پیوند امنیت سایبری و حسابداری؛ دادگاهی برای مبارزه با جرائم

در عصر تحول دیجیتال، بیگ دیتا و پذیرش روزافزون راه‌حل‌های مبتنی بر فناوری در کسب‌‌وکارها، جای تعجب نیست که عوامل تهدید از ضعف‌های امنیت سایبری برای سرقت اطلاعات حساس، اخاذی وجوه یا تخریب چشم‌انداز شرکت استفاده کنند.

چنین مسائل پیچیده‌ای اغلب نیازمند راه‌حل‌هایی به همان اندازه پیچیده هستند. شاید بهترین راه‌حل بهره‌گیری از تیم‌های چندوجهی  جهت پرکردن شکاف بین عملکردهای فناوری و مالی در سازمان است.

کارشناسان امنیت سایبری، دارایی ارزشمندی در پیشگیری، شناسایی و پاسخ به نقض داده‌ها، نفوذهای سایبری و سایر آسیب‌پذیری‌های مرتبط با فناوری هستند. به همین ترتیب، حسابداران دادگاهی نیز در تشخیص تخلفات تجاری، روندهای غیرمعمول، ناهنجاری‌های مالی، سوءاستفاده از دارایی‌ها و رفع ضعف‌های کنترلی مربوطه، آموزش‌دیده و ماهر هستند. کارشناسان امنیت سایبری و حسابداران دادگاهی که از نزدیک با یکدیگر همکاری می‌کنند، می‌توانند ضربه­ای کاری به جرایم شرکتی بزنند. در این مطلب در مورد چگونگی درهم‌تنیدگی مجموعه‌ی مهارت‌ها و نحوه‌ی استفاده‌ی مشترک از تخصص کارشناسان امنیت سایبری و حسابداری دادگاهی، در هنگام آشکار شدن مسائل امنیت سایبری بحث می‌کنیم.

مجموعه مهارت‌های مکمل

ریسک امنیت سایبری حول محور حفاظت و نگهداری از سیستم‌ها و منابع داده‌ای موجود در آن‌هاست که در مجموع دارایی‌های شرکتی هستند. متخصصان باتجربه‌ی امنیت سایبری می‌توانند تاحد امکان در کمک به سازمان‌ها در ارزیابی ریسک امنیت داده‌ها و سپس طراحی و پیاده‌سازی فرایندها، سیستم‌ها و کنترل‌ها بر اساس استانداردهای صنعتی کاهش ریسک، مؤثر باشند.

 وقتی بررسی نقض‌های احتمالی امنیت داده‌ها انجام شود، تیم‌های واکنش به ریسک‌های امنیت سایبری باید شامل متخصصان ماهری باشند که بتوانند از انواع تکنیک‌های سنتی و پیشرفته از جمله مصاحبه، انجام تجزیه‌وتحلیل داده‌ها بر روی داده‌های سیستم مربوطه و استفاده از ابزارهای فناوری محور برای شناسایی ریسک‌های دیجیتال استفاده کنند. بخش انسانی در امنیت سایبری نیازمند تجربه‌ی عملی است، از شناسایی ضعف‌های رایجی که مورد سوءاستفاده قرار می‌گیرند تا تاکتیک‌هایی که بازیگران را تهدید می‌کند، و همچنین کسب آگاهی عمیق از ویژگی‌هایی که برای شناسایی مهاجمان احتمالی مفید هستند.

صلاحیت‌های متخصصان امنیت سایبری شبیه به صلاحیت­های حسابداران دادگاهی است. یک متخصص حسابداری دادگاهی ماهر، درک عمیقی از فرایندهای تجاری و کنترل‌های داخلی، آزمون‌های کنترل‌های داخلی، نحوه‌ی ذخیره‌سازی و استفاده از داده‌ها در فرایندهای تجاری و تجربه‌ی زیادی در اشکال تقلب شرکتی از جمله نحوه‌ی سوءاستفاده از اطلاعات شرکتی در داخل یا توسط اشخاص ثالث را به ارمغان می‌آورد. حسابداران دادگاهی اغلب از تکنیک‌های فراتر از مراحل حسابرسی سنتی، همچون جمع‌آوری و جست‌وجو در رسانه‌های الکترونیکی مانند ایمیل، نرم‌افزارهای تجزیه‌وتحلیل، تجسم برای شناسایی روندهای بیگ دیتا، انجام مصاحبه‌های اطلاعاتی یا مقابله‌ای با شاهدان و بررسی سوابق کلیدی برای شناسایی شواهد بالقوه‌ی سوءرفتار، استفاده می‌کنند.

متخصصان امنیت سایبری و حسابداری دادگاهی DNA مشابهی دارند، تفاوت اصلی این است که اولی به طور گسترده بر حفاظت از سیستم‌های فناوری محور و داده‌ها تمرکز دارد، درحالی‌که دومی بر حفاظت از اطلاعات مالی و دارایی‌ها تمرکز دارد. بااین‌حال، این دو حوزه‌ی تمرکز اغلب به طور جدانشدنی درهم‌تنیده شده‌اند و یک هم‌افزایی طبیعی برای متخصصان امنیت سایبری و حسابداری دادگاهی ایجاد می‌کنند تا به ترتیب به‌عنوان دست راست و چپ در مورد یک موضوع عمل کنند.

چگونه این دو می‌توانند با هم کار کنند؟

خواه موضوع فرایندها و کنترل‌های قبل از حادثه‌ی سایبری باشد، خواه موضوع اصلاح پس از حادثه‌ی سایبری باشد، سازمان‌ها می‌توانند از داشتن مهارت‌های چندرشته‌ای بهره ببرند. کار متخصصان امنیت سایبری برای شناسایی این‌که چه کسی، چه چیزی، کجا و چگونه باعث نقض می‌شود بسیار مهم است. حسابداران دادگاهی نیز می‌توانند این یافته‌ها را با شناسایی موارد ذیل تکمیل کنند:

• چگونه یک حادثه‌ی سایبری ممکن است بر کنترل‌های کسب‌وکار تأثیر گذاشته باشد.
•  محاسبه‌ی زیان‌های احتمالی
•  ارزیابی افشا یا الزامات حسابداری به‌عنوان یک موضوع گزارش مالی
• کمک به جمع‌آوری شواهد برای ادعاهای احتمالی بیمه

مفهوم امنیت سایبری و حسابداری دادگاهی را شاید بتوان با چند مثال فرضی اما واقعی به بهترین نحو بیان کرد. فرض کنیم شرکت سهامی عام تحول دیجیتال را در فهرست اولویت‌های کلیدی خود قرار داده است. این سفر با دیجیتالی کردن سیستم مدیریت قراردادها، ذخیره و مدیریت قراردادهای فروشنده و ویژگی‌های مرتبط آن، آغاز می‌شود. این سیستم مدیریت قرارداد برای تبادل اطلاعات مستقیم با سیستم خرید شرکت و برای ایجاد کارایی در فرآیند سفارش و پرداخت کالاها و خدمات راه‌اندازی می‌شود اما به دلیل ضعف‌های ناشناخته‌ی سیستم، یک عامل تهدید مخرب با نفوذ در سیستم مدیریت قرارداد جدید، با موفقیت شبکه‌ی شرکت را هک می‌کند و به داده‌ها دسترسی پیدا می‌کند و در نهایت به سیستم خرید وارد می‌شود. سپس عامل تهدید می‌تواند از نظر تئوری مسیر جزئیات پرداخت فروشنده را تغییر دهد تا پرداخت‌ها را به حساب‌های بانکی تحت کنترل خود هدایت کندکه منجر به سوءاستفاده از پرداخت‌های فروشنده می‌شود. موقعیت‌هایی مانند این اغلب تا زمانی که فردی پرچم قرمز را برافراشته نمی‌کند( مانند فروشنده‌ای که شکایت می‌کند پولی از بابت صورت‌حساب‌های سررسید گذشته دریافت نکرده است)، شناسایی نمی‌شوند.

اگرچه این تنها یک مثال ساده است، نشان می‌دهد که چگونه تحول دیجیتال می‌تواند منجر به آسیب‌پذیری‌های جدید سیستم شوند و می‌تواند توسط کلاهبرداران باهوش مورد سوءاستفاده قرار گیرند. یک تیم با صلاحیت امنیت سایبری که در کنار حسابداران دادگاهی کار می‌کند، نه تنها امکان شناسایی سیستم‌ها و آسیب‌پذیری‌های دیجیتال موجود در بازی را فراهم می‌کند، بلکه  امکان استقرار رویه‌های تجاری، فرآیندها و کنترل‌های داخلی را که قبلاً برای جلوگیری یا شناسایی سوء استفاده‌های قبل از ضرر طراحی نشده‌اند، به ارمغان می‌آورد. با این دانش جمعی، تیم‌های ترکیبی می‌توانند با سرعت بیش‌تری به سازمان کمک کنند تا شکاف‌های فناوری و کنترل داخلی را پر کنند، شیوه‌های نظارتی جدید را پیاده‌سازی کند و تأثیر آن بر سازمان را کمی‌سازی نمایند.

ناگفته نماند که هیچ دو نفوذ سایبری مشابه هم نیستند، اما در تمام آن‌ها انگیزه‌ی مالی قوی وجود دارد. مجرمان به طور مداوم به دنبال راه‌های جدیدی برای ضربه‌زدن به نقاط کلیدی هستند. در مبارزه با حملات سایبری سودجویانه، کارشناسان امنیت سایبری و حسابداری دادگاهی که در کنار یکدیگر کار می‌کنند، خط مقدم دفاعی قدرتمندی را ایجاد می‌کنند.