10 مخاطر تهدد أمن المعلومات الوطني في عام 2010

بالبريد الالكتروني

كنت أقرأ قريبا في الإنترنت أحد الأسئلة والتي تتمحور حول: ماهي أهم التهديدات لأمن المعلومات في عام 2009 وقد طرح الكاتب مجموعة من التهديدات والتي سنذكرها لعموم المعرفة وهي:
1- انتشار استخدام الأجهزة الذكية المحمولة والتي منها على سبيل المثال: الحاسب المحمول (اللابتوب) أجهزة الجوال الذكية.
2- انتشار الشبكات الإجتماعية (كفيس بوك وتويتر ونحوهما) واستخدامها وعدم توفر الوعي الكافي بكيفية التعامل مع المعلومات وحساسيتها عند استخدام هذه الشبكات.
3- التهديدات الداخلية ( موظفي المنظمة)
4- الهاكرز
5- عدم توفر الوعي والدعم الكافي من الإدارة العليا
6- المستخدمين لأنظمة المعلومات
وقد اختلفت الآراء مع اختيار الأغلبية للاختيار رقم 6 "المستخدمين لأنظمة المعلومات".
وبعد تفكير في حال أمن المعلومات خلال السنة الماضية وخلال العديد من التجارب رأيت أنه بالإضافة إلى التهديدات الأنفة الذكر فتوجد العديد من المخاطر الإستراتيجية والتي يجب الانتباه لها في دولتنا الحبيبة وهي كالتالي:
1- عدم وجود جهة مسؤولية عن حماية البنية التحتية الحرجة للدولة كمنظومة متكاملة. ونعني بذلك حماية بنى الاتصالات وتقنية المعلومات والتي تعتمد عليها الكثير من منظمات الدولة الحساسة (كالجهات الحكومية، شركات الكهرباء، البنوك، شركات الإتصالات ونحوها).و كما نرى زيادة الاعتمادية عليها يوما بعد يوم وخصوصا بعد زيادة التوجه إلى الخدمات الإلكترونية والاعتماد عليها. واليوم أصبح من يملك المعلومة هم المتحكم في الأمور وستكون الحروب القادمة حروبا الكترونية ومعلوماتية أكثر منها حروبا تعتمد على العتاد والقوة.
2- ضعف دعم الإدارة العليا لتوجهات أمن المعلومات حيث يتم حاليا العمل على حل المشكلات بعد حصولها وليس التخطيط لتفادي حصول المشكلة من الأساس.
3- ضعف التخطيط بحيث لا يتم بناء برنامج متكامل لأمن المعلومات في المنظمات السعودية وخصوصا الحكومية، بحيث يحتوي على خطة عمل واضحة خلال الثلاث أو الخمس سنوات القادمة، وذلك لتوحيد وتركيز الجهود مع عدم إغفال الجانب التشغيلي لأمن المعلومات.
4- عدم بناء حلول أمن المعلومات على أساس معرفة المخاطر والتهديدات على مصادر المعلومات والعمل على إدارتها دوريا سواء بالتخلص من مصدر التهديد أو وضع حلول أمنية (تقنية أو اجراءات عمل أو غيرها) تحد منه أو نقل أو تحويل الخطر الى جهة أخرى كشركات التأمين.
5- غياب تصنيف المعلومات والذي على أساسه يتم حمايتها. وقد لوحظ في بعض المنظمات توفر سياسات تصنيف أمن المعلومات والتي لم يتم بناؤها على أساس فهم طبيعة عمل المنظمة واحتياجاتها. كما نشير الى أن وجود السياسة بدون تطبيق لها لا يوفر الحماية المرجوة.
6- عدم توفر سياسات أمن المعلومات أو عدم اعتمادها أو عدم توفر الإجراءات الداعمة لها. وتعد سياسات أمن المعلومات أحد أهم ركائز أمن المعلومات والتي تساعد في التحكم في المخاطر وتقليلها.
7- غياب المتابعة المستمرة للبنية التحتية ومراقبتها من النواحي الأمنية. وحتى لو توفرت المراقبة فلا يتم التعامل مع الأحداث الأمنية بطريقة مناسبة توفر احتواء الأحداث الأمنية بالوقت المناسب والعمل على معرفة أسباب حدوثها والعمل على عدم حدوثها مرة أخرى وبناء قاعدة معرفية تتوفر بها الأحداث الأمنية السابقة ومراجعتها من قبل مخططي امن المعلومات والتوصل الى حلول جذرية تحد من تكرر المشكلة.
8- عدم توفر الكفاءات الكافية سواء من جانب مقدمي خدمات أمن المعلومات المحلية أو من جانب المنظمات.
9- غياب الوعي بأمن المعلومات على جميع مستويات المنظمة.
10- اعتقاد أن أمن المعلومات يعتمد على بعض التقنيات كجدار الحماية أو مضاد الفيروسات وعدم التفكير في تبني استراتيجية الدفاع-في-العمق بمعنى أن يتم تطبيق أمن المعلومات على جميع مستوياتها من استقبال أو استحداث المعلومة وتحليلها ونقلها وتخزينها والتخلص منها عند الحاجة. ويشتمل ذلك أيضا على بناء خطط احتواء الكوارث وضمان استمرارية الأعمال وأختبار مدى فعاليتها بصورة مستمرة.
* أستشاري أمن معلومات