أمن معلومات المكتب

أمن معلومات المكتب أمر بالغ الأهمية لمستقبل أي عمل تجاري. تعرّف في هذا المقال على مدى أهمية تدابير حماية البيانات في مكان العمل.

مقدمة

وفقاً لمقال نشرته Forbes Media LLC بقلم Carmen Ene، عضو مجالس Forbes، بتاريخ 22 فبراير 2023، من المتوقع أن يستمر الإنفاق العالمي على الحوادث الإلكترونية وتسريبات البيانات في الازدياد، ليصل إلى رقم غير مسبوق قدره 10.5 تريليون دولار في وقت مبكر يصل إلى عام 2025. وكان بالإمكان استخدام هذه الأموال في إدخال ابتكارات وتحسين العمليات التجارية وتهيئة الظروف اللازمة للتنمية المستدامة للشركات وموظفيها وعملائها. ويعمل المهاجمون على تنويع تكتيكاتهم، وتطوير مخططات الهجمات الإلكترونية، وتوسيع نطاق التهديدات الإلكترونية — ولا يخلو أي قطاع من قطاعات الاقتصاد من الأضرار.

وتُبرز الحقائق التالية الطابع المقلق للوضع.

• وفقاً لاستطلاع Allianz لعام 2023، صنّف 45 بالمئة من الخبراء حوادث أمن المعلومات باعتبارها السبب الأكثر خطورة لتعطل الأعمال، متجاوزة بذلك الكوارث الطبيعية أو مشكلات الطاقة.

• في السنوات الأخيرة، ما فتئت المؤسسات والشركات الكبرى تزيد ميزانياتها المخصصة لأمن المعلومات (IS)، ونتيجة غير متوقعة لهذا التوجه هي تصاعد اهتمام الجماعات الإجرامية الإلكترونية بالمؤسسات الصغيرة والمتوسطة التي تملك موارد أقل بكثير لضمان حماية بياناتها.

• تتأثر الشركات الصغيرة بشكل خاص بانتهاكات المعلومات. إذ تُغلق حتى 60% من الشركات الصغيرة أبوابها خلال 6 أشهر من تعرضها لهجوم إلكتروني، عاجزة عن تحمل الأضرار المالية والمتعلقة بالسمعة.

• وفقاً لأبحاث IBM، تُعد الأفعال البشرية سبب معظم تسريبات البيانات. إذ يتسبب خطأ المستخدم في ما يصل إلى 95% من جميع الحوادث — كالنقر على رابط تصيّد احتيالي، أو تنزيل برمجيات خبيثة، أو الإفصاح عن معلومات سرية، وغير ذلك.  

• يوجد نقص عالمي في المتخصصين في أمن المعلومات.  وفقاً لـ Cybersecurity Ventures، نما عدد الوظائف الشاغرة في مجال الأمن السيبراني حول العالم بنسبة 350% بين عامي 2013 و2021. ويؤدي الطلب المرتفع على المتخصصين المهرة إلى زيادة كبيرة في تكلفة خدماتهم. وفي نهاية المطاف، ستؤدي هذه الظروف إلى عجز بعض الشركات عن تطبيق وسائل الدفاع أو الاستجابة بفعالية لحوادث أمن المعلومات.

من المهم أن نفهم أن معظم بيانات المؤسسات والشركات تتركز في المكاتب والمباني الإدارية، على محطات العمل والخوادم والوسائط الرقمية والورقية. ولحماية هذه البيانات من النشر غير المصرح به أو التعديل أو الإتلاف، لا بد من ضمان أمن معلومات المكتب وموظفي المؤسسة.

أمن المعلومات في المكتب: ما البيانات التي تحتاج إلى حماية؟

تُعالَج في المكاتب كمية هائلة من البيانات، بما في ذلك البيانات الشخصية للمواطنين، ومعلومات الموظفين والعملاء، والمعلومات المالية والتشغيلية، والملكية الفكرية، والاستراتيجيات التجارية، والبيانات التشغيلية وبيانات الشبكة والبنية التحتية. وهذا يُبرز الحاجة الماسة إلى ممارسات أمنية قوية.

لذلك، تتمثل الخطوة الأولى لضمان أمن المعلومات في الشركة في فهم البيانات المتاحة لديها، وما هي المعلومات التي يمكن إتاحتها للعموم، وما هي المعلومات التي تحتاج إلى حماية. ولتحقيق ذلك، لا بد من جرد الأصول المعلوماتية وتصنيفها وفقاً لدرجة سريتها وخطورة فقدانها.

يمكن تصنيف المعلومات التي تحتاج إلى حماية على النحو التالي.

1. المعلومات السرية التي يقتصر الوصول إليها بموجب القانون أو القواعد الداخلية للمؤسسة. وتشمل البيانات الشخصية للموظفين والعملاء، والأسرار التجارية، والأسرار الرسمية، وغيرها. 

2. أسرار الدولة والمعلومات التي قد تضر بأمن البلد ومواطنيه. ويخضع الوصول إلى هذه المعلومات لرقابة صارمة من الدولة.

3. السرية المهنية، أي المعلومات المتعلقة بالأنشطة المهنية والتي يمكن استخدامها لتحقيق منفعة شخصية. مثل السرية الطبية وسرية المحاماة والتوثيق.

4. الملكية الفكرية: حقوق التأليف في الأعمال الفنية، والاختراعات، والعلامات التجارية، وغيرها من أشكال الملكية الفكرية.

5. المعلومات المالية: تفاصيل المعاملات المالية، والحسابات، والإيرادات والنفقات.

6. معلومات الأمن: بيانات عن ثغرات النظام وتدابير الأمن وجوانب أخرى متعلقة بحماية المعلومات.

معلومات الأمن: بيانات عن ثغرات النظام وتدابير الأمن وجوانب أخرى متعلقة بحماية المعلومات.

لماذا من المهم حماية البيانات؟

يمكن أن يتسبب الوصول غير المصرح به إلى الأصول المعلوماتية والخطط الاستراتيجية وغيرها من المعلومات «الحساسة» في أضرار مالية جسيمة وفقدان الميزة التنافسية في السوق.

علاوة على ذلك، تتجاوز عواقب تسريب البيانات اليوم الخسائر المالية، لتطال سمعة المؤسسة وعلاقاتها بعملائها واستدامتها العامة.

يجب على المؤسسات أن تكون يقظة وأن تحدّث باستمرار تدابيرها الأمنية لحماية نفسها من تسريبات البيانات والغرامات التي تفرضها الجهات الرقابية.

تهديدات أمن المعلومات في المكتب

تُقسَّم تهديدات أمن المعلومات تقليدياً إلى تهديدات داخلية وخارجية.

تنشأ التهديدات الخارجية عادةً من خارج المكتب ويمكن أن تكون مرتبطة بأفعال المتسللين أو المنافسين أو بعوامل خارجية.

لا تزال البرمجيات الخبيثة وبرمجيات الفدية تشكل تهديداً كبيراً لأمن المعلومات. فعلى سبيل المثال، بين عامي 2018 و2023، وقعت 72.7% من جميع المؤسسات ضحية لهجمات برمجيات الفدية.

تُعد هجمات حجب الخدمة (DoS) وحجب الخدمة الموزعة (DDoS) هجمات قوية على نظام معلومات المكتب تهدف إلى إثقال خوادم الشركة، ما قد يؤدي إلى انتهاك سلامة البيانات وتوافرها.

يُعد التصيّد الاحتيالي والهندسة الاجتماعية تهديداً خطيراً آخر لسلامة البيانات وسريتها. فمجرمو الإنترنت يمتلكون ترسانة لا حصر لها من الأساليب لاختراق محيط أمن المعلومات في المؤسسات باستخدام روابط التصيّد الاحتيالي، والمواقع الإلكترونية، والتطبيقات، وغيرها.

من المهم أن نفهم أن الشركة قد تستثمر مبالغ ضخمة من المال في تأمين بنيتها التحتية لتقنية المعلومات، لكن نظام معلوماتها في نهاية المطاف لن يكون آمناً إلا بقدر وعي موظفيها بالنظافة الإلكترونية والسلوك الآمن على الإنترنت.

ومع استخدام المهاجمين لتكتيكات أكثر تطوراً لاستغلال الثغرات، يتعين على قسم تقنية المعلومات تقييم المخاطر المحتملة وإدارتها. ونتناول هذه المسألة أدناه.

تُعد سرقة أو إتلاف الوسائط المادية وتدمير قنوات الاتصال فئة أخرى من التهديدات، ذات صلة خاصة بما يُسمى مكاتب الاستقبال الأمامية.

الكوارث الطبيعية والحوادث والحرائق. يمكن أن تكون الكوارث الطبيعية خطيرة ليس فقط على موظفيك، بل أيضاً على محطات العمل وغيرها من المعدات. ورغم أن هذه الأحداث غير المرغوبة لا يمكن التحكم بها أو التنبؤ بها، يمكن للشركات الاستعداد للحد من الأضرار المحتملة.

كما ذُكر أعلاه، يتسبب المستخدمون فيما يقرب من 95 بالمئة من جميع انتهاكات أمن المعلومات. ويمكن أن تكون الأفعال المؤدية إلى الانتهاكات متعمدة أو غير متعمدة. وكقاعدة عامة، تنشأ التهديدات الداخلية لأمن المعلومات من موظفي الشركة.

وتتميز الأنواع التالية من التهديدات الداخلية. 

انتهاك قواعد نظام المعلومات. قد ينتهك الموظفون قواعد أمن المعلومات، مثل استخدام جهاز شخصي للعمل أو نقل معلومات سرية عبر قنوات اتصال غير آمنة.

السرقة والاحتيال وإساءة استخدام السلطة. قد يستخدم الموظفون الذين يتمتعون بصلاحيات أو وصول إلى بيانات حساسة هذه الصلاحيات لتحقيق منفعة شخصية. إضافة إلى ذلك، في حال غياب الرقابة، قد يسرق الموظفون معدات أو يغيّرون إعداداتها، ما قد يؤدي إلى فقدان مرونة نظام المعلومات ككل.

الإهمال. غالباً ما يكون غياب الوعي بأمن المعلومات سبباً في السلوك المهمل للموظفين: النقر على روابط التصيّد الاحتيالي، والنقل المتعمد أو العرضي للبيانات السرية، وإعادة استخدام كلمات المرور نفسها في حسابات العمل والحسابات الشخصية، وغير ذلك.

تسريب البيانات إلى المنافسين. يمكن أن ينقل الموظفون معلومات حساسة إلى المنافسين إما عمداً أو عن طريق الخطأ.

التخريب. يتمثل في تعمّد خلق ظروف من شأنها الإضرار بتوافر المعلومات وسلامتها، مثل إثقال الخوادم، أو تعطيل أو إتلاف المعدات الحيوية، وغير ذلك.

ملاحظة جانبية!

السرقة والاحتيال وإساءة استخدام السلطة. قد يستخدم الموظفون الذين يتمتعون بصلاحيات أو وصول إلى بيانات حساسة هذه الصلاحيات لتحقيق منفعة شخصية. إضافة إلى ذلك، في حال غياب الرقابة، قد يسرق الموظفون معدات أو يغيّرون إعداداتها، ما قد يؤدي إلى فقدان مرونة نظام المعلومات ككل.

• قد يستخدم الموظفون أجهزة شخصية غير آمنة للوصول إلى الشبكة المؤسسية والبيانات، ما يؤدي غالباً إلى تسريب المعلومات أو الإصابة ببرمجيات خبيثة؛

• تصبح الرقابة على البيئة الموزّعة أكثر تعقيداً، ويصعب مراقبة أحداث أمن المعلومات وتحديد المتسللين؛

• قد يتصل الموظفون العاملون عن بُعد بشبكات عامة ومنزلية غير آمنة، وغير ذلك.

تدابير حماية البيانات في المكتب

توجد عدة طرق مجرَّبة يمكن للمؤسسات من خلالها إرساء إطار عمل قوي لأمن المعلومات لضمان حماية البيانات ومرونتها في مواجهة الهجمات الإلكترونية في المكاتب.

ابدأ بتقييم المخاطر وإدارتها

تقييم المخاطر الأمنية هو عملية تحديد الثغرات في منظومة تقنية المعلومات وتحليل التهديدات التي تشكلها على المؤسسة، بدءاً من التوقف عن العمل وما يرتبط به من خسارة في الإيرادات، وصولاً إلى الغرامات التنظيمية بسبب عدم الامتثال.

وتشمل بعض استراتيجيات التقييم الفعال للمخاطر ما يلي:

• تحديد الأصول المعلوماتية التي تحتاج إلى حماية؛

• تحليل التهديدات المحتملة لكل أصل؛

• تحديد وتحليل الثغرات الحالية في نظام المعلومات؛

• إجراء تدقيق دوري لبنية تقنية المعلومات في المؤسسة؛

• متابعة التهديدات الحالية لأمن المعلومات وإبلاغ الموظفين بها وبتدابير الأمن في الوقت المناسب.

يساعد هذا المؤسسات على حماية أصولها مسبقاً والحفاظ على استمرارية أعمالها.

وضع سياسة أمنية وتطبيقها

يساعد وضع سياسة أمنية تتضمن قائمة كاملة بالقواعد والإجراءات المعمول بها على التقليل بشكل كبير من مخاطر التهديدات الداخلية والخارجية. وتُعد هذه الوثيقة بمثابة خارطة طريق تصف خصوصيات تشغيل نظام المعلومات والوسائل والتدابير المطبقة لضمان حماية البيانات.

ينبغي إبلاغ موظفي المكتب، بتوقيعهم، بسياسات الأمن الخاصة بالشركة، وكذلك بأي تغييرات تطرأ على السياسات القائمة.

تُوضع سياسة السلامة الخاصة بالشركة موضع التنفيذ بموجب أمر منفصل.

استخدم اتفاقيات عدم الإفصاح ولوائح الأسرار التجارية

قد لا تكون التدابير التشريعية كافية لحماية المعلومات ذات القيمة التجارية. لذا فإن الخطوة التالية هي إعداد اتفاقية عدم الإفصاح (NDA) ولائحة الأسرار التجارية.

لكي تكون اتفاقية عدم الإفصاح فعّالة، يجب أن تتضمن المعلومات التالية.

1. قائمة البيانات التي تُعد سرية. وقد تشمل معلومات عن عمليات الشركة ومواردها، وموظفيها وعملائها، وخططها التطويرية، وغير ذلك.

2. وصف تفصيلي للحالات التي تُعد تسريباً للمعلومات السرية. مثل ممارسة نشاط تجاري مماثل، أو نشر بيانات في وسائل الإعلام، أو نقل معلومات ذات قيمة تجارية شفهياً، وغير ذلك.

3. تدابير المسؤولية عند انتهاك اتفاقية عدم الإفصاح. يجب أن تُذكر بوضوح في الاتفاقية.

4. مدة الاتفاقية.

يمكن تحديد شروط وأحكام استخدام المعلومات السرية بشكل أكبر في الوصف الوظيفي. وينبغي التوقيع على اتفاقية عدم الإفصاح مع العقد الرئيسي.

استخدام الوسائل البرمجية والتقنية للحماية

الوسائل التقنية لحماية البيانات هي أجهزة ومعدات وأنظمة مصمَّمة لضمان أمن البيانات في الشركة. وتشمل الوسائل التقنية للحماية:

• جدران الحماية؛

• أنظمة كشف التسلل؛

• كاميرات المراقبة بالفيديو؛

• أجهزة استشعار الحركة؛

• مزودات الطاقة غير المنقطعة؛

• بوابات التشفير، وغيرها.

أدوات برمجيات أمن المعلومات هي تطبيقات وأدوات مساعدة مصممة لحماية المعلومات من الوصول غير المصرح به، والفيروسات، والتهديدات الأخرى. وتشمل:

• برامج مكافحة الفيروسات؛

• جدران الحماية؛

• برامج مكافحة برمجيات التجسس؛

• خدمات الشبكات الافتراضية الخاصة (VPN)؛

• خدمات تشفير البيانات؛

• أنظمة SIEM وDLP؛

• برمجيات الحماية من هجمات DDoS.

إضافة إلى ذلك، ينبغي إجراء عملية نسخ احتياطي منتظمة لحماية بياناتك.

نظام التحكم في الدخول والإدارة (ACS)

وهو مجموعة من الوسائل التقنية المادية والبرمجية للتحكم في الوصول إلى مناطق ومباني معينة وتقييده فعلياً.

الوظائف الرئيسية لنظام التحكم في الدخول:

• تحديد هوية المستخدم؛

• التحقق من صلاحيات الوصول؛

• تسجيل الأحداث (عبور نقاط التحكم، الإنذارات، وغيرها)؛

• تخزين بيانات الأحداث؛

• التحكم في الوصول (فتح/إغلاق الأبواب، البوابات الدوارة ونقاط الوصول الأخرى).

تُستخدم أنظمة التحكم في الدخول على نطاق واسع في المكاتب الحديثة ذات الوصول المحدود. ومن بين أمور أخرى، يشمل نظام التحكم في الدخول والإدارة:

• مختلف المعرّفات؛

• قارئات رمز PIN والباركود، وقارئات البيانات البيومترية؛

• وحدات التحكم؛

• مختلف البرمجيات وأجهزة الحاسوب لإدارة النظام؛

• الأقفال الإلكترونية، ومحركات الأبواب، والبوابات الدوارة، والحواجز، وغيرها. 

التحكم في الوصول والمصادقة

يُعد التحكم في الوصول والمصادقة مكوناً أساسياً في أي استراتيجية قوية لأمن المعلومات. فآليات التحكم في الوصول تحدد من يمكنه الوصول إلى موارد معلوماتية معينة، في حين تُثبت أساليب المصادقة هوية المستخدمين الذين يطلبون الوصول. 

عادةً ما تشمل إدارة وصول المستخدمين إلى المعلومات الحساسة:

• مراجعات وتحديثات دورية لصلاحيات الوصول؛ 

• إلغاء صلاحيات الوصول فوراً عن الموظفين الذين يغادرون المؤسسة؛

• تطبيق مبادئ الحد الأدنى من الصلاحيات وانعدام الثقة للتقليل من المخاطر المحتملة.

يقصد بمبدأ انعدام الثقة أنه لا يُفترض في أي مستخدم أو نظام داخل محيط الشبكة أو خارجه أن يكون موثوقاً بشكل تلقائي. وهذا يعني أن كل مستخدم وجهاز يخضع للتحقق والمصادقة المستمرين، بغض النظر عن موقعه أو وصوله السابق. ويضمن استخدام هذا النموذج ألا يحصل المستخدمون والأنظمة إلا على الوصول إلى الموارد اللازمة لمهامهم المحددة، ما يقلل بشكل كبير من مخاطر الاختراقات الأمنية المحتملة.

تشفير البيانات

التشفير هو تحويل المعلومات إلى صيغة غير قابلة للقراءة، بحيث لا يفهمها إلا المستخدمون المصرح لهم الذين يملكون مفتاح فك التشفير المناسب. ومن خلال تطبيق التشفير، يمكن للمؤسسات حماية البيانات الحساسة أثناء نقلها وتخزينها. وهذا لا يشكل تدبيراً وقائياً ضد التهديدات الإلكترونية فحسب، بل يساعد المؤسسات أيضاً على الالتزام بالمتطلبات التنظيمية المتعلقة بحماية البيانات والخصوصية.

تدريب الموظفين وتوعيتهم في مجال أمن المعلومات 

لن تكون أكثر تدابير أمن المعلومات تطوراً فعّالة إذا لم يكن موظفو الشركة على دراية بقواعد النظافة الإلكترونية والسلوك الآمن على الإنترنت.

يميل الموظفون المدرَّبون إلى التفوق في التعرف على التهديدات التي تتزايد يوماً بعد يوم. ووفقاً لمجلة Security Magazine، يقع نحو 2,200 هجوم إلكتروني يومياً — ويقع على عاتق الموظفين في الخطوط الأمامية التصدي لها.

يُستحسن تدريب الموظفين على التصدي لتهديدات أمن المعلومات الحديثة عبر:

• تنظيم محاضرات وندوات ودورات تدريبية منتظمة حول هذا الموضوع؛

• الإبلاغ عن التهديدات الجديدة لأمن المعلومات عبر النشرات البريدية؛

• استخدام المواد المطبوعة (الكتيبات، والمنشورات، وغيرها).

يُشار إلى عملية تثقيف الموظفين حول أساسيات أمن المعلومات أيضاً بمصطلح «التأمين».

إدارة حوادث أمن المعلومات

رغم تصاعد الهجمات الإلكترونية، لا تزال العديد من الشركات تفتقر إلى خطة فعّالة للاستجابة لحوادث أمن تقنية المعلومات. ومع ذلك، إذا تعرضت شركة لتسريب بيانات ولم تكن لديها استراتيجية معالجة قوية، فقد تكون الأضرار كارثية.

تشمل هذه العملية المراقبة المستمرة لأحداث أمن المعلومات، وتسجيلها، وتحليل البيانات المجمَّعة لرصد الانتهاكات والحالات الشاذة. وفي حال اكتشاف حادثة، يجب اتخاذ إجراء فوري.

كيف نستجيب للحوادث؟

خوارزمية الاستجابة ستكون متطابقة لأي عمل تجاري وقد تبدو على النحو التالي.

• التحديد الموضعي. تتضمن المرحلة الأولى تحديد الجهات المسؤولة عن الحادثة وتحديد نطاق الحدث غير المرغوب فيه.

• تقييم الأضرار. في مرحلة التقييم، يُحدَّد نطاق الحادثة، أي العواقب التي لحقت بالمؤسسة نتيجة وقوعها. وقد تشمل عواقب الحادثة تغييرات في إعدادات أمن المعلومات المرجعية، أو إتلاف أو إفشاء معلومات حساسة، وغير ذلك.

• المعالجة. تتضمن هذه الخطوة التعامل مع عواقب الحادثة، مثل استعادة الملفات المحذوفة.

• تحليل الحادثة. المرحلة الأخيرة من الاستجابة هي تحليل بيانات الحدث غير المرغوب فيه وتسجيلها بأي طريقة مناسبة تعتمدها الشركة. واستناداً إلى معلومات الحادثة، ينبغي إعداد تقرير وتحليله، ثم وضع وتطبيق تدابير لمنع تكراره.

كملاحظة جانبية: ينبغي تصميم خطة الاستجابة بما يتناسب مع مشهد المخاطر الفريد الخاص بكل مؤسسة.

من المهم اختبار الخطة وتحديثها بانتظام وفقاً للمخاطر والتهديدات المحتملة الجديدة. إضافة إلى ذلك، فإن إجراء ما يُعرف بالتدريبات الإلكترونية واختبارات صمود أمن المعلومات يضمن أن الخطة التي اختارتها الشركة ستتيح الاستجابة في الوقت المناسب للحادثة والمعالجة السريعة لعواقب وقوعها.

في الختام

أصبحت تهديدات أمن المعلومات متزايدة التعقيد والتطور ومتعددة المراحل. حدّد البيانات التي تحتاج إلى حماية وطبّق تدابير أمن المعلومات المناسبة التي تلبي إمكانات واحتياجات عملك.