أمن المعلومات: التعريف والمتطلبات والنماذج والمراحل

شهد المجتمع خلال القرن الماضي أكثر قفزة تكنولوجية كثافة في التاريخ. وبينما كانت كلمة "الأمن" تشير في السابق بشكل أساسي إلى مظاهر العنف والتهديدات المادية، فقد تغيّر هذا المفهوم الأساسي أيضًا مع تطور التكنولوجيا. فقد أصبحت المعلومة سلاحًا، وأصبحت البيانات السرية القيّمة قادرة على إحداث ضرر لا يقل شدة عن أشد السكاكين حدة. وقد أفرز ذلك تعريفًا جديدًا: "أمن المعلومات". فما هو، وما الوظائف التي يؤديها، وكيف يُستخدم: سنتناول هذه الأسئلة الرئيسية اليوم في مقال من Anexet.

تعريف أمن المعلومات (IS)

قد تشمل هذه المعلومات بيانات عن حماية عمل تجاري من التهديدات التنافسية أو من سوء سلوك الموظفين، أو تقنيات إنتاج سرية، أو أسرارًا للدولة، بل وحتى معلومات شخصية. ويمكن استغلال كل ذلك لأغراض أنانية. ولمنع مثل هذه الحالات، تُنفَّذ أنشطة مثل ضمان أمن المعلومات.

المبادئ الرئيسية الثلاثة لأمن المعلومات

يقوم أمن المعلومات على ثلاثة مبادئ أساسية تتيح نهجًا شاملًا لتطبيقه. وتشمل هذه المبادئ: سرية النظام، وسلامة تدابير الأمن، والتوافر.

سرية النظام

يرتبط أمن المعلومات ارتباطًا مباشرًا بالتعامل مع المعلومات السرية الحساسة والبيانات الشخصية. ويجب إيلاء عناية دقيقة لمجموعة البيانات كاملة طوال سلسلة التحليل. ولا يجوز الاطلاع على المعلومات المحلَّلة إلا للأفراد المخوَّلين بعد التحقق، ويجب أن تظل سرية أمام كل من عداهم.

سلامة تدابير أمن المعلومات

يدعو هذا المبدأ إلى معاملة أمن المعلومات كعملية موحّدة ومتكاملة، دون استثناءات أو تنازلات ما لم تُحدَّد مسبقًا. وهذا النهج هو الذي يتيح تقييمًا محايدًا للوضع الراهن ويقدم صورة واقعية لما يجري.

التوافر

وهو قدرة الجهات المعتمَدة على الوصول إلى أي جزء من المعلومات، واستعداد خدمات الأمن لمعالجة الطلبات.

لماذا يُعد أمن المعلومات ضروريًا؟

بالطبع، الهدف الرئيسي من أمن المعلومات هو ضمان سلامة البيانات السرية المتعلقة بالأعمال والأفراد والدولة؛ وتحييد الآثار السلبية والأضرار التي تلحق بالشركات أو الأفراد. غير أن هذا لا يعني أن كل تهديد محتمل لأمن المعلومات له هدف سلبي حصري وهو تدمير الهدف محل الاهتمام. فهذا ليس صحيحًا دائمًا. فغالبًا ما تكون المعلومات مطلوبة لأغراض تحليلية: لمقارنة منتجات المنافسين بمنتجات الشركة نفسها، ولتحليل فعالية استراتيجيات الأعمال، ولتعديل عمليات الإنتاج والعمليات الداخلية للشركة. ويمكن استخدام مصادر متنوعة للحصول على هذه المعلومات: الموارد البشرية للشركة، والوثائق، والملكية الفكرية (الاختراعات، ونماذج المنفعة، والتصاميم الصناعية، وبراءات الاختراع، إلخ)، وحاملات البيانات التقنية، والبرمجيات وغيرها.  ويعتمد اختيار المصدر على الأدوات المتاحة والأهداف والفائدة المحتملة من البيانات التي يتم الحصول عليها.

تهديدات ومخاطر أمن المعلومات

التهديد هو فعل محتمل أو فعلي يهدف إلى إلحاق ضرر مادي أو معنوي بشركة أو فرد. وبطبيعة الحال، من أجل إرساء أكثر عمليات حماية البيانات فعالية، من الضروري فهم المخاطر والتهديدات المحتملة التي ستواجهها الشركة. وقد جرى العرف على تمييز ثلاث مجموعات رئيسية من التهديدات.

التهديدات التقنية المنشأ (المرتبطة بخلل في معدات أو تقنيات النظام المحمي، وكذلك استخدام وسائل تقنية وبرمجيات متخصصة). وقد تشمل هذه المخاطر ما يلي:

• استخدام برمجيات مقرصنة والالتفاف على التراخيص؛

• دمج برمجيات خبيثة (فيروسات، برامج تشفير ابتزازي، أبواب خلفية، برامج حظر، برامج تعدين، إلخ)؛

• هجمات DDoS؛

• التصيد الاحتيالي؛

• الأجهزة والبرمجيات الخاصة بالمراقبة السمعية والبصرية، إلخ.

لنلقِ نظرة على مثال لتهديد أمن معلومات ناجم عن خطأ بشري. مثال على ذلك هجوم برنامج الفدية Play على شركة تقنية المعلومات Xplain في سويسرا، الذي أثّر على شبكة السكك الحديدية المحلية والعديد من الجهات الحكومية. إذ تمكّن القراصنة من الوصول إلى ما يزيد على 1.3 مليون ملف، بما في ذلك 65,000 وثيقة تخص الحكومة الفيدرالية السويسرية. وقد تمكنت مجموعة Play من تنفيذ تهديد أمن المعلومات هذا عبر رسالة تصيّد احتيالي تحمل برمجية خبيثة.

مثال آخر من عام 2010. آنذاك، انتشرت الدودة الشبكية Win32/Stuxnet بين عدد كبير من الأنظمة الحاسوبية الخاصة والعامة. وقد استغل هذا الفيروس ثغرات في نظام Microsoft Windows (ثغرة يوم الصفر)، حيث اعترض وعدّل تدفق المعلومات بين وحدات التحكم المنطقي القابلة للبرمجة Simatic S7 ومحطات عمل نظام SimaticWinCC (سيمنز) SCADA. وكان بالإمكان استخدام Win32/Stuxnet للتجسس الصناعي والتخريب (وهو غرضه الأصلي). ودخل التاريخ باعتباره أول برمجية خبيثة لم تكتفِ بإتلاف البيانات الرقمية بل تسببت أيضًا في ضرر مادي فعلي للمعدات. وكان المصدر الرئيسي لانتشاره أجهزة USB مصابة.

التهديدات الأنثروبولوجية (المرتبطة بالإفصاح المتعمد أو العرضي عن معلومات تجارية سرية):

• تسريبات من الداخل؛

• أخطاء في أداء الواجبات الرسمية؛

• تصرفات موظفين غير موثوقين.

مثال على تهديد أنثروبولوجي لأمن شركة هو حادثة Colonial Pipeline. وهي أكبر شبكة أنابيب في الولايات المتحدة والمورّد الرئيسي للغاز والمنتجات النفطية من خليج المكسيك إلى الساحل الشرقي بأكمله. في 7 مايو 2020، أُصيب نظام Colonial Pipeline ببرمجية فدية. وكما تبيّن لاحقًا، نفّذت الهجوم مجموعة قراصنة تُدعى DarkSide. وكان هدفهم الحصول على فدية قدرها 5 ملايين دولار. لكن حتى بعد تحويل الأموال إلى المبتزّين، لم تتمكن الشركة من استعادة عملياتها التجارية بسرعة. وأدى ذلك إلى أزمة واسعة النطاق في عدة ولايات ونقص في الوقود في ذلك الوقت.

كان الشخص المسؤول عن ذلك من جانب Colonial Pipeline أحد موظفيها، الذي استُخدمت كلمة مروره في الهجوم. وباستخدام كلمة المرور هذه للوصول إلى خدمة VPN، تمكن القراصنة من الوصول إلى النظام المؤسسي. وكان الموظف قد استخدم كلمة المرور نفسها سابقًا للتسجيل في حساب آخر، وكانت المعلومات المتعلقة به متاحة بالفعل على الدارك ويب.

مثال آخر: اختراق حسابات تويتر لأشخاص مشهورين في يوليو 2020. آنذاك، تمكن القراصنة من نشر رابط لرسالة تطلب تبرعات بالعملات الرقمية، من قبيل: "أرسل لي 1 BTC واحصل على 2 في المقابل". وطالت عملية الاختراق حسابات الرئيس التنفيذي لشركتي Tesla وSpaceX إيلون ماسك، ومؤسس Amazon جيف بيزوس، وأحد كبار المستثمرين الخاصين ورئيس Berkshire Hathaway وارن بافيت، والرئيس الأمريكي السابق باراك أوباما، وحسابات Google وApple والعديد من الحسابات الأخرى.

ونتيجة للهجوم، تضرر نحو 300 شخص أرسلوا ما يزيد قليلًا عن 110,000 دولار إلى عناوين العملات الرقمية المحددة. وأثّر هذا الوضع سلبًا أيضًا على تويتر نفسها: إذ لحق بسمعتها ضرر يصعب إصلاحه، وتسبب الحادث في انخفاض سعر سهمها بنسبة 4.5% في لحظة معينة. وكان المصدر الرئيسي للمعلومات لدى المحتالين موظفًا في تويتر، الذي "...فعل كل شيء لهم حرفيًا" وفقًا للقراصنة أنفسهم.

الكوارث الطبيعية (القوة القاهرة، الكوارث الطبيعية).

في أي المجالات يُعد أمن المعلومات أكثر أهمية؟

يستحيل حصر نطاق أمن المعلومات. فإلى حد ما، يُعد النشر غير المصرَّح به للمعلومات ضارًا في أي مجال من مجالات حياة الإنسان أو الدولة أو الشركة. ومع ذلك، لا يزال بالإمكان تحديد قطاعات معينة تُعد فيها تدابير حماية البيانات ذات أهمية بالغة.

وتشمل هذه القطاعات:

• البنية التحتية والمنشآت الحكومية بالغة الأهمية المرتبطة بهذه المجالات (الطاقة، والسلامة العامة، والدفاع، ومرافق الإدارة الحكومية)؛

• القطاع المصرفي والمؤسسات المالية (البنك المركزي للدولة، والمؤسسات المصرفية الخاصة والحكومية، وصناديق التقاعد والتأمين، والمؤسسات النقدية والائتمانية، إلخ)؛

• منشآت الرعاية الصحية؛

• مجمعات النقل واللوجستيات (أنظمة إدارة النقل البري والسككي والمائي والجوي وعبر الأنابيب)؛

• المرافق التي تضمن السيادة المعلوماتية للدولة (قواعد البيانات التوثيقية والقانونية، ووكالات الأنباء ووسائل الإعلام).

كما نلاحظ، فإن الحاجة إلى أمن المعلومات قائمة في جميع المجالات الرئيسية للحياة العامة والأعمال في أي بلد. وهناك قاعدة واحدة لتحديد الحاجة إلى تطبيق تدابير حماية المعلومات في منشأة ما. وكقاعدة عامة، ينطبق ذلك على المؤسسات (سواء كانت خاصة أو عامة) التي تنطوي أنشطتها على استخدام كميات كبيرة من البيانات السرية الحساسة، وكذلك المعلومات المتغيرة باستمرار تبعًا لعوامل خارجية أو داخلية (مثل البنوك وأسعار الصرف، والنقل الجوي والجداول الزمنية الداخلية، وجداول السكك الحديدية، إلخ). ومع هذا الكم الكبير من المعلومات المتغيرة، يُعد تتبع السيناريوهات السلبية ومنعها المهمة الأساسية لأمن المعلومات.

ما التدابير التي يستخدمها مختصو أمن المعلومات؟

جرى العرف على التمييز بين عدة أنواع من التدابير لضمان أمن المعلومات. ويوفر كل منها الحماية في نطاق مسؤوليته الخاص. غير أنه لا يمكن القول إن استخدام أحد هذه التدابير وحده سيكون كافيًا لمنع مخاطر أمن المعلومات المحتملة والقضاء عليها. فمن أهم مبادئ الحماية الشمولية. فكلما زاد عدد التدابير التي يمكن لشركة أو فرد إدراجها في نظام الأمن الخاص به، زادت موثوقية نظام الحماية بأكمله.

تُقسَّم تدابير أمن المعلومات إلى:

• قانونية؛

• أخلاقية ومعنوية؛

• تنظيمية وإدارية؛

• مادية؛

• متعلقة بالأجهزة؛

• متعلقة بالبرمجيات؛

• متعلقة بالذكاء الاصطناعي (AI).

لنتناول كل تدبير بمزيد من التفصيل.

التدابير القانونية لتنظيم أمن المعلومات

يتضمن ذلك إنشاء وتكييف الإطار التنظيمي لدولة ما، والجهات التنظيمية والمؤسسات الدولية، وما إلى ذلك، لتلبية احتياجات نهج شامل وفعال وقانوني لأمن المعلومات. واليوم، يشارك عدد كبير من الجهات التنظيمية في أمن المعلومات، حتى تلك التي لا ترتبط أنشطتها ارتباطًا مباشرًا بهذا المجال. ويرصد مجلس الأمن الدولي التابع للأمم المتحدة الأجندة الدولية ويمكنه تقديم توصيات بشأن تطبيق أنظمة أمن المعلومات لمختلف الدول. ويشمل ذلك أيضًا الشركات الدولية المعنية بشهادات المنتجات والتوحيد القياسي. فعلى سبيل المثال، تحظى شهادات الاتحاد الدولي لشهادات أمن أنظمة المعلومات (CISSP) والمنظمة الدولية للتوحيد القياسي (ISO) بشعبية واسعة.

التدابير الأخلاقية والمعنوية لتنظيم أمن المعلومات

تشمل هذه التدابير معايير مكتوبة (مدونات السلوك المهني، قواعد السلوك، إلخ) وغير مكتوبة (الصفات الأخلاقية الشخصية، ومعايير النزاهة الداخلية، والولاء، والواجب) تُنظِّم سلوك الإنسان في موقف معين.

التدابير التنظيمية والإدارية لتنظيم أمن المعلومات

التدابير التنظيمية والإدارية لحماية المعلومات هي تدابير لتنظيم العمليات، واستخدام الموارد البشرية والمادية، ووضع مخطط للتفاعل بين جميع المشاركين في نظام المعلومات. والغرض من هذه التدابير هو وضع قواعد سلوك معقولة ومفهومة للجميع، تهدف إلى منع المخاطر التي تهدد أمن المعلومات. ومن الأمثلة على هذا التدبير اتفاقية سرية تجارية داخل الشركة (إشعار مسبق للموظف بمسؤوليته عن حيازة المعلومات ضمن نطاق اختصاصه).

التدابير المتعلقة بالأجهزة لتنظيم أمن المعلومات

هذه هي المعارضة المادية الفعلية للانتهاكات: تركيب الأقفال، والخزائن، وأنظمة التحكم في الوصول، وكاميرات المراقبة، إلخ.

التدابير المعتمدة على الأجهزة لتنظيم أمن المعلومات

وهذه مرحلة وسيطة بين الحماية المادية والحماية البرمجية. وتصبح التدابير المعتمدة على الأجهزة، شأنها شأن التدابير البرمجية، جزءًا من النظام. ويمكن أن تشمل أدوات لحماية المعلومات الصوتية (الضوضاء البيضاء، الصوت)، وأجهزة إلكترونية للتنبيه من الوصول غير المصرَّح به (معرّفات USB، المفاتيح الإلكترونية، جدران الحماية العتادية، إلخ). كما تُستخدم أيضًا وسائل ميكانيكية لمواجهة التهديدات المحتملة — وهي أجسام مادية مستقلة يمكن إزالتها بسرعة من النظام المحمي.

التدابير البرمجية لتنظيم أمن المعلومات

تهدف التدابير البرمجية لضمان أمن المعلومات إلى أداء الوظائف الأساسية التالية: التعرف على الجهة، ومصادقة المشارك في النظام، وتشفير البيانات ومعالجتها.

• تمنع أنظمة DLP (منع تسرب البيانات) تسرب المعلومات خارج الشركة، وتراقب سلوك الموظفين غير الموالي، سواء كان متعمدًا أو غير متعمد.  

• من الأمثلة على هذا النوع من الأنظمة Anexet من Scinero Software Limited. وتكمن ميزته في أنه يوفر فترة تجريبية مجانية مدتها 30 يومًا. لمزيد من التفاصيل، اتبع الرابط.
  أنظمة SIEM (إدارة معلومات وأحداث الأمن). وكما يوحي الاسم، فهذا حل برمجي لتحليل جميع أنشطة الشبكة والاستجابة في الوقت الفعلي للتهديدات والهجمات السيبرانية المحتملة.

• التشفير. وهو مجموعة من العمليات لتشفير النصوص تتيح تخزين جميع المعلومات في النظام عن طريق تغيير شكلها الظاهري. وبالاستعانة بالتشفير، تصبح المعلومات السرية غير قابلة للوصول من قِبل المهاجمين المحتملين، إذ لا يمكن قراءتها دون مفتاح خاص – وهو أداة فك التشفير. 

• برامج مكافحة الفيروسات المرخَّصة. 

• جدران الحماية البرمجية التي تعمل كمرشح بين شبكة الإنترنت العالمية والشبكة المحلية الخاصة بالشركة. وتحجب حركة المرور الواردة وفقًا لقواعد محدَّدة مسبقًا.

• الخوادم الوسيطة (Proxy) وشبكات VPN. وتتشابه هاتان التقنيتان: فكلتاهما مصمَّمة لاستبدال عنوان IP الخاص بك بعنوان آخر وإخفاء حركة مرورك الفعلية. وتختلفان بشكل رئيسي من حيث تكلفة التطبيق ومدى توفر التشفير (VPN). 

• الذكاء الاصطناعي لأنظمة الأمن. في عالم اليوم، تفوق سرعة تعلم مجرمي الإنترنت وتكيفهم مع بيئة دائمة التغيّر سرعة تطوير الأسلحة اللازمة لمواجهتهم. ولا يستطيع مواكبة كل هذه التطورات سوى نظام ذاتي التعلم ومرن مثل الذكاء الاصطناعي (AI). وقد شهد الذكاء الاصطناعي تطورًا سريعًا خلال العامين الماضيين. وبينما كان حتى وقت قريب مجرد أداة مساعدة ضمن المجموعة الشاملة لتدابير أمن المعلومات، أصبح الآن تدبيرًا كامل الأهلية لمواجهة التسريبات.

مشكلات أمن المعلومات

بالطبع، فإن بيئة متغيرة كالمعلومات وضمان أمنها لا تخلو من عدد من المشكلات. لنتحدث عن ذلك الآن.

• زيادة عبء البيانات

المشكلة الأولى هي النمو في حجم البيانات التي يجب حمايتها. فكل عام، يزداد حجم المعلومات المستخدمة: حجم المراسلات التجارية، والتواصل عبر شبكات التواصل الاجتماعي، والتطبيقات والخدمات المستخدمة في جميع مجالات حياة الإنسان وعمل المؤسسات تقريبًا. وينمو ذلك بمئات النسب المئوية سنويًا. وهذا يعني أن كمية المعلومات التي يجب حمايتها في تزايد أيضًا. وتُكيَّف أدوات أمن المعلومات لتلبية هذه الحاجة، لكن تكيفها لا يتناسب دائمًا طرديًا مع نمو أحجام البيانات.

• التشريعات

اليوم، تُترك كل دولة ومؤسسة وفرد وحيدين في مواجهة هذه المهمة – أي جعل بيئتهم آمنة. والواقع أنه لا يوجد نهج موحّد لأمن المعلومات، تمامًا كما لا يوجد تشريع مشترك يمكن أن يحل هذه المشكلة.

• تطور الجرائم

إلى جانب النمو في حجم البيانات، ازداد أيضًا عدد الطرق التي يمكن من خلالها تسريب البيانات أو اختراقها بشكل ضار. ويتكيف المجرمون بسرعة أكبر بكثير من المنتجات. ولنأخذ الذكاء الاصطناعي مثالًا: فالبرمجيات الخبيثة القائمة على هذه التقنية موجودة بالفعل.

الخاتمة

أمن المعلومات مهمة معقدة. ويستحيل إنشاء أداة فعالة لأمن المعلومات دون مراعاة الشمولية وتعدد الجوانب لهذه المهمة. وكل كيان — سواء كان حكومة أو شركة أو فردًا خاصًا — حر في اختيار طريقه الخاص لضمان أمن المعلومات. لكن يجمعهم جميعًا أمر واحد: في عالم اليوم، تكتسي هذه المسألة أهمية قصوى، ولا يمكن لأحد أن يتجاهلها.