غالبية الشركات الكبرى مكشوفة في الأمن الإلكتروني

أعلنت أخيراً شركة «آر إس إيه» RSA الأميركية (مقرها ولاية «ماساشوستس»)، وهي ذراع الأمن المعلوماتي لشركة «إي إم سي» EMC عن مؤشرها الأول عن ضعف الأمن الإلكتروني. واستند المؤشر إلى نتائج مسح شمل ما يزيد على 400 اختصاصي في الأمن المعلوماتي، ينتمون إلى 61 دولة.
وفي ذلك المسح، أتيحت الفرصة أمام الخبراء لإجراء تقويم ذاتي لبرامج متنوعة عن الأمن الإلكتروني، إضافة إلى الاستعانة بإرشادات إطار الأمن الإلكتروني في «المعهد الوطني (الأميركي) للمعايير والتكنولوجيا» (يشتهر باسمه المختصر «إن آي إس تي» NIST)، بوصفه معياراً في القياس.
وبذا، وفر البحث رؤية عالمية قيمة في التعرف إلى طُرُق تصنيف المؤسسات لجهة مستويات النضج في ممارسات الأمن الإلكتروني، خصوصاً أنه شمل مروحة واسعة من المؤسسات المتفاوتة في الحجم والعمل والمناطق الجغرافية. وعلى رغم انتشار الاعتقاد أن المؤسسات الكبرى لديها موارد تكفي لتأمين مستوى فعال في التصدي للهجمات الإلكترونية، إلا أن نتائج المسح أشارت إلى أن حجم المؤسسات ليس عاملاً حاسماً في تحديد مدى نضجها في الأمن الإلكتروني. وبين أيضاً أن قرابة 75 في المئة من الخبراء أيدوا ذلك الاستنتاج.
الوقاية أساسية لكنها غير كافية
وأشار المسح إلى أن عدداً من المؤسسات أقرت بوقوع حوادث أمنية إلكترونياً كانت مضرة بأعمالها أثناء السنة التي سبقت المسح. وشدد الخبراء أيضاً على أن نتائج المسح تفضي الى التشديد على أهمية حلول الوقاية في الأمن الرقمي، مع الإشارة أيضاً إلى صحة المفهوم الشائع بأن ذلك النوع من الوقاية ليس كافياً بحد ذاته، خصوصاً في مواجهة الأنواع المتطورة من الهجمات الإلكترونية. وعلاوة على ذلك، تمثلت نقطة الضعف الأكثر وضوحاً في المؤسسات التي شملتها الدراسة، في وهن القدرة على قياس مخاطر الأمن الإلكتروني وتقويمه والتخفيف من آثاره.
وفي المقابل، كشف المسح عينه أن 45 في المئة من تلك المؤسسات أعربت عن اعتقادها بأن قدراتها في مكافحة الهجمات الإلكترونية، هي «محدودة» أو «غير موجودة»، في ما أعلنت 21 في المئة من تلك المؤسسات أنها تتمتع بنضج كاف في ذلك المجال. واستطراداً، يجعل ذلك القصور المؤسساتي من الصعب أن تُمنح الألوية لنشاطات الأمن الإلكتروني والاستثمار فيه، على رغم كونه نشاطاً أساسياً لكل مؤسسة تسعى إلى تحسين قدراتها في الأمن الرقمي حاضراً. وخلافاً للتوقعات، شدد المسح على أن حجم المؤسسة ليس مؤشراً إلى نضجها في الأمن المعلوماتي. وفي واقع الأمر، يملك ما يزيد على 80 في المئة من المؤسسات التي شملها المسح، قرابة عشرة آلاف موظف، لكن قدراتها في الأمن الرقمي كانت «أدنى من المستوى المتطور». وأشر ذلك أيضاً الى أن الخبرة الشاملة للمؤسسات الكبرى ورؤيتها بشأن التهديدات الأمنية الرقمية، تحتم عليها اكتساب قدر أكبر من النضج في الأمن المعلوماتي. كما يؤشر انخفاض مستوى التقويم الذاتي إلى وجود إدراك لدى تلك المؤسسات الكبيرة لمدى حاجتها إلى حلول أمنية ناضجة وفعالة.
الأموال في عين العاصفة
جاءت نتائج المسح عن المؤسسات المالية، مخيبة للتوقعات أيضاً، خصوصاً أنها تعمل في قطاع يوصف غالباً بأنه رائد في مجال الأمن الإلكتروني. وعلى رغم ذلك الرأي التقليدي السائد، لم تقوم المؤسسات المالية التي شملها المسح، نفسها بوصفها ناضجة تماماً في الأمن المعلوماتي. ولم تعرب سوى ثلث تلك المؤسسات عن رضاها عن وضعيتها في ذلك المجال الحساس.
في المقابل، أعلنت مؤسسات الاتصالات عن مستوى أكثر تقدماً من نظيراتها في قطاعات أخرى، في مجال الأمن المعلوماتي. وأعرب قرابة 50 في المئة من مؤسسات الاتصالات التي شملها المسح، عن مستويات كافية من الرضا تجاه وضعيتها في الأمن الإلكتروني.
وفي نفسٍ مُشابِه، حلت المؤسسات الحكومية التي شملها البحث في المرتبة الأخيرة في مناحي الأمن الإلكتروني كافة! ولم تعرب سوى 18 في المئة منها عن رضاها حيال مستوى الأمن المعلوماتي لديها. وفي المقابل، أشار الخبراء إلى أن تراجع التقويم الذاتي في المؤسسات يعبر أيضاً عن إدراك جيد لمدى تلك الأزمة، وربما عن وجود إرادة واضحة لمواجهتها.
واستخدم المسح إرشادات إطار الأمن الإلكتروني في «المعهد الوطني (الأميركي) للمعايير والتكنولوجيا». وتذكيراً، جرت صياغة ذلك الإطار في البداية في الولايات المتحدة بهدف تقليل المخاطر الإلكترونية على البنية الأساسية المهمة. ولاحقاً، وجدت مجموعة كبيرة من المؤسسات في دول مختلفة، أن ذلك الإطار جدير بأن يتم تبنيه، كونه يمثل نهجًا مرناً وقابلاً للاستخدام المتكرر، إضافة إلى كلفته الاقتصادية الواقعية كأداة فعالة في الحد من مخاطر الهجمات الإلكترونية. وبذا، توافر نوع من الإقرار عالمياً بأن ذلك الإطار يوفر أساساً ممتازاً لتقويم الأمن الإلكتروني الأساسي في مؤسسات متنوعة.
وتشمل إرشادات إطار الأمن الإلكتروني في «المعهد الوطني (الأميركي) للمعايير والتكنولوجيا»، تقويماً للقدرات المعلوماتية في 5 وظائف رئيسية في الأمن الإلكتروني، هي: تحديد المخاطر، وتوفير الحماية، والكشف عن المخاطر، والرد على الهجمات، والتغلب عليها. ويأتي التقويم الذي يشمله ذلك الإطار، على هيئة سلم متدرج من خمس نقاط. يشير المستوى الأول إلى انعدام القدرة لدى المؤسسة في وظيفة محددة في الأمن المعلوماتي، في ما يشير المستوى الخامس إلى وجود ممارسات عالية النضج في ذلك المجال.