‏خطر المطلع الداخلي

الفرق بين الخطر والتهديد ليس لفظياً فحسب، بل يحدد طريقة عمل برامج خطر المطلع.

إن التعامل مع المطلعين بوصفهم فئة ثنائية (تهديد أو لا تهديد) يؤدي إما إلى ردّ فعل مبالغ فيه يشتبه في الجميع، وإما إلى ردّ فعل قاصر يتجاهل الإشارات المبكرة. أما النظر إليهم بوصفهم حاملين لخطر قابل للقياس فيتيح ترتيب الأولويات وضبط حجم الاستجابة والتدخل المناسب.

الخطر احتمال، أما التهديد الداخلي فهو خطر فعلي أو وشيك. لذلك يعمل برنامج إدارة خطر المطلع الداخلي قبل الحادث، لا أثناءه فقط.

ينشأ خطر المطلع من ثلاث فئات عريضة من الأشخاص الذين يملكون الوصول. ولكل فئة ضوابط مختلفة، لذلك من المفيد التمييز بينها.

الخطر ليس ثابتاً، بل يرتفع وينخفض تبعاً لعوامل فردية وسياقية:

• مستوى الوصول: كلما اتسع الوصول إلى البيانات والأنظمة الحساسة زاد الأثر المحتمل؛
• تغيّرات السلوك: تحولات مفاجئة في الإيقاع أو حجم البيانات أو القنوات قد تنذر بخطر متزايد؛
• الأحداث الوظيفية: الاستقالات والفصل والإجراءات التأديبية وتغيير الأدوار ترفع الخطر؛
• الضغوط الخارجية: الصعوبات المالية والأزمات الشخصية والعروض المنافسة قد تخلق دافعاً؛
• ثغرات الضوابط: مراقبة غير كافية، وامتيازات زائدة، وضعف في حوكمة الوصول.

لا تعتمد البرامج الناضجة على الحدس أو على إشارة منفردة. وتعمل في أربع خطوات، وتتولى تحليل سلوك المستخدمين والكيانات (UEBA) حساب الدرجة:

1. 1

   جمع السلوك

   أنماط الوصول إلى البيانات، والأنماط الزمنية، واستخدام القنوات، ومخالفات السياسة.

2. 2

   إضافة السياق

   أحداث الموارد البشرية كالمغادرات وتغيير الأدوار، ومراجعات الصلاحيات، والتغييرات التنظيمية.

3. 3

   تسجيل درجة المستخدم

   تُرجَّح الإشارات بحسب الخطورة والارتباط. فالإشارة الضعيفة المنفردة تعني خطراً منخفضاً، بينما يرفع تضافر الإشارات الدرجة.

4. 4

   متابعة الاتجاه

   الخطر المتصاعد مع الوقت أهم من الخطر المستقر أو المتراجع، حتى عند المستوى نفسه.

في وحدة تحكم العميل من Anexet، تحدد فئات المخاطر وزن كل نوع من الأحداث، ويُطلق إشعار عندما تتجاوز درجة المستخدم عتبة محددة. التفاصيل موجودة في صفحة اكتشاف التهديدات الداخلية.

1 / 2

• 
• 

يكمل الحدّ من الخطر واكتشاف التهديدات أحدهما الآخر. والبرنامج المصمَّم جيداً يفعل الأمرين: يخفض الخطر الأساسي فتقل الحوادث، ويكتشف سريعاً ما يقع منها فيبقى الأثر محدوداً. ويعتمد الاكتشاف على أنظمة DLP والتحقيقات. كما تدخل المراقبة التي تردع إساءة الاستخدام العارضة ضمن الحدّ من الخطر.

ليس كل خطر داخلي يستدعي الاستجابة نفسها. فحالة عالية الخطورة، كمسؤول ذي امتيازات يطّلع على بيانات غير معتادة خارج أوقات العمل، تستوجب تحقيقاً فورياً. أما حالة منخفضة الخطورة، كموظف مبتدئ صدر بحقه إنذار واحد، فتستوجب متابعة لا تدخّلاً.

البرامج التي تعامل كل إشارة كأنها أزمة تولّد اتهامات بلا أساس، وتقوّض ثقة الموظفين، وتهدر الموارد. أما التي تعاير الاستجابة على مستوى الخطر فهي أكثر فعالية وأيسر في الدفاع عنها.

تعمل برامج خطر المطلع ضمن ضوابط قانونية. فمراقبة الموظفين منظَّمة في معظم الولايات القضائية، ومنها GDPR في الاتحاد الأوروبي وLGPD في البرازيل وCCPA وقوانين الولايات في الولايات المتحدة، إضافة إلى أنظمة العمل. ويجب أن يتوافر في البرنامج:

• غرض مشروع: الأمن والامتثال، لا التجسس على الأفراد؛
• إبلاغ الموظفين، وهو واجب في معظم الولايات القضائية؛
• التناسب: نطاق المراقبة يوازي الخطر الذي يُدار؛
• ضبط الوصول: بيانات المراقبة غير متاحة للتصفح الحر، ولا يصل إليها إلا أدوار مصرّح لها بشروط محددة؛
• أصول الإجراءات: لا تُتخذ الإجراءات استناداً إلى التنبيهات الخام، بل بعد التحقيق.

ابدأ بالبيانات التي يُلحق تسرّبها أكبر ضرر، ثم بالقنوات التي تستخدمها فعلياً. فالدرجات المبنية على كل شيء دفعة واحدة تنتج ضجيجاً لا يقرؤه أحد، وفي هذا الضجيج تضيع الإشارات الحقيقية.

للمزيد من القراءة: كيف تتعرف على مطلع داخل الشركة وتمنع أنشطته؟; كيف يحدد مسؤول الأمن شخصًا داخليًا باستخدام نظام DLP؟.