ولأننا في شهر التوعية بالأمن السيبراني (Cybersecurity Awareness Month)، أردنا أن نقدّم لكم ما يمكن أن يسهم فعلياً في حماية أعمالكم. إنّ بناء هذا الوعي داخل بيئات التصنيع يُعدّ وسيلة أساسية للبقاء في مأمن، وهذا تحديداً ما نتناوله اليوم.
ومع التوقعات بأن تبلغ تكلفة الهجمات السيبرانية 10.5 تريليون دولار بحلول عام 2025، فليس مستغرباً أن تسارع الشركات في كل مكان إلى التأكد من أنّ دفاعاتها جاهزة ومحدَّثة.
لقد انطلق شهر التوعية بالأمن السيبراني في الأصل لمساعدة الأفراد والشركات على حماية أنفسهم من التهديدات المتزايدة الشيوع التي نواجهها جميعاً جرّاء الهجمات عبر الإنترنت.
يُولى تركيز كبير على التقنية التي تحميكم، غير أنّ كثيراً من شركات الأمن لا تُخبركم بأنّ أهمّ ما يمكنكم فعله هو ترسيخ ثقافة الأمن السيبراني. كيف تفعلون ذلك؟ تابعوا القراءة لتكتشفوا الإجابة.
لقد تهاوت في السنوات الأخيرة الحواجز التقليدية التي كانت تفصل بين أنظمة تكنولوجيا المعلومات (IT) التقليدية وأنظمة الإنتاج وسائر المعدّات في بيئة التصنيع. وقد تصدَّر التركيز على التواصل بين المنصّات المختلفة والترابط البيني واجهةَ اهتمامات القطاع، إلى حدّ أننا نشهد اليوم الصناعة 4.0 (Industry 4.0) بمعناها الحقيقي. غير أنّ ذلك قد أوجد تهديدات جديدة.
إنّ ترابط مزيد من الأنظمة يعني ببساطة مزيداً من نقاط الدخول أمام القراصنة أو الأشخاص الراغبين في الوصول غير المصرَّح به إلى أنظمة أعمالكم. ففي عصر الصناعة 4.0 لم يعد ثمّة ما يُسمّى بالتقنية «الغبيّة»؛ إذ إنّ كلّ شيء متّصل بشكل ما، ما يعني أنّ كلّ مرّة تُركِّبون فيها قطعة معدّات جديدة في عملياتكم التصنيعية إنما تُنشئون نقطة ضعف محتملة في أمنكم.
لا توجد قاعدة صارمة وثابتة في هذا الشأن لتباين المعدّات الكبير، إلا أنّ على كلّ جهة تصنيع تعمل في بيئة مترابطة أن تُجري تقييماً شاملاً للأمن السيبراني لأي جهاز ترغب في إدخاله إلى عملياتها.
إنّ موظفيكم يمتلكون مفاتيح أنظمتكم. صحيحٌ أنّ المجرمين السيبرانيين يستطيعون استهداف شركتكم مباشرةً واستخدام أساليب القوة الغاشمة (brute force) لاختراق ما لديكم من إجراءات أمنية، غير أنّ الأرجح هو أن يستهدفوا موظفيكم أولاً. فالبشر هدفٌ أسهل، لا لأنهم مهملون، بل عادةً لأنهم يريدون أداء عملهم؛ وهذا في الغالب هو ما يستغلّه القراصنة.
ولهذا السبب، فإنّ أكثر أشكال الهجمات السيبرانية شيوعاً هي حِيَل الهندسة الاجتماعية (social engineering) في صورة التصيّد الاحتيالي (phishing). وفي أبسط صوره، يتضمّن ذلك إرسال رابط لشخصٍ ما ليضغط عليه، يزعم أنه شيء معيَّن، غير أنه يقود بدلاً من ذلك إلى تثبيت برامج الفدية (ransomware) أو شكلٍ آخر من البرمجيات الخبيثة (malware). وكون هذا النوع هو الأكثر شيوعاً في الهجمات يعني أنّه يجب أن يكون في مقدّمة اهتمام الجميع، بمن فيهم أنتم.
إنّ أي برنامج توعية فعّال يبدأ من القمّة، شأنه شأن أي مبادرة تشمل المؤسسة بأكملها. قد تكونون أنتم من يُدير المشهد كلّه، وقد تكونون على رأس قسم تكنولوجيا المعلومات في شركتكم؛ وفي كلتا الحالتين، عليكم أن تُبيّنوا ليس فقط أهمية تعزيز الوعي بالأمن السيبراني، بل منافعه أيضاً. فكيف يمكنكم جعل الأمن السيبراني ذا صلة بكل فرد في الشركة؟
تخيّلوا أنكم تشرعون في برنامج تدريبي على الأمن السيبراني، وأنّ أوّل فئة تودّون تدريبها هي فريق الموارد البشرية (HR). فهم يتحكّمون بكمّ كبير من المعلومات البالغة الحساسية، ما يجعلهم مرشّحاً رئيسياً ليكونوا في مقدّمة القائمة. إنّهم فئة مسؤولة، وربما أكثر وعياً بأمن البيانات من سواهم لأنهم يتعاملون في الغالب مع معلومات خاصة بالموظفين. ويبذلون جهوداً كبيرة لدعم العاملين في شركتكم بكل وسيلة ممكنة؛ فأروهم أنّ الأمن السيبراني ما هو إلا امتداد لرسالتهم القائمة.
أو ربما تحتاجون، حتى قبل أن يبدأ التدريب، إلى إقناع قسم المالية بأنّه استثمار يستحقّ العناء. إنّ الأمن السيبراني مسعى مستمرّ، لكنّه ليس بالضرورة مسعى مكلفاً بشكل خاص. والأهمّ من ذلك أنّه قد يوفّر على شركتكم في المتوسط 4.35 مليون دولار في كلّ مرّة تنجون فيها من هجمة، فكيف يمكنهم الاعتراض على ذلك؟
وأخيراً، وهي نقطة بسيطة، ينبغي أن يتضمّن كلّ برنامج تدريبي تذكيرات متعدّدة بأنّ الإبلاغ عن أي شيء مريب ثم يتّضح أنّه لا شيء، خيرٌ من ترك أمرٍ سيّئ يتسلّل عبر دفاعاتكم. كثير من الأشخاص لن يرغبوا في إضاعة وقتكم، غير أنّه ينبغي تذكيرهم بأنّهم إن لم يُبلغوا وتسبَّب الأمر في ضرر، فإنّ كلفة ذلك ستكون أعلى بكثير من دقيقتين تقضونها في التحقّق مرّة أخرى من رسالة تصيّد احتيالي محتملة.
هل ترغبون في اقتران ممارسات سيبرانية أفضل بإعدادات Microsoft لديكم؟ تحدَّثوا إلينا اليوم.
يُعدّ الوعي بالأمن السيبراني مهماً لأنّ معظم الهجمات السيبرانية تنجح باستهداف الأشخاص، لا الأنظمة. فالقراصنة يستخدمون أساليب مثل رسائل التصيّد الاحتيالي (phishing) والهندسة الاجتماعية لخداع الموظفين ودفعهم إلى الضغط على روابط خطرة أو مشاركة معلومات حساسة. ومهما بلغت قوّة جدرانكم النارية وبرامجكم، فإنّ ضغطة واحدة غير مدروسة قد تفتح الباب أمام اختراق البيانات. ومع التوقعات بأن تبلغ تكلفة الهجمات السيبرانية تريليونات الدولارات عالمياً، فإنّ تدريب فريقكم على التعرّف على التهديدات والاستجابة لها يُعدّ من أكثر الدفاعات فاعليةً ويُسراً بالكلفة التي يمكن لأيّ شركة أن تعتمدها.
التصيّد الاحتيالي (phishing) هو إلى حدٍّ بعيد الهجوم الأكثر شيوعاً في استهداف الموظفين. وفي أبسط صوره، يُرسل القرصان بريداً إلكترونياً يحتوي على رابط يبدو مشروعاً، غير أنّه يؤدي في حقيقة الأمر إلى تثبيت برمجيات خبيثة (malware) أو برامج فدية (ransomware). وكثيراً ما تُحدث هذه الرسائل شعوراً بالاستعجال، إذ تطلب من المستلم التصرّف بسرعة. ولأنّ الموظفين يرغبون في أداء عملهم وتقديم المساعدة، فإنّهم أهداف أيسر مما قد يُظنّ. ولهذا السبب تحديداً يُعدّ التدريب الدوري على الوعي بالأمن السيبراني بالغ الأهمية لكل دور داخل المؤسسة.
ابدؤوا بتحديد الفرق التي تتعامل مع أكثر البيانات حساسية. فقسم الموارد البشرية (HR) لديكم مثلاً يتعامل يومياً مع معلومات خاصة بالموظفين، ما يجعله مرشّحاً قوياً ليكون أوّل فريق يُدرَّب. وقبل تعميم أيّ شيء، قد تحتاجون أيضاً إلى كسب تأييد قسم المالية عبر عرض مسوّغ العمل. فاختراق بيانات واحد يُكلّف في المتوسط 4.35 مليون دولار، لذا فإنّ الاستثمار في التدريب ضئيل مقارنةً بالخسارة المحتملة. ومن هناك، ابنوا برنامجاً بسيطاً ومستمرّاً يغطّي التهديدات الشائعة وإجراءات الإبلاغ.
لا ينبغي أن يكون التدريب على الأمن السيبراني حدثاً يتمّ لمرّة واحدة. فالتهديدات تتطوّر باستمرار، وما تعلّمه الموظفون قبل ستة أشهر قد يكون قد فات أوانه بالفعل. والنهج الأكثر فاعليةً هو إجراء جلسات تدريبية قصيرة ومنتظمة على مدار العام، بدلاً من جلسة سنوية واحدة طويلة. وتُسهم وحدات التدريب المصغَّرة الشهرية، مقترنةً باختبارات تصيّد احتيالي محاكاة، في إبقاء الوعي متجدّداً. فالتعزيز المنتظم يجعل السلوك الآمن يبدو طبيعياً وتلقائياً، بحيث يُصبح الموظفون أكثر قدرة على رصد التهديدات والإبلاغ عنها حين يواجهونها فعلياً في عملهم اليومي.
ينبغي أن يغطّي التدريب الجيّد التصيّد الاحتيالي (phishing) وكيفية اكتشاف رسائل البريد الإلكتروني المريبة، وأساليب الهندسة الاجتماعية، وأفضل الممارسات المتعلّقة بكلمات المرور، والمصادقة متعدّدة العوامل (multi-factor authentication)، والاستخدام الآمن لأجهزة الشركة، والتعامل مع البيانات وتصنيفها، وكيفية الإبلاغ عن حادث أمني. أمّا في بيئات التصنيع أو الشركات التي تعتمد على معدّات مترابطة، فينبغي أن يشمل التدريب أيضاً المخاطر المتعلّقة بالتقنية التشغيلية (operational technology) وأمن العتاد. والأهمّ هو جعل المحتوى ذا صلة بالمسؤوليات اليومية لكل فريق، بحيث يكون عملياً لا مجرَّداً أو مفرطاً في الجانب التقني.
إرساء ثقافة الأمن السيبراني يبدأ من القيادة. فحين يُظهر المسؤولون التنفيذيون والمديرون عاداتٍ آمنةً مثل استخدام المصادقة متعدّدة العوامل والإبلاغ عن محاولات التصيّد الاحتيالي، فإنّ ذلك يضع النغمة العامّة لبقية المؤسسة. اجعلوا الأمن السيبراني جزءاً من الوصف الوظيفي لكلّ فرد، لا مجرّد مسؤولية قسم تكنولوجيا المعلومات (IT). شجّعوا الموظفين على الإبلاغ عن أيّ شيء مريب دون خوف من أن يُنظر إليهم على أنّهم يُضيّعون وقت الآخرين. وذكّروا فريقكم باستمرار بأنّ الإبلاغ عن إنذار كاذب أفضل دائماً من ترك تهديد حقيقي يتسلّل عبر دفاعاتكم دون أن يُلاحظ.
الموظفون ليسوا ضعفاءَ لأنهم مهملون، بل يُستهدفون لأنّهم بشر. فالمجرمون السيبرانيون يستغلّون سلوكيات طبيعية مثل الثقة والاستعجال والرغبة في تقديم المساعدة. ورسالة تصيّد احتيالي مُحكمة الصياغة تُحاكي أسلوب كتابة الرئيس التنفيذي قد تخدع حتى الموظف الحذر لتحويل أموال أو مشاركة بيانات اعتماد. وتُظهر الدراسات أنّ نحو 68% من الهجمات السيبرانية تنطوي على شكل من أشكال الخطأ البشري. ولذلك فإنّ التدريب على الوعي بالغ القيمة؛ إذ يُحوِّل الموظفين من ثغرات محتملة إلى مدافعين نشطين يعرفون ما ينبغي الانتباه إليه.
تواجه شركات التصنيع مخاطر فريدة لأنّها تعتمد في الغالب على معدّات مترابطة، وأنظمة تحكّم صناعي، وتقنية تشغيلية (operational technology) قد تكون عرضةً للهجمات السيبرانية. والاختراق في بيئة تصنيعية لا يُعرّض البيانات للخطر فحسب، بل قد يُوقف خطوط الإنتاج، ويُعطّل سلاسل التوريد، ويتسبّب في خسائر مالية كبيرة. ويُساعد التدريب على الوعي بالأمن السيبراني موظفي التصنيع على فهم هذه المخاطر ورصد التهديدات الخاصة ببيئتهم. كما يضمن أنّ العاملين الذين يتعاملون مع أنظمة مترابطة يعرفون كيفية اتّباع بروتوكولات الأمن والإبلاغ فوراً عن أي شيء غير معتاد.
الحجّة الأقوى هي المالية. فاختراق بيانات واحد يُكلّف الشركات ملايين الدولارات في المتوسط، في حين أنّ برنامجاً متيناً للتوعية بالأمن السيبراني منخفض الكلفة نسبياً. قدّموا التدريب على أنّه استثمار للحدّ من المخاطر، لا مجرّد نفقة على تكنولوجيا المعلومات (IT). أَظهِروا للقيادة كيف يُسهم الخطأ البشري في غالبية الهجمات السيبرانية الناجحة، وبيّنوا أنّ التدريب يُقلّل هذه المخاطرة مباشرةً. ويمكنكم أيضاً الإشارة إلى متطلّبات الامتثال في قطاعكم التي تُلزم بوجود برامج توعية للموظفين. فحين تكون الأرقام واضحة، يصعب على أيّ مسؤول تنفيذي الاعتراض.
تُقدّم Intwo برامج تدريب وتوعية بالأمن السيبراني مصمَّمة لتثقيف فريقكم بأفضل ممارسات القطاع وبروتوكولات الأمن وكيفية اكتشاف التهديدات والاستجابة لها. ويتجاوز نهجنا مجرّد التدريب؛ إذ تُوفّر Intwo اختبارات شاملة تشمل اختبارات الاختراق (penetration tests)، وفحوصات الثغرات الأمنية (vulnerability scans)، والهجمات المحاكاة لاكتشاف نقاط الضعف قبل أن يكتشفها القراصنة. كما نُراقب الويب المظلم (dark web) بحثاً عن بيانات اعتماد مسرّبة مرتبطة بمؤسستكم. ومن خلال اقتران وعي الموظفين بأدوات أمنية متقدّمة ومنصّات الأمن السيبراني من Microsoft، تُساعد Intwo الشركات على بناء دفاع متعدّد الطبقات يحميها من كلّ الزوايا.
اطمئن. نحن معك.
لنتواصل ونتغلب معًا على تحديات عملك.