حوار: حسين الناظر
أصبحت الجرائم السيبرانية من أخطر التهديدات التي تعصف بقطاعات الأعمال، خاصة القطاعات الاقتصادية التي باتت الأكثر تعرضًا لها؛ إذ تقدر الخسائر الناجمة عنها بمليارات الدولارات؛ لذا باتت الحماية من أخطارها ومواجهتها على قائمة أولويات المؤسسات والشركات، وكذلك الأفراد. وقد التقينا مستشارة الأمن السيبراني الدكتورة فاطمة العقيل؛ أستاذ مساعد علوم الحاسب بجامعة الملك سعود؛ نائب رئيس مركز التدريب في الجامعة؛ مؤسس ورئيس تنفيذي لمجموعة سياج لأمن المعلومات في حوار حول التهديدات السيبرانية وأخطارها، وطرق الحماية منها ..
ــــ من هي الدكتورة فاطمة العقيل؟
أكملت شهادة الدكتوراه في علوم الحاسب، تخصص أمن أنظمة تكامل البيانات من جامعة ساوثهامبتون بالمملكة المتحدة، وحصلت على الماجستير في علوم الحاسب من جامعة ديبول الأمريكية. تقع اهتماماتي البحثية بين أمن المعلومات، وعلم البيانات، وهندسة البرمجيات، بالإضافة إلى عملي الأكاديمي، كمستشارة في الأمن السيبراني في عدة جهات، ومدربة ومتحدثة في ذات المجال.
ـــ كيف تأسست سياج؟ وما مدى الحاجة إليها؟
عندما لمسنا الحاجة إلى سد الفجوة بين مخرجات النظام الأكاديمي وسوق العمل، ولضرورة مواكبة التقدّم التقني الحاصل عالميًا، وجدنا ضرورة وجود مجتمع تقني لرفع الوعي في مجال الأمن السيبراني، ويساهم في بناء المهارات؛ لذلك أسست “سياج” في أواخر عام 2016 بمساعدة مجموعة متميزة من المتخصصين في مجال أمن المعلومات؛ حيث قامت المجموعة بعدة أنشطة وفعاليات؛ لتوصيل رسالة “سياج” وجذب المختصين؛ للمساهمة في إحداث تغيير في الوعي الأمني.
ولكي تنجح سياج وتصل إلى شريحة كبرى، انضم إلى فريقها مجموعة من الطالبات والطلاب الذين تطوعوا بوقتهم وخبراتهم لإنجاح المجموعة؛ حيث تسهم سياج في صقل قدرات الطلاب وتجهيزهم لسوق العمل.
مبادرات مجتمعية
ـــ تتنوع أنشطة ومبادرات سياج، فما أهمها؟
لدى سياج عدة أنشطة؛ منها: المساهمة بالتوعية الأمنية في المعارض والمؤتمرات، وإلقاء محاضرات نظرية حول مستجدات التقنية في الأمن السيبراني، في عدة جامعات، ولقاءات، وورش عمل تقنية لتطبيق المفاهيم بشكل عملي.
وقد عُرفت سياج في المجتمع التقني بمدرستها الصيفية التي تقام سنويًا في فصل الصيف لمدة 5 أيام، بواقع 40 ساعة تدريبية شاملة لمحاضرات نظرية وعملية ورحلات ميدانية لجهات معنية بتطبيق الأمن السيبراني.
وقد حصلت سياج على دعم معنوي كبير واستحسان من المجتمع التقني؛ حيث أسست مجموعة شراكات؛ منها شراكة مع مركز التميّز لأمن المعلومات التابع لجامعة الملك سعود، وأخرى مع المعهد الوطني لتقنية أمن المعلومات التابع لمدينة الملك عبدالعزيز للعلوم والتقنية.
وكذلك ساهم في نجاحنا انضمام سياج إلى المجموعات التقنية تحت مبادرة العطاء الرقمي التابعة لوزارة الاتصالات وتقنية المعلومات.
مفهوم الأمن السيبراني
ــــ ما هو الأمن السيبراني؟
حسب ما نص عليه تنظيم الهيئة الوطنية للأمن السيبراني الصادر بالأمر الملكي رقـم (6801) وتاريخ 11/2/1439هـ؛ فإن الأمـن السيبراني هو حماية الشبكات وأنظمة تقنية المعلومات وأنظمة التقنيات التشغيلية، ومكوناتها مـن أجـهـزة وبرمجيات، ومـا تقدمه من خدمات، وما تحتويه من بيانات، من أي اختراق، أو تعطيل، أو تعديل، أو دخـول، أو استخدام، أو استغلال غير مشروع، كما يشمل مفهوم الأمن السيبراني: أمن المعلومات والأمن الإلكتروني، والأمن الرقمي، ونحو ذلك.
ــــ وماذا عن أهمية الأمن السيبراني للفرد والمنشأة؟
تكمن أهمية الأمن السيبراني على مستوى الأفراد في ضرورة حماية خصوصياتهم ومعلوماتهم، سواءً كانت شخصية، أو مالية أو صحية، أو غيرها، من الوصول غير المصرّح به؛ أي حماية الهوية الرقمية من الانتحال، أو سوء الاستخدام.
وتمتد أهمية الأمن السيبراني للمنشآت من شركات ومؤسسات حكومية، خاصة وأنها تتعامل مع بيانات الأفراد، إضافة إلى محافظتها على خصوصيتها وأسرار عملها. وتتسع أهمية الأمن السيبراني لتشمل الأمن القومي، الذي يهدف إلى حماية أرواح المواطنين، وممتلكات البلد وموارده، وكل ما يتعلق به من أنظمة.
أخطار وتهديدات
ـــ نسمع كثيرًا عن الأخطار الأمنية التي تهدد أمن الأنظمة الرقمية، فما أهمها؟
تختلف أنواع ودرجات الأخطار الأمنية بحسب المجالات التي يتم توظيف الأنظمة الرقمية بها، فالأخطار الأمنية لأنظمة الأمن القومي والبنى التحتية تختلف عن أخطار القطاع الصحي، والتي تختلف بطبيعة الحال عن المنظمات الصغيرة التي تتعامل مع كمية بيانات محدودة.
لكن الأخطار الأمنية بمجملها تقع في عدة محاور أساسية:
- أخطار ناجمة عن ضعف أو سوء تطبيق الاحترازات الأمنية التقنية في تصميم الشبكات، المواقع الإلكترونية، الأنظمة والبرمجيات، وفي نظم التشغيل. وكذلك في ضعف أو انعدام الاحترازات الأمنية الفيزيائية التي تؤدي إلى الاختراقات الرقمية؛ مثل عدم إغلاق غرف التحكّم، وعدم وضع كاميرات المراقبة وغيرها.
- أخطار ناتجة عن عدم وجود إدارة أمن معلومات جيّدة في المنظمة؛ مثل غياب السياسات الأمنية، وغياب العقوبات التشريعية.
- أخطار ناجمة عن الحلقة الأضعف في المنظمات؛ وهي الموظفون؛ إذ تشكل أخطاء الموظفين أو تصرفاتهم المقصودة نسبة كبيرة جدًا من الأخطار التي تتعرض لها المنظمة، إضافة إلى وقوعهم كفريسة سهلة للمخترق، عن طريق ما يسمى بالهندسة الاجتماعية التي من خلالها يستهدف المخترق الجانب النفسي لدى الموظف ويستميله للضغط على رابط مشبوه (هجمات التصيّد (Phishing، أو تحميل ملفات تحوي برمجيات خبيثة، أو يحرضه على مشاركة كلمات المرور للأنظمة الحساسة.
وجاء في تقرير لشركة “سيمانتك” في عام 2019، أن موظفي المنظمات الصغيرة كانوا أكثر عرضة للاختراق عن طريق البريد الإلكتروني من موظفي الشركات الكبرى.
وقد أصدرت منظمة OWASP عشرة أخطار أمنية شائعة تصيب تطبيقات الويب، أهمها: كسر أنظمة التحقق، وأنظمة التحقق من الوصول؛ لذا ينبغي على المنظمات أن تكون على علم بالأخطار الأمنية المحلية والعالمية؛ لتواجهها بالاحتياطات اللازمة؛ للمحافظة على أصولها ومواردها.
خسائر اقتصادية
ــــ كيف ترين الخسائر الاقتصادية الناجمة عن القرصنة واختراقات الأنظمة الرقمية؟
هناك عدة خسائر مالية مترتبة على تعرّض المنظمات للاختراق، أولها الخسائر المادية الناجمة عن إعادة الأنظمة لوضعها الطبيعي بعد التعرّض للهجمات؛ حيث تقوم المنظمات -على حسب نوع الهجمة التي تعرضت لها- بدفع مبالغ طائلة كرواتب للموظفين الإضافيين، أو للشركات المساندة لاستبدال أو تشغيل الأنظمة والمعدات؛ ليعود العمل من جديد.
ووفقًا لتقرير “رادوير” العالمي في أمن التطبيقات والشبكات لعام 2018/2019- والذي حلل بيانات واردة من 790 مسؤولًا تنفيذيًا لتقنية المعلومات- ارتفعت نسبة المؤسسات البالغة خسائرها بسبب الهجمات الأمنية بأكثر مِن مليون دولار إلى 50%، وذكر التقرير أنه “يمكن ربط الخسائر النقدية القابلة للقياس الكمي مباشرة بعد الهجمات الإلكترونية، في الإيرادات الضائعة، ونفقات الميزانية غير المتوقعة وانخفاض قيمة الأسهم”.
وذكر كذلك: “من المرجح ظهور تداعيات مطوّلة نتيجة سلبية العملاء، والأضرار التي لحقت بسمعة العلامة التجارية وفقدان العملاء”.
وقد ذكرت شركة “إكسنتشر” في تقريرها السنوي عن تكلفة الجرائم الإلكترونية الذي شمل 355 منظمة عالمية على نطاق 11 دولة، بأنه إلى جانب العدد المتزايد من الاختراقات الأمنية، فقد ارتفع إجمالي تكلفة جرائم الإنترنت لتلك المنظمات التي شملها التقرير من 11.7 مليون دولار في عام 2017 إلى 13.0 مليون دولار في 2018؛ أي بزيادة قدرها 12%.
أثر الاختراقات الأمنية
ويمكن تلخيص أثر الاختراقات الأمنية والجرائم المعلوماتية التي تتعرض لها المنظمات ماديًا في عدة جوانب:
- تكلفة عودة الأنظمة لوضعها الطبيعي.
- تكلفة إرضاء العملاء، وكسب ثقتهم من جديد.
- تكلفة إفشاء أسرار المهنة، أو ما يتعلق بالملكية الفكرية للمنظمة.
ولا نهمل أيضًا تكلفة الغرامات الإدارية المترتبة على ضعف حماية البيانات الشخصية للعملاء والمطبّقة في بعض الدول؛ فعلى سبيل المثال، قد تتعرض المنظمة في المملكة المتحدة إلى غرامة تصل إلى 10 ملايين يورو أو 2 ٪ من حجم التداول السنوي في العالم إذا لم تمتثل للائحة GDPR المطبقة بالاتحاد الأوروبي بشأن حماية البيانات والخصوصية لجميع المواطنين بالاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية.
الوقاية من التهديدات الأمنية
ـــ في ظل التوسع في التعاملات الإلكترونية، كيف يمكن الوقاية من التهديدات الأمنية للمعلومات والأنظمة الرقمية؟
على جميع المنظمات التي تعتمد على الأنظمة الرقمية، أن تواكب مستجدات الأمن السيبراني، وأن تكون على دراية تامة بأهمية المعلومات التي تنتجها المنظمة، والتي تعد أصولًا يجب المحافظة عليها.
كذلك، عليها أن تدرك الأخطار والتهديدات الأمنية المتعلقة بالمعلومات والبرمجيات والعتاد الخاص بها من خلال الاطلاع المستمر على تطورات المجال التقني وآخر الهجمات المعلنة، ومن ثم تطبيق سبل الحماية والدفاع لتقليل الأخطار الناجمة عن الهجمات الأمنية. ولن يتحقق ذلك دون وجود إدارة مختصة بأمن المعلومات في المنظمة تُعنى بجمع المعلومات في هذا المجال، وتّتبع وتلتزم باللوائح والضوابط الأمنية؛ مثل نظام الأيزو في إدارة أمن المعلوماتISO27001، والضوابط الأساسية للأمن السيبراني التي أطلقتها الهيئة الوطنية للأمن السيبراني.
إضافة إلى ذلك، فإن إدارة أمن المعلومات تقوم بصياغة السياسات الأمنية التي على ضوئها يعمل قسم تقنية المعلومات وينفذها بطرق عملية، تضمن السيطرة على أصول المنظمة وحمايتها من أضرار الاختراق.
وبناء على الدراسة التي أعدتها شركة “جارتنر” لعام 2019، فإن هناك توجهًا لكثير من الشركات في الاستثمار في تطوير وبناء مركز إدارة العمليات الأمنية في المنظمة Security Operation Centre (SOC)، الذي يعدّ من أصول الشركات لتحقيق الموازنة المطلوبة بين الوقاية، وبين الاستجابة والكشف عن الهجمات.
ولابد من التركيز على تدريب الموظفين التقنيين على أحدث الأدوات والبرامج التي تحقق الوقاية المطلوبة، وتوعية غير التقنيين بأخطار عدم الاهتمام بحماية البيانات والأجهزة والبرمجيات، وربط عدم الاكتراث بها بالسياسات الأمنية والجوانب القانونية المترتبة عليها.
وعمومًا، لا توجد أنظمة آمنة 100%، ولكن هناك أنظمة تُحسن التعامل مع الهجمات من خلال توفير أدوات وآليات مناسبة؛ لتقليل الأخطار الناجمة عن الاختراقات، ولضمان عودة العمل إلى وضعه الطبيعي عند حدوث هجمات غير متوقعة.
المملكة والتحول الرقمي
ـــ ما تقييمك لخطوات المملكة نحو التحول الرقمي، والأمن السيبراني؟ وما أهمية ذلك للفرد والمجتمع؟
تطبيقا لرؤية 2030 في رفع مستوى التنمية والازدهار الاقتصادي، وسعيها لمواكبة التطورات التقنية المؤثرة في رفع الاقتصاد، صدر الأمر السامي في عام 1439هـ بتأسيس وحدة متخصصة باسم «وحدة التحول الرقمي» مسؤولة عن 18 مهمة، لعل أهمها إعداد مشروع استراتيجية وطنية للتحول الرقمي، وإعداد إطار عمل وآلية تنفيذ موحدة شاملة لكافة الأجهزة العامة، والشركات الحكومية وشبه الحكومية المشغلة والمقدمة للخدمات المعلوماتية والإلكترونية الحكومية، وتفعيل التشريعات اللازمة للتحول الرقمي؛ حيث سعت جميع الجهات الحكومية لتحقيق أهداف هذه الوحدة.
فعلى سبيل المثال، في عام 2018 خدمت منصة “اعتماد” التابعة لوزارة المالية، نحو 55 ألف مستخدم من القطاع العام والخاص في طرح المنافسات والمناقصات، كما أن نظام “نور” -التابع لوزارة التعليم- يدير نحو 5 ملايين سجل للطلاب.
وينبغي أن نذكر نجاح خدمة “أبشر” في ربط أكثر من 130 خدمة حكومية للمواطنين، وتنفيذ أكثر من 20 مليون معاملة حتى تاريخه؛ وبذلك تشهد المملكة نقلة نوعية جيدة في اهتمامها في التحول الرقمي.
ولكي تضمن الجهات- على اختلاف مجالاتها- تقديم خدمات إلكترونية آمنة والمحافظة على البيانات الشخصية للمواطنين، فقد أولت المملكة الأمن السيبراني اهتمامًا خاصًا؛ بإنشاء الهيئة الوطنية للأمن السيبراني في عام 1439هـ، وكذلك الاتحاد السعودي للأمن السيبراني والبرمجة والدرونز كي يستثمر في طاقات الشباب، ويبني قدراتهم الاحترافية في ذات المجال، ثم تاسيس المركز الوطني الإرشادي للأمن السيبراني؛ لتوعية الجهات بالهجمات الأمنية من خلال التسجيل في النشرات الأمنية التابعة للمركز.
ونتيجة لذلك الاهتمام، حصلت المملكة في عام 2018 على المركز الأول عربيًا، والمركز 13 عالميًا من بين 175 دولة، حسب المؤشر العام للأمن السيبراني GCI الذي يصدره الاتحاد الدولي للاتصالات التابع للأمم المتحدة.
ولا شك في أن اهتمام المملكة بالأمن السيبراني، له أثره على الفرد والمجتمع؛ حيث يضمن للفرد المحافظة على بياناته الشخصية، وتوفير الخدمات الحكومية والخاصة بكل موثوقية وأمان، كما أنه مهم للمجتمع ككل.
