السؤال ليس “هل”، بل “متى”
كل شركة، مهما كان حجمها، هي هدف محتمل: إذ تضرب هجمات ransomware الشركات الصغيرة والمتوسطة بوتيرة أعلى تحديدًا لأنها أقل حماية. تتولى Xion IT Group حماية الأنظمة المعلوماتية باستخدام XSN (Xion Secured Network)، وهو نظام أمني متعدد الطبقات وأكثر تقدمًا بكثير من برامج مكافحة الفيروسات التقليدية.
الأمن المعلوماتي وCybersecurity: المعنى واحد والكلمتان مختلفتان
من يبحث عن “Cybersecurity” ومن يبحث عن “الأمن المعلوماتي” يبحث فعليًا عن الخدمة نفسها: حماية البيانات والأنظمة واستمرارية التشغيل. الفرق في مصدر المصطلح. فكلمة “Cybersecurity” تأتي من لغة اللوائح التنظيمية والمناقصات — NIS2، والمحيط الوطني، ودفاتر الشروط — وتُستخدم أكثر لدى من لديهم التزام رسمي يجب استيفاؤه. أما “الأمن المعلوماتي” فهو التعبير الذي يستخدمه من يواجه مشكلة ملموسة: هجوم وقع بالفعل، أو نسخة احتياطية لا يثق بها، أو مزود لا يستجيب.
ومن المهم توضيح ذلك، لأن السؤال الصحيح يتغير تبعًا لنقطة البداية. فإذا كانت البداية التزامًا تنظيميًا، فأول ما يجب تحديده هو النطاق: ما الخدمات الحرجة، ومن المسؤول عن ماذا، وما أزمنة الاستعادة المطلوبة. أما إذا كانت البداية حادثًا أو خشية من حادث، فأول خطوة هي التحقق من الوضع الفعلي — ما المعرض على الإنترنت، وهل النسخ الاحتياطية قابلة للاستعادة فعلًا، ومن لديهم حسابات بصلاحيات إدارية.
النتيجة التقنية واحدة. أما ترتيب التدخلات فليس كذلك.
إلى أي حد يختلف الأمر من قطاع إلى آخر
الأولويات ليست نفسها لدى الجميع. ففي الخدمات اللوجستية والنقل يكون الضرر الأسوأ هو توقف العمليات: فمستودع لا يشحن لمدة يومين قد يكلف أكثر من قيمة الفدية، وغالبًا ما تكون أنظمة الإدارة مرتبطة بأنظمة العملاء، ما يوسّع سطح الهجوم ليشمل سلسلة التوريد بأكملها. وفي التصنيع ينتقل الخطر إلى آلات الإنتاج، التي تمتلك دورات حياة طويلة وأنظمة تشغيل لا يقوم أحد بتحديثها. أما في المكاتب المهنية فالمشكلة هي المسؤولية عن بيانات الغير: فـ data breach لا يمس المكتب وحده، بل جميع عملائه أيضًا.
هذه ثلاث مقاربات مختلفة للعمل نفسه. لذلك من الأفضل الانطلاق من خصوصية القطاع، لا من قائمة عامة من المنتجات.
دفاع متعدد الطبقات
جدران نارية مبنية على Linux وUnix
ينشئ الجدار الناري عوامل تصفية على الاتصالات الواردة والصادرة، وينفذ عمليات التحكم في حركة المرور وتعديلها ومراقبتها. وهو الحاجز الأول بين شبكتكم والعالم الخارجي، ويُضبط بما يلائم مؤسستكم تحديدًا.
Content filtering
تقوم أنظمة content filtering بحظر الوصول إلى مواقع الويب التي تُعد ضارة أو غير مرتبطة بالنشاط المهني — مثل الألعاب، والكازينوهات الإلكترونية، والمواقع الإباحية، وفئات أخرى قابلة للتهيئة. والفائدة مزدوجة: تهديدات أقل قادمة من الويب، ومشتتات أقل خلال ساعات العمل.
أنظمة proxy
تؤدي أنظمة proxy المؤسسية خمس وظائف أساسية:
- الاتصال - وصول مُراقب إلى الإنترنت للشبكات الخاصة؛
- Caching - تخزين مؤقت للطلبات لتصفح أسرع؛
- المراقبة - تتبع العمليات المنفذة؛
- التحكم - تطبيق القواعد الإدارية الخاصة بالشركة؛
- الخصوصية - إخفاء عنوان IP الحقيقي للأجهزة العميلة.
الأمن عملية، وليس منتجًا
تثبيت وسيلة حماية ثم نسيانها هو أسرع طريق للتعرض للهجوم. لهذا نقرن التقنيات بخدمة مراقبة وتحديث مستمرة: تُحافظ فيها وسائل الدفاع على مواكبة التهديدات، وتُدار كل حالة شذوذ بواسطة فنيين متخصصين في الأمن.
تهديدات اليوم، بصورة عملية
يتطور مشهد التهديدات أسرع من قدرة من لا يعمل عليه بدوام كامل على متابعته. وهذه أكثر الأنماط التي نراها تصيب الشركات الإيطالية:
- Ransomware مع ابتزاز مزدوج — تُنسخ البيانات أولًا ثم تُشفَّر: فيُضاف إلى ضرر التعطيل تهديد النشر؛
- Phishing معزَّز بالذكاء الاصطناعي — رسائل بريد متقنة تمامًا في أسلوب المورد أو الزميل، ويكاد يستحيل تمييزها بالنظر فقط؛
- سرقة بيانات الاعتماد — من كلمات المرور المعاد استخدامها إلى cookies الجلسات: من يدخل ببيانات اعتماد صحيحة لا يطلق أي إنذار؛
- هجمات على supply chain — استهداف المورد الأصغر للوصول إلى العميل الأكبر؛
- ثغرات غير محدَّثة — غالبية الحوادث تستغل ثغرات كان التصحيح الخاص بها متاحًا منذ أشهر.
الدفاع المتعمق: الطبقات التي تصنع الفرق
لا توجد تقنية واحدة توقف كل شيء: فالحماية الجادة تقوم على طبقات مستقلة، كل منها جاهز لإيقاف ما أفلت من الطبقة السابقة.
- المحيط — جدار ناري مُهيأ ومُدار، لا مُثبت ومهمل؛
- البريد الإلكتروني — مرشحات anti-phishing وanti-spoofing، وهو قناة الدخول في 80% من الهجمات؛
- الأجهزة الطرفية — حماية حديثة (EDR) على كل حاسوب وخادم، قادرة على التعرف على السلوك غير الطبيعي؛
- الهوية — MFA في كل مكان، ومدير كلمات مرور، ووصول وفق أقل قدر من الصلاحيات؛
- الشبكة الداخلية — التجزئة: من يدخل إلى قسم لا يجب أن يتمكن من التحرك في كل مكان؛
- البيانات — نسخ احتياطي خارج الموقع ومُؤرشف بالإصدارات، وهو آخر خط دفاع يحوّل الكارثة إلى تعطيل محدود؛
- الأشخاص — تدريب مستمر، لأن الحلقة البشرية هي الهدف الأول.
مع XSN، تُصمم هذه الطبقات وتُدمج وتُحافظ عليها بمرور الوقت — عبر مراقبة وتحديث مستمرين.
البريد هو بوابة الدخول، لا الشبكة
في الغالبية العظمى من الحوادث التي نراها، لا يدخل الهجوم عبر اقتحام جدار ناري: بل يدخل من رسالة بريد فتحها شخص كان يؤدي عمله. وهذه نقطة مهمة لأنها تنقل مركز ثقل الدفاع من الأجهزة إلى الإجراءات.
الأشكال الثلاثة التي نصادفها أكثر من غيرها:
فاتورة تبدو حقيقية. تصل من مورد فعلي، مع مرفق يُفتح بشكل طبيعي. وهي حقيقية في ظاهرها لأن صندوق بريد ذلك المورد قد تم اختراقه مسبقًا، والهجوم يتحرك داخل محادثة بدأت بالفعل. فلتر الرسائل غير المرغوب فيها لا يوقفها: إذ لا يوجد فيها ما يبدو شاذًا بما يكفي لإيقافه.
تغيير IBAN. لا برمجية خبيثة، ولا مرفق: فقط رسالة من الإدارة المالية لدى مورد تبلغ بإحداثيات بنكية جديدة. إنه الهجوم الأعلى ربحية على الإطلاق، ويُواجَه بإجراء لا ببرنامج — أي التحقق عبر قناة مختلفة عن تلك التي وصلت عبرها الطلبية.
صفحة دخول مزيفة. رابط يقود إلى شاشة مطابقة تمامًا لشاشة البريد المؤسسي. ومن يدخل إليها يسلّم بيانات اعتماده، ومنذ تلك اللحظة يقرأ المهاجم البريد من دون أن يبدو شيء معطّلًا. وهنا تحديدًا يصنع التحقق الثنائي الفرق بين إزعاج محدود وكارثة حقيقية.
التحقق الثنائي هو الإجراء الفردي الأعلى عائدًا
إذا طُلب منا الإشارة إلى تدخل واحد يحقق أفضل نسبة بين الكلفة والمخاطر التي يتم تفاديها، فسيكون هذا هو الخيار. فمجرد سرقة كلمة المرور لم يعد كافيًا للدخول: بل يلزم أيضًا هاتف ذلك الشخص.
تكلفته منخفضة، ويمكن تفعيله خلال ساعات قليلة، ويجب تطبيقه، بحسب ترتيب الأولوية، على البريد، وعلى الوصول عن بُعد، وعلى لوحات الإدارة. وفي معظم الشركات التي نزورها، يكون موجودًا في البريد فقط وليس في الحالتين الأخريين — وهذا ترتيب خاطئ، لأن الوصول إلى الخوادم يبدأ من الاتصالات البعيدة.
الثماني والأربعون ساعة الأولى من الهجوم
معرفة ما يجب فعله قبل الحاجة إليه تمثل نصف الدفاع. والترتيب الصحيح غير بديهي، لأن أول رد فعل — إطفاء كل شيء والاستعادة فورًا — يؤدي غالبًا إلى تفاقم الوضع.
- اعزلوا، ولا تطفئوا. فصل الشبكة يمنع انتشار الهجوم؛ أما الإطفاء العنيف فيدمر معلومات لازمة لفهم ما حدث ومن أين دخل.
- لا تستعيدوا فورًا. إذا لم يكن معروفًا من أين دخل المهاجم وكم بقي داخل البيئة، فإن الاستعادة تعيد المشكلة نفسها. وفي معظم الحالات يكون المهاجم داخل الشركة منذ أيام أو أسابيع قبل أن يظهر.
- افحصوا النسخ الاحتياطية قبل لمسها. يجب التحقق من سلامة النسخة السليمة، ثم حمايتها قبل أي عملية أخرى.
- غيّروا بيانات اعتماد أصحاب أعلى الصلاحيات، ومن جهاز نظيف.
- وثّقوا أثناء العمل. هذا يفيدكم، ويفيد أيضًا إذا لزم الإخطار بما حدث — وهو ما يفرضه GDPR خلال اثنتين وسبعين ساعة عندما تكون البيانات الشخصية متأثرة.
هذا التسلسل لا يمكن ارتجاله في الثالثة فجرًا: يجب كتابته مسبقًا، ومعرفة من يتصل بمن هي الجزئية التي تغيب غالبًا.
إلى أي مدى يمكن أن يصل الهجوم
مثال عملي
تلقى أحد العملاء رسالة بريد “من مورده المعتاد” تتضمن بيانات مصرفية جديدة، وكانت متقنة في كل تفصيل. وقد أشار فلتر البريد إلى أنها مشبوهة بسبب خلل تقني في النطاق؛ ثم أكمل إجراء التحقق خارج القناة — الذي جرى اعتماده أثناء التدريب — ما تبقى. النتيجة: تفادي خسارة تعادل قيمة ثلاث توريدات. وكلفة وسيلة الدفاع التي أوقفتها: جزء بسيط من ذلك.
ماذا تسألون الجهة التي تبيعكم الأمن
سوق الأمن المعلوماتي مليء بالاختصارات، والاختصارات هي أسرع وسيلة لعدم الفهم. أربعة أسئلة تعيد النقاش إلى أرض الواقع.
من يراجع التنبيهات، ومتى؟ أي نظام حماية يولد إشعارات. وإذا لم يكن هناك من يقرأها خارج ساعات الدوام، فالحماية نفسها محصورة بساعات الدوام — بينما الهجمات ليست كذلك. السؤال ليس ما التقنية التي تستخدمونها، بل من يراقبها عند الثانية ليلًا.
ماذا يحدث عند انطلاق الإنذار؟ يجب أن تكون هناك آلية مكتوبة بأسماء ومهل زمنية، لا مجرد وعد بالتدخل. من يعزل الجهاز، ومن يبلغ الشركة، ومن يقرر ما إذا كان يجب إيقاف الأنظمة.
كم مرة يتم اختبار الاستعادة؟ النسخة الاحتياطية غير المختبرة ليست وسيلة دفاع. وهو السؤال الذي يكشف أسرع من غيره العروض المبنية على المنتجات وحدها.
ما الذي لا تشمله التغطية؟ هذا هو السؤال الأكثر فائدة، وهو أيضًا السؤال الذي لا يطرحه أحد. فأعلى المناطق الرمادية كلفة تقع بين المراقبة والاستجابة: كثير من العقود تنص على إبلاغكم، لا على التدخل فعليًا.
الأمن هو أيضًا تنظيم، وليس تقنية فقط
نصف المشكلات التي نجدها في التقييمات لا تُحل بشراء أي شيء:
- حسابات من لم يعودوا يعملون في الشركة، ما تزال نشطة لأن لا أحد يحتفظ بقائمة بمن يصل إلى ماذا؛
- وصول الموردين الدائم، فُتح لغرض صيانة ولم يُغلق أبدًا؛
- صلاحيات الإدارة الممنوحة للجميع، حتى لا يضطر أحد إلى الاتصال بأحد لتثبيت برنامج؛
- كلمات المرور المشتركة على ورقة، أو في صندوق بريد، أو على ملاحظة مكتوبة؛
- عدم وجود من يعرف بمن يجب الاتصال إذا وقع شيء خارج ساعات العمل.
كل هذه أمور يمكن ضبطها بإجراء واحد وبعد ظهر من العمل، وهي تنقل مستوى المخاطر أكثر من كثير من المشتريات. لهذا تكون نقطة انطلاقنا دائمًا تقييمًا لا عرض سعر: نعاين أولًا، ثم نقرر ما المطلوب فعلًا.
من المسؤول عن ماذا داخل الشركة
هناك التباس شائع ومكلف: يُنظر إلى الأمن المعلوماتي باعتباره شأنًا تقنيًا، لذلك يُفوَّض بالكامل إلى من يدير الأنظمة. لكن الواقع أن الأدوار ثلاثة، وتبقى منفصلة حتى عندما تُسند الإدارة إلى جهة خارجية.
متحكم البيانات — أي الشركة — يحدد الأغراض والوسائل، ويظل مسؤولًا أمام القانون؛ لا يمكنه تفويض هذه المسؤولية، بل يمكنه فقط اختيار الجهة المنفذة بعناية. أما معالج البيانات فهو المورد الذي يعالج البيانات نيابة عن المتحكم، ويجب أن تُحدد مهامه كتابةً في عقد. ومسؤول النظام هو الشخص الذي يمتلك وصولًا تقنيًا ذا صلاحيات مرتفعة، ويجب تعيينه كتابةً وتتبّع عملياته.
توضيح هذه الأدوار الثلاثة ليس بيروقراطية: بل هو ما يحدد، يوم وقوع الحادث، من كان عليه أن يفعل ماذا. ونتناول ذلك أيضًا في صفحة GDPR operativo.
من أين تبدأون
إذا كان عليكم تنفيذ ثلاث خطوات فقط هذا الشهر: فعّلوا MFA على البريد والوصولات البعيدة، وتحققوا من أن النسخ الاحتياطي خارج الموقع ومختبَر، واطلبوا فحصًا للثغرات المعرضة. هذه هي الإجراءات الثلاثة التي توقف غالبية الهجمات الحقيقية — وهي تحديدًا نقطة الانطلاق في تقييمنا الأمني.
Microsoft 365 والساعات الأولى من الهجوم
مادتان للتعمق: أمن Microsoft 365، حيث تترك الإعدادات الافتراضية ثلاث نقاط مهمة مكشوفة، وincident response، مع التسلسل الذي ينبغي معرفته قبل الحاجة إليه.