شرکت‌های بزرگ در گزارش‌های سالانه خود تا چه اندازه درباره ریسک‌های امنیت سایبری شفاف هستند؟

Host: سلام و درود به همه شنوندگان گرامی. به پادکست A.I.S. Insights خوش آمدید؛ با حمایت Living Knowledge. من آنا آیوی سامرز هستم و امروز به یکی از مباحث حیاتی برای مدیران و رهبران کسب‌وکار می‌پردازیم: شفافیت در امنیت سایبری. موضوع گفتگوی امروز ما بر اساس یک مطالعه بسیار خواندنی با عنوان «شیوه‌های شفافیت ریسک سایبری: تحلیل گزارش‌های سالانه شرکت‌های CAC 40» است. این مطالعه بررسی می‌کند که شرکت‌های مطرح فرانسوی چگونه در فاصله سال‌های ۲۰۱۹ تا ۲۰۲۲ ریسک‌های امنیت سایبری خود را طبق رهنمودهای سازمان اوراق بهادار و بازارهای اروپا یا همان ESMA گزارش کرده‌اند. در کنار من، تحلیل‌گر ارشد ما، الکس ایان ساترلند حضور دارد. الکس، خیلی خوش آمدی.
Expert: سلام آنا، از دعوتت بسیار ممنونم. همیشه از همراهی با شنوندگان فهیم این برنامه و گفتگو درباره تقاطع مدیریت، تکنولوژی و ریسک لذت می‌برم.
Host: الکس، برای شروع، بیایید سراغ ریشه مشکلی برویم که این مطالعه روی آن دست گذاشته است. با اینکه حملات سایبری هر روز پیچیده‌تر و زیان‌بارتر می‌شوند، چرا شرکت‌های سهامی عام هنوز در گزارش این ریسک‌ها با مشکل جدی مواجه هستند؟
Expert: این یک چالش بزرگ در دنیای تجارت مدرن است. از یک طرف، نهادهای ناظر و قانون‌گذاران برای محافظت از سرمایه‌گذاران، تعهدات جدیدی تعریف کرده‌اند تا اصطلاحاً «عدم تقارن اطلاعاتی» را کاهش دهند. سرمایه‌گذاران حق دارند بدانند یک شرکت چقدر در معرض تهدیدات دیجیتال قرار دارد. اما از طرف دیگر، شرکت‌ها نگران هستند که فاش کردن جزئیات امنیتی، نقشه راهی برای هکرها فراهم کند یا ارزش سهامشان را متزلزل سازد. علاوه بر این، در سطح بازارهای اروپایی تا زمان انجام این مطالعه، معیار عینی و یکپارچه‌ای برای سنجش کیفیت و عمق واقعی این افشاگری‌ها وجود نداشت؛ بنابراین شرکت‌ها دقیقا نمی‌دانستند تا چه اندازه باید شفاف باشند.
Host: رویکرد پژوهشگران این مطالعه برای سنجش این شفافیت چه بود؟ آن‌ها چگونه این داده‌ها را بررسی کردند؟
Expert: روش کار بسیار کاربردی و منطقی بود. پژوهشگران گزارش‌های سالانه ۴۰ شرکت برتر حاضر در شاخص CAC 40 فرانسه را طی یک دوره چهارساله از ۲۰۱۹ تا ۲۰۲۲ با روش تحلیل کیفی متن بررسی کردند. آن‌ها یک ماتریس ارزیابی ۹ معیاره طراحی کردند که مستقیماً بر الزامات رگولاتوری اروپا و توصیه‌های ESMA مبتنی بود. این ماتریس به‌خوبی توانست ارزیابی کند که آیا اطلاعات ارائه‌شده واقعی و دارای عمق تحلیلی هستند یا شرکت‌ها فقط به یک سری کلی‌گویی‌های مبهم بسنده کرده‌اند.
Host: بیایید به نتایج کلیدی این مطالعه بپردازیم. وقتی داده‌ها تحلیل شدند، چه تصویری از عملکرد این شرکت‌ها نمایان شد؟
Expert: نتایج این مطالعه دو پیام متناقض به همراه دارد. از یک سو، ما شاهد یک حرکت مثبت هستیم؛ ۷۷ درصد شرکت‌ها در طول این چهار سال توانستند نمره شفافیت ریسک سایبری خود را بهبود ببخشند. اما نکته شوکه‌کننده اینجاست که علیرغم این بهبود نسبی، سطح عمومی شفافیت کماکان نگران‌کننده و بسیار پایین است. در سال ۲۰۲۲، با وجود تمام سخت‌گیری‌های جدید، ۸۶ درصد از این شرکت‌های غول‌پیکر همچنان نمره پایینی در شفافیت ریسک دریافت کردند.
Host: رقم ۸۶ درصد واقعاً تکان‌دهنده است. این ضعف شفافیت مشخصاً در کدام بخش‌ها بیشتر دیده می‌شود؟
Expert: شرکت‌ها بیشتر تمایل دارند درباره اثرات عمومی و غیردقیق مثل «آسیب به اعتبار شرکت» یا «اختلال کلی در کسب‌وکار» صحبت کنند؛ مسائلی که تا حدی بدیهی هستند. اما زمانی که پای داده‌های حیاتی به میان می‌آید، گزارش‌ها سکوت می‌کنند. منظور من داده‌های کمّی و مالی درباره خسارت‌های احتمالی یک رخنه امنیتی، بودجه‌های تخصیص‌یافته، یا جزئیات ساختار سامانه‌های کنترل داخلی و شیوه نظارت هیئت‌مدیره است. این دقیقاً همان اطلاعاتی است که بازار برای ارزیابی تاب‌آوری شرکت به آن نیاز دارد، ولی شرکت‌ها آن را پنهان نگه می‌دارند.
Host: این یافته‌ها از منظر استراتژی کسب‌وکار و تصمیم‌گیری‌های مدیریتی چه معنایی دارند؟ چرا این مسئله برای رهبران تجاری یک زنگ خطر به شمار می‌رود؟
Expert: پیام این مطالعه برای رهبران کسب‌وکار بسیار روشن است: دوران استفاده از ادبیات کلیشه‌ای و مبهم در گزارش‌های سالانه به پایان رسیده است. امروزه سرمایه‌گذاران نهادی، شرکت‌های بیمه و شرکای تجاری، امنیت سایبری را یک ریسک مالی اساسی می‌دانند، نه صرفاً یک مسئله فنی در دپارتمان فناوری اطلاعات. اگر شرکتی داده‌های دقیق و ارقام شفاف ارائه نکند، اعتماد بازار را از دست می‌دهد و ممکن است هزینه جذب سرمایه برایش افزایش یابد. شفافیت مسئولانه در مورد کنترل‌های داخلی نه نشان‌دهنده ضعف، بلکه نشانه بلوغ سازمانی، حاکمیت شرکتی قوی و آمادگی عملیاتی است.
Host: جمع‌بندی بسیار درخشانی بود. در نهایت این مطالعه به ما یادآوری می‌کند که فاصله میان انجام صرفاً صوری تکالیف قانونی با شفافیت واقعی بسیار زیاد است، و شرکت‌هایی در آینده برنده خواهند بود که این شکاف را با رویکردی جسورانه و شفاف پر کنند. الکس، از تحلیل‌های عمیق و کاربردی‌ات بسیار متشکرم.
Expert: خواهش می‌کنم آنا، همیشه گفتگو با شما درباره این موضوعات کلیدی لذت‌بخش است.
Host: از همه شما همراهان محترم پادکست A.I.S. Insights سپاسگزاریم که در این قسمت هم کنار ما بودید. تا برنامه آینده، شادکام و موفق باشید.