‏خرق البيانات

تتداخل المصطلحات الثلاثة كثيرًا وكثيرًا ما تُستخدم بالتبادل، لكن لكل منها تركيزًا مختلفًا.

خرق البيانات هو المصطلح القانوني والتنظيمي. ويعني أن ضابطًا أمنيًا قد فشل، وأن البيانات المحمية تجاوزت الحدود المقصودة لها. وقد يستدعي هذا الفشل تقييمًا، وغالبًا إبلاغًا يفرضه القانون.

تسرب البيانات هو المصطلح التقني الأوسع. ويشمل أي تعرّض غير مصرح به، أيًا كان سببه. فكل خرق تسرب، لكن ليس كل تسرب يبلغ العتبة القانونية لخرق يجب الإبلاغ عنه، كأن يُحتوى التسرب قبل أن تُطّلع البيانات عليها فعليًا.

تهريب البيانات هو النقل المتعمد والخفي للبيانات من قِبل شخص من الداخل أو من مهاجم حصل بالفعل على الوصول. وهو أحد الآليات التي قد يقع بها الخرق. وهو مقصود دائمًا، بينما قد ينتج الخرق عن إهمال بسيط.

تُعرّف النصوص التنظيمية خرق البيانات الشخصية عادةً بما يكفي ليشمل المصطلحات الثلاثة. فالمادة 4(12) من GDPR تصفه بأنه خرق للأمن يؤدي إلى إتلاف البيانات الشخصية أو فقدانها أو تعديلها أو الإفصاح عنها دون تصريح، أو الوصول إليها، سواء كان ذلك عرضيًا أو غير قانوني. وقد يكون السبب مهاجمًا خارجيًا أو موظفًا مهملًا أو شخصًا من الداخل بنية خبيثة.

تُصنَّف الأسباب بحسب كونها خارجية أو داخلية بالنسبة إلى المؤسسة. وعمليًا تجمع كثير من الخروقات بين الاثنين، فمثلًا يستخدم مهاجم خارجي بيانات اعتماد تم الحصول عليها بالتصيد أو شراؤها، أي وصول موظف استولى عليه شخص من الخارج.

إساءة الاستخدام من الداخل جزء أساسي من أي برنامج ضد التهديد الداخلي. والإفصاح العرضي هو حالة الإفصاح غير المقصود، حيث لا يقصد أحد الضرر لكن البيانات تخرج من حدودها رغم ذلك.

ما يميّز خرق البيانات عن حادث تقني بحت هو طبقة الالتزامات القانونية المرتبطة به. تطلب معظم أطر حماية البيانات من المؤسسات أن تقيّم البيانات التي تأثرت، وعدد الأفراد المتضررين، والمخاطر المحتملة عليهم. كما تطلب إبلاغ الجهة التنظيمية، وإبلاغ الأفراد المتأثرين عندما يكون الخطر مرتفعًا، والاحتفاظ بسجل داخلي لكل خرق.

المواعيد ضيقة، ويُعد تفويت الموعد إخفاقًا في الامتثال في حد ذاته، بصرف النظر عن جسامة الخرق. ويلخص الجدول الواجبات الأساسية.

للسجل الداخلي أهمية أيضًا، إذ قد تطلبه الجهات التنظيمية أثناء التدقيق، بما في ذلك الخروقات التي لم تبلغ عتبة الإبلاغ.

للخرق كلفة على عدة جبهات، والغرامات التنظيمية ليست إلا أحدها. وتملك HIPAA وCCPA وLGPD وأطر مماثلة هياكل عقوبات خاصة بها.

• العقوبات التنظيمية: بموجب GDPR، حتى 20 مليون يورو أو 4% من الإيرادات السنوية العالمية، أيهما أعلى
• تكاليف الإبلاغ: إبلاغ الأفراد وتوفير موظفين لخطوط الدعم وعرض مراقبة الائتمان
• الضرر بالسمعة: الخروقات المعلنة تُضعف الثقة، وأحيانًا لسنوات
• المسؤولية القانونية: دعاوى جماعية وإجراءات تنفيذية تنظيمية ضد المؤسسة
• التعطل التشغيلي: احتواء الخرق وسد ثغرة الضبط يستهلكان وقتًا وموارد

ترتبط كلفة الخرق وتعرضه القانوني ارتباطًا وثيقًا بالوقت الذي يستغرقه اكتشافه واحتواؤه. فالخرق الذي يُكتشف خلال ساعات، قبل أن تُشاهد البيانات أو تُزال، حدث مختلف تمامًا عن الثغرة نفسها حين تُستغل شهورًا دون أن يُنتبه إليها.

لهذا تولي برامج الاستجابة للخروقات الاكتشاف والتحقيق اهتمامًا يوازي الوقاية. فالوقاية تقلل تكرار الخروقات، بينما يحدد الاكتشاف مقدار كلفتها عند وقوعها.

يسجّل Anexet كل حدث مقترنًا بقاعدة أمنية ومستوى خطر، فيرى المحلل أي القواعد تُفعَّل وكم حادثًا ما زال ينتظر المراجعة. ومن هنا تبدأ التحقيق في الحوادث.

1 / 2

• 
• 

لا يوجد ضابط واحد يزيل خطر الخرق، لذلك تتراكم في البرامج الفعالة طبقات الدفاع. فـمنع فقدان البيانات (DLP) وضبط الوصول يقللان تكرار الخروقات، بينما تحدد المراقبة والتشفير والجاهزية للاستجابة حجم الضرر الذي تسببه.

ابدأ بـتصنيف البيانات: حدد البيانات التي ستضر أكثر إذا خرجت، ثم ارسم خريطة القنوات التي تنتقل عبرها فعليًا. فالسياسات التي تُكتب لكل الملفات دفعة واحدة تنتهي بتعطيل العمل ثم بإيقافها.

للمزيد من القراءة: الهندسة الاجتماعية وأنظمة DLP: كيف تحمي شركتك من تسريب البيانات; التسرب التقني للمعلومات: ما هو وكيف تحمي نفسك؟.