الاستثمار في أمن المعلومات.. ضرورة وليس ترفا

أكّد خبراء ومتخصصون في أمن المعلومات والتقنية والاتصالات أهمية الاستثمار والتوعية بأمن المعلومات وبناء إستراتيجيات وقائية وعلاجية متينة لمواجهة الاختراقات الأمنية على مستوى الأفراد أو المؤسسات.

وأشار هؤلاء إلى أنّه في ظل تغلغل التكنولوجيا واستخدامات الإنترنت في الحياة اليومية وزيادة انتشار الهواتف الذكية وشبكات التواصل الاجتماعي، وظهور وانتشار مفاهيم جديدة مثل الرقمنة وإنترنت الأشياء، وتزايد اتصال الناس مع بعضهم البعض ومع الأشياء من حولهم، أصبح من الواضح أنه لا بد من التعامل مع أمن المعلومات كضرورة لحماية أنفسنا سواء جهات حكومية، مؤسسات، شركات أو أفراد من هجمات القرصنة والاختراق وذلك بتطبيق أعلى معايير الأمان على شبكاتنا وأجهزتنا الموصولة بالإنترنت.

وتتنوع تهديدات ومخاطر أمن المعلومات التي تستهدف أنظمة تكنولوجيا المعلومات وشبكات الإنترنت والاتصالات بين جرائم الفيروسات والبريد الإلكتروني الملوّث والضار، وجرائم الاحتيال و”الاصطياد” (الحصول على معلومات بنكية سرية)، والجرائم المتعلقة باختراق الهواتف المتنقلة، ومحاولات اختراق والسيطرة على بيانات المستخدمين على تطبيقات وشبكات التواصل الاجتماعي وغيرها الكثير من المخاطر.

وقال خبير أمن المعلومات والجرائم الإلكترونية د.عمران سالم إن “أمن المعلومات اليوم يعد العامود الفقري لعملية التحوّل الرقمي التي بدت واضحة في شتى المجالات المعرفية والصحية والتعليمية والصناعية والتجارية وتزايد استخدامنا و اعتمادنا الكبير عليها وخصوصا في ظل أزمة كورونا”.

وأكّد سالم أن استمرارية الأعمال وضمان سريّة وأمن المعلومات مرتبطة بمدى الاستثمار في هذا المجال، مشيراً إلى أنّ الدراسات العالمية قدرت تسجيل مبالغ كبيرة كإيرادات لسوق أمن المعلومات في العام 2020 نظرا لتوجه المؤسسات والحكومات للاستثمار بشكل أكبر في تطبيق نظم أمن المعلومات.

وأشار سالم إلى أن تكلفة الاستثمار المبكر في نظم أمن وحماية المعلومات والبنى التحتية الرقمية يعتبر منخفضاً جدا مقارنة بتكلفة معالجات ضياع المعلومات أو اختراق الأنظمة.

وشدد على أن الاستثمار في أمن المعلومات ليس كمالياً، بل يعتبر جزءا لا يتجزأ من أنظمة المعلومات بل إنه الركن الأساسي لضمان استمرارية الأعمال.

وأوضح سالم أن تطبيق نظم أمن المعلومات في بعض القطاعات أصبح “إلزاميا” كالقطاعات المصرفية مثل البنوك ومؤسسات تحويل الأموال بالإضافة إلى المؤسسات الحكومية وبعض القطاعات الصناعية، لافتا إلى ضرورة زيادة وعي الأفراد أيضا بضرورة اتباع أفضل الممارسات واستخدام أدوات الحماية لحماية خصوصية الحياة الرقمية وهذا يجب أن تفرضه الدوائر الحكومية بشكل يضمن الحفاظ على حياتنا الرقمية من الاختراق وبالتالي الاستمرار في عملية التحول الرقمي بشكل آمن.

وبيّن أن هناك 3 أنواع للأدوات المهنية بأمن المعلومات.. إما وقائية (Preventive) أو علاجية (Corrective) وهناك صنف في منتصف المسافة وهي الكاشفة لحالات الاختراق لحظة وقوعها وتسمى Detective Controls.

وأكد سالم أن تطبيق النظم الوقائية أي عدم السماح لحالات الاختراق من الوقوع أو التنبؤ بوقوعها وبالتالي منعها هي الأكثر أمانا بين الحالات الثلاث.. فهي قليلة التكلفة.. كبيرة الفعالية.. أما النظم العلاجية أو التصحيحية فهي باهظة التكلفة وقد تكون قليلة الفعالية في بعض الأحيان، مشيرا إلى أن بعض حالات الاختراق أو ضياع المعلومات قد يؤدي إلى كوارث اقتصادية ستؤثر على سمعة المؤسسة وهذا بدوره قد يؤدي إلى فقدان ثقة العملاء.. وهذا الأمر قد يكون بلا رجعة.

وأضاف “لذلك.. ننصح المؤسسات بتطبيق نظم أمن المعلومات بشكل مبكر لتفادي وقوع الهجمات وبالتالي الحفاظ على استمرارية الأعمال”.

وأكّد الخبير في مضمار تقنية المعلومات حسام خطّاب أن أمن المعلومات بات اليوم “ضرورة ملحّة” على مستوى الأفراد أو المؤسسات أو الأمن القومي للدول، موضّحا أن المستخدم اليوم صار في مواجهة الاختراق لأجهزته ومعلوماته، والشركات أصبحت مهددة أكثر من ذي قبل بتعطل خدماتها أو سرقة بيانات الزبائن، كما أن على الحكومات أن تنتبه إلى أهمية حماية منشآتها الحيوية مثل محطات المياه والكهرباء أو خدماتها الرقمية من أخطار الاختراق وحجب تلك الخدمات عن المواطنين أو الوصول إلى البيانات الحساسة على صعيد الدولة ككل.

وقال “اختراق أمني واحد قد تكون أضراره المعنوية والمادية كبيرة، فالمخاطر السيبرانية في قائمة المخاطر التي تواجه المجتمعات والمؤسسات والاقتصادات؛ خصوصا مع ازدياد التوجه نحو التحول الرقمي وأتمتة الخدمات. فالانتباه إلى أمن المعلومات لا بد وأن يكون متلازما مع جهود التحول الرقمي لكل من المستويات الثلاث”.

وأشار خطاب إلى أن ظروف جائحة كورونا وجّهت الأنظار نحو القطاع الطبي بما فيه من خدمات رقمية ومرضى، والهجمات السيبرانية على مؤسسات هذا القطاع تشهد زيادة عالمية الأمر ما عاد محصورا بالبيانات أو الخدمات فقط، وحياة المرضى وخصوصية معلوماتهم الطبية صارت تستقطب المخترقين للأسف.

وأكّد أن الوقاية خير من قنطار علاج، والتوعية بالمخاطر وتطبيق الإجراءات الوقائية هي أقل تكلفة من تطبيقها لاحقا.

وبيّن أن المستخدمين اليوم يحملون الكثير من التطبيقات المختلفة، لافتا إلى أن التعامل مع هذه التطبيقات دون حرص قد يجعله في لحظة ما في مواجهة اختراق أمني، وربما منعه من الوصول إلى أجهزته وبياناته وهذا ينطبق على المؤسسات العامة والخاصة.

وقال “وجود استراتيجية طويلة المدى للتعامل مع المخاطر السيبرانية سيعزز الجهود وينعكس إيجابا على حماية الخدمات والمعلومات”، لافتا إلى أننا نشهد اليوم استثمارات متزايدة في أمن المعلومات، وهي تكون على شكل إما تطوير الإجراءات والعمليات، أو صقل مهارات العاملين، أو تطبيق حلول أمنية وقائية تساعد في الحماية من الاختراقات واكتشافها ومعالجتها، وتقليل الوقت والتكلفة اللازمين لها.

ومن جانبه قال المدير التنفيذي للجمعية الأردنية للمصدر المفتوح عيسى محاسنة إن “الاستثمار في أمن المعلومات “لم يعد خيارًا”، وذلك أن الخسائر التي يمكن أن تلحق بالشركات نتيجة الهجمات على أمن المعلومات كثيرة وعالية الثمن، منها خسائر في معلومات العملاء أو سرقة الأسرار التجارية للشركة أو التوقف عن العمل، كلها تؤدي إلى خسائر مالية بالإضافة إلى خسائر تتعلق بسمعة الشركة.

واضاف محاسنة “يمكن تجنب هذه الخسائر بزيادة الاستثمار في أمن المعلومات عن طريق الإنفاق على خبراء أمن المعلومات وأنظمة الحماية وتدريب الموظفين”.

وأوضح أنه من أجل زيادة العائد على الاستثمار في أمن المعلومات، ينصح الخبراء المؤسسات باعتماد المزيد من البرمجيات والأدوات مفتوحة المصدر في هذا مجال لا سيما أنّها تقدم نتائج عالية الجودة دون تكاليف متعلقة بشراء الرخص، والتي تعتبر مرتفعة في كثير من الأحيان. فمثلاً يمكن للمؤسسات التي لديها مواقع إلكترونية أو تطبيقات ويب الاستفادة من مشروع OWASP وأدواته المجانية، والتي أصبحت معتمدة عالميا في هذا المجال.

وأشار إلى أن أي خطة لأمن المعلومات في أي مؤسسة تعتمد على إجراءات وقائية وعلاجية، ابتداء من اتباع خطة لإدارة المخاطر وسياسات لأمن المعلومات داخل المؤسسة، والاستعداد لأي تهديد أمني، وصولاً إلى ضمان استمرارية الأعمال في حال مواجهة أي مخاطر أو اعتداء.

وقال “في جميع الأحوال، كل هذه الإجراءات يجب أن تخصص لها موارد مالية وبشرية لتحقيق النتائج المرجوة منها”.