مدیریت امنیت سایبری در سازمان ها فقط به انتخاب یک محصول قدرتمند محدود نمی شود، بلکه نحوه تهیه، تخصیص و تمدید مجوزهای نرم افزاری هم جزئی از همین فرایند است. بد نیست بدانید که حتی سازمان هایی که از راهکارهای شناخته شده ای مثل محصولات کسپرسکی فارسی استفاده میکنند، به دلیل نداشتن برنامه مشخص برای مدیریت لایسنس ها ممکن است با هزینه های اضافی یا پوشش امنیتی ناقص روبرو شوند.
هنگام خرید لایسنس کسپرسکی یا هر نرم افزار امنیتی دیگر باید عواملی مثل تعداد تجهیزات، نوع محصول، مدت اعتبار و نیازهای عملیاتی همزمان بررسی شوند. از طرفی انتخاب آنتی ویروس سازمانی بدون شناخت دقیق زیرساخت فناوری اطلاعات، میتواند به خرید مجوزهای غیرضروری یا نادیده ماندن بعضی تجهیزات منجر شود. در این شرایط مسئله اصلی فقط انتخاب محصول نیست و ایجاد یک فرایند منظم برای مدیریت چرخه عمر لایسنس ها اهمیت بیشتری دارد.
در ادامه پنج اشتباه متداول در این فرایند را بررسی میکنیم و راهکارهایی را توضیح میدهیم که واحدهای فناوری اطلاعات و مدیران خرید میتوانند برای کم کردن هزینه و بهتر شدن پوشش امنیتی از آنها استفاده کنند.
اشتباه اول: انتخاب محصول پیش از ارزیابی نیازهای امنیتی
یکی از خطاهای رایج در خرید نرمافزارهای امنیتی این است که سازمان اول سراغ قیمت و مشخصات محصولات میرود و بعد سعی میکند آنها را با زیرساخت خودش تطبیق بدهد. نتیجه این رویکرد گاهی انتخاب محصولی است که بخشی از قابلیت هایش بلااستفاده می ماند یا نیازهای اصلی سازمان را پوشش نمیدهد.
برای مثال نیازهای امنیتی یک شرکت خدماتی با چند ده کارمند لزوما با یک مجموعه دارای چند شعبه، سرورهای متعدد و دسترسی های راه دور یکسان نیست. تعداد کاربران، نوع دادههای تحت حفاظت، ساختار شبکه و حساسیت سرویس های عملیاتی همگی در تعیین سطح حفاظت مورد نیاز نقش دارند.
پیش از بررسی گزینه های موجود بهتر است سازمان تصویر روشنی از زیرساخت خودش داشته باشد. مشخص کردن تجهیزات، سیستم عامل ها، سرورها، نحوه اتصال کاربران دورکار و الزامات امنیتی، مبنای بهتری برای انتخاب راهکار میسازد. در همین مرحله مقایسه نسخه های مختلف محصولات کسپرسکی هم باید بر اساس قابلیت های مورد نیاز انجام شود، چون پرداخت هزینه برای امکاناتی که سازمان به آنها احتیاج ندارد به اندازه انتخاب نسخه ای با قابلیت کمتر از نیاز واقعی غیراقتصادی است.
اشتباه دوم: محاسبه تعداد لایسنس ها بدون تهیه فهرست تجهیزات
تعیین تعداد مجوزهای مورد نیاز ساده به نظر میرسد، اما در سازمانهایی که زیرساختشان به تدریج گسترش پیدا کرده همیشه اطلاعات یکپارچه ای درباره تمام تجهیزات وجود ندارد.
گاهی تعداد رایانه های اداری مشخص است اما لپتاپ های کارکنان دورکار، سرورهای مجازی، تجهیزات جدید یا سیستم هایی که در شعبه های دیگر کار میکنند وارد محاسبات اولیه نمی شوند. در مقابل ممکن است برای دستگاه هایی که دیگر استفاده نمیشوند هم هنوز هزینه پرداخت شود. نتیجه این وضعیت اختلاف بین تعداد لایسنس های خریداری شده و نیاز واقعی سازمان است که یا بودجه را بالا میبرد یا باعث میشود بخشی از تجهیزتا بیرون از محدوده حفاظت باقی بمانند.
برای جلوگیری از این مشکل، قبل از خرید یا تمدید لایسنس آنتی ویروس کسپرسکی باید فهرستی از دارایی های فناوری اطلاعات تهیه شود. این فهرست میتواند شامل نوع دستگاه، سیستم عامل، محل استقرار، واحد مسئول، وضعیت استفاده و راهکار امنیتی نصب شده باشد. بعد از آماده شدن فهرست، تعداد تجهیزات باید با شرایط مجوز محصول تطبیق داده شود. به خاطر داشته باشید که تعداد دستگاه های تحت پوشش و نحوه محاسبه مجوز در محصولات مختلف فرق میکند و نمی شود بدون بررسی شرایط هر محصول یک قاعده واحد برای همه لایسنس ها در نظر گرفت.
اشتباه سوم: موکول کردن تمدید به روزهای پایانی اعتبار
تمدید لایسنس معمولا نسبت به خرید اولیه ساده تر به نظر میرسد و همین تصور باعث میشود بعضی سازمان ها پیگیری آن را تا روزهای آخر عقب بیندازند. مشکل وقتی پیش می آید که تاریخ انقضای چند مجوز به هم نزدیک باشد، مسئول خرید در دسترس نباشد یا فرایند تایید بودجه بیشتر از زمان پیش بینی شده طول بکشد. در چنین شرایطی تیم فناوری اطلاعات فرصت کافی برای بررسی گزینه ها، هماهنگی با تامین کننده و انجام به موقع تمدید ندارد.
پایان اعتبار یک لایسنس را هم نباید با خاموش شدن کامل قابلیت های امنیتی محصول یکی دانست. رفتار محصول بعد از انقضا به نوع مجوز و شرایط آن بستگی دارد، اما محدود شدن امکانات یا بروزرسانی های مرتبط با مجوز میتواند روی سطح حفاظت اثر بگذارد و باید پیش از رسیدن به این مرحله بررسی شود.
راهکار عملی ایجاد یک تقویم متمرکز برای تمدید است. برای هر مجوز باید تاریخ انقضا، تعداد تجهیزات، مسئول پیگیری و زمان لازم برای تامین بودجه ثبت شود. شروع فرایند تمدید حدود یک ماه قبل از انقضا در بسیاری از سازمان ها فرصت مناسبی برای بررسی شرایط و جلوگیری از تصمیم های عجولانه فراهم میکند، البته این بازه را باید با توجه به فرایندهای داخلی هر شرکت تنظیم کرد.
اشتباه چهارم: خریدهای پراکنده و نبود مدیریت متمرکز لایسنس ها
وقتی واحدهای مختلف یک سازمان به صورت مستقل برای تهیه نرم افزار اقدام میکنند، احتمال ایجاد فهرست های ناقص و تصمیم های ناهماهنگ بیشتر میشود. ممکن است واحد فناوری اطلاعات از مجوزهایی که یک شعبه خریده خبر نداشته باشد یا واحد مالی نتواند هزینه تمدیدهای مختلف را درست با هم تطبیق بدهد. این مسئله فقط به بالا رفتن هزینه محدود نمیشود و نبود اطلاعات یکپارچه، هم پیش بینی بودجه سالانه را سخت میکند و هم ارزیابی وضعیت پوشش امنیتی را با مشکل روبرو میسازد.
برای مثال اگر مجوزهای یک محصول در چند مرحله و توسط واحدهای مختلف تهیه شده باشند، تاریخ انقضا، شرایط قرارداد و مسئولیت پیگیری آنها هم فرق خواهد داشت. در این حالت تمدید هر مجموعه تبدیل به یک فرایند جداگانه میشود و احتمال از دست رفتن مهلت ها بالاتر میرود.
ایجاد یک سامانه یا فهرست متمرکز برای ثبت اطلاعات لایسنس ها میتواند بخش زیادی از این مشکلات را حل کند. در این فهرست باید اطلاعاتی مثل نام محصول، نوع مجوز، تعداد، تاریخ خرید، تاریخ انقضا، شماره سند خرید و مسئول مربوطه ثبت شود. بازبینی دورهای این اطلاعات هم اهمیت دارد؛ سازمان میتواند در بازه های مشخص تعداد مجوزهای فعال را با تجهیزات موجود تطبیق بدهد و درباره تمدید، کاهش یا افزایش تعداد آنها تصمیم بگیرد. این روش مخصوصا برای شرکت هایی که چند شعبه دارند یا زیرساختشان در حال توسعه است کاربردی تر است.
اشتباه پنجم: در نظر نگرفتن خدمات فنی و شرایط تامین در تصمیم خرید
مقایسه پیشنهادهای فروشندگان بر اساس قیمت نهایی روش رایجی برای ارزیابی خریدهای سازمانی است، اما وقتی خدمات همراه محصول در پیشنهادها یکسان نباشد، این مقایسه تصویر کاملی از هزینه ها نمیدهد. برای نمونه ممکن است یک پیشنهاد فقط شامل تامین لایسنس باشد و پیشنهاد دیگر خدماتی مثل راهنمایی در انتخاب نسخه، نصب، پیکربندی اولیه یا پیگیری تمدید را هم در بر بگیرد. البته ارائه این خدمات به نوع قرارداد و توافق طرفین بستگی دارد و نباید بدون بررسی آنها را جزو هر خرید فرض کرد.
قبل از تصمیمگیری سازمان باید مشخص کند چه خدماتی را با منابع داخلی خودش میتواند انجام بدهد و برای چه مواردی به کمک تامین کننده نیاز دارد. همچنین وضعیت همکاری فروشنده با تولیدکننده، شرایط استفاده از مجوز، اسناد خرید و روش رسیدگی به مشکلات احتمالی هم باید بررسی شود.
در انتخاب نماینده کسپرسکی در ایران هم بهتر است سازمان فقط به عنوان یا ادعای فروشنده اکتفا نکند. وضعیت همکاری تجاری باید از طریق منابع معتبر قابل بررسی باشد و دامنه خدمات ارائه شده هم به صورت شفاف مشخص شود.
گروه آتنا در حوزه محصولات و راهکارهای کسپرسکی فعالیت میکند. سازمان هایی که قصد بررسی گزینه های خرید یا تمدید را دارند میتوانند اطلاعات محصولات و خدمات مرتبط را در صفحه لایسنس کسپرسکی آتنا ببینند و بر اساس نیازهای فنی و شرایط خرید خودشان گزینه های مناسب را بررسی کنند.
سه اقدام برای مدیریت بهتر لایسنس های امنیتی
اصلاح این اشتباه ها لزوما به خرید ابزارهای مدیریتی پیچیده نیاز ندارد و در خیلی از سازمان ها تعریف یک فرایند مشخص و تعیین مسئولیت ها میتواند نقطه شروع خوبی باشد.
- تهیه فهرست دارایی ها و مجوزها: تمام تجهیزات و لایسنس های فعال باید در یک مرجع مشخص ثبت شوند. این اطلاعات مبنای محاسبه تعداد مورد نیاز، شناسایی مجوزهای بلا استفاده و برنامه ریزی تمدید خواهد بود.
- تعریف فرایند ثابت برای تمدید: تاریخهای انقضا باید به صورت متمرکز ثبت شوند و مسئول پیگیری هر مجوز مشخص باشد. زمان کافی برای تایید بودجه، بررسی پیشنهادها و انجام مراحل خرید هم باید در نظر گرفته شود.
- بازبینی سالانه نیازهای امنیتی: تعداد تجهیزات، ساختار شبکه و نیازهای سازمان در طول زمان تغییر میکند و بازبینی دورهای کمک میکند تعداد مجوزها و نوع محصولات با وضعیت فعلی سازمان هماهنگ بماند.
این اقدامات زمانی اثر بخش تر میشوند که واحدهای فناوری اطلاعات، مالی و خرید درباره اطلاعات مورد نیاز و مسئولیت های هر کدام به توافق برسند. مدیریت لایسنس نباید فقط موقع خرید یا نزدیک شدن به تاریخ انقضا مورد توجه قرار بگیرد، چون این فرایند بخشی از مدیریت مستمر دارایی های نرم افزاری سازمان است.
جمع بندی
بخش مهمی از هزینه های اضافی در خرید و تمدید آنتی ویروس نه از ضعف محصول، بلکه از نبود اطلاعات دقیق و فرایندهای منظم ایجاد میشود. انتخاب محصول بدون ارزیابی نیازها، محاسبه نادرست تعداد تجهیزات، تمدید دیرهنگام، خریدهای پراکنده و بی توجهی به شرایط تامین پنج مسئله ای هستند که با برنامه ریزی مناسب میشود از بروز آنها جلوگیری کرد.
برای سازمانهایی که از محصولات کسپرسکی استفاده میکنند، مدیریت یکپارچه مجوزها و بازبینی دورهای نیازهای امنیتی زمینه تصمیم گیری دقیقتر درباره خرید و تمدید را فراهم میکند. نتیجه این رویکرد فقط کنترل بهتر هزینه ها نیست، بلکه شفافیت بیشتر در مدیریت دارایی های نرم افزاری و امکان برنامه ریزی منظم تر برای حفظ پوشش امنیتی سازمان هم هست.
نظر شما در مورد این مطلب چیه؟