|
مصاحبه با يكي از تحليلگران گارتنر در مورد امنيت آي تي
امنيت روز افزون شبكه
|
|
|
|
|
|
جان پسكيتر از گارتنر مانند بسياري از تحليلگران صنعت از كار عملي در تكنولوژي شروع كرد. او كار خود را در ادارات دولتي آغاز كرد و سپس 11 سال در GTE كار كرد. پسكيتر كه در حال حاضر به عنوان قائم مقام گارتنر فعاليت مي كند و بخش حريم خصوصي و امنيت را سرپرستي مي كند اخيرا در مورد شروع كارش در IT با سردبير Network World مصاحبه اي انجام داده و در مورد اينكه چگونه شاهد تكامل بازار در طول 25 سال فعاليتش بوده توضيحاتي داده است كه مختصري از آن را مي خوانيم.
- درباره چگونگي شروع كارتان در عرصه IT صحبت كنيد.
وقتي در سال 1978 كالج را تمام كردم در National Security Agency مشغول به كار شدم. اين كار قبل از كار در بخش امنيت كامپيوتر و امنيت شبكه بود. كار تماما درباره امنيت اطلاعات و امنيت ارتباطات بود. من حدود چهار سال ديگر در كار دولتي ماندم و مشغول كار در U.S. Secret Service شدم. در آنجا سيستم هاي امنيتي را مي ساختم. هيچ كس آنجا را دپارتمان IT نمي ناميد اما ما سيستم هاي IT را براي استفاده هاي خاص مي ساختيم.
سپس من كار دولتي را رها كرده و به مدت 11 سال در GTE كار كردم. من آنجا به عنوان پيمانكار پشتيبان در ساخت سيستم هاي محاسباتي امن براي جامعه هوشمند كار مي كردم. در اين شغل نگراني هاي زيادي درباره سيستم هاي محاسباتي امن پيش روي اينترنت مثل ملزومات NSA و Orange Book براي امنيت چند سطحي وجود داشت. در اين شغل از سال 1985 تا 1990 فعاليت داشتم.
- چه چيزي باعث شد شما از كاركردن در تكنولوژي دست كشيده و به تحليل بازار و توصيه و مشاوره دادن به ديگران بپردازيد؟
با كار كردن در اين عرصه متوجه شدم كه متخصصان امنيت اين راه را بسيار پيچيده ساخته اند. قبل از آن دنياي كامپيوترها از ترمينال هاي بي صدا و (Digital Equipment Corp) DEC VAXe ساخته شده بود كه فراتر از مين فريم بود و كامپيوتر شخصي حضور در صحنه را آغاز كرد. اين موضوع بر من تاثير گذاشت و به خود گفتم: اگر امنيت بتواند فقط به تجارت نه بگويد پس شكست مي خورد. اين چيزي بود كه در دنياي امنيت چند سطحي اتفاق افتاد. بنابراين بعد از 11 سال كار كردن در GTE هم بر روي پروژه هاي دولتي و هم كاركردن بر روي پروژه هاي تجاري تشخيص دادم كه وقت تغيير براي من فرارسيده است. در ضمن من با فروشندگاني كار كردم كه چشمان مرا باز كردند.
- از كار كردن با فروشندگان بگوييد.
من به مدت 3 سال براي فروشندگان محصولات امنيتي كار كردم. كارهايي كه انجام دادم عبارتند از: كار در صنايع PKI و فايروال، مديريت گروه هاي مشاوره اي و كمك به شركت ها در راه اندازي سازمان ها، معماري و سياست هاي امنيتي. بار ديگر متوجه شدم كه متخصصان امنيت به جاي ارائه راهكارهايي براي ايمن ساختن كارهاي تجاري فقط مي توانند كارها را متوقف سازند.
دومين مسئله اي را كه فهميدم اين بود كه صنعت فروش راهكارهاي امنيتي روش دفاع و آگاهي را در پيش گرفته بود. پيغام فروشندگان به مشتريان اين است : هر چه خريداري مي كرديد باز هم بخريد و محصول مرا نيز خريداري كنيد. من با خود فكر كردم كه اين كار احمقانه است. بيشتر وقت ها وقتي مشاوره مي دهيد به مردم مي گوييد كه (شما به نام دفاع و آگاهي) 3 محصول داريد كه دقيقا يك كار مشابه انجام مي دهند. بدين طريق در سال 1999 به گارتنر رفتم.
- چگونگي شروع به همكاري با گارتنر را توضيح دهيد.
رفتن به آنجا تا حدي تصادفي بود (همانطور كه اكثر كارها براي من اين گونه بود) اگر براي مدت زمان زيادي يك جا كار كنيد، مثل زمانيكه من 11 سال براي GTE كار كردم، مسئوليتهاي زيادي بر دوشتان خواهد بود. من تمام كارهاي تحقيقاتي و بودجه بندي توسعه را مديريت مي كردم و تمام سرمايه گذاري ها و تجهيزات بودجه را تنظيم مي نمودم. براي اينكار بايد واقعا يك تحليلگر بود و بتوان تصميم گيري كرد . بسيار خوب من اين مقدار پول را براي R&D دارم، اين نرم افزارها و تجهيزات را دارم و اين شركت هاي تجاري اين درخواست ها را كرده اند، حال چگونه اين درخواست ها را در مقابل كارهاي تجاري و نيازهاي شركت آناليز كنيم، آيا اين پروژه ها كافي و كامل هستند. در انتهاي يازدهمين سال كاري تشخيص دادم كه كارهاي مهندسي انجام نمي دهم. رشته من مهندسي برق بوده اما در اين رابطه كار نمي كنم. من در حال آناليز كردن آنچه ديگران انجام مي دادند بودم. داشتم آن را با نيازهاي يك تصور بزرگ مقايسه مي كردم. بدين گونه توصيه هايي در باره اينكه در كجا سرمايه گذاري كنيم و چگونه اين كار را انجام دهيم به رئيس واحد تجاري كردم. من گزارشات فراواني مي نوشتم و تحقيقات مفصلي انجام مي دادم بنابراين وقتي موقعيتي پيش آمد تا يك تحليلگر شوم متوجه شدم كه آنها نيز همين كار را انجام مي دهند اما به جاي يك شركت براي شركت هاي متعدد كار مي كنند.
- فكر مي كنيد چه تجاربي از كار كردن با تكنولوژي هاي امنيتي اكنون به شما كمك مي كند كارتان را به عنوان يك تحليلگر صنعت به خوبي انجام دهيد؟
دو چيز وجود دارد كه بايد به عنوان يك تحليلگر انجام دهيد. گفتن اينكه تصوير بزرگ را ببين آسان است، اما بايد بدانيد كه تصوير بزرگ براي همه يكسان نيست. براي يك تحليلگر آسان است كه بگويد: اين آن چيزي است كه بايد انجام شود. اما بايد دانست كه چه چيزي به طور واقعي مي تواند انجام شود و چه چيزي بايد انجام شود. مجددا دفاع و آگاهي در تئوري عالي است و همه ما مي توانيم بگوييم: امنيت مقصد نيست، بلكه يك سفر است. اما اگر در مسافرت هستيد بايد بدانيد كجا مي خواهيد برويد، بايد در مورد مسير درست تصميم گيري كنيد و نمي توانيد هر كاري را انجام دهيد. براي كنترل بودجه مجدد تحقيق و گسترش(R&D) و كنترل 50 فردي كه مي خواهند 5 برابر بودجه تعيين شده هزينه كنند مجبوريد مبادلاتي انجام دهيد.
- وقتي صحبت از امنيت مي شود چگونه مي توانيد مشتريان را به سازش كردن توصيه نماييد؟ به نظر مي رسد توجيه مضايقه در بودجه اندكي مشكل باشد.
امنيت همه اش درباره اولويت بندي، ريسك ها و مبادلات است. شما نمي توانيد هر چه را فروشندگان به شما توصيه مي كنند خريداري كنيد و نمي توانيد به هر پروژه اي كه واحدهاي تجاري مي خواهند جواب مثبت بدهيد. امنيت همه اش درباره رسيدن به نقطه مصالحه انجام همه كارهايي است كه مي توانيد انجام دهيد و رسيدن به امنيتي كه مي توانيد داشته باشيد.
- چه جنبه اي از كار كردن در گارتنر به شما كمك مي كند مسايل و مشكلات امروزي موجود در امنيت شبكه را درك كنيد؟
نيمي از روزهاي هفته من با سرويس گيرندگان شركت تلفني صحبت مي كنم. اين كار چشم مرا باز كرده است. من تجربه كار در IT را براي ساليان دراز داشته ام، اما 11 سال با GTE كار كردم كه يك شركت صنعتي است. در گارتنر، در طول هفته من با 20 سرويس گيرنده از 20 شركت مختلف و 5 صنعت مختلف صحبت مي كنم. اين همان بخشي است كه به من كمك مي كند.
- چگونه صحبت كردن با چند شركت با تجربه عملي خودتان با تكنولوژي مقايسه مي شود؟
بسياري از سيستم هاي ساخته شده براي NSA براي آنچه آنها تحليلگر مي نامند ساخته شده اند، اما معناي واقعي آن تحليلگر هوشمند است. آنچه تحليلگران هوشمند انجام مي دهند بررسي بخش هاي كوچكي از ديتا است. البته چه كارشان را درست انجام دهند چه اشتباه كاملا مشخص خواهد شد. اما آنها هميشه يك تصوير ناقص دارند و ورودي ها را از منابع زيادي دريافت مي كنند. تحليلگران بايد الگو را بشناسند و گرايشات را نيز شناسايي كنند. در اينجا نيز همينطور است تجربه من در كار كردن در يك محل مدتي طولاني الگوي چگونگي عملكرد GTE را به من نشان داد. اما در گارتنر من مي توانم با صحبت كردن با تعداد زيادي از مشتريان الگوهاي نيازهاي واقعي آنها را بشناسم. و وقتي فروشندگان به صحبت كردن درباره ساخت چيزي كه با هزينه هماهنگ باشد مي رسند ما آن را يك خوش بيني مي بينيم. زيرا مسير آنها با مسير كاربر نهايي در ارتباط است.
- وقتي بدعت گذاران اشتباه مي كنند چه اتفاقي مي افتد؟ با تكنولوژي هايي كه درباره آنها گزافه گويي شده چگونه رفتار مي كنيد؟
فروشندگان و افرادي مثل شما از ما مي خواهند به عنوان تحليلگر يكپارچگي فيزيكي و امنيت اطلاعات را توضيح دهيم و مي خواهند بدانند چرا اين مسئله يك گرايش جديد است. من مجبورم به آنها بگويم خير اين يك گزارش نيست. سرويس گيرنده هايي وجود دارند كه ممكن است سيستم هاي سرهم بندي شده را خريداري كنند اما اين يك گرايش گسترده نيست. گاهي صحبت هايي مي شود و عملي نمي گردند. كاركردن در IT كمك مي كند محدوديت هاي دنياي واقعي را كه متخصصان امنيت IT ايجاد مي كنند، بشناسيد. حقيقت در جايي است كه شركت هاي تحليلگر با شركت هاي تجاري گفتگو مي كنند. صادقانه بايد بگويم به اين دليل من مدتها در گارتنر مانده ام. بدون تعامل با سرويس گيرنده ها توصيه هايتان غيرمفيد است.
- امنيت با چه روش هايي تكامل يافته است؟
امروزه امنيت واقعا قدرتي براي نه گفتن ندارد. اين بزرگترين تغييري است كه از اوايل دهه 1980 با ظهور كامپيوترهاي شخصي و اينترنت آغاز شد. اگر يك تكنولوژي جديد يا حتي يك فرآيند تجاري ظاهر شود و تجارت بتواند با آن پول به دست آورد حتما آن را به كارخواهد گرفت. اكنون امنيت به جاي گفتن نه ما نمي توانيم تكنولوژي بي سيم داشته باشيم مجبور است كه بگويد بسيار خوب ما بايد بي سيم داشته باشيم حال چگونه مي توانيم از آن با امنيت كامل استفاده كنيم.
- به نظر مي رسد تهديدهاي زيادي وجود داشته باشند كه بايد تحت كنترل قرار گيرند. براي كنترل خطرات چه راهكارهايي داريد؟
تغيير بزرگ ديگر در مورد تهديدها است. انگيزه هاي زيادي براي تهديدها ايجاد شده است و اين اتفاق از سال 2003 به بعد افتاده است. تا قبل از سال 2003 انواع Wormها، ويروس ها و بعضي دردسرها تهديد به شمار مي رفتند. گاهي اوقات دردسرها بر كارهاي تجاري تاثيري گذاشت و بيشتر به شكل قطع برق همه را آزار مي داد. از آن به بعد انگيزه هاي مالي با حملات ديده مي شد. اين گونه حملات تاثير بزرگي بر كارهاي تجاري مي گذارند. اين مسئله فشار بيشتري بر متخصصان امنيت وارد مي آورد و آنها نمي توانند فقط با گفتن اينكه ما به شما گفته بوديم اين كار را نكنيد خود را راحت كنند.
- امروزه صنعت امنيت تا چه حد با رشته اي كه در كالج خوانده ايد قابل مقايسه است؟
اكنون امنيت بسيار مهم تلقي شده و هجوم به طرف آن ديده مي شود زيرا بسيار قابل رويت شده است. بسياري از سرمايه گذاران با جرأت در آن سرمايه گذاري مي كنند. تا 10 سال پيش امنيت چندان اهميت نداشت فقط تعدادي از مردم در اين حوزه كار مي كردند. موضوع امنيت نيز مانند منبع باز بود. همه با هم كار مي كردند و تمام موضوع امنيت به اين برمي گشت كه امنيت خوب است. اما وقتي موضوع پول به ميان آمد همه چيز تغيير كرد. امنيت نيز مانند بسياري ديگر از بازارها اهميت پيدا كرده. اين تغيير بزرگي است. امنيت نيز اكنون بازار خودش را دارد.
ترجمه: عميد نمازي خواه
Network World
|
