در یک بازدید ساده برای بررسی کندی اتصال، یک شعبه از سازمانی بیست‌شعبه‌ای این تصویر را نشان داد: روتر با رمز پیش‌فرض، فایروالی که دو سال وصله نشده بود، پورت مدیریتی باز رو به اینترنت و پریز شبکه‌ای در سالن انتظار که مستقیم به سرورهای مرکز راه داشت. مدیر فناوری اطلاعات فقط گفت نوزده شعبهٔ دیگر را هیچ‌وقت این‌قدر دقیق ندیده‌اند. امنیت شعب دقیقاً از همین‌جا معنا پیدا می‌کند: سازمان چندشعبه‌ای به اندازهٔ ضعیف‌ترین شعبه‌اش امن است.
شعبه معمولاً نه تیم امنیت دارد، نه پایش لاگ و نه فرایند تغییرات. تجهیزات لبه در سال‌های مختلف و از برندهای مختلف خریده شده‌اند، قوانین فایروال با عجله و بدون مستند نوشته شده‌اند و کارمند، دوربین، کارت‌خوان و وای‌فای مهمان همه در یک شبکهٔ تخت کنار هم‌اند. تونل VPN هم اغلب به کل شبکهٔ مرکز دسترسی دارد.
گزارش DBIR ۲۰۲۵ شرکت Verizon نشان می‌دهد سازمان‌ها در طول سال تنها حدود ۵۴ درصد آسیب‌پذیری‌های تجهیزات لبه و VPN را به‌طور کامل رفع کرده‌اند و میانهٔ زمان رفع ۳۲ روز بوده است. این عدد را در تعداد شعب ضرب کنید.
راه‌حل دستگاه گران‌تر نیست؛ یکدست‌سازی است:
لبهٔ امن: دستگاهی که هم مسیریابی هوشمند چند لینک (SD-WAN) را انجام دهد و هم فایروال نسل جدید باشد؛ با تونل‌های رمزشدهٔ خودکار، خروج محلی بازرسی‌شده به اینترنت و دسترسی محدود به همان سامانه‌هایی از مرکز که شعبه واقعاً لازم دارد.
شبکهٔ محلی کنترل‌شده: سوئیچ و اکسس‌پوینت تابع همان سیاست، تفکیک کارمند و مهمان و دوربین و اینترنت اشیا، و قرنطینهٔ خودکار دستگاه ناشناس.
مدیریت متمرکز: قالب استاندارد شعبه، استقرار بدون حضور کارشناس (Zero-Touch)، وصلهٔ گروهی در یک پنجرهٔ شبانه و لاگ همهٔ شعب در یک کنسول.
همین هفته فهرست تجهیزات لبه را با مدل، نسخه و وضعیت وصله کامل کنید و پورت‌های مدیریتی باز را ببندید.
دو یا سه الگوی شعبه (کوچک، متوسط، بزرگ) تعریف کنید.
الگو را روی دو شعبهٔ متفاوت پایلوت کنید و بعد موج‌به‌موج گسترش دهید.
نکتهٔ تجربی: بیشترین زمان پروژه صرف تجهیزات نمی‌شود؛ صرف فهمیدن این می‌شود که هر شعبه واقعاً به کدام سامانه‌ها نیاز دارد.
نسخهٔ کامل این مطلب همراه با چک‌لیست اقدام در سایت symantecland دات کام منتشر شده است؛ برای رسیدن مستقیم به آن، بعد از نام سایت در نوار آدرس مرورگر بنویسید: /branch-security
— کاظم مرتضوی، مشاور مستقل امنیت شبکه
