بیتا مشایخی- استاد حسابداری دانشگاه تهران
سه ستونی که دنیای دیجیتال شما بر آن استوار است: فراتر از رمز عبور
مقدمه
تصور کنید سیستمهای مالی سازمان شما بدون هیچ وقفهای در حال کار هستند، اما نیمدرصد از مبالغ فاکتورها یا شماره حساب تأمینکنندگان بهطور پنهانی تغییر یافته است. یا فرض کنید حساسترین دادههای استراتژیک خود را در امنترین گاوصندوق دیجیتال جهان قرار دادهاید، اما در لحظه نیاز، کلید آن کار نمیکند. آیا سازمان شما هنوز «امن» است؟
در تجربه من به عنوان متخصص امنیت و در جریان حسابرسی زیرساختهای مختلف، بزرگترین سوءتفاهم مدیریتی این است که امنیت را صرفاً در «هک نشدن» یا داشتن یک رمز عبور پیچیده خلاصه کنیم. امنیت اطلاعات در واقع توازنی ظریف میان سه اصل بنیادین است که به «مثلث CIA» شهرت دارد. این مثلث پیونددهنده حاکمیت دیجیتال، فناوری و حسابرسی است.
محرمانگی: فراتر از پنهانکاری
محرمانگی اولین ضلع این مثلث است؛ هدفی که تضمین میکند اطلاعات فقط و فقط در دسترس کسانی باشد که صلاحیت قانونی و سازمانی دارند. بسیاری تصور میکنند اگر دادهای دزدیده نشود، محرمانگی حفظ شده است، اما در دنیای حاکمیت داده، حتی «مشاهده» غیرمجاز نیز یک بحران امنیتی تلقی میشود.
در یک ساختار اصولی، مواردی همچون حقوق و دستمزد کارکنان، شماره حساب مشتریان و نقشههای راهبردی سازمان نباید برای تمامی لایههای کاربری قابل رؤیت باشد. نقض محرمانگی یعنی فروپاشی مزیت رقابتی و از دست رفتن حریم خصوصی که هزینههای جبرانناپذیری به اعتبار سازمان تحمیل میکند.
«اطلاعات فقط باید در اختیار افراد مجاز قرار گیرد.»
پرسش کلیدی حسابرس برای مدیران: چه کسانی به اطلاعات حساس دسترسی دارند و آیا این سطح از دسترسی واقعاً با شرح وظایف فعلی آنها متناسب است؟
یکپارچگی: ستون فقرات اعتماد
یکپارچگی یعنی اطمینان از اینکه دادهها صحیح، کامل و در برابر تغییرات غیرمجاز محافظت شدهاند. اگر محرمانگی درباره «ندیدن» است، یکپارچگی درباره «دستکاری نشدن» است.
به عنوان یک متخصص، معتقدم دادههای دستکاریشده به مراتب خطرناکتر از دادههای مفقودشده هستند. اگر کاربری بتواند مبلغ یک فاکتور یا یک ثبت حسابداری را بدون ردپا تغییر دهد، کل خروجیهای سازمان بیاعتبار میشود. یکپارچگی، ستون فقرات اعتماد در هر سیستم دیجیتال است؛ بدون آن، تصمیمات کلان مدیریتی بر پایه «دروغهای سیستمی» بنا خواهند شد.
پرسش کلیدی حسابرس برای مدیران: فرآیند ایجاد، تغییر یا حذف اطلاعات چگونه کنترل میشود و این تغییرات با چه سازوکاری ثبت و توسط مقام بالاتر تأیید میگردند؟
دسترسپذیری: بقای سازمان در لحظه نیاز
امنیت بدون دسترسی، مفهومی پوچ است. یک سرور خاموش که در لایههای حفاظتی فولادین قرار دارد، کاملاً محرمانه و یکپارچه است، اما چون «در دسترس» نیست، عملاً ناامن محسوب میشود. دسترسپذیری یعنی اطمینان از اینکه سامانهها و دادهها دقیقاً در زمانی که کاربران مجاز به آنها نیاز دارند، آماده سرویسدهی باشند.
حملات سایبری (مانند حملات منع سرویس)، خرابیهای سختافزاری یا حتی داشتن نسخههای پشتیبانی که در روز مبادا بازیابی نمیشوند، همگی دشمن دسترسپذیری هستند. از منظر تداوم کسبوکار، سیستمی که قطع است، گویی هرگز وجود نداشته است.
پرسش کلیدی حسابرس برای مدیران: در صورت از کار افتادن ناگهانی سامانه، سازمان شما دقیقاً در چه مدتی میتواند فعالیتهای حیاتی خود را از سر بگیرد؟
تعادل بزرگ: جایی که امنیت متولد میشود.
امنیت واقعی یک «محصول» است؛ محصولِ تعامل همزمان این سه رکن. بر اساس منطق حاکمیت دیجیتال و استانداردهای حسابرسی فناوری اطلاعات، تمرکز بر یک ضلع و رها کردن اضلاع دیگر، شکست قطعی را به دنبال دارد.
- سیستمی که فقط محرمانه است اما در دسترس نیست، مانند گاوصندوقی است که درِ آن جوش خورده؛ امن است اما کارایی ندارد.
- سیستمی که همیشه در دسترس است اما یکپارچگی ندارد، مانند بانکی است که درهایش باز است اما موجودی حسابها مدام تغییر میکند.
امنیت اطلاعات زمانی محقق میشود که دادهها در عین محرمانه ماندن و محافظت در برابر دستکاری، در لحظه نیازِ سازمان، به سرعت در اختیار فرد مجاز قرار گیرند. این توازن، مرز میان یک سازمان پایدار و یک سازمان آسیبپذیر است.
نتیجهگیری
امنیت اطلاعات یک پروژه فنی نیست که با خرید تجهیزات به پایان برسد، بلکه فرآیندی مداوم برای حفظ تعادل میان حفاظت و کارایی است. اطلاعاتی که حسابرسان و متخصصان حاکمیت دیجیتال آن را «قابل اتکا» میدانند، لزوماً پیچیدهترین رمز عبور را ندارند، بلکه اطلاعاتی هستند که محرمانه، صحیح و بهموقع در دسترس هستند.
یک سوال استراتژیک برای شما: با نگاهی به وضعیت فعلی کسبوکار یا سازمان خود، فکر میکنید کدام یک از این سه ضلع (محرمانگی، یکپارچگی یا دسترسپذیری) در حال حاضر شکنندهتر است؟ سقوط این ضلع، چه بهای سنگینی برای آینده دیجیتال شما خواهد داشت؟