‏سرقة البيانات

فقدان البيانات هو أي كشف غير مصرّح به للبيانات، سواء كان مقصودًا أم لا. فالموظف الذي يرسل جدول بيانات إلى الشخص الخطأ عن طريق الخطأ يتسبب في فقدان البيانات.

سرقة البيانات مقصودة دائمًا. فالشخص يأخذ بيانات يعرف أنه لا ينبغي له أخذها، بنية استخدامها خارج مصلحة المؤسسة.

الفارق في النية، وهذا مهم للوقاية والتحقيق والاستجابة. يُعالج الفقدان العرضي بالتدريب وضوابط سير العمل وحلول DLP التي تلتقط الأخطاء. أما السرقة فتتطلب ضوابط تأخذ في الحسبان التخفي: فاللص يخفي أفعاله، ويستخدم قنوات معتمدة ليندمج مع العمل المعتاد، ويمحو آثاره.

غالبًا ما يأخذ الموظفون المغادرون إلى المنافسين الملكية الفكرية. تُستخدم بيانات العملاء في الاحتيال أو في الاستخبارات التنافسية، أو تُباع لأطراف ثالثة. وتتيح بيانات الاعتماد وصولًا إضافيًا أو تُباع في الأسواق الإجرامية.

تُسرق البيانات من عدة أنواع من التهديدات الداخلية ومن مهاجمين من خارج المؤسسة:

• الموظفون المغادرون: فئة لها وزنها. فالعاملون الذين قبلوا عرض عمل لدى منافس، أو أُبلغوا بإنهاء خدماتهم، قد ينسخون البيانات في الأسابيع التي تسبق مغادرتهم.
• الموظفون الساخطون من الداخل: موظفون يدفعهم الاستياء أو الإحساس بالظلم أو الخلاف الفكري، وقد يسرقون البيانات للإضرار بالمؤسسة أو لكشفها.
• الداخليون المدفوعون بالمال: أشخاص يسرقون البيانات لبيعها أو لارتكاب الاحتيال أو للاستفادة من نشاط جانبي.
• الحسابات المخترقة: مهاجمون خارجيون يحصلون على بيانات اعتماد مشروعة ويعملون كأنهم موظفون. النية خارجية، لكن الوصول والنشاط داخليان.
• البرمجيات الخبيثة: أحصنة طروادة لسرقة المعلومات وتهديدات APT التي تؤتمت جمع البيانات وتسريبها.

تستخدم سرقة البيانات القنوات نفسها التي يستخدمها العمل المشروع، لذلك يصعب تمييزها دون فحص المحتوى. يوضح العمود الأيمن الجزء الذي تراقب فيه حلول DLP على الأجهزة الطرفية كل قناة.

التحدي الأساسي أن كل إجراء مشروع بذاته. فالموظف الذي يرفع ملفًا أو يرسل بريدًا أو ينسخ إلى USB يفعل ما يفعله الموظفون عادةً. وتظهر السرقة في الأنماط فقط: ما الذي يُنقل (محتوى حساس)، ومتى (قرب المغادرة)، وكم (فوق المعتاد)، وإلى أين (حسابات شخصية، وجهات خارجية).

لذلك يتطلب الاكتشاف أربعة أنواع من الإشارات، وتحليل سلوك المستخدمين والكيانات (UEBA) يجمع الإشارات السلوكية منها:

• فحص المحتوى: ما الذي يُنقل.
• خط الأساس السلوكي: هل النشاط غير معتاد لهذا المستخدم.
• الوعي بالسياق: هل المستخدم على وشك المغادرة، أو تحت التحقيق، أو يصل إلى بيانات غير معتادة.
• مراقبة القنوات: هل الوجهة شخصية أم خارجية.

النسخ واللصق داخل محطة العمل نفسها ينقل البيانات دون أي نقل للملفات، لذلك يحتاج إلى سجل خاص به. تتابع Anexet ذلك عبر مراقبة الحافظة، فيرتبط كل نسخ بمصدره، وكل لصق بوجهته.

يتجاوز أثر سرقة البيانات البيانات نفسها، ويظهر عادةً في عدة أشكال في آنٍ واحد:

• الضرر التنافسي: الملكية الفكرية أو الخطط الاستراتيجية المسروقة تفيد المنافسين مباشرةً.
• الضرر للعملاء: بيانات العملاء المسروقة تتيح الاحتيال وسرقة الهوية وانتهاك الخصوصية.
• الغرامات التنظيمية: البيانات الخاضعة للتنظيم تفرض واجبات إخطار وغرامات محتملة (GDPR وHIPAA وCCPA).
• الضرر بالسمعة: الكشف العلني يقوّض ثقة العملاء والشركاء.
• التكاليف القانونية: التحقيق والتقاضي وإجراءات جنائية محتملة.

ابدأ بالبيانات التي يكون تسربها الأشد ضررًا، ثم بالقنوات التي تستخدمها فعلًا. فالسياسات التي تُكتب لكل الملفات دفعة واحدة تنتهي بتعطيل العمل وإيقافها.

الوقاية مجموعة من الضوابط، وليست نقلًا واحدًا محجوبًا. ويغطي دليل الوقاية من سرقة البيانات المجموعة الكاملة.

للمزيد من القراءة: أهم 5 أنواع من البيانات يحاول المنافسون سرقتها; كيف يحدد مسؤول الأمن شخصًا داخليًا باستخدام نظام DLP؟.