أمن المعلومات في الشركة

في هذه المقالة سنوضح لكم كيف يتم ضمان أمن المعلومات داخل الشركة في العصر الرقمي.

لنستعرض التعريفات الأساسية.

الشركة — هي مجموعة من الأشخاص أو الشركات المخوَّلة بالعمل ككيان واحد، والمعترف بها قانونيًا بهذه الصفة لتحقيق أهداف مشتركة. وتقوم على أساس الملكية المشتركة والفصل بين وظيفتي المالك والمدير. وكقاعدة عامة، تتميز الشركات بهيكل معقّد وقد تضم عددًا كبيرًا من الفروع أو مجموعات كاملة من الشركات التابعة.

أمن المعلومات المؤسسي هو حماية البيانات داخل الشركة من الوصول غير المصرح به والاستخدام والإفصاح والتخريب والتعديل أو الإتلاف. ويشمل الأساليب والأدوات والإجراءات التي تعتمدها المؤسسات لحماية أصولها المعلوماتية

لماذا يُعد ضمان أمن المعلومات داخل الشركة أمرًا ضروريًا؟

بمعنى واسع، يُقصد بالأمن المؤسسي الإجراءات المتخذة داخل الشركة لحماية الأصول المادية والمالية والفكرية وغيرها من التهديدات الداخلية والخارجية. وقد تتعلق هذه التهديدات بالاختلاس والاحتيال والهجمات الإلكترونية والتداول من الداخل وتسرب البيانات السرية والكوارث الطبيعية والهجمات الإرهابية وغيرها.

للأسف، هناك العديد من المواقف التي قد تؤدي إلى وقوع تهديدات داخلية وخارجية، ولهذا السبب يجب أن تكون حماية المعلومات المؤسسية أولوية قصوى للمؤسسات من جميع الأحجام.

قد يؤدي وقوع بعض التهديدات في المنشآت الإنتاجية الكبرى بوجه خاص، وكذلك في منشآت البنية التحتية المعلوماتية الحرجة، إلى عواقب كارثية: الإضرار بصحة المواطنين وحياتهم، والإضرار بالبيئة، وما إلى ذلك.

فيما يلي سنستعرض أسباب نشر نظام فعّال لأمن المعلومات داخل الشركة.

حماية الأصول المادية والفكرية

عادةً ما يُصمَّم نظام أمن المعلومات المؤسسي لحماية الأصول المادية والفكرية، بما في ذلك المعدات والمرافق والأسرار التجارية وبراءات الاختراع وحقوق النشر والعلامات التجارية. ومن خلال تطبيق تدابير أمنية قوية، يمكن للمؤسسات تقليل مخاطر السرقة والتجسس الصناعي والاستخدام غير المصرح به للملكية الفكرية. وتقلّل هذه الحماية بشكل كبير من مخاطر وقوع تهديدات أمن المعلومات. وهذا يساعد على الحفاظ على ميزة تنافسية ومكانة مستقرة في السوق.

منع تسرب البيانات الشخصية

من دون تدابير أمنية فعّالة، يمكن أن تحدث التسريبات بسهولة وتمر دون اكتشاف.

في الوقت نفسه، أصبح المجرمون الإلكترونيون أكثر نجاحًا ومهارة في سرقة البيانات الشخصية (ويُشار إليها فيما يلي بـ"البيانات الشخصية")، متجاوزين الشبكات ذات أنظمة الحماية الضعيفة. ووفقًا لبعض المصادر التجارية، من المتوقع أن يزداد عدد اختراقات البيانات بنسبة 7.76% في عام 2024، رغم التشديد الكبير في التشريعات المتعلقة بالبيانات الشخصية. 

إذا أصبحت البيانات الشخصية التي تعالجها الشركة متاحة لأطراف ثالثة، فقد يترتب على ذلك أضرار مالية وسمعية، فضلًا عن دعاوى قضائية محتملة وغرامات من الجهات التنظيمية. 

حماية البيانات الحساسة

في عصر أصبحت فيه البيانات موردًا ثمينًا، تكتسب المحافظة على سرية المعلومات الحساسة أهمية قصوى. يمكن لتدابير أمن المعلومات أن تمنع الوصول غير المصرح به إلى بيانات الشركة ومعلومات العملاء والسجلات المالية. 

بالإضافة إلى ذلك، يثق العملاء والزبائن بالشركات لحماية بياناتهم — وأي خرق لهذه الثقة قد يؤدي إلى الإضرار بالسمعة وفقدان المكانة في السوق وعواقب قانونية. ويساعد تطبيق تدابير قوية لأمن المعلومات على الحفاظ على الثقة وحماية المعلومات الحساسة الخاصة بالشركة وعملائها وأصحاب المصلحة الآخرين.

تقليل الخسائر المالية

يساعد الأمن المؤسسي الشركات على تخفيف الخسائر المالية التي قد تنشأ عن وقوع مخاطر أمن المعلومات المختلفة. فعلى سبيل المثال، يمكن لتدابير الأمن المادي الفعّالة أن تردع المتسللين، وبالطبع تقلل من احتمالية سرقة المنتجات أو المعدات أو المخزون أو إتلافها. وبالمثل، تقلّل أساليب الأمن السيبراني الموثوقة من مخاطر تسريب البيانات، التي قد تؤدي إلى خسائر مالية كبيرة وتكاليف قانونية وتآكل ثقة العملاء. وبذلك، فإن الاستثمار في الأمن المؤسسي يمكن أن يوفر للشركات مبالغ كبيرة من المال على المدى الطويل.

ضمان استمرارية العمليات

يمكن للأحداث غير المتوقعة، مثل الكوارث الطبيعية أو الهجمات الإلكترونية أو الأعطال، أن تعطّل العمليات التجارية أو توقف الإنتاج. ويضمن تطبيق خطط استمرارية الأعمال كجزء من الأمن المؤسسي أن تتمكن الشركات من الاستجابة بفعالية لأي حوادث، وتقليل فترات التوقف، واستئناف العمليات الكاملة في أسرع وقت ممكن. ومن خلال الحفاظ على استمرارية العمليات، قد تحمي الشركات مصدر إيراداتها، وتحافظ على رضا العملاء، وتتجنب الأضرار المالية والسمعية المحتملة.

تهديدات أمن المعلومات في الشركات

تقترح النماذج الشائعة لتهديدات أمن المعلومات تصنيفها على النحو التالي.

التهديدات الخارجية

تأتي من الخارج: من المحتالين والجماعات الإجرامية الإلكترونية والفيروسات والروبوتات. ومن الأمثلة الشائعة على التهديد الخارجي هجمات حجب الخدمة الموزعة (DDoS). وهو هجوم افتراضي على موارد الشركة المعلوماتية، يحول دون إتاحتها ويبطئ أو يوقف تمامًا عمل الموارد أو نظام المعلومات بأكمله (ويُشار إليه فيما يلي — IS).

من حيث مبدأ العمل، يبدو هجوم DDoS وكأن آلاف المستخدمين يحاولون الوصول إلى مورد معلوماتي في الوقت نفسه. والخادم الذي يستضيف المورد لا يتسع وقته لمعالجة هذا العدد الكبير من الطلبات — فيتوقف عن العمل. غير أن هذه الطلبات لا يصدرها أشخاص حقيقيون، بل روبوتات. ويمكن للجماعات الإجرامية الإلكترونية مهاجمة الخوادم وكذلك قنوات الاتصال المستخدمة داخل الحلقة الأمنية للمؤسسة.

قد تختلف أهداف هجمات DDoS تبعًا لأهداف المهاجمين: يطلقها المنافسون لتعطيل الموارد على الإنترنت؛ ويطلقها المحتالون لابتزاز مالكي الشركات مقابل فدية أو لمجرد التسلية.

ومن أنواع التهديدات الأخرى الفيروسات. فهي تتسلل إلى محطات العمل وأنظمة التحكم الآلي، ثم:

• تتجسس، وتنقل البيانات من الأنظمة المؤسسية إلى الجهات المهتمة؛

• تدمّر المعدات وتعطّلها؛

• تعدّل البيانات أو تتلفها؛

• تشفّر المعلومات، ثم يطالب المجرمون الإلكترونيون بفدية.

التهديدات الداخلية

كقاعدة عامة، هذه تهديدات مرتبطة بأنشطة العاملين داخل الشركة. وتنقسم هذه التهديدات إلى عرضية ومتعمدة.

التهديدات العرضية. ترتبط عادةً بضعف الوعي بأمن المعلومات والنظافة السيبرانية لدى موظفي الشركة. 

من بين أمور أخرى، يمكن إبراز تهديدات أمن المعلومات العرضية التالية.

• أخطاء إدخال البيانات. قد يُدخل الموظفون بيانات خاطئة عن غير قصد، مما يؤدي إلى معلومات مضللة أو أخطاء في النظام.

• الإفصاح غير المقصود عن المعلومات. قد يفصح الموظفون عن غير قصد عن معلومات سرية للآخرين، أو ينشرونها بالخطأ أو بإهمال في النطاق العام.

• عدم الامتثال لسياسات الأمن المؤسسي. قد لا يتبع الموظفون قواعد الأمن عند التعامل مع البيانات، مثل استخدام طرق نقل غير آمنة أو ترك أجهزة العمل متاحة بحرية لأشخاص غير مصرح لهم.

• استخدام تطبيقات وأجهزة غير آمنة، وزيارة مواقع وخدمات غير آمنة. يمكن للموظفين استخدام تطبيقات غير موثوقة أو توصيل أجهزة غير مختبرة للعمل ببيانات الشركة، مما قد يؤدي إلى تسريب البيانات.

• انتهاك سياسات الوصول إلى المعلومات. قد ينتهك الموظفون سياسات الوصول إلى المعلومات من خلال منح صلاحيات الوصول لمستخدمين غير مصرح لهم أو استخدام حسابات أشخاص آخرين.

التهديدات المتعمدة

قد ينتهك الموظفون قواعد أمن المعلومات داخل الشركة عن قصد. وقد تختلف الدوافع: فغالبًا ما يحدث ذلك أثناء الخلافات بين الزملاء أو عند إنهاء علاقات العمل، حين يأخذ الموظفون جزءًا من قاعدة العملاء معهم أو يبيعونها للمنافسين. والقاسم المشترك بين هذه التهديدات هو أن المبادرين بها يدركون عواقب الحوادث.

ومن الجهات المحتملة وراء مثل هذه التهديدات المنافسون، والمساهمون الساخطون، والمديرون التنفيذيون والإدارة، والموظفون غير الموالين للشركة.

من المهم إدراك أن التهديد المتعمد قد يأتي من موظف موثوق به، لا يعطي انطباعًا بأنه شخص من الداخل أو جانٍ محتمل. 

من بين أمور أخرى، يمكن تحديد التهديدات المتعمدة التالية لأمن المعلومات.

• سرقة المعدات أو تلفها أو إتلافها — أجهزة تخزين البيانات، والخوادم، وما إلى ذلك.

• إساءة استخدام موارد الشركة والتعسف في استخدام الصلاحيات: الاستخدام غير الرشيد لموارد الشركة (الإنترنت، الطابعات، الحواسيب) — لأغراض شخصية.

• سرقة المعلومات السرية وقواعد البيانات الشخصية بنية خبيثة أو بهدف بيعها أو نقلها إلى أطراف ثالثة.

• النسخ والتعديل والإتلاف غير المصرح به للمعلومات المملوكة للشركة. 

• الفساد والعمولات غير المشروعة من الموردين والمقاولين. 

• التجسس الصناعي.

أمثلة على حوادث أمن المعلومات المؤسسية

فيما يلي سنستعرض أمثلة على حوادث أمن المعلومات التي تمكّن نظام Anexet DLP من اكتشافها ومنعها. 

تسرب المعلومات عند فصل موظف 

قرر أحد المتخصصين في شركة عميلة يستخدم فيها نظام Anexet DLP إنهاء عمله. وقبل مغادرته، بدأ في تنزيل قاعدة بيانات العملاء لاستخدامها لاحقًا في الشركة الجديدة. وقام النظام بتنبيه مسؤول الأمن في الوقت المناسب بشأن العملية (نسخ الملفات إلى ذاكرة فلاش)، وبذلك منع تسرب معلومات بالغة الحساسية من قاعدة البيانات.

قد تصل الأضرار المحتملة إلى الملايين، والمخاطر السمعية لا تُقدَّر بثمن.

الاستخدام غير الرشيد لوقت العمل في المؤسسة

تم نشر نظام Anexet في الشركة العميلة. وبناءً على الملاحظات المستمدة من شاشات المراقبة، تبيّن أن المديرين يقضون 30% من وقت عملهم في تنفيذ إجراءات غير رشيدة في برنامج 1C. وبناءً على ذلك، تقرر تنظيم دورات تدريبية على البرنامج. وتم تدريب الموظفين، فأصبح بإمكانهم تخصيص وقت أكبر للمبيعات، مما ساهم في زيادة أرباح الشركة بنسبة 15%. وأسهمت الأموال والوقت المنفقان على التدريب في استخدام برنامج 1C بكفاءة أكبر. وقد تجاوز ربح الشركة في شهر واحد تكلفة تنفيذ النظام.

غياب آليات فعّالة بما يكفي للتعرف المبكر على الموظفين غير الموالين والمتطرفين

بمساعدة نظام DLP المطبَّق، تم التعرف بين موظفي شركة كبرى لتصنيع الطائرات على موظف متطرف أثناء مرحلة تجنيده من قبل منظمة إرهابية محظورة. وكانت العواقب على المؤسسة قد تكون كارثية.

خصائص توفير أمن المعلومات في الشركات

عادةً ما تتميز الشركات بهيكل معقّد وأقسام موزعة عبر فروع مختلفة، وأحيانًا كيانات قانونية مختلفة. وهذا يخلق تحديات أمنية خاصة، إذ يجب دمج العديد من الشبكات المحلية في حلقة تحكم واحدة.

من المهم إدراك أن نظام المعلومات داخل الشركة  سيكون دائمًا تقريبًا معقّدًا ومتعدد المستويات: يضم شبكات حاسوبية متعددة، وأقسامًا، ومعدات، ومحطات عمل عن بُعد.

خصائص نظام المعلومات المؤسسي في سياق أمن المعلومات:

• التعقيد الهيكلي لنظام المعلومات، وضرورة ضبط مكوناته بدقة عالية؛

• ثلاثة مستويات على الأقل لتبادل البيانات: بين الفروع والمكتب الرئيسي، وبين الفروع نفسها، وبين الوحدات الهيكلية والمستخدمين النهائيين للبيانات (العملاء، الموظفون، الشركاء، الأطراف المقابلة، وما إلى ذلك)؛

• الكم الكبير من البيانات الواجب معالجتها الناتج عن الاتصالات بين الأقسام.

يتعيّن على الشركات نشر مستويات عالية من أمن البيانات والحفاظ عليها، بما في ذلك في شركاتها التابعة والزميلة. 

مبادئ توفير أمن المعلومات في الشركات

صيغت هذه المبادئ استنادًا إلى المعيار الدولي ISO 27014:

• يجب أن يكون أمن المعلومات على مستوى الشركة شاملًا ومتعدد الطبقات وجامعًا لكل الجوانب؛

• ينبغي أن يستند كل قرار إلى سياسة أمن المعلومات الخاصة بالشركة؛​

• يجب أن تكون استراتيجية اقتناء الاستثمار في أمن نظام المعلومات متسقة مع متطلبات العمل، على ألا تتجاوز تكلفة تنظيم نظام أمن المعلومات قيمة الأصول المحمية. 

• الامتثال للمتطلبات القانونية والتنظيمية الموصوفة في المعايير الدولية. 

• تعزيز المواقف الإيجابية تجاه تدابير الأمن لدى جميع أصحاب المصلحة، والعملية التعليمية المستمرة الهادفة إلى رفع الوعي بقضايا الأمن السيبراني.

• ينبغي ألا تعيق التدابير المتخذة أنشطة الشركة أو تتدخل في عملياتها، وما إلى ذلك.

المكونات الرئيسية للأمن المؤسسي

فيما يلي العناصر الرئيسية لسياسة أمن مؤسسي سليمة.

تطبيق التدابير القانونية

كما ذُكر سابقًا، إذا كانت تدابير أمن المعلومات غير كافية، فقد تتعرض الشركة لغرامة. ولتجنب العقوبات والغرامات من الجهات التنظيمية، من الضروري الامتثال للمتطلبات الموصوفة في اللوائح.

تضع المعايير الدولية منظمات مثل ISO (المنظمة الدولية للتوحيد القياسي) وIEC (اللجنة الكهروتقنية الدولية). وفيما يلي بعض منها:

• ISO/IEC 27001:2022 "تكنولوجيا المعلومات. أساليب ضمان الأمن. أنظمة إدارة أمن المعلومات. المتطلبات".

• ISO/IEC TR 19791:2018 "تكنولوجيا المعلومات. الحوسبة السحابية. البنية المرجعية لحماية البيانات".

بناءً على ما سبق، يتعيّن على مسؤول الأمن أن يكون على دراية جيدة بخصوصيات تشريعات أمن المعلومات. وفي هذا الصدد، غالبًا ما تكون هناك حاجة لطلب مساعدة متخصصة.

ضبط حوادث أمن المعلومات

يرتبط الأمن المؤسسي ارتباطًا مباشرًا بإدارة الحوادث. وتشمل هذه الحوادث، على وجه الخصوص، انتهاكات سياسة الأمن المؤسسي القائمة، وفقدان المعدات (أو سرقتها)، والتغييرات غير المصرح بها في تشغيل الأنظمة والخدمات، وتسرب المعلومات الحساسة، وما إلى ذلك.

للأسف، لا توجد اليوم أساليب أو معدات قادرة على توفير حماية بنسبة 100% ضد وقوع حوادث أمن المعلومات. غير أن اكتشافها والاستجابة لها ومعالجتها في الوقت المناسب يقلل بشكل كبير من الخسائر المادية والمالية والسمعية المحتملة.

بالإضافة إلى الحفاظ على سلامة أصول الشركة المعلوماتية وإتاحتها وسريتها، يجب أن تكون هناك سياسة أمنية قوية تصف، من بين أمور أخرى، استجابات استباقية للتهديدات المختلفة.

تأمين الموظفين

يجب على كل وحدة عمل وكل قسم وكل موظف أن يأخذ قضايا أمن المعلومات على محمل الجد داخل الشركة.

يمكن لتأمين الموظفين، أو تدريبهم على أساسيات السلوك الآمن على الإنترنت، أن يقلل بشكل كبير من مخاطر الحوادث السيبرانية الناجمة عن الموظفين.

عادةً ما يشمل نظام التدريب هذا:

• تنظيم ندوات وورش عمل ودورات تدريبية، وإعداد أدلة ونشرات؛

• إرسال رسائل دورية توضح مخططات الاحتيال الجديدة أو الحالية عبر الإنترنت؛

• إجراء ما يُسمى بالتدريب السيبراني، أي اختبار مدى وعي موظفي الشركة بقضايا الأمن السيبراني، وما إلى ذلك.

التعاون بين الوحدات

يمكن تقييم المستوى العام لأمن المعلومات في الشركة من خلال اتساق التدابير المتخذة في الفرع أو الوحدة الأقل حماية ضمن نظام المعلومات.

ولهذا السبب يُعد التعاون على مستوى الشركة بأكملها أمرًا بالغ الأهمية لضمان استراتيجية أمنية متينة.

آليات أساسية لضمان أمن المعلومات

عند تطوير وتطبيق نظام أمن المعلومات داخل الشركة، تُطبَّق كقاعدة عامة تدابير تنظيمية وتقنية-برمجية. وينبغي وصف الآليات المطبَّقة ومبدأ عملها بالتفصيل في سياسة أمن الشركة.

من بين أمور أخرى، يمكن تحديد آليات إنفاذ أمن المعلومات التالية. 

1. جدران الحماية وبرامج مكافحة الفيروسات. يشكّلان خط الدفاع الأول ضد التهديدات السيبرانية. إذ تراقب جدران الحماية حركة البيانات الواردة والصادرة، وتحظر النشاط المشبوه، بينما تكتشف برامج مكافحة الفيروسات البرمجيات الخبيثة وتزيلها من أجهزتكم.

2. تشفير البيانات. يتضمن تحويل بياناتكم إلى شيفرة لمنع الوصول غير المصرح به إليها. وحتى إن تمكن القراصنة من اعتراض البيانات المشفرة، فلن يتمكنوا من قراءتها دون مفتاح فك التشفير.

3. نشر أنظمة SIEM وDLP. تجمّع أنظمة SIEM البيانات المتعلقة بالأحداث الأمنية وتتيح إدارة التدابير الاستباقية للقضاء على الحوادث وتقليل الأضرار الناتجة عن وقوعها. وتتيح أنظمة DLP مراقبة نشاط الموظفين على محطات عملهم، وتقلل بشكل كبير من احتمالية تسرب المعلومات المحمية بسبب خطأ من الموظفين.

4. التمييز والتحكم في الوصول. ليس بحاجة كل شخص في الشركة إلى الوصول إلى جميع البيانات دفعة واحدة. ويضمن تطبيق ضوابط وصول صارمة أن الأشخاص المصرح لهم فقط هم من يمكنهم عرض المعلومات الحساسة أو تعديلها. كما أن تطبيق مبدأ انعدام الثقة (zero trust) يقلل من مخاطر الوصول غير المصرح به إلى البيانات المحمية.

5. التحديثات والتصحيحات في الوقت المناسب. يستغل المجرمون الإلكترونيون باستمرار الثغرات في البرمجيات القديمة. ويساعد التحديث المنتظم للأنظمة وتطبيق التصحيحات على سد هذه الثغرات الأمنية.

6. تقييد بيئة البرمجيات. إزالة البرامج والخدمات والمكونات التي لا يستخدمها الموظفون، وإدارة الملفات المؤقتة، والتحكم في تثبيت البرامج والخدمات، وما إلى ذلك.

7. وغيرها.

الخلاصة

يؤدي الأمن المؤسسي دورًا بالغ الأهمية في حماية أصول الشركة وسمعتها وقدرتها التنافسية. ومن خلال تطبيق تدابير شاملة، يمكن للشركات تقليل احتمالية المخاطر والتهديدات، وكذلك تخفيف العواقب المحتملة من خلال تأمين الأصول المادية، وسرية المعلومات الحساسة، واستمرارية العمليات التجارية. 

لا يمكن المبالغة في أهمية الأمن المؤسسي، إذ يحدد فعليًا ربحية الشركة وسمعتها وموثوقيتها في أعين العملاء والشركاء وأصحاب المصلحة الآخرين. لذا فإن الاستثمار في أمن معلومات موثوق ليس مجرد ضرورة — بل مهمة استراتيجية لكل شركة.