هل نحن مقدمون على كارثة في أمن المعلومات؟

من يتذكر مشكلة عام 2000م والهلع الذي أصاب المنظمات والأفراد من إمكانية فقدان البيانات أو تغيرها أو عدم الوصول إليها بناء على مشكلة فنية من داخل الأنظمة جراء طريقة البرمجة القديمة التي اعتمدت على معطيات محددة، لقد كانت تلك الطريقة مقبولة في أزمنة ولم يتم الرجوع إليها إلا بعد قرب حدوث الكارثة.
لا أريد أن أتحدث عن تلك المشكلة وسرد الدروس المستفادة من التعامل مع تلك المشكلة ولكن إثارة بعض النقاط ذات الصلة بموضوع هذا المقال وهي هل نحن مقدمون على كارثة مشابهة في أمن المعلومات؟ ولكن الآن ليس في تاريخ محدد ولكن في أي وقت!
يرى البعض أن مشكلة عام 2000م تم التعامل معها بمبالغة واستنزفت الوقت والمال لتصحيح الخلل إن وجد، حتى أن بعضهم خاف على نفسه من الموت نتيجة تلك المشكلة! إن ما أدى إلى المبالغة هو التكاسل أو تجاهل التخطيط ومعالجة المشكلة بوقت كافٍ بل تم التعامل معها في آخر الأوقات مما دعا إلى ارتفاع تكاليف المراجعة والتعديل، وهنا نقول: إن التعامل الحالي مع تطبيق أمن المعلومات في المنظمات يتم بنفس الطريقة تقريباً في بعض المنظمات فليس هناك تخطيط جيد ومن ثم تطبيق متكامل يتبعه متابعة مستمرة، بل يتم التراخي فيه حتى حدوث(أو قرب حدوث) المشكلة ومن ثم يتم حشد الجهود والميزانيات لمعالجة تلك المشكلة فقط وما تلبث تلك الجهود والميزانيات في النفاذ بشكل سريع لأن ما يأتي بسرعة يذهب بسرعة.
ولكن المصيبة ليس في هذا التعامل فقط بل تتعدى ذلك في بعض الأوقات إلى صعوبة اكتشاف أن هناك مشكلة قد حدثت أصلاً في أمن المعلومات!
تم التعامل مع مشكلة عام 2000م، بتكاتف الجهود من الإدارة العليا حتى الفنيين في إدارة تقنية المعلومات، وقد كان هناك موعد محدد للانتهاء من إجراءات التصحيح والمراجعة وهو عام 2000م، وقد كانت أصل المشكلة داخلية في النظام، أي أن الخطر كان من داخل المنظمة، أما في موضوعنا وهو أمن المعلومات فهو أن ليس هناك مشكلة محددة وليس لها موعد محدد لإمكانية الحدوث (إن تم اكتشافها أصلا). بل بالإضافة الى ذلك فإن مصدر الخطر ليس محدداً أو داخلياً حتى يتم توجيه الجهود والميزانيات لحلها بل إن الخطر متعدد ومن أطراف مختلفة، منها ما هو سببه الأنظمة الحاسوبية ومنها ما هو سببه الإفراد سواء المهاجمين من داخل المنظمة أو من خارجها.
تطبيق مفهوم أمن المعلومات لا يتطلب حدوث مشكلة بعينها بل يجب التخطيط والإعداد ومن ثم التطبيق ثم المراجعة المستمرة وفق منهجية متكاملة تحصر المخاطر وتحدد أدوات الحماية.
تمر المنظمات السعودية سواء الخاصة أو الحكومية بنقلة محمودة في تطبيق تقنية المعلومات وتقديم الخدمات الالكترونية وما نتمناه أن لا يتم التعامل مع أمن المعلومات كخطوة من الخطوات الأخيرة في أي مشروع (هذا إن حدث) بل يتم الاهتمام به من الخطوات الأولى من التخطيط وذلك تلافياً للمخاطر وتقليل الميزانيات.
والله يحفظنا ويحفظكم.
* مدير مركز التميز
لأمن المعلومات