دراسة علمية حول أمن المعلومات في المنظمات السعودية

بينت أن 78% من المصارف أجرت اختبارات اختراق متعددة

حاز قطاع الدفاع على الأعلى في امتلاك سياسة أمن معلومات حيث بلغت ما نسبته 70% ، بينما جاء القطاع الحكومي الأقل امتلاكاً حيث لم تتجاوز نسبة امتلاك منشآته 42% فقط، فيما كان قطاع البنوك والمصارف هو الأكمل في تنفيذ وتطبيق هذه السياسة بنسبة 100%، ونفس النسبة أيضاً لهذا القطاع في مجال مراجعة التطبيق، يشاركها بالنسبة ذاتها القطاع التجاري ، فيما كان الأقل مراجعة قطاع الدفاع.
أغلب المستفيدين من الدورات والتدريب لا علاقة لهم بالتقنية أصلاً
22% من المنشآت تعرضت لهجمات إلكترونية و20% لا تدري
جاء ذلك في دراسة علمية قام بها مركز التميز لأمن المعلومات بجامعة الملك سعود بالرياض حول أمن المعلومات في المنظمات السعودية، تهدف إلى معرفة حالة أمن المعلومات في القطاعات الحكومية والخاصة، وقد غطت هذه الدراسة كافة الجوانب التقنية المتعلقة بأمن المعلومات وإدارة المخاطر وإدارة تأمين المعلومات. وتضمنت الدراسة فحصاً متعمقاً لمستوى أمن المعلومات حالياً في مختلف القطاعات، معتمدة على عينات موضوعية تمثل المجتمع الذي أجريت عليه، حيث جاء 49% من مفردات العينة من القطاع الحكومي (بشكل عام) فيما مثل ما نسبته 19% منها لقطاع الدفاع، بينما جاء 17% من قطاع البنوك والمصارف، و 15% للقطاع التجاري بشكل عام.
والمنشآت التي أجريت عليها الدراسة بلغ 64% منها لديها أكثر من ألف موظف، فيما جاء 17% منها لديها ما بين 500 – 1000 موظف، و15% من 100 – 500 موظف، فيما بلغت نسبة المنشآت التي لديها مائة موظف فأقل 4%.
كما أظهرت الدراسة أيضاً تفوق قطاع البنوك والمصارف في نسبة الاستحواذ على سلسلة شهادات 27000 إذ جاوزت نسبة امتلاكها ال 62% وحوالي ال 10% منها لديها النية الحصول عليها في غضون 12 شهراً، فيما لا ينوي حوالي ال 22% منها الحصول عليها.
ولأن تقييم المخاطر وإدارتها تعد سمة مهمة في أمن المعلومات فنجد أن قطاع البنوك والمصارف يطبقها بنسبة 90% ، فيما يمتلك قائمة موجودات محدثة وبنسبة 100%، وإذا أردنا معرفة الإجمالي على مستوى المنشآت والمنظمات السعودية فإننا نجد من واقع هذه الدراسة أن 50% من المنشآت والمنظمات السعودية لديها عملية تقييم مخاطر، وأقل من 80% منها لديها قوائم جرد موجودات محدثة.
وفيما يتعلق بعمل اختبارات للاختراق للتأكد من متانة الإجراءات الأمنية المتخذة تبين أن 38% من المنشآت والمنظمات تقوم بإجراء اختبارات اختراق أكثر من مرة خلال العام، فيما 33% منها اكتفت بمرة واحدة خلال العام، بينما 29% من المنشآت لم تجر فيها أي اختبارات.
وفي داخل العينة تبين أن 19% من منشآت القطاع الحكومي تجري اختبارات اختراق أكثر من مرة بالعام، و 38% منها أجرت اختبار واحد خلال العام، بينما 43% من لم تجر أي اختبار.
وفي قطاع الدفاع 33% من منشآته أجرت اختبارات لأكثر من مرة خلال العام، و 17% قامت بإجراء اختبار واحد خلال العام، والغالبية العظمى والبالغة 50% من إجمالي منشآت قطاع الدفاع لم تجر أي اختبارات.
النسبة العظمى كانت من نصيب القطاع المصرفي حيث تبين أن 78% من البنوك والمصارف تقوم بإجراء اختبارات متعددة خلال العام، فيما 22% اكتفت بإجراء اختبار واحد فقط خلال العام.
أما في منشآت القطاع الخاص (إجمالاً وبشكل عام) فقد تساوت النسبة فيها ما بين القيام بإجراء اختبارات متعددة أو إجراء اختبار واحد فقط خلال العام الواحد حيث كل منها حصل على 50%.
كما أظهرت الدراسة أيضاً أن برامج مكافحة الفيروسات جاءت في المرتبة الأولى في ترتيب الأولويات لدى المنشآت الخاضعة للدراسة، فيما جاء ثانياً الوقاية من فقد البيانات، والثالث توفير جدار حماية، والأولوية الرابعة جاءت في مجال كشف ومنع الاختراق، وخامساً كان التحكم في الوصول للشبكة.
وأيضاً أبرزت الدراسة خمسة مخاوف تواجه أمن المعلومات داخل المنظمات السعودية هي (على الترتيب) نقص موظفي أمن المعلومات المدربين تدريباً جيداً، ثم غياب سياسة الأمن الكافية داخل المنظمة، بعد ذلك نقص الممارسة العملية الكافية على كيفية حماية البيانات، ورابعاً جاء غياب الممارسات الجيدة في كيفية اختيار كلمة المرور وتطبيق التحديثات واتخاذ احتياطات الحماية، وأخيراً عدم الالتزام بمعايير أمن المعلومات.
وتبين من الدراسة أن التدريب المتخصص في أمن المعلومات في المنظمات السعودية شمل 60% من موظفي تقنية المعلومات، فيما تبين أن حوالي 55% من الموظفين لا علاقة لهم بتقنية المعلومات.
وفي مجال الاختراقات الأمنية (الفعلية) التي تعرضت لها المنشآت السعودية تبين أن أكثر من 56% من المنشآت لم تتعرض لأي حوادث اختراق، وحوالي 22% تعرضت لعمليات لهجمات، فيما 20% من المنشآت ليست متأكدة من تعرضها لأي هجمات أو اختراقات.
هذا وينوي مركز التميز لأمن المعلومات نشر هذه الدراسة على موقعه الإلكتروني : coeia.edu.sa خلال الأيام القليلة القادمة.