در حالی که ابزارهای دفاعی و راهکارهای مبتنی بر هوش مصنوعی هر روز پیچیده‌تر می‌شوند، نتایج پژوهش اخیر شرکت Kaseya نشان می‌دهد که کماکان «عامل انسانی» بزرگترین تهدید برای امنیت سایبری سازمان‌ها در سال ۱۴۰۳ و ۱۴۰۴ هجری شمسی محسوب می‌شود. این مطالعه که بر روی بیش از ۱۱۰۰ متخصص IT و ارائه‌دهندگان خدمات مدیریت‌شده (MSP) انجام شده، ابعاد تکان‌دهنده‌ای از وابستگی امنیت داده‌ها به تصمیمات لحظه‌ای کاربران را آشکار کرده است.
چرا انسان‌ها ضعیف‌ترین حلقه زنجیره امنیت هستند؟
بر اساس گزارش منتشر شده، ۶۸ درصد از متخصصان امنیت، «خطای انسانی» را به عنوان نگران‌کننده‌ترین بردار حمله برای ۱۲ ماه آینده شناسایی کرده‌اند. این در حالی است که حملات مبتنی بر ایمیل (فیشینگ و مهندسی اجتماعی) با ۵۵ درصد در رتبه بعدی قرار دارند. واقعیت تلخ این است که هکرها به‌خوبی می‌دانند سیستم‌های مدرن با وجود دیواره‌های آتش (Firewalls) و سیستم‌های تشخیص نفوذ، همچنان از طریق «هدف‌های نرم» یعنی کاربران نفوذپذیر هستند. فقدان آموزش کافی (۴۰ درصد پاسخ‌دهندگان) و زودباوری کاربران (۴۱ درصد)، این آسیب‌پذیری را دوچندان کرده است.
شکاف میان انطباق سازمانی و واقعیت‌های عملیاتی
یکی از چالش‌های بزرگ مطرح شده در این تحقیق، تفاوت میان «پاس کردن حسابرسی‌های امنیتی» و «تاب‌آوری واقعی» است. در حالی که ۶۵ درصد از پاسخ‌دهندگان مدعی‌اند که همین امروز می‌توانند استانداردهای انطباق (Compliance) را با موفقیت پشت سر بگذارند، ۴۹ درصد اعتراف کرده‌اند که مستندات ناقص و رویه‌های اجرایی مبهم، ریسک‌های جدی در زمان وقوع بحران ایجاد می‌کنند. این یعنی بسیاری از سازمان‌ها تنها روی کاغذ ایمن هستند و در لایه‌های عملیاتی، زیرساخت آن‌ها به شدت در برابر خطای انسانی شکننده است.
به سوی تاب‌آوری سایبری (Cyber Resilience)
دیوید بگت، از مدیران ارشد Kaseya، معتقد است که نباید به دنبال حذف کامل خطای انسانی باشیم؛ چرا که انسان ذاتاً جایزالخطاست. به جای تلاش برای کمال‌گرایی در رفتار کاربران، استراتژی باید به سمت «مهندسیِ تاب‌آوری» حرکت کند. مفهوم تاب‌آوری سایبری به معنای طراحی سیستم‌هایی است که حتی در صورت بروز اشتباه از سوی کاربر، مانع از فروپاشی کل شبکه یا سرقت داده‌های حیاتی شوند. این رویکرد مستلزم بازنگری در معماری امنیتی و پذیرش این حقیقت است که نقص‌های انسانی باید در مدل‌سازی ریسک گنجانده شوند.
شاخص‌های کلیدی ریسک امنیتی (۲۰۲۴-۲۰۲۵)
- خطای انسانی: ۶۸٪ – بزرگترین بردار حمله.
- حملات ایمیلی: ۵۵٪ – تهدید دوم.
- زودباوری کاربران: ۴۱٪ – چالش رفتاری.
- کمبود بودجه تخصصی: ۷۷٪ از بخش‌های IT دچار کمبود منابع هستند.
- بودجه متناسب با ریسک: تنها ۲۰٪ سازمان‌ها بودجه‌بندی همگام با تهدیدات دارند.
نتیجه‌گیری برای مدیران زیرساخت
با توجه به اینکه ۷۷ درصد از تیم‌های IT اعلام کرده‌اند که با کمبود منابع و بودجه مواجه هستند، اولویت‌بندی سرمایه‌گذاری باید از صرفِ خرید ابزارهای گران‌قیمت، به سمت «امنیتِ فرایند-محور» تغییر یابد. سازمان‌ها باید با پذیرش ماهیت جایزالخطای انسان، لایه‌های کنترلی (مانند احراز هویت چندعاملی MFA، دسترسی‌های محدود بر اساس اصل حداقل امتیاز یا Least Privilege و پشتیبان‌گیری‌های تغییرناپذیر) را به‌گونه‌ای پیاده‌سازی کنند که یک اشتباه ساده در کلیک روی لینک مخرب، منجر به یک فاجعه امنیتی نشود.
