أمن المعلومات
تعد المعلومات ثروة العصر الحالي ويسعى العديد من الأفراد والشركات إلى الحفاظ على معلوماتهم من أي هجوم أو أي تعديل على أصل هذه المعلومات للحفاظ على المصداقية.
فعلى سبيل المثال، تعد البنوك من أهم المؤسسات التي تسعى للوصول الى دقة عالية في مصداقية المعلومات المخزنة لديهم وذلك لحساسية المعلومات في قواعد البيانات للبنك لذلك تسعى لتطبيق سياسات حماية عالية حتى تمنع أي شخص أو أي جهة منافسة من التعديل على معلوماتها أو حذفها أو حتى من معرفة هذه المعلومات (التنصت عليها).
إذن ما هو مفهوم أمن وحماية المعلومات؟
أمن المعلومات هي سياسة تسعى الشركات والأفراد لتحقيقها حتى تمنع الجهات الغير مصرح بها من الاطلاع على المعلومات أو التعديل عليها أو استخدامها أو حتى التنصت عليها، فهي السياسة التي تحمي الأنظمة من اختراقها واكتشاف نقاط ضعفها والوصول الى المعلومات السرية والحساسة، على سبيل المثال يمكن اتخاذ سياسة منع استخدام USB حتى لا يتم نقل أي معلومات من جهاز لآخر.
يعتمد مفهوم أمن المعلومات على ثلاث مبادئ مهمة وهي:
- السرية: هو مبدأ مهم من مبادئ الحفاظ على أمان المعلومات ويُعنى به عدم إمكانية الأفراد غير المُصرح لهم من معرفة المعلومة أو استخدامها، فعلى سبيل المثال لكل فرد يمتلك كلمة مرور خاصة بحساب السوشيال ميديا الخاصة به، إذا تم معرفة كلمة المرور هذه من فرد آخر هكذا يمكننا أن نقول بأن سرية البيانات غير محققة.
- التوافرية: هو أيضًا مبدأ مهم جدًا في سياسة أمن المعلومات بحيث يجب توفر المعلومات لرؤيتها واستخدامها عند احتياجها من الشخص المصرح به، على سبيل المثال عند احتياج طلاب الجامعات للتعديل على جدول مساقاتهم الدراسية، يجب أن تكون صفحة الطالب متاحة عند حاجة طلاب الجامعة إليها في أي فترة معينة من غير توقف الخدمة.
- التكاملية: يعنى بها إمكانية الأفراد المصرح لهم للحصول على المعلومات التي يتم الاستعلام عنها كما هي من غير أي تزوير أو تغيير والاستعلام عن المعلومات من أماكن تخزينها في قواعد البيانات.
قد يهمك: ما هي أجيال الحاسوب الآلي وكيف تطورت أجهزة الحاسوب بمرور الوقت؟
سياسة أمن المعلومات:
هي عبارة عن مبادئ يتم تطبيقها على المنظمات أو الشركات أو المؤسسات، وهي ليست برنامج أو معدات وإنما هي وثيقة مكتوبة تحتوي على مجموعة من المبادئ التي يتم تطبيقها وصياغتها عن طريق الطاقم المختص بأمن المعلومات في المنظمة، يتم صياغة وثيقة سياسة أمن المعلومات حسب احتياجات المنظمة وحسب حاجة البيانات المراد حمايتها والطرق المناسبة لحمايتها.
تشمل وثيقة سياسة أمن المعلومات على الآتي:
- جملة تشرح الغرض من هذه السياسة وجميع أهداف المؤسسة.
- تعريف لكل مصطلح متخصص موجود في الوثيقة حتى يتم التأكد من فهم الوثيقة عند مشاركتها مع موظفين المؤسسة.
- سياسة كلمات المرور.
- سياسة التحكم في عمليات الوصول والمعني بها تحديد الأشخاص المخصصين لرؤية المعلومات والوصول إليها.
- مسؤوليات وأدوار الموظفين في حماية سلامة المعلومات والحفاظ عليها.
تدابير أمن المعلومات:
يوجد العديد من تدابير أمن المعلومات وهي:
- تدابير تقنية: تشمل جميع المعدات مثل جدار الحماية والبرامج مثل برامج التشفير لحماية المعلومات.
- تدابير تنظيمية: تشمل انشاء وحدة متخصصة لأمن المعلومات في المنظمة.
- تدابير بشرية: تشمل تدريب الموظفين على تطبيق سياسات الأمن في المنظمة.
- تدابير فيزيائية: تشمل توفير حمايات فيزيائية موفرة في مخازن البيانات.
أنواع أمن المعلومات:
يتم تطبيق أمن المعلومات على عدة مجالات مثل:
- أمن التطبيقات: يجب توفير حماية لتطبيقات الأندرويد وآي أو أس والويب وواجهة برمجة التطبيقات (API), وذلك حتى يتم توفير مستوى صلاحيات المستخدم، للتخفيف من أثر نقاط ضعف التطبيقات.
- التشفير: من التقنيات المستخدمة في تشفير البيانات أثناء انتقالها من مصدر لآخر وأثناء وجودها في أماكن تخزينها في قواعد البيانات حتى تتوفر سرية وتكاملية البيانات، من الأمثلة على خوارزميات التشفير هي DES.
- إدارة المخاطر: يعنى بها فحص النظام وإيجاد نقاط الضعف الموجودة فيه، على سبيل المثال فحص إذا لم يكن النظام محدث لآخر تحديث.
- الاستجابة للحوادث: هي عملية مراقبة إمكانية وجود تصرفات خبيثة غير مرغوب بها في الأنظمة، يتم كتابة وثيقة لكل خطر من الممكن إصابة النظام به وما هي الخطوات المفروض على طاقم أمن المعلومات اتخاذها عند وقوع هذا الخطر في نظام معين.
- أمن السحابة: هو التركيز على استضافة وبناء تطبيقات آمنة على السحابة، السحابة هي مشاركة تطبيق مستخدم موجود على الإنترنت على بيئة السحابة.
المخاطر المهددة لأمن الأنظمة والاستجابة لتهديدات المخاطر:
تأتي المخاطر التي تهدد المعلومات السرية والحساسة على عدة أنماط منها:
- البرمجيات الخبيثة (Malware)
- التصيد (Phishing)
- سرقة الهوية (Identity Theft)
- برامج الفدية (Ransomware)
للتخفيف من أثر التهديدات، يتم اتباع خطة للتحكم في أمن وحماية الأنظمة بالاعتماد على منهجية الدفاع في العمق (defense in depth)، وحتى يتم التقليل من أثر الهجومات المعرضة للأنظمة، يتم كتابة وثيقة مسبقة يتم من خلالها معرفة كل تهديد أمني وهجوم وكل رد فعل يجب تطبيقه للتخفيف من أثر هذا الهجوم.
خطة الاستجابة للمخاطر:
تختلف خطط الاستجابة للمخاطر عن بعضها البعض لكن تشمل عدة مراحل يجب اتباعها:
- التحضير(Preparation) : تشمل الإعداد الجيد لفريق الاستجابة للمخاطر ويجب أن يكون هذا الفريق ملم بمهارات اختبار الاختراق وأمن الشبكات ويجب أن يتتبع هذا الفريق الاستراتيجيات الحديثة في دفع المخاطر عن الأنظمة.
- التحديد (Identification): يتم من خلال هذه المرحلة تحديد إذا تم تهديد النظام بخطر أمني، فإذا تم التأكد من وجود هذا الخطر يتم بداية التحقيق في موضوع الهجمة التي تعرض لها النظام.
- الاحتواء (Containment): يتم في هذه المرحلة عزل المناطق التي تعرضت للهجوم حتى لا يتم انتشارها في جميع أنظمة الشركة المعرضة للخطر الأمني ومن المهم الاحتفاظ بمعلومات حتى يتم فهمها، ومن الأمثلة على الاحتواء والعزل، تقسيم الشبكة حتى لا يتم وصول الهجوم الخبيث لباقي الأنظمة غير المصابة أمنيًا.
- الاستئصال (Eradication): هذه المرحلة يتم من خلالها إزالة المخاطر الأمنية والتهديدات التي تم تحدديها في الخطوات السابقة في الأنظمة المصابة، على سبيل المثال يتم حذف الملفات المتضررة، ولكن يجب قبل البدء بعمليات الإزالة للملفات المتضررة والمصابة، يجب التنويه بأنه ليس كل الأحداث الأمنية تتطلب هذه المرحلة.
- الاستعادة (Recovery): في هذه المرحلة يتم استعادة النظام لمرحلة ما قبل الإصابة بالحوادث الأمنية، حيث يتم في هذه المرحلة تحديث قواعد البيانات الخاصة بجدار الحماية وذلك لمنع أي حوادث أمنية مستقبلية، حيث بدون تنفيذ هذه المرحلة سيكون النظام عرضة لاختراقات كثيرة.
- الدروس المستفادة (Lessons Learned): في هذه المرحلة يتم من خلالها تسجيل المعلومات التي تم أخذها من عمليات التخلص من المخاطر الأمنية التي تعرضت لها الأنظمة فذلك يساعد على اتخاذ قرارات مستقبلية بشأن الحماية الخاصة بالأنظمة.
قد يهمك: إدخال البيانات ومعالجة النصوص
شهادات يمكن أخذها في مجال أمن المعلومات:
إذا كنت في هذا المجال وتريد الاستزادة، في الآتي يوجد بعض شهادات أمن المعلومات:
- شهادة في أمن الأنظمة (SSCP).
- محترف أمن المعلومات (CCP).
- أخصائي معتمد في أمن نظم المعلومات (CISSP).
- شهادة معتمدة في الهاكر الأخلاقي (CIH).
اقرأ أيضًا: تخصص تحليل البيانات
جدير بالذكر أن عملية الوصول إلى أنظمة محمية تكون بشكل نسبي، وذلك لأن التكنولوجيا متطورة ومع تطور الأنظمة والتكنولوجيا، سيتم استحداث نقاط ضعف موجودة بالأنظمة ومخاطر أمنية جديدة، لذلك فإن تطبيق سياسة أمن المعلومات يكون للوصول إلى أقصى حد ممكن من الحماية للمعلومات والأنظمة وهذا لا يعني عدم تعرض الأنظمة إلى المخاطر، ويجب الأخذ بعين الاعتبار الاحتفاظ بنسخ احتياطية للمعلومات والأنظمة غير موصولة بالإنترنت للحفاظ عليها من المخاطر والتهديدات.
