منع تسرب البيانات من قبل المستخدمين المتفوقين

في الغالبية العظمى من الشركات، يُنظَّم العمل وفق مبدأ هرمي: من الإدارة العليا وصولًا إلى الموظفين العاديين. لكل فرد مجال مسؤولية خاص به، ويؤدي كل منهم عمله. ومن الواضح أن إدارة الشركة والموظفين التنفيذيين يتعاملون مع معلومات أكثر أهمية وسرية.

غالبًا ما يستهدف القراصنة المستخدمين المميَّزين أو المستخدمين المتفوقين (superusers) في قواعد البيانات، وبعضهم، مستخدمًا صلاحياته الموسَّعة، قد يستغل المعلومات لأغراض غير تجارية.

وفقًا للإحصاءات، السبب الرئيسي لتسرّب البيانات هو العامل البشري، الذي يمثل 95% من جميع الحوادث. لم يعد سرًا أن الموظفين أنفسهم داخل المؤسسات، وليس القراصنة، هم الأكثر مسؤولية غالبًا عن تسرّب المعلومات.

وفقًا لنتائج استطلاع حول خطر تسرّب المعلومات من قبل موظفي الشركات، أفادت 90% من الشركات المشاركة في الاستطلاع بأنها تعرضت بالفعل لتسرّب بيانات سرية، مثل معلومات عن الموظفين، ومستندات عن العمليات المالية للشركة، وقواعد بيانات تضم بيانات العملاء، خلال العام الماضي. ومعظم التسريبات وقعت بسبب تسريب متعمَّد للبيانات من قبل مستخدمين متفوقين في الشركة، بينما وقعت أخرى بسبب عدم الانتباه وسهولة الانخداع. 

يتزايد خطر فقدان المعلومات أو تسربها بشكل كبير عند انتقال الموظفين إلى نمط العمل عن بُعد، إذ يصبح التحكم في تصرفات الموظفين أصعب بكثير. وينبغي إيلاء اهتمام خاص لرؤساء الأقسام، والمديرين، وموظفي قسم أمن المعلومات في الشركة، إذ إنهم يملكون صلاحية الوصول إلى أهم البيانات. كذلك، تحدث بعض الحوادث بسبب موظفين مغادرين للشركة قد يأخذون معهم، لأسبابهم الخاصة، بيانات سرية تخص الشركة.

وفي سياق الحديث عن التسريبات، يجدر بنا أيضًا ذكر التسرب الداخلي للبيانات – أي النسخ غير المصرَّح به للبيانات من قبل موظفي الشركة. من المستحيل حماية المؤسسة بشكل كامل من مثل هذه الحالات، لكن يمكن تقليل مخاطر وقوع حادثة بشكل كبير. ولتحقيق ذلك، ينبغي تنظيم استخدام البيانات من قبل الموظفين عبر:

• إقرار المسؤولية عن إفشاء المعلومات؛

• إعداد الوثائق المناسبة، مثل اتفاقية عدم الإفصاح؛

ينبغي للشركة اعتماد نظام حماية الأسرار التجارية وإعداد مستندات توضح بجلاء أي معلومات تُعد سرًا تجاريًا، ومن هو الملزَم بحمايتها والإفصاح عنها وكيفية ذلك، وما التدابير التي ستُتخذ بحق المخالف. وينبغي توقيع مثل هذه الاتفاقيات ليس فقط مع الموظفين، بل أيضًا مع المتعاقدين والوسطاء.

• إتاحة الوصول إلى المعلومات وفق التسلسل الهرمي ومسؤوليات الموظفين؛

أسهل طريقة لتأمين المعلومات القيّمة هي التمييز بين مستويات الوصول إلى البيانات ومنح الموظفين فقط البيانات التي يحتاجونها لأداء عملهم. على سبيل المثال، لا يُمنح المدير قاعدة البيانات بأكملها، بل فقط جهات اتصال العملاء الذين يتعامل معهم، ولا يُمنح أخصائي التسويق عبر وسائل التواصل الاجتماعي معلومات عن جميع مشاريع القسم، بل فقط البيانات المتعلقة بالشبكات الاجتماعية والمنصات اللازمة لإنشاء المحتوى.

• ممارسة رقابة معزَّزة على الموظفين الذين يملكون صلاحية الوصول إلى البيانات الحساسة ويتعاملون معها بحكم طبيعة عملهم؛
• التحكم في قنوات التواصل باستخدام أنظمة متخصصة.

في هذه الحالة، يشير "النظام المتخصص" إلى تركيب نظام DLP. ونظام DLP هو حل برمجي يراقب نقل البيانات عبر جميع قنوات التواصل، أي يمكنه منع محاولة نقل البيانات إلى جهات غير مصرَّح لها.

على سبيل المثال، لنأخذ نظام Anexet Ultimate من شركة Scinero Software Limited، وهو نظام DLP شائع في السوق حاز ثقة العملاء.

يتحقق Anexet Ultimate من جميع العمليات في الوقت الفعلي، ويحظر النشاط المريب، ويُخطر فريق الأمن، ويراقب محاولات نقل المعلومات إلى جهات خارجية، كما أنه:

• يراقب تصرفات المستخدمين غير المصرَّح لهم في النظام؛

• يتحكم في طباعة/نقل الملفات إلى الأجهزة؛

• يتحكم في/يقيّد وصول أجهزة USB والأجهزة الخارجية الأخرى إلى النظام؛

• يتعرّف على الملفات النصية والصوتية والمرئية، ويسجّل من شاشة الحاسوب أو الميكروفون.

من المزايا التي لا يمكن إنكارها أيضًا:

• نظام ثنائي الوظيفة (مراقبة الموظفين + الحماية من التسرب)؛

• متطلبات خادم أقل من متطلبات المنافسين؛

• تجربة مجانية للنظام على معدات Anexet Ultimate؛

• التدريب والمساعدة في اكتشاف تسريبات المعلومات؛

• تكامل النظام في يوم واحد.

حل مسألة الوصول إلى البيانات مع المستخدمين البسطاء، أي غير المميَّزين، ليس عادة مشكلة، بل يتطلب إدارة جيدة أكثر من حلول تقنية.

تسرّب البيانات الناجم عن موظفي الشركة المميَّزين ليست مشكلة نادرة، بل ناقل تهديد سيبراني مهم يتطلب تدابير مناسبة لمنع فقدان المعلومات الحساسة عرضيًا أو عمدًا.

يُوصى بأن تضع الإدارة العليا خطة لتنفيذ العمليات والبرمجيات اللازمة لأمن المعلومات، وكذلك معالجة اختبار الثغرات في النظام الحالي.