دراسة: الهجمات الإلكترونية كأكبر المخاطر التي تهدد قطاع الأعمال

مع التطور التقني الذي نعيشه وتسارعه، أصبح الأمر أكثر إلحاحا من أي وقت مضى لاستخدام الأجهزة التقنية وتبادل المعلومات عن طريق الانترنت واللجوء إلى حفظ هذه البيانات و تخزينها الكترونيا.  وبذلك يكون هذا التطور سببا مهما في تسهيل الحاجة لحفظ هذه المعلومات وإمكانية إستردادها، كما أصبح ذات السبب يشكل خطرا حقيقيا في وجه أمن وسلامة تلك المعلومات.

لأجل ذلك فإن موضوع حماية البيانات اليوم  إزداد أهمية ومع تقدم الوقت بالنسبة للأفراد وبأهمية أكبر بالنسبة للشركات كونها تنظيم مهم وركن أساسي في قطاع حيوي كقطاع الأعمال.

من جهة أخرى فإن الهجمات الإلكترونية تأتي في الصف الأول كأكبر التهديدات التي تؤثر على أمن وسلامة هذه المعلومات على الشبكة، وهذا أمر مفروغ منه في ضوء ما هو مشاهد. ولمعرفة مدى هذا التأثير بحكم أخذنا بالعلاقة وبحكم قولنا أن الهجمات الإلكترونية دخلت بقوة لقائمة المخاطر المستهدفة لقطاع الأعمال، فقد أجرت شركة الحماية الروسية kaspersky lab بالتعاون مع B2B international دراسة حول هذا الموضوع.

وشملت الدراسة أو المسح أكثر من 3,300 خبير ومحترف في تقنية المعلومات (Information Technology (IT في 22 دولة بما فيها دولتين من الشرق الأوسط هما السعودية والإمارات.

جميع المشاركين على دراية بقضايا وسياسة أمن المعلومات إضافة إلى المعرفة الجيدة بخصوص المسائل الأمنية والعامة لقطاع الأعمال (مالية، موارد بشرية…) وعلى الصعيد العالمي.

كما تم وضع المشاركين من الشركات والمؤسسات في ثلاثة مجموعات وبحسب الأحجام إلى: المؤسسات الصغيرة (S) ما بين 10-99 مقعد.المؤسسات المتوسطة (MB) مابين 100-999 مقعد. الشركات (E) أكثر من 1000 مقعد.

الدراسة ونتائجها نعرضها كالتالي:

التهديدات الرئيسية: دخول الهجمات الإلكترونية للقائمة

يرى نصف المستطلعين أن التهديدات السيبرانية أو الإلكترونية cyber-threats من بين أكبر ثلاثة مخاطر الأكثر تهديدا لقطاع الأعمال وكثاني أكبر خطر بعد العامل الأول طبعا وهو عدم الاستقرار الاقتصادي مع تقلص الفارق بينهما دائما باستمرار. بينما حققت المخاطر الأخرى والتي لا تقل أهمية كالملكية الفكرية نسبة 31 بالمئة، والإضطرابات السياسة بـ17 بالمئة.

التفسير الرئيسي لهذا هو أن التهديدات الإلكترونية يمكن إعتبارها أكثر المخاطر إنتشارا اليوم وبالتالي لا يمكن إهمالها وغض النظر عنها وهو السبب الرئيسي في قدومها في المركز الثاني في القائمة.

التهديدات الإلكترونية كأكبر المخاطر مستقبلا

النظرة المستقبلية تقول أن نشاط الجريمة الإلكترونية سيعتبر أكبر المخاطر المهددة لقطاع الأعمال والبيئة الإستثمارية على وجه العموم، حيث يرى 42 بالمئة أنه خلال العامين القادمين ستحتل هذه التهديدات صدارة قائمة المخاطر وبالتالي ستصبح قضية أكبر، خصوصا مع الزيادة الحادة في أعداد البرامج الخبيثة malware، وظهور الجيل الجديد من أدوات التجسس والفيروسات.

في حين يعتقد الخبراء الذين شملتهم الدراسة أيضا أنه لن يكون هناك تغير أو زيادة كبيرة في المخاطر الأخرى، حيث سجلت سرقة الملكية الفكرية والتجسس الصناعي مثلا نسبة 19 بالمئة لكل منهما.

أمن تكنولوجيا المعلومات لا يزال هو القلق رقم واحد بالنسبة للخبراء

يبقى أمن تكنولوجيا المعلومات IT security كأكثر القضايا التي تؤرق الخبراء والعاملين في هذا المجال، حيث أجمع 31 بالمئة من أفراد العينة على أن منع الخروقات الأمنية لنظام المعلومات هو الهم الأكبر بالنسبة لهم بينما حماية البيانات ثانيا بـ27 بالمئة.

الغريب في الأمر هو إحتلال مهمة السيطرة وإدارة الأجهزة النقالة في المركز الأخير من إهتمامات الخبراء بـ13 بالمئة ما قد يشكل مشكلة في حالة عدم إعتماد الشركة لسياسة أمنية شاملة، وغالبا ما قد يؤدي هذا الأمر إلى فقدان المعلومات الحساسة لينتهي بها المطاف في الأيدي الخطأ ولربما قد تشكل الهواتف النقالة وأجهزة الجوال تهديدا أمنيا للشركة فمن يدري؟

عقبات تحول دون تشديد الإجراءات الأمنية

بحكم معرفتنا أن أية منظمة تضع تحقيق أكبر الأرباح كهدف منشود لها، فإن ذلك يتطلب تقليل التكاليف والمصاريف في الجهة المقابلة ولربما كان السبب في إتخاذ هكذا إجراء هو دفع الثمن من طرف الميزانية المخصصة لنظم الأمن وحماية المعلومات أو قد لا تكون هناك ميزانية بالأصل مخصص لهذا المجال. وبالتالي يبقى المال هو المشكلة الرئيسية حين يكون هناك 44 بالمئة من المستجيبين يقولون أن هناك قيود مفروضة على الميزانية داخل الشركة.

ولا يختلف موضوع المال عن موضوع الوعي حين تكون نسبة 37 بالمئة تقول أن المسؤولين عن الميزانية بالأساس لا يدركون المعنى الحقيقي لموضوع أمن تكنولوجيا المعلومات داخل الشركة وإن كانت النسبة قد إختلفت عن السنة الماضية (2011) بحكم أن هناك دائما ضرورة تقود إلى مواكبة التغيرات.

باقي المعوقات مقدمة في الصورة.

النهج العام لأمن تكنولوجيا المعلومات: إستجابة أكثر فعالية للتهديدات الناشئة

الطريقة الوحيدة والمثلى التي يعول عليها للحفاظ على سلامة المعلومات وتقدم سير الأعمال بشكل آمن هو اتخاذ تدابير وقائية ضد عدوى نظام المعلومات أو تسرب البيانات قبل وقوع الهجوم، أي تنفيذ حماية إستباقية (proactive protection).

ومع ذلك ولأسباب مختلفة قد لا يكون هذا ممكنا دائما. فوفقا للمسح، فإن 25 بالمئة من مهني تكنولوجيا المعلومات يذهبون إلى مكافحة جميع التهديدات تقريبا قبل وقوعها، ولكن في نفس الوقت 16 بالمئة يفضلون حل هذه المشاكل بعد وقوعها.

في حين كانت الأرقام المناظرة في العام الماضي (2011) هي 21 بالمئة و 20 بالمئة على التوالي، وبالتالي يمكن إستنتاج أن الشركات أصبحت أكثر جدية بشأن الأمن المعلوماتي والحاجة إلى اتخاذ تدابير وقائية.

التدابير المتخذة لتفادي المخاطر الأمنية: التشفير كحل وقائي

الغالبية العظمى ترى في البرمجيات المخصصة للحماية من البرامج الخبيثة كأداة وقائية ضد التهديدات السيبرانية وبنسبة 67 بالمئة، بينما لا تبعد التدابير الخاصة بإجراء ترقيات وتحديثات للبرامج وإصلاح مواطن الضعف فيها كثيرا حيث كانت بـ62 بالمئة. أما تدابير تشفير البيانات فقد اتخذت بنسبة 44 بالمئة

باقي التدابير والأكثر شعبية مع نسب إتخاذها موضحة في الصورة أدناه

أي التدابير تقود نحو الأحسن؟

الحماية من الفيروسات لا تزال الطريقة الأكثر شعبية وذلك عبر برامج الحماية، وحقيقة هذا هو السبب الرئيسي في وجود هذه البرامج وتوفرها في السوق كمنتج. وقد كانت نسبة الإستجابة فيها بحدود 14 بالمئة.

راجع المختصون أيضا إمكانية تشفير البيانات الحساسة وقد كانت الإستجابة 10 بالمئة، في حين كانت إستجابة تدابير إدخال تحسينات على الشبكة المحلية للشركة وإعادة هيكلتها 9 بالمئة مع العلم أنه قد تكون الشبكة هي نقطة التماس الأولى.

الوعي حول التهديدات الأمنية منخفض على نحو غير متوقع

كشف المسح أن 31 بالمئة من خبراء تكنولوجيا المعلومات لم يكونوا على دراية بأحد التهديدات الإلكترونية الأكثر شيوعا والتي تستهدف قطاع الشركات بالأخص. أما البقية المتمثلة في 69 بالمئة فإن 31 بالمئة منهم كانوا على علم بـSpyEye وZeus، و27 بالمئة منهم على دراية بـStuxnet. أما 13 بالمئة فقط كانت قد سمعت بدودة الكمبيوتر Duqu.

كما تجدر الإشارة أيضا أن 46 بالمئة فقط من الذين قد سمعوا عن Duqu يقولون أنها تشكل خطرا حقيقيا على أعمال الشركة.

التهديدات الخارجية: البرامج الخبيثة والبريد المزعج

التهديدات الخارجية الأكثر شيوعا والتي واجهت المختصين في تقنية المعلومات كانت البرامج الخبيثة وبنسبة 61 بالمئة، وهذا متوقع في الوقت الذي تكثر فيه هذه البرامج وتتنوع

رسائل الإزعاج (Spam) شكلت 56 بالمئة مع انخفاض 4 عن العام الماضي.

إقتحام الشبكة وعملية القرصنة شكلت حوالي 23 بالمئة من أراء المستطلعين.

التهديدات الداخلية: ضعف البرمجيات يسبب القلق المتزايد

بالإضافة إلى التهديدات الخارجية القادمة من المجرمين والهاكرز، هناك أيضا تهديدات داخلية التي يمكن أن تكون بطبيعة الحال ذات خطورة وبنفس القدر.

التهديد الداخلي الأكثر شيوعا والذي يواجه خبراء تكنولوجيا المعلومات هو نقاط الضعف والثغرات الموجودة في البرمجيات الحالية. وقد استشهد بذلك حوالي 40 بالمئة من أفراد العينة.

لا نستغرب هذا في حال علمنا أن الهجمات التي تستهدف الشركات عادة ما تكون على هذا المستوى وتنطوي على استغلال نقاط الضعف في هذه البرمجيات بالمقام الأول.

لا يمكن أيضا إنكار خطر التهديدات الداخلية الأخرى الناتجة عن التصرفات الخاطئة لموظفي الشركة، حيث أن 31 بالمئة من العينة تعرضت بياناتها للتسريب لهذا السبب. و29 بالمئة تعرضت بياناتها للتسريب بسبب فقدان أو سرقة الأجهزة النقالة من قبل الموظفين طبعا.

وتشير التقارير أن ما تعرضت له شركة أرامكو هو مثال حي بخصوص هذه القضية.

الأنشطة المحظورة والمقيدة في الشركة: الألعاب وتبادل الملفات و التواصل عبر الشبكات

لمواجهة التهديدات الداخلية والخارجية وكذلك بهدف زيادة الإنتاجية يسعى قسم تقنية المعلومات لحظر وتقييد بعض الأنشطة التي إن وقع تجاهلها فعلا فإنه قد لا يكون من المستبعد التعرض لهجوم إلكتروني.

تأتي طبعا في مقدمة النشاطات المحظورة الألعاب عن طريق الأنترنت (online games) وبنسبة 71 بالمئة، فيما يقوم بحظرها فعلا 59 بالمئة منهم والباقي يبقيها حيز التقييد. والسبب الرئيسي في ذلك أن التوجه لممارسة ألعاب الشبكة هو تصرف شائع لدى موظفي الشركة، فجلهم يحاولون بواسطتها إستهلاك الوقت أو التخفيف من ضغوط بيئة العمل.

إستعمال الشبكات الإجتماعية هي أيضا من الأنشطة الأكثر شيوعا عند الغالبية، كما أنها قد تكون ذات خطورة أكبر في مكان العمل وتهدد أمن وسلامة المعلومات وتعرضها لخطر الإختراق أو التسرب. لذلك تحظر وتقيد الشركات إمكانية الوصول لهذه المواقع و بنسبة 68 بالمئة.

مواقع تبادل الملفات “التورنت” أيضا يتم حظرها وعدم إستعمالها كونها قد تزيد من إحتمالية التعرض لهجوم، وبالتالي نسبتها في حدود 65 بالمئة وفي المرتبة الثالثة من حيث أكثر الأنشطة المقيدة والمحظورة.

الأجهزة الشخصية بمثابة تهديد أمني

نعم يستطيع أن يشكل الهاتف النقال والأجهزة المحمولة بشكل عام خطرا حقيقيا بالنسبة للشركة والمنظمة داخل بيئة العمل.

والخطر هنا يأتي من كون أن هذه الأجهزة تطورت بالشكل الرهيب ليصبح بالإمكان إستعمالها لسرقة بيانات ومعلومات تخص الشركة. وبالتالي توجب على خبراء تقنية المعلومات إدراك هذه الحقيقة، غير أن الشركات حقيقة لا تظهر أي علامة منع أو تقييد في إستخدامه هذه الأجهزة وذلك طبعا حسب الأرقام.

على سبيل المثال، يتم إجراء الحظر على الهواتف الذكية (Smartphones) الشخصية في 19 بالمئة فقط من إجمالي الشركات التي أجريت عليها الدراسة، في حين يتم توفير إمكانية الوصول الكامل إلى موارد الشركة عبر الشبكة إنطلاقا من أجهزة الهواتف الذكية بنسبة 33 بالمئة من الشركات.

تبقى الشركات الصغيرة (S) هم الأقل بخصوص موضوع الحماية في هذا الجانب وفرض قيود للولوج والدخول إلى شبكة الشركة عن طريق الأجهزة المحمولة، حيث مثلا يسمح باستخدام أجهزة الكمبيوتر المحمولة الشخصية في هذه الفئة من الشركات إلى ما يقارب النصف منها (48 بالمئة)، في حين أنه في الشركات الكبيرة يكون هذا بنسبة 39 بالمئة.

مستوى نشر أدوات مخصصة لضمان وإدارة أمن الأجهزة المحمولة (MDM) لا يزال متدنيا للغاية سوأ في الشركات الصغيرة أو الكبيرة. والسبب يرجع لوجود معوقات تقف في وجه السياسة الأمنية في الشركة إلى جانب غياب الوعي حول الحلول والخدمات التي يقدمها موردي ومزودي خدمات الأمن المعلوماتي وإن تعلق الأمر بالأجهزة المحمولة وبشتى أنواعها.

موقف الشركات من الأجهزة الشخصية

بإعتبار أن الأجهزة الشخصية قد تشكل تهديدا حقيقيا للشركة فإنه لابد من تحديد الشركات لموقف معين اتجاه هذه الأجهزة ذات الخصوصية بالنسبة للموظفين ما دام الأمر كذلك.

معظم الشركات تتخذ موقفا إيجابيا بشأن جلب وإحضار الأجهزة الشخصية لمكان العمل كما تظهر الأرقام.

كما أن هذه الشركات ترى بنسبة 36 بالمئة أنه مهما كان فإنه ستكون هناك سهولة أكبر في جلب الأجهزة إلى المكان المخصص للعمل وبالتالي فإن هذا الأمر لا مفر منه.

إجمالي الشركات التي تقوم بحظر الأجهزة الشخصية كانت بنسبة 9 بالمئة، أما 19 بالمئة فقد قالوا أنه ستكون هناك تدابير وقيود حول نوع الجهاز بالإضافة إلى من يكون المستخدم له.

الحذر اتجاه الخدمات السحابية في ارتفاع

تزداد شعبية الخدمات السحابية cloud services بشكل مستمر بين المستخدمين العاديين والشركات على حد سواء. ويرى حوالي 41 بالمئة من المستطلعين أن الخدمات السحابية يمكن اعتبارها فرصة لتعزيز أمن شبكة الشركة وذلك عن طريق تحويل جزء من البنية التحتية كخوادم البريد مثلا إلى الخوادم الإفتراضية الخاصة بمزود الخدمة.

ومع ذلك، فإنه تجدر الإشارة إلى أن استخدام السحابة يمكن أن يشكل خطرا على أمن المعلومات، خصوصا حينما يتعلق الأمر ببيانات سرية. وهو الأمر الذي يتفق عليه 26 بالمئة من المختصين في تكنولوجيا المعلومات.

وقد تمكنت الشركات من فهم وتقييم كل من فوائد ومخاطر التقنيات السحابية، ففي الوقت نفسه ازداد عدد خبراء تكنولوجيا المعلومات الذين يعتبرون أن تقنية السحابة تشكل تهديدا على أعمالهم بنسبة 4 بالمئة عن العام الماضي(2011).

المخاطر والأضرار: فقدان البيانات السرية

تحتل التهديدات الإلكترونية المركز الثاني من حيث الخطورة على قطاع الأعمال على أن تكون التهديد الأول مستقبلا حسب العارفين.

الخطورة هنا كبيرة مقارنة بالعوامل الأخرى، حين نلاحظ أن مخلفات هذه الهجمات تحديدا تتمثل في سرقة بيانات مهمة وسرية قد تهدد وجود الشركة وسمعتها ومقدار تنافسيتها في السوق.

وبخصوص هذا الأمر فإن غالبية البيانات التي تعرضت لعملية إختراق أمني حسب الدراسة وحسب ما أكد خبراء أمن تكنولوجيا المعلومات الذين شملهم الإستطلاع كانت بيانات شخصية لعملاء إضافة للمعلومات المالية التي تخص الشركة.

أما المعلومات الخاصة بالملكية الفكرية، فإن 30 بالمئة من العينة تقول أن هذه المعلومات تعرضت لإختراق أمني لديها.

تجدر الإشارة أيضا إلى أنه يمكن استخدام حلول وأدوات مخصصة لحماية البيانات من مخاطر الإختراق والسرقة، غير أن ثلث المستطلعين يعتقدون أن تنفيذ وتطبيق هذه النظم أمر معقد للغاية.

الخلاصة والتوصيات:

البرمجيات الخبيثة والفيروسات وإهمال قضية التعامل الجدي مع الموظفين خصوصا في المسائل الأمنية والمتعلقة بالمعلومات، ليست سوى بعض المشاكل التي يواجهها خبراء تكنولوجيا المعلومات على أساس منتظم داخل الشركة. لكن تبقى حماية المعلومات ضد التهديدات السيبرانية واحدة من أهم المهام التي تواجه الشركات الصغيرة والكبيرة دون استثناء خاصة مع التوقعات حول زيادة كثافة هذه الهجمات مستقبلا لتكون بذلك التهديد الأول والرئيسي لقطاع الأعمال.

وبخصوص هذا فإن الدراسة قد كشفت الكثير من مكامن الخلل، حيث يشير نصف المستطلعين إلى شعورهم بأن شركاتهم على إستعداد لمواجهة تهديد اليوم في ظل غياب أدوات وترتيبات هذا الإستعداد ومن جميع النواحي والأصعدة بما فيها المالية والتنظيمية وغيرها.

وإستنادا أيضا لهذه النتائج فإننا نشير في النهاية إلى جملة من التوصيات الهامة والتي بمقدورها المساعدة على حماية الأعمال والبيانات من التهديدات الرقمية كالتالي:

• تشفير البيانات

تشفير البيانات الجزئي أو الكامل يسمح بزيادة مستوى الأمن ويوفر الحماية الأكبر لها حتى ولو كان الجهاز في الأيدي الخطأ، أو حتى لو كان هجوم البرمجيات الضارة ومجرمي الأنترنت بالشكل الناجح فإنه ستكون هناك في نهاية المطاف عدم القدرة على مشاهدة محتويات هذه البيانات ما دامت مشفرة.

• إعطاء إهتمام أكبر لموضوع الأجهزة الشخصية

العديد من الموظفين في الشركات اليوم يقومون بإستخدام الأجهزة الشخصية للإتصال والدخول إلى شبكة الشركة، وقد يكون التعامل هنا مع بيانات غاية في السرية والأهمية أمرا عاديا.

وفي حالة عدم توفر نظم الحماية الكاملة لهذه الأجهزة مع إهمال لموضوع الرقابة. فإن الأمر حتما قد ينتهي بفقدان البيانات أو سرقتها، لذلك يجب على الشركات تطبيق سياسة حماية شاملة متضمنة سياسة أمن تغطي إستخدام الأجهزة المحمولة على الصعيد الشخصي داخل بيئة العمل.

• الإستعداد للهجمات

تشير البيانات إلى الزيادة في عدد الهجمات، كما أن التطور الحاصل في أدوات وطبيعة هذه الهجمات لا يمكن إنكاره خصوصا ونحن نعايش الجيل الجديد من أدوات التجسس والسرقة الإلكترونية والذي أصبح تحت رعاية بعض الدول.

وفي ظل إعتقاد ثلث المشاركين الذين مسهم الإستطلاع أن شركاتهم في نهاية المطاف ستكون عرضة للهجوم. لذا وجب هنا وضع النقاط على الحروف من الآن لمكافحة هذه الهجمات مع إعطاء المزيد من الإهتمام لأدوات وأساليب الحماية الإستباقية الرامية لمنع و صد التهديدات بدلا من التعامل مع المخلفات والعواقب ولطالما كانت الوقاية خير من العلاج.

• زيادة الوعي لدى الموظفين

أظهرت الدراسة أن عددا كبير من المدراء والرؤساء التنفيذيين و المختصين لا يعرفون شيئا عن التهديدات السيبرانية، ولا يتوقعون بذل الجهد أو صرف المال لمكافحتها.

ولأجل ذلك وجب العمل على إصلاح هذا النقص وإن كان الأمر لا يستثني تدريس وتكوين موظفي الشركات أساسيات أمن تكنولوجيا المعلومات خصوصا إذا علمنا أن الجوسسة الصناعية اليوم وكثير من التهديدات الخارجية تركز على موضوع الهندسة الإجتماعية لتحقيق غاياتها.

التقرير(PDF)