Covert Testing

الاختبار الخفي تمرين أمني يُنفَّذ فيه هجوم أو مخالفة لسياسة محاكاةً دون تنبيه معظم من سيواجهونه. ولا يعرف الخطة سوى مجموعة صغيرة، هي عادةً الجهة الراعية ومسؤول الاختبار. أما الجميع، بمن فيهم فريق الأمن والموظفون العاديون، فيتصرفون كما يتصرفون أمام حدث حقيقي.

الغاية قياس ما تفعله المؤسسة فعلًا لا ما تقول إنها تفعله. فالسياسات وسجلات التدريب ولوحات الأدوات تصف السلوك المقصود، بينما يُظهر الاختبار الخفي الفجوة بين النية ويوم ثلاثاء مزدحم. وفي برنامج التهديدات الداخلية يكون هذا الاختبار الفحص العملي لما إذا كانت الضوابط والأشخاص المحيطون بها يعملون كما يجب.

والهدف السلسلة كلها: هل يبلّغ الموظف عن رسالة مشبوهة، وهل يمنع الضابط عملية نقل، وهل يطلق اكتشاف التهديدات الداخلية تنبيهًا، وهل يتولى أحدهم هذا التنبيه ويتصرف في وقت معقول.

الاختبار الخفي خفي تجاه المختبَرين فقط. أما تجاه قيادة المؤسسة فالأمر عكس ذلك: فهو مخطَّط ومصرَّح به وموثَّق. والترتيب المعتاد:

1. 1

   تصريح مكتوب

   تقرّ الإدارة والشؤون القانونية النطاق والحدود وشروط الإيقاف قبل أن يبدأ أي شيء.

2. 2

   تصميم السيناريو

   اختر قصة واقعية، مثل حملة تصيّد محاكاة أو نقل بيانات وهمية، وأبقِها غير ضارة.

3. 3

   التنفيذ دون إنذار

   يتحرك المختبِر بينما تعمل بقية المؤسسة كالمعتاد، ويستطيع شخص موثوق إيقاف الاختبار فورًا.

4. 4

   تسجيل الاستجابة

   دوّن ما جرى حظره وما جرى رصده ومن لاحظه والوقت الذي استغرقته كل مرحلة.

5. 5

   المراجعة والإصلاح

   شارك النتائج مع جميع المعنيين، وسُدّ الثغرات التي ظهرت، وأعد السيناريو لاحقًا.

الاختبار الخفي أسلوب وليس تقنية واحدة. فالسيناريو يتبع الضابط المراد فحصه، والفكرة نفسها تمتد من صندوق البريد إلى باب المبنى. والتصيّد المحاكى أشهر الأشكال، ويمكنه تقليد أنواع موجَّهة مثل التصيّد بالاستنساخ.

عندما يكون السيناريو نقل بيانات، يكمن الدليل في طبقة الاكتشاف. فملف وهمي يطابق قاعدة محتوى في نظام DLP ينبغي أن يظهر كحادثة ذات مستوى خطر، ويمكن لمسؤول الاختبار فتحها في التحقيق في الحوادث لتتبع ما جرى بعد ذلك. وفي Anexet يسرد تبويب Rules كل قاعدة أمنية مع عدد حوادثها ومستوى خطرها، فيبيّن عدّاد القاعدة التي كان الاختبار يُفترض أن ينشّطها هل جرى رصده.

أصعب ما في الاختبار الخفي ليس تقنيًا. فتحديد من يُخبَر ومن لا يُخبَر هو ما يجعل التمرين آمنًا وعادلًا. وكلما قلّ عدد العارفين صارت النتيجة أصدق، وازدادت أهمية التوثيق المكتوب.

يسهل الخلط بين الأمرين لأن أحدًا في كليهما لا يُخبَر بشيء. لكنهما يختلفان في الجوهر. فالاختبار الخفي تمرين مخطَّط محدود المدة يفحص الدفاعات، تعتمده القيادة مسبقًا ويُختتم بجلسة مراجعة. أما المراقبة الخفية فهي رصد الموظفين سرًّا على مدى زمن طويل، وتسمح بها دول كثيرة في استثناءات ضيقة فقط.

والأفضل أن تُجرى مراقبة الموظفين المعتادة علنًا، بسياسة مكتوبة وإشعار واضح، مثل شريط الموافقة عند تسجيل الدخول. والاختبار الخفي لا يغيّر ذلك. فلا ينبغي للمختبِرين قراءة الرسائل الشخصية ولا جمع بيانات حقيقية عن الموظفين، وعلى جلسة المراجعة أن تذكر بوضوح ما جرى فعله.

تفشل معظم الاختبارات الخفية لأسباب تنظيمية لا تقنية:

• اعتبار الإخفاق حكمًا على شخص: فالنقر على رابط تصيّد محاكى إشارة عن العملية، واللوم يعلّم الناس إخفاء الأخطاء.
• غياب شرط الإيقاف: فسيناريو لا يمكن إيقافه قد يعطّل العمل الفعلي أو يطلق استجابة طوارئ حقيقية.
• بيانات حقيقية في السيناريو: استخدم ملفات وهمية وحسابات اختبار، ولا تستخدم بيانات العملاء أو الموظفين أبدًا.
• أجهزة متروكة في المكان دون سجل: فاختبار الوسائط القابلة للإزالة يتطلب سجلًّا لكل جهاز وُضع وسُحب.
• الاكتفاء بمرة واحدة: فالنتيجة المنفردة تتقادم سريعًا لأن الأشخاص والأدوات والقواعد تتغير.

ابدأ صغيرًا وبسيطًا: سيناريو واحد وضابط واحد ومقياس واحد واضح. اختر السيناريو الذي يقلقك أكثر، واتفق على المقياس مسبقًا، مثل الزمن حتى يلاحظ أول شخص، وكرّر الاختبار بعد الإصلاحات. وسلسلة اختبارات صغيرة تقول مع الوقت أكثر مما يقوله تمرين واحد مبهر.

اعرض النتائج بوصفها خاصية في النظام: زمن الاكتشاف وزمن الاستجابة والموضع الذي انقطعت عنده السلسلة، لا قائمة أسماء أبدًا.