‏السرية

يسمّي ثالوث CIA الخصائص الثلاث التي يسعى برنامج الأمن إلى حمايتها. وقد تتعارض هذه الخصائص فيما بينها، لذلك يكون تصميم الأمن عادةً توازنًا بينها، لا تعظيمًا لإحداها. السرية هي الخاصية التي يقصدها معظم الناس حين يقولون إن البيانات «آمنة»، لكن النظام قد تكون لديه سرية تامة ويفشل مع ذلك في السلامة أو التوافر.

السرية جزء من أمن البيانات. فهي تمنع وصول المعلومات إلى الشخص الخطأ، أيًا كان السبب.

تشترك إخفاقات السرية في نتيجة واحدة: وصول المعلومة إلى من لا يحق له امتلاكها. والضرر عادةً واحد مهما كان السبب: تعرّض تنظيمي، وفقدان الثقة، وضرر تنافسي عند تسرب أسرار تجارية، وغرامات محتملة في القطاعات الخاضعة للتنظيم.

لا يحتاج التسريب العرضي إلى مهاجم، لذلك يملك الإفصاح غير المقصود مصطلحًا خاصًا به. والأسباب المعتادة هي:

• هجوم خارجي: جهة من خارج المؤسسة تخترق نظامًا وتنسخ البيانات عبر بيانات اعتماد مسروقة، أو برمجيات خبيثة، أو ثغرة.
• إفصاح من الداخل: موظف أو متعاقد يملك وصولًا مشروعًا يطّلع على البيانات أو ينسخها أو يشاركها خارج الغرض المصرَّح به، وهو نمط تتابعه برامج المخاطر الداخلية.
• تسريب عرضي: رسالة بريد إلكتروني موجهة إلى المستلم الخطأ، أو حاوية تخزين سحابي مُعدّة بشكل خاطئ، أو مستند مُرفق برسالة غير صحيحة، أو شاشة تظل ظاهرة أمام شخص غير مصرَّح له.
• تخلص غير سليم: أوراق أو أقراص أو أجهزة ما زالت تحمل بيانات قابلة للقراءة.

تعمل ضوابط متعددة معًا، ولا يكفي أيٌّ منها وحده: قواعد الوصول تحدد من يفتح الملف، والتشفير يحمي النسخ، ومنع فقدان البيانات يراقب القنوات التي قد تخرج منها نسخة من المؤسسة.

نادرًا ما يُعرف المحتوى السري من اسم الملف وحده، لذلك تقارن وحدة التحكم المحتوى بمجموعات كلمات مفتاحية جاهزة. تضم قائمة المعاجم الموضوعة للنظام 35 مجموعة، منها SSN وCredit Card وFinancial، ولكل منها عدد كلماته. وتعمل هذه المجموعات داخل Anexet DLP.

تمثل ملصقات الحساسية إشارة ثانية. قد تشترط القاعدة وجود ملصق من Microsoft على البيانات الحساسة قبل أن تُطابِق، ولا تفيد الملصقات إلا إذا طبّقها الناس بانتظام.

1 / 2

• 
• 

لا يعني التطابق دائمًا الحظر. القاعدة هي التي تختار الاستجابة، ويبقى الحدث في السجل للمراجعة لاحقًا، وهو السجل ذاته الذي تعتمد عليه مراقبة نشاط المستخدمين.

1. 1

   تطابق

   يطابق المحتوى أو الملصق شرطًا في القاعدة، كمجموعة كلمات مفتاحية أو ملصق حساسية.

2. 2

   قرار

   تحظر القاعدة النقل، أو تحتجزه للمراجعة، أو تسجّله فقط، بحسب التصنيف والخطورة.

3. 3

   تسجيل

   يُحفظ الحدث مع المستخدم والقناة والكائن، حتى يمكن إعادة بناء النشاط.

4. 4

   مراجعة

   يراجع المحلل الحالات المهمة ويعدّل القاعدة إذا عملت أكثر من اللازم أو أقل من اللازم.

السرية والخصوصية مرتبطتان لكنهما غير متطابقتين. السرية خاصية أمنية يمكن تطبيقها على أي معلومة تريد المؤسسة تقييد الوصول إليها، مثل الأسرار التجارية أو التوقعات المالية أو الشيفرة المصدرية، سواء تعلقت بشخص أم لا.

أما الخصوصية فتتعلق بحق الفرد في التحكم في المعلومات المتعلقة به، وهي موضوع لوائح مخصصة مثل اللائحة العامة لحماية البيانات (GDPR). وحماية البيانات الشخصية تتطلب دائمًا ضوابط سرية، لكن هذه الضوابط تُطبَّق أيضًا على كثير من المعلومات التي لا علاقة لها بالأفراد.

تبدأ برامج كثيرة بسياسة واحدة تشمل كل الملفات دفعة واحدة. والنتيجة عمل متوقف وأشخاص يبحثون عن طرق لتجاوز الأداة.

تتكرر ثلاثة أخطاء في مشاريع كثيرة:

• التصنيف دون فرض: الملصقات التي لا يتحقق منها أحد لا تحمي شيئًا.
• الاعتماد على قناة واحدة: سياسة تغطي البريد الإلكتروني وحده تترك USB ورفع الملفات إلى السحابة مفتوحة.
• اعتبار السرية مشروعًا منتهيًا: البيانات تتحرك، لذلك تحتاج القواعد إلى مراجعة دورية.

ابدأ بالبيانات التي يُلحق تسريبها أكبر ضرر، ثم ارسم خريطة القنوات التي تستخدمها فعليًا. القواعد المبنية على هذين السؤالين أسهل في الشرح للفريق، وأسهل في الاستمرار في تشغيلها.

للمزيد من القراءة: أمن المعلومات: التعريف والمتطلبات والنماذج والمراحل.