‏أمن البيانات

يخدم كل ضابط لأمن البيانات أحد ثلاثة أهداف، يُعرف مجموعها بثالوث CIA.

تعني السرية أن الأشخاص والأنظمة المصرح لها وحدها تستطيع قراءة البيانات، ويُفرض ذلك عبر التحكم في الوصول والتشفير ومراقبة الاطلاع غير المصرح به. وتعني السلامة أن البيانات لم تُعدَّل أو تُتلف أو يُعبث بها، سواء من مهاجم أو خلل في النظام أو موظف مهمل. أما التوافر فيعني أن البيانات موجودة وقابلة للاستخدام عندما يحتاجها مستخدم شرعي. ولهذا فإن النسخ الاحتياطي والتكرار وتخطيط الاستعادة جزء من أمن البيانات أيضًا.

قد يُضعف ضابط يحمي هدفًا هدفًا آخر، فتشفير كل شيء بأعلى درجة صرامة قد يبطئ الوصول الشرعي الذي يتطلبه التوافر. لذلك توازن البرامج الجيدة بين الأهداف الثلاثة بدلًا من تعظيم هدف واحد.

تُبنى معظم برامج أمن البيانات من عدد محدود من أنواع الضوابط، تُرتَّب في طبقات بحيث لا يؤدي فشل واحد إلى كشف البيانات.

يضيف أمن الشبكة وأمن نقاط النهاية طبقة أخرى، فجدران الحماية والتحكم في الأجهزة وإدارة التحديثات تقلل الطرق التي يمكن للمهاجم أن يصل منها إلى البيانات. يغطي Anexet طبقة الأجهزة عبر التحكم في أجهزة نقاط النهاية.

كثيرًا ما تُستخدم المصطلحات الثلاثة بالتبادل، وهو ما يسبب لبسًا في الميزانيات والمسميات الوظيفية.

يحمي أمن البيانات البيانات من الوصول غير المصرح به أو الفقدان، وهو وظيفة تقنية وتشغيلية. أما خصوصية البيانات فتتعلق بالحقوق التي يملكها الأفراد على بياناتهم الشخصية، وبالقواعد التي تتبعها المؤسسة عند جمعها أو استخدامها أو مشاركتها، وهي وظيفة قانونية وتنظيمية تعبر عنها لوائح مثل GDPR أو HIPAA.

حوكمة البيانات هي الإطار الأوسع للملكية ومعايير الجودة وحقوق اتخاذ القرار بشأن البيانات كأصل تجاري، ويُعد الأمن والخصوصية جزءين منها إلى جانب عناصر أخرى مثل جودة البيانات وإدارة البيانات الوصفية. وفي الممارسة تتداخل الثلاثة باستمرار، فبرنامج قوي لأمن البيانات هو ما يجعل معظم التزامات الخصوصية والحوكمة قابلة للتطبيق فعلًا لا مجرد طموحات.

تمر البيانات بالمراحل نفسها من الإنشاء حتى الإتلاف، ويُطبَّق في كل مرحلة ضوابط خاصة بها. يبدأ كل شيء من تصنيف البيانات.

1. 1

   الإنشاء والتصنيف

   تُوسم البيانات بحسب حساسيتها فور إنشائها أو استلامها، لتعرف الضوابط اللاحقة مدى الصرامة المطلوبة في التعامل معها.

2. 2

   التخزين

   تطبّق قواعد البيانات وخوادم الملفات ومستودعات السحابة التشفير أثناء السكون، وتقيّد الوصول بما يتوافق مع التصنيف.

3. 3

   الاستخدام والمشاركة

   يعمل الموظفون على البيانات فينسخونها أو يرسلونها بالبريد الإلكتروني أو يرفعونها إلى أدوات التعاون. وهنا تحدث معظم التسريبات، لذلك يقوم منع فقدان البيانات والمراقبة بأكبر قدر من العمل.

4. 4

   الأرشفة

   تُحفظ البيانات التي لم تعد مستخدمة بنشاط وفق سياسة موثقة، وهذا يقلل السطح المكشوف دون إتلاف السجلات التي يجب الاحتفاظ بها.

5. 5

   الإتلاف

   عند انتهاء مدة الاحتفاظ تُحذف البيانات، أو يُطهَّر الوسيط بحيث لا يمكن استرجاعها، فلا تتراكم البيانات إلى أجل غير مسمى.

يمكن لقاعدة حظر في Anexet DLP أن تطابق البيانات بحسب ملصق الحساسية من Microsoft، أو بحسب محتوى نقل عبر الويب، باستخدام أنماط جاهزة لأرقام البطاقات المصرفية وعناوين البريد الإلكتروني، أو تعبير نمطي مخصص. تُظهر الشاشتان التاليتان النوعين من الشروط.

1 / 2

• 
• 

الضوابط التقنية مفهومة جيدًا، ومعظم الإخفاقات الفعلية تنبع من طريقة تطبيقها.

يُتخطى التصنيف أو يُطبَّق بشكل غير متسق، فتنتهي قواعد منع فقدان البيانات وسياسات الوصول إلى حماية أشياء خاطئة أو لا شيء. وتُضبط الضوابط مرة واحدة عند الإطلاق ولا تُراجع، رغم إضافة المؤسسة خدمات سحابية جديدة وأدوات لمشاركة الملفات وقنوات عمل عن بُعد لم تكن ضمن نموذج التهديدات الأصلي.

وتفشل المراقبة أيضًا عندما لا يراجع أحد السجلات، فتُكتشف الحادثة بعد أسابيع بدلًا من وقتها. ويبقى السبب المنفرد الأكبر لحوادث أمن البيانات هو الشخص الداخلي: موظف يأخذ البيانات معه عند المغادرة، أو متعاقد يسيء التعامل مع ملف، أو خطأ بشري بسيط. لذلك فإن الرؤية الواضحة لما يفعله الناس فعلًا بالبيانات تسد فجوات تتركها دفاعات المحيط وحدها. ويُعالج الجانب البشري لهذا الخطر في باب التهديد الداخلي.

لا تفيد السجلات إلا إذا راجعها أحد. تعرض هذه الشاشة الحوادث التي لم تُفتح بعد، مع حالتها ورسم بياني للإحصاءات. ومراجعتها هي جوهر التحقيق في الحوادث الأمنية.

ابدأ بالبيانات التي يسبب تسريبها أكبر ضرر، ثم ارسم خريطة القنوات التي تنتقل عبرها هذه البيانات فعلًا. السياسة التي تُكتب لكل الملفات دفعة واحدة تعطل العمل المعتاد غالبًا، ويتم إيقافها بعد وقت قصير.

راجع الضوابط وفق جدول ثابت، فبرنامج أمن البيانات لا يكون أفضل من آخر مراجعة أجريت عليه.

للمزيد من القراءة: أمن معلومات قواعد البيانات; ما هي الحماية التقنية للمعلومات؟.