‏الأمن المرتكز على الإنسان

ينطلق هذا النهج من ملاحظة تعرفها معظم فرق الأمن من الممارسة: الناس، لا الأنظمة، هم من يقرر ما إذا كان الضابط الأمني سينجح. فالسياسة البطيئة أو الغامضة أو المتعارضة مع طبيعة العمل يجري التحايل عليها، مهما بدت متينة على الورق. لذلك تُعامل سهولة الاستخدام والسياق والدافعية بوصفها خصائص أمنية، إلى جانب التشفير والتحكم في الوصول.

لا يعني هذا النهج تقليل الضوابط، وليس مرادفًا للتدريب على التوعية. إنه موقف تصميمي: تُختبر الضوابط على مسارات عمل حقيقية، وتُشرح في اللحظة التي تنطبق فيها، وتُضبط بحسب الملاحظات الراجعة. ومجاله الطبيعي هو الجانب البشري من التهديدات الداخلية، حيث قد يكون الموظف نفسه مهملًا أو هدفًا للهندسة الاجتماعية أو، في حالات نادرة، مهاجمًا متعمدًا.

تفترض البرامج التي تبدأ من التقنية أن الناس سيلتزمون بالقاعدة متى وُجدت. أما في الواقع فنادرًا ما تختفي المهمة المحظورة، بل تنتقل إلى مسار لا يراه فريق الأمن، وهكذا ينمو Shadow IT وShadow AI حتى في المؤسسات ذات السياسات الصارمة. وتبدو الالتفافات الشائعة على النحو التالي:

• إرسال ملف عمل إلى بريد شخصي لأن أداة المشاركة المعتمدة بطيئة
• لصق مسودة أو رسالة من عميل في روبوت دردشة عام يعمل بالذكاء الاصطناعي لإنهاء العمل أسرع
• مشاركة حساب واحد لتجنب انتظار الموافقة على صلاحية
• تجنب أداة أمنية تقاطع كل مهمة

يوصف هذا النهج عادة بعدد قليل من المبادئ. وهي عادات تصميم مشتركة وليست معيارًا رسميًا واحدًا، وتصوغها الجهات المزودة والمحللون بطرق مختلفة.

البرنامج المرتكز على الإنسان حلقة متجددة وليس إطلاقًا لمرة واحدة. ابدأ بـتصنيف البيانات كي يتبع الجهد القيمة، ثم كرّر الحلقة نفسها لكل مجموعة من الضوابط.

1. 1

   رسم مسارات العمل الفعلية

   لاحظ كيف تتعامل الفرق فعلًا مع البيانات الحساسة بما في ذلك الاختصارات التي تستخدمها.

2. 2

   مواءمة الضوابط مع المخاطر

   طبّق ضوابط صارمة حيث يكلّف الخطأ كثيرًا وضوابط أخف وتوضيحية في سواها.

3. 3

   التوجيه في اللحظة المناسبة

   اعرض رسائل قصيرة وبسيطة عند حظر إجراء أو عند خطورته مع خطوة تالية واضحة.

4. 4

   المراجعة والضبط

   تتبّع المواضع التي يلتف فيها الناس أو يتعثرون ثم غيّر القاعدة أو الأداة لا التدريب وحده.

عبارة «الإنسان هو الحلقة الأضعف» شائعة في أحاديث الأمن وتوجّه التصميم: فإذا كان الناس هم المشكلة فالحل أن تُسحب منهم الخيارات. أما الأمن المرتكز على الإنسان فيعكس السؤال ويتساءل لماذا يصعب الخيار الآمن. وتقود النظرتان إلى عادات مختلفة.

لا يحل Anexet محل التدريب ولا الثقافة المؤسسية، لكن وحدة التحكم فيه تدعم الحلقة المرتكزة على الإنسان. يمكن لقاعدة الحظر أن تعرض إشعارًا قصيرًا على محطة عمل الموظف بنص يكتبه المسؤول، ويُضبط الوصول إلى عناصر لوحة المعلومات وقوائم المستخدمين بحسب الدور. ولأن Anexet Activity يُنشر محليًا (on-premise) فإن البيانات خلف هذه العروض تبقى داخل المؤسسة.

1 / 2

• 
• 

مراقبة السلوك تطرح سؤالها الإنساني الخاص: ما مقدار الاطلاع العادل. يعامل البرنامج المرتكز على الإنسان المراقبة بوصفها متناسبة وشفافة. ينبغي أن يعرف الموظفون ما الذي يُجمع ولماذا، وأن يقتصر الوصول إلى بيانات الأفراد على الأدوار التي تحتاجه، وأن يأتي التعمق في التفاصيل بعد تنبيه لا بدافع الفضول.

وهنا أيضًا يجد تحليل سلوك المستخدمين والكيانات (UEBA) موضعه: وسيلةً لملاحظة تغيّر قياسًا على النمط المعتاد للشخص نفسه، لا حكمًا عليه. وتختلف القواعد المتعلقة بمراقبة الموظفين والبيانات الشخصية باختلاف الدولة وجهة العمل، لذا تسبق المراجعة القانونية الإطلاق ولا تلحقه.

ابدأ صغيرًا ومحددًا. اختر نوعًا واحدًا من البيانات عالية القيمة، واكتشف كيف ينقلها الناس فعلًا، وقارن المسار المعتمد بالاختصارات. أزل الاحتكاك الذي يدفع الناس نحو الاختصار، ثم أضف ضوابط منع فقدان البيانات (DLP) لما تبقى، مع رسائل تبيّن ما حدث وما ينبغي فعله بعد ذلك. راجع النتائج مع الفرق المعنية ثم كرّر الدورة.