نقشه راه سه‌ساله امنیت دیگه جواب نمی‌ده
هوش مصنوعیخلاصهٔ کامل‌تر
تو این مقاله از CSO Online اومده که CISOها (یعنی مدیرهای ارشد امنیت اطلاعات تو شرکت‌ها) دیگه نمی‌تونن نقشه راه امنیت رو سالی یه بار بنویسن و تا سال بعد ولش کنن. مثال اول John Dickson از Insight Global هست. کارمندهاش خیلی سریع‌تر از تیم امنیت ابزارهای AI رو آوردن سر کار، و AI agentها و سرویس‌های جدید همه‌جا پخش شدن.
تیم Dickson قرار بود یه سال دیگه سراغ دیده‌پذیری non-human identities (یعنی هویت‌های غیرانسانی مثل service accountها و AI agentها) بره، ولی صبر نکرد و همین الان ساختش. حالا هر فصل استراتژی رو با تغییرات تهدیدها و کسب‌وکار مقایسه می‌کنن و افق برنامه رو سه ماه جلو می‌برن. به گفته خودش، بازبینی سالانه یعنی داری روی فرض‌هایی تصمیم می‌گیری که شاید یه سال کهنه باشن.
به گفته نویسنده، نتیجه اینه که CISOهای جلوتر نقشه راه دو تا سه ساله رو دو سرعته می‌کنن. اصول، تعهدهای compliance و شرط‌بندی‌های بزرگ معماری هنوز برای چند سال برنامه‌ریزی می‌شن. ولی ابزارها و تاکتیک‌های روزمره هر ماه، هر هفته و گاهی همون لحظه بازبینی می‌شن. Gartner هم تو نظرسنجی ۲۰۲۶ از بیشتر از ۱۰۰۰ CISO، چابکی رو همین توانایی اولویت‌بندی دوباره سریع تعریف کرده.
تو Grafana Labs، AI agentهایی که کارمندهای غیربرنامه‌نویس ساخته بودن تنظیمات اشتباه و کنترل‌های ناقص رو پیدا کردن. Joe McManus، CISO اونجا، به خاطر همین audit کنترل‌ها و segmentation سیستم‌ها رو به برنامه اضافه کرد. اون معتقده برنامه‌ریزی برای بیشتر از یه سال تقریباً کار بیهوده‌ایه. Grafana هنوز یه goal map دوساله داره، ولی سال دومش مدام عوض میشه و threat modeling طولانی جاشو به sprintهای هفتگی با بازه شش‌هفته‌ای داده.
چیزهای بلندمدت هنوز سر جاشون هستن، مثلاً آمادگی برای تهدید quantum computing یا مهاجرت‌های بزرگ زیرساخت. Jacob Berry از Fable Security دو تا سؤال می‌پرسه: چند نفر باید درگیر کار بشن، و کار چقدر به یه تعهد استراتژیک کسب‌وکار وصله؟ Raja Chris از AIVONS هم می‌پرسه: اگه سال بعد همه vendorها عوض بشن، این تعهد هنوز معنی داره؟ اگه نه، اون یه انتخاب پیاده‌سازیه، نه استراتژی.
بخش آخر مقاله درباره governance هست. نقشه راهی که هر فصل بازنویسی میشه با یه امضای سالانه مدیریت نمی‌شه، و به گفته کارشناس‌ها موفقیت به ارتباط مداوم با هیئت‌مدیره بستگی داره. هیئت‌مدیره‌ها دیگه فقط نمی‌پرسن «امن هستیم؟»، مدرک می‌خوان: چی داره اجرا میشه، کی مسئوله، و چی به داده حساس دسترسی داره. طبق نظرسنجی KPMG، ۴۲٪ مدیرهای امنیت تو نشون دادن بازگشت سرمایه امنیت به هیئت‌مدیره مشکل دارن.
نکات کلیدی:
- نقشه راه امنیت دو سرعته شده: اصول و معماری برای چند سال، ابزار و تاکتیک برای هفته‌ها و ماه‌ها
- Insight Global استراتژی امنیت رو هر فصل بازبینی می‌کنه و افق رو سه ماه جلو می‌بره
- Grafana Labs به جای threat modeling طولانی، sprintهای هفتگی با بازه شش‌هفته‌ای داره
- تست vendor: اگه تعهدی با عوض شدن همه vendorها از بین بره، استراتژی نیست
- طبق KPMG، ۴۲٪ مدیرهای امنیت تو اثبات ROI امنیت به هیئت‌مدیره مشکل دارن
