تدقيق الأمن السيبراني ( الامن الالكتروني ) يعتبر من الاشياء المهمة لرواد الاعمال ، وتتسأل الشركات عن اهمية اجراء الامن الالكتروني الداخلي و مدى جدوته .
وكثيراً ما يُطرح السؤال التالي: “ألا تكون تقييمات المخاطر القياسية كافية لصياغة استراتيجية أمنية لحماية الأصول الرقمية لأي شركة؟”.
ولكن في الواقع لا تكون تقييمات المخاطر القياسية مفيدة بشكل خاص عندما يتعلق الأمر بوضع خطة أمن واسعة النطاق ومتعمقة لشركتك.
في موضوعنا اليوم من مفيد سنتحدث في هذا الدليل الارشادي الشامل عن اهمية اجراء تدقيق الأمن السيبراني لحماية اعمالك و بياناتك المهمة .
لماذا يعد التدقيق الذاتي مناسبًا ؟
تعد المراجعات الذاتية السيبرانية أمرًا بالغ الأهمية لشركتك، حيث تتيح لك تعيين المعلمات الخاصة بك ومجموعة محددة من الأهداف.
و تتيح لك عمليات التدقيق الذاتي الفرصة للقيام بما يلي:
بشكل عام يُعتبر التدقيق الذاتي أداة مفيدة بشكل رائع عندما تحتاج إلى فهم ما إذا كان الأمن السيبراني يعمل كما ينبغي،
أو أنك تستعد لإجراء تدقيق خارجي في المستقبل القريب.
لا يعرف ما يصل إلى 30% من الأشخاص ما إذا كان قد تم اختراقهم وما إذا كانت بياناتهم لا تزال غير محمية ،
وذلك من خلال ضمان إكمال عملية التدقيق مرة واحدة على الأقل كل ربع عام،
ويمكنك مواكبة أي تقنية محدّثة في السوق يمكن أن توفر المزيد من الحماية لشركتك.
كيفية إجراء تدقيق الأمن السيبراني ؟
هناك طرق متعددة لجمع البيانات المطلوبة، مثل مراقبة إجراءات المستخدم وإدارة الوصول وبرنامج تعقب الموظفين،
مما يسمح لك بالوصول إلى كافة البيانات في منطقة مركزية واحدة.
ولكن ما هي الخطوات التي تحتاج أولاً إلى أخذها في الاعتبار عند إجراء تدقيق شامل؟
التدقيق الداخلي مقابل التدقيق الخارجي
عندما تقرر إجراء تدقيق، عليك تحديد ما إذا كنت راضيًا عن استخدام الموارد الخاصة بك أو الاتصال بأحد المتخصصين الخارجيين.
والمدققون الخارجيون من ذوي المهن البارعة وهم يستخدمون مجموعة واسعة من برامج الأمن الإلكتروني،
مثل أجهزة الكشف عن الثغرات الأمنية القادرة على توفير قدر هائل من المعرفة من أجل العثور على الثغرات والعيوب الأمنية في أنظمتك.
ولكن العيب الأكبر على الإطلاق هو أنها كثيراً لا تأتي رخيصة،
وأن العثور على خبير يتمتع بالمؤهلات والخبرات اللازمة قد يكون في كثير من الأحيان معقدا.
بالإضافة إلى ذلك، سيعتمد نجاح التدقيق بشكل كبير على خطوط الاتصال بينك وبين المدقق.
إذا لم يتمكن مدقق الحسابات من الوصول إلى بياناتك في الوقت المناسب،
فستستغرق عملية التدقيق وقتًا أطول من اللازم، مما يؤدي إلى زيادة التكاليف ويؤدي إلى نتائج غير دقيقة.
افضلية التدقيق الداخلي على الخارجي
ما سبق زكره من شأنه أن يجعل عمليات التدقيق الخارجية شيئاً من الترف وليس خياراً مستمراً.
وهي خيار ممتاز للقيام به مرة في السنة، إذا كانت لديك الموارد اللازمة للاستثمار فيها.
ومن ناحية أخرى فإن إدارة عمليات التدقيق الداخلية أسهل بكثير وكما سبق ذكره،
يمكنها أن تتيح لك فرصة جمع البيانات ووضع المعايير القياسية الخاصة بك.
و لكن معظم المدققين الداخليين عند تدقيق الأمن السيبراني يفتقرون غالباً إلى الخبرة المهنية،
و يمكن حل هذا الامر ببساطة من خلال توظيف الأشخاص المناسبين وتقديم التدريب الصحيح.
إن عمليات المراجعة الداخلية للحسابات ليست أرخص بكثير فحسب، بل إنها أكثر كفاءة أيضا.
ومن الأسهل بكثير بالنسبة إلى الموظف الداخلي العمل حول عمليات الشركة الراسخة لجمع البيانات المطلوبة،
من دون الحاجة إلى وجود مصدر خارجي لمعرفة متى يمكنه جمع البيانات من دون إزعاج مهام سير العمل.
على الرغم من أن المراجعة الداخلية للحسابات قد تبدو معقدة، في الواقع كل ما عليك فعله هو إنشاء مؤشرات أداء رئيسية وتسليمات مع ضمان التزام الشركة بهذه الممارسات.
خطوات إجراء تدقيق الأمن السيبراني
1- تحديد أولويات الأمان
كجزء من عملية اللائحة العامة لحماية البيانات (GDPR)، يُطلب من كل شركة قانونيًا أن يكون لديها مسؤول حماية بيانات مرشح موجود داخل الشركة ويكون مسؤولاً عن معرفة البيانات التي تتدفق منها وما الذي يتدفق إليها.
بغض النظر عن الشخص سواء كنت أنت أو شخص آخر داخل الشركة يجب عليه إجراء التدقيق ، والوظيفة الأولى لمراجع الحسابات هي تحديد مدى امتداد مراجعتك مما يعني أنك بحاجة إلى سرد كافة الأصول.
يمكن أن تتضمن الأصول أي شيء بدءًا من معدات الكمبيوتر وحتى معلومات العملاء والشركات الحساسة ، كما يمكن أن تتضمن أي شيء يتطلب وقتًا وأموالاً لإصلاحه حتى تعمل الشركة بشكل صحيح مثل المستندات الداخلية وأنظمة الاتصال.
بمجرد تضييق نطاق أصولك، ستحتاج بعد ذلك إلى تحديد مكان معاملات الأمان.
ستقوم معاملات الأمان الخاصة بك بتجزئة أصولك إلى مسارات قابلة للتدقيق: أشياء لن يتم تدقيقها أو أشياء يتم تدقيقها.
ليس من الواقعي محاولة تضمين كل شيء في عملية التدقيق، لذا يجب عليك وضع الأصول الأكثر قيمة أولاً وتعيين معاملات عند ذلك وبمجرد قيامك بذلك يجب أن تجعل كل تركيزك عليها.
2- تقييم التهديدات
بمجرد تحديد أصولك، فإن الخطوة التالية هي تقييم التهديدات المحتملة لهذه الأصول.
ويمكن أن تتراوح هذه بين حماية كلمة مرور أقل من المستوى المسموح به للموظفين، وبيانات الشركة أو العميل الآمنة، وهجمات رفض الخدمة.
بل ويمكن أن تشمل الانتهاكات المادية أو الأضرار الناجمة عن الحرائق أو الكوارث الطبيعية مثل الفيضانات.
بشكل عام، يجب التفكير في أي تهديد يمكن تصوره، طالما أنه قد يكلف شركتك نفقات كبيرة.
– الموظفون المهملين : يجب أن يكون موظفوك خط الدفاع الأول وأي رابط ضعيف في هذه السلسلة يكفي لإضعاف العملية بأكملها. ما مدى تدريب موظفيك بشكل جيد؟ هل هم مدربون على ملاحظة نشاط مشبوه واتباع بروتوكولات الأمان الخاصة بالعمل ؟
– هجمات التصيّد الاحتيالي : يستخدم مرتكبو الانتهاك هجمات التصيّد الاحتيالي بانتظام للحصول على معلومات حساسة.
في عام 2016، كان الدافع وراء 89% من جميع هجمات التصيّد الاحتيالي هو تحقيق مكاسب مالية.
– كلمات مرور ضعيفة : تم استخدام كلمات مرور ضعيفة في 81% من الحوادث المرتبطة بالتطفل في عام 2017.
إن كلمات المرور الضعيفة أو المسروقة هي الطريقة الأكثر شيوعاً التي يستخدمها المتسللون للوصول إلى الشبكات.
– التهديدات الداخلية : فكرة أن شخصًا ما من داخل عملك سيفعل أي شيء لإلحاق الضرر بأعمالك سواء بشكل مقصود أو عن طريق الخطأ أمر ممكن، وقد يحدث بالفعل للاسف.
– انتهاكات DDoS : الهجوم على هدف معين لحرمانه من الخدمة الموزع،
مثل الهجوم على (خادم ويب عادةً) لتحميله أكثر من اللازم وجعله عديم الفائدة.
– أجهزة الموظفين : هل يقوم موظفوك بتوصيل هواتفهم الذكية بشبكة Wi-Fi أو استخدام ذاكرة USB الخاصة بهم؟
إذا كان الأمر كذلك، فيجب أن تأخذ هذه الأمور في الاعتبار لأنها تضعف وضعك الأمني بشكل كبير.
– البرامج الضارة : يشمل ذلك عدة تهديدات، مثل الفيروسات المتنقلة وأحصنة طروادة وبرامج التجسس وبرامج الفدية المستمرة والمتزايدة الانتشار.
– السرقة المادية أو الكوارث الطبيعية : على الرغم من أن أياً من هذه الأمور غير مرجح بشكل خاص،
فإن عواقب عدم الإعداد قد تكلف مؤسستك مبلغاً هائلاً من المال.
3- تقييم عمليات الأمان الحالية لديك
والآن بعد أن قمت بتحديد التهديدات المحتملة التي قد تواجهها؛
يتعين عليك أن تقرر بصراحة ما إذا كانت البنية الأساسية الحالية لديك مجهزة بشكل مناسب للحماية من هذه التهديدات.
في هذه المرحلة، أنت تقوم فقط بتقييم فعالية إجراءات الأمان الحالية،
وهذا يعني أنك تقيم كل رابط في سلسلة نقاط الضعف سواء كنت أنت أو موظفك إجراءات الأمان أو العمل ككل.
وهذا أحد المجالات التي يمكن أن تكون فيها المراجعة الخارجية للحسابات ذات قيمة خاصة،
نظرا لعدم وجود تحيز داخلي يمكن أن يؤدي إلى انحراف النتائج النهائية للتفتيش.
من المهم للغاية أن تتجاوز صلاحية تدقيق الأمن السيبراني أي تحيز عاطفي لديك تجاه الموظفين في مناصب معينة أو حتى في أدائك الخاص.
4- تحديد الأولويات
هذه هي الخطوة الأكثر أهمية في عملية التدقيق و الامن الالكتروني – وهي كيف تحدد الأولويات؟
انظر إلى قائمة التهديدات المحتملة وقارن بين الضرر المحتمل واحتمال نجاح هذا التكرار،
وستترك لك درجة مخاطر لكل منها.
على سبيل المثال، قد يؤدي الفيضان إلى تدمير معداتك بالكامل وإبقاء مبانك مغلقة لفترة زمنية غير محددة،
مما قد يؤدي إلى وضعها “عالية الخطورة”، ولكن بما أن الفيضانات أو الكوارث الطبيعية من غير المرجح حدوثها لذلك تنخفض النتيجة وفقاً لذلك.
أثناء هذه الخطوة، من المهم إجراء بحث حول ما يلي:
- انتهاكات الإنترنت التاريخية : هل تعرضت شركتك للاختراق أو الهجوم أو الانتهاك البدني في الماضي؟
- الاتجاهات السيبرانية الحالية : ما هي الأساليب الحالية التي يستخدمها المجرمون الإلكترونيون للوصول إلى المعلومات؟ ما هي التهديدات التي أصبحت أكثر انتشارًا والتي هي أقل تكرارًا بكثير؟ ما هي التطورات التكنولوجية الجديدة المتوفرة الآن لزيادة الحماية من التهديدات.
- الاتجاهات على مستوى الصناعة بالكامل : إذا كنت تعمل في الصناعة المالية، أو إذا كانت شركتك تحتفظ بقدر كبير من بيانات العملاء، فإن احتمالات وقوع هجوم أكبر من مثيلاتها في قطاعات أخرى.
- الأنظمة والتشريعات والامتثال : هل أنت شركة خاصة أو عامة؟ هل تتعامل مع البيانات المالية أو الشخصية الحساسة يوميًا؟ من لديه حق الوصول إلى هذه المعلومات؟سيؤثر الرد على هذه الأسئلة على درجة المخاطر عند تعيين درجات الخطر إلى أصول معينة.
5- قم بإنهاء بروتوكولات الأمان الخاصة بك
قد تكون المرحلة المتبقية من أي مراجعة داخلية للحسابات الأمنية هي الأسهل.
حيث يمكنك أخذ قائمة التهديدات ذات الأولوية الخاصة بك وتدوين قائمة بتحديثات الامن الالكتروني،
وأفضل الممارسات للقضاء على المخاطر و القضاء عليها تمامًا.
فيما يلي قائمة بحلول الأمان القياسية التي يجب أخذها في الاعتبار:
تدريب الموظفينوفقًا لمقال في welivesecurity يقول 33.3% من الأشخاص أنهم لم يكن لديهم أي تدريب على الأمن الإلكتروني على الإطلاق.
موظفوك هم فقط من البشر في نهاية اليوم، ما يعني أنهم يستطيعون ارتكاب الأخطاء.
سيؤدي إنشاء جداول تدريبية للموظفين الجدد والتدريب التنشيطي للموظفين الحاليين إلى زيادة الوعي وتقليل الأخطاء، وبالتالي لا شك في أفضل ممارسات الأمان.
حماية البريد الإلكترونيإن حوادث هجمات التصيّد الاحتيالي آخذة في الازدياد، ويرجع هذا إلى أنها أصبحت أكثر تعقيداً وصعوبة في التعرف عليها.
بمجرد النقر فوق رسالة التصيد الاحتيالي، تقدم رسالة تصيد احتيالي إلى مرتكب الجريمة مجموعة من الخيارات للوصول إلى بياناتك عبر تثبيت البرنامج.
تساعد عوامل تصفية البريد الإلكتروني العشوائي في الوصول إلى نقطة معينة،
ولكن القدرة على تعريف رسائل البريد الإلكتروني على أنها “خارجية” أو “داخلية” على الشبكة الخاصة بك تتسم بالتقدير العالي.
عمليات النسخ الاحتياطيواحدة من أكبر المخاوف المتعلقة بأي شركة إذا تم اختراق البيانات، هي عدم القدرة على استردادها لأن عمليات النسخ الاحتياطي لم يتم القيام بها.
وإذا كانت هذه هي الحالة، فهذا يعني أن قدرة شركتك على العمل قد تم اختراقها أيضًا.
إن النسخ الاحتياطي لبياناتك بشكل منتظم وفصلها عن شبكتك الرئيسية يعني أنه لديك دائمًا نسخة احتياطية في حالة وقوع هجوم.
البرامج الحديثةإن إبقاء كل جهاز على الشبكة الخاصة بك على أحدث البرامج هو خطوة مهمة للغاية نحو تأمين نقاط الوصول المحتملة.
يمكنك فرض التحديثات اليدوية كخطوة إلزامية في خطة الأمان، أو يمكنك استخدام برنامج يمنع أي مستخدم من دون توفر التحديثات الصحيحة من الوصول إلى المعلومات الهامة.
إدارة كلمة المرورإن أي كلمة مرور لابد وأن تكون فريدة ومعقدة إلى الحد الذي لا يمكن لنا أن نخمنها.
لا يميل البشر إلى تذكر مئات كلمات المرور الفريدة، ولهذا السبب نميل إلى الاعتماد على بعض الاختلافات في كلمة المرور نفسها أو تخزينها في مستندات كلمات أو لوحات ملاحظات غير آمنة.
استثمر في إدارة كلمات المرور، وتأكد من عدم إعادة استخدام كلمات المرور، وتكرارها، والعثور على طريقة أكثر أماناً لمشاركة كلمات المرور من جدول البيانات.
إذا كنت مديراً للبرنامج، فيمكنك عندئذ مشاركة كلمات المرور ذات الصلة مع الموظفين المناسبين فقط.
برنامج مراقبة الشبكةغالبًا ما يسعى المجرمون الإلكترونيون إلى الوصول إلى شبكتك.
و هناك العديد من منتجات برامج مراقبة الشبكة في السوق التي يمكن أن تنبهك إلى أي أنشطة مشبوهة،
مثل محاولات الوصول غير المحددة وتعمل هذه البرامج لإبقائك في المقدمة بخطوة واحدة.
الخاتمة
الآن أصبح لديك كل الأدوات التي يجب تسليمها لإكمال التدقيق في الامن الالكتروني الداخلي.
يجب أن تتذكر أن مراجعات الامن الالكتروني الداخلي ليست حلولاً واحدة وقد تم تنفيذها وانها عملية مستمرة.
يجب استخدام التدقيق الأولي في الامن الالكتروني كمعيار لكل عمليات التدقيق التالية ،
إن قياس المكان الذي نجحت فيه وفشلت هو الطريقة الوحيدة لضمان إمكانية إنشاء الإجراءات التي نجحت ولم تعمل بكفاءة عالية والتعلم منها.
و يؤدي التحسين المستمر لعملياتك وتقنياتك إلى خلق ثقافة عبر الشركة ،
يهتم فيها الجميع بأي انتهاكات محتملة لـ الأمن السيبراني يمكن ان تحدث .
