيتنا التحتية، فهذا دائمًا سبب إضافي بالنسبة لي لإعطائه الأولوية. إنه يشير إلى احتمالية عالية بأنهم سيستمرون في تقديم الدعم بعد الشراء وأنه ليس لديهم ما يخفونه.

ما هي أكبر الثغرات في حلول الأمن السيبراني الحالية التي يجب على البائعين معالجتها؟

من وجهة نظري، لا تزال مجالات مثل إدارة الثغرات، على الرغم من تاريخها الطويل، غير متطورة. فحتى الشركات الراسخة وذات الخبرة مثل Qualys و Rapid7 لا تزال تولد قدراً كبيراً من الضوضاء في لوحات معلومات الثغرات الأمنية الخاصة بها، ولا تفعل طرق تحديد الأولويات الحالية سوى القليل لتغيير ذلك.

إنني أتحدث بانتظام مع العديد من مدراء أمن المعلومات في جميع أنحاء الصناعة، وأسمع باستمرار عن مئات أو حتى آلاف الثغرات العالية والحرجة التي يتم الإبلاغ عنها بواسطة حلولهم الخاصة بأجهزة إدارة الثغرات الافتراضية. ومع ذلك، في الواقع، فإن 99% من الحوادث الأمنية إما أنها لا علاقة لها باستغلال الثغرات الأمنية أو أنها مرتبطة بالثغرات الأمنية التي لم يتم الإبلاغ عنها أو تغطيتها بواسطة أدوات إدارة الأجهزة الافتراضية هذه على الإطلاق.

هل واجهتكم تحديات محددة في التكامل أو قابلية التوسع أو الدعم؟

لقد واجهنا حالات حصلنا فيها على أداة تناسب احتياجاتنا بشكل جيد للغاية، ولكننا واجهنا تحديات في العثور على الخبرة المناسبة لتنفيذها بشكل صحيح، مع الأخذ في الاعتبار جميع المتطلبات المحددة. ولا يتعلق الأمر حتى بالموارد الداخلية – بل بالخبرة المتاحة في السوق. وفي حين أن تقييم الحل في حد ذاته أمر بسيط نسبيًا، إلا أن تقييم خبرة المتعاقد، وخاصةً التأكد من أنه جدير بالثقة وبأسعار معقولة، قد يكون صعبًا للغاية. لقد عملت سابقًا في العديد من مزودي الخدمات المدارة MSPs، وأتذكر بوضوح كيف أن مزودي الخدمة غالبًا ما يركزون على بيع الخدمة أولاً، بينما يحاولون الحصول على الخبرة اللازمة خلال مرحلة التنفيذ.

ما الدور الذي يلعبه البائعون في مساعدتك في الحفاظ على الامتثال؟

عندما يتعلق الأمر بالبائعين والامتثال، فإنني أقدر حقًا الاتجاه الذي يتخذه السوق نحو هندسة الحوكمة والامتثال. وأعتقد أن هذا المجال لديه القدرة على أن يصبح متطورًا وشائعًا للغاية في المستقبل – على غرار ما اكتسبه DevSecOps من زخم في وقته.

خذ فانتا، على سبيل المثال. على الرغم من أنها في الأساس أداة لأتمتة عمليات الحوكمة والحوكمة والمخاطر والحوكمة، إلا أن واجهتها بسيطة وبديهية لدرجة أنها نجحت في الاستحواذ على سوق حتى بين الشركات الناشئة – وهو قطاع عادةً ما يكون بيع أي شيء من مجال الأمن صعبًا بسبب عدم النضج والميزانيات المحدودة.

من جانبنا، نتخذ أيضًا خطوات استباقية نحو أتمتة الامتثال. ومع ذلك، يجب أن نأخذ في الاعتبار مجموعة واسعة من العوامل، بما في ذلك وجودنا في بلدان متعددة والتزامات الخصوصية المختلفة.

كيف تتطور ميزانية الأمن السيبراني لديك على أساس سنوي؟

هناك الكثير من الحديث على وسائل التواصل الاجتماعي حول نقص ميزانية الأمن السيبراني، ولكن في الواقع، تميل العديد من المؤسسات إلى الإفراط في الاستثمار. هناك نمط شائع يتمثل في قيام مدراء أمن المعلومات بإعداد العديد من لوحات المعلومات التي تولد ضوضاء مفرطة وتوفر تحسيناً محدوداً.

في Equiti، على الرغم من أننا منفتحون على زيادة ميزانية الأمن السيبراني، إلا أن فريقنا يركز على تحسين التكلفة لعامين متتاليين، وذلك بشكل أساسي من خلال قرارات ترخيص أكثر ذكاءً. هذا يعني في كثير من الأحيان استبدال البائعين – دائمًا مع إجراء تقييم مناسب للمخاطر – ولكن نظرًا للمجموعة الواسعة من الحلول المتاحة في السوق، فإن العثور على بدائل عالية الجودة بتكلفة أقل نادرًا ما يمثل تحديًا اليوم.

ما هي نصيحتك للبائعين الذين يتطلعون إلى وضع حلولهم للحصول على الموافقة على الميزانية؟

نصيحتي هي عدم التركيز على التصدي لتهديد آخر، بل توضيح كيف تجلب أداتك قيمة حقيقية للأعمال. يُتوقع بشكل متزايد من مدراء أمن المعلومات المعاصرين أن يتحدثوا لغة الأعمال ويجلسوا على طاولة مجلس الإدارة. ونتيجةً لذلك، يجب أن تدعم الأدوات الموجودة في مجموعة أدوات مدير أمن المعلومات تمكين الأعمال، وليس مجرد التخفيف من حدة التهديدات أو إضافة لوحة تحكم أخرى. إذا نظرت إلى شركات الأمن السيبراني الأكثر نجاحًا مثل Wiz أو Okta أو Zscaler، فقد أصبحت جزءًا لا يتجزأ من عمليات عملائها ولها تأثير مباشر على كفاءة الأعمال.

هل تعاونت مع البائعين في التطوير المشترك أو تخصيص الحلول؟

بالتأكيد. البائعون المستعدون لتكييف خارطة الطريق الخاصة بهم مع احتياجاتنا هم دائماً مرشحون أقوياء. على سبيل المثال، نحن نعمل بشكل وثيق مع أحد موردي SAST الذي يعمل على تطوير ميزات التكامل لإحدى بيئاتنا الخاصة بالتسليم الابتدائي/التعطيل التلقائي.

نظرًا لأن هذه البيئة متخصصة نسبيًا وغير مدعومة على نطاق واسع خارج الصندوق، فإن استعداد البائع لاستثمار الجهد في توفير وقت هندسي مكثف على التكامل المخصص كان عاملاً رئيسيًا في قرارنا. يجب أن أعترف أن هذا النوع من المرونة أكثر شيوعًا بين البائعين الصغار ومتوسطي الحجم.

بالتأكيد. البائعون المستعدون لتكييف خارطة الطريق الخاصة بهم مع احتياجاتنا هم دائماً مرشحون أقوياء. على سبيل المثال، نحن نعمل بشكل وثيق مع أحد موردي SAST الذي يعمل على تطوير ميزات التكامل لإحدى بيئاتنا الخاصة بالتطوير المستمر/التعديل المستمر.

نظرًا لأن هذه البيئة متخصصة نسبيًا وغير مدعومة على نطاق واسع خارج الصندوق، فإن استعداد البائع لاستثمار الجهد في توفير وقت هندسي مكثف على التكامل المخصص كان عاملاً رئيسيًا في قرارنا. يجب أن أعترف أن هذا النوع من المرونة أكثر شيوعًا بين البائعين الصغار ومتوسطي الحجم.

ما هي الأخطاء الشائعة التي يرتكبها البائعون عند التعامل مع مدراء أمن المعلومات؟

الضغط الشديد والإلحاح المفرط. من وجهة نظري، إذا كان شخص ما يحتاج حقاً إلى منتجك، فسيكون متجاوباً ومستعداً للقيام بكل ما يلزم لإتمام الصفقة بسرعة. أما إذا قضيت وقتك في مطاردة الأشخاص الذين يبدون اهتماماً محدوداً، فقد تمضي الصفقة قدماً بشكل مؤقت، ولكن في النهاية، من المحتمل أن تفشل الصفقة وستكون ببساطة قد أضعت وقتك.

ما هو الابتكار أو التحسين الذي تأمل أن تراه من البائعين في الأشهر الـ 12 المقبلة؟

على الرغم من أنني ما زلت متشككاً بشأن المستقبل الكبير المتوقع للذكاء الاصطناعي، حيث من المتوقع أن يحل محل البشر، إلا أنني شخصياً أود أن أرى المزيد من الممارسات التي لا تركز على حل المهام أو المشاكل الصغيرة المعزولة من خلال إدخال أداة أخرى إلى المحفظة، بل على تمكين ربط جميع البيانات الأمنية المتاحة في مجموعة موحدة من المعرفة المترابطة.

يمكن أن يساعد مثل هذا النهج في التنبؤ بالمكان الذي من المرجح أن تظهر فيه التهديدات أو التغييرات التي ستؤدي إلى التأثير الأكبر. وأعتقد أن نظام الذكاء الاصطناعي القادر على تجميع الرؤى عبر المؤسسة بأكملها وأدوات الأمن السيبراني الخاصة بها يمكن أن يقدم هذا النوع من القيمة.

في عالم اليوم، لا يزال العديد من القادة الأمنيين يتخذون قرارات استراتيجية بناءً على تخمينات مدروسة وتقييمات مجردة وغير موضوعية للمخاطر، أي قراءة أوراق الشاي بدلاً من الاعتماد على الاستشراف المستند إلى البيانات.

مقالات ذات صلة

عرض الكل