يُقيّم تقييم شامل لمخاطر الأمان عبر الإنترنت عدة طبقات من الوضع الأمني للمؤسسة، من البنية التحتية التقنية إلى العوامل البشرية. يتيح ذلك للمؤسسات تحديد المخاطر بشكل منهجي، ووضع استراتيجيات موجهة للتخفيف منها.
العناصر الأساسية لتقييم مخاطر الأمان عبر الإنترنت
يتضمن تقييم المخاطر المنظم بشكل جيد عدة خطوات أساسية:
1. تعريف النطاق
يبدأ تقييم مخاطر الأمان عبر الإنترنت بتحديد النطاق. وهذا يعني تحديد الجزء الذي سيتم تقييمه بدقة داخل المؤسسة، سواء كان وحدة أعمال معينة أو تطبيقًا أو بيئة تقنية المعلومات الخاصة بالمؤسسة بأكملها. يمنع تحديد نطاق واضح وجود نقاط عمياء، ويساعد على الحفاظ على التركيز. يجب أن يتضمن:
- البنية التحتية المادية مثل الخوادم وأجهزة الحاسوب المكتبية والأجهزة المحمولة ونقاط نهاية إنترنت الأشياء.
- أنظمة البرمجيات مثل الأدوات الداخلية ومنصات السحابة وتطبيقات الجهات الخارجية وقواعد البيانات.
- طبقة الشبكة، بما في ذلك التقسيم والوصول عن بُعد والخدمات الموجّهة خارجيًا.
- الأشخاص، بما في ذلك أدوار المستخدمين ومستويات الوصول والأنشطة الرقمية للموظفين والمقاولين والموردين.
2. تحديد الأصول
بمجرد تحديد النطاق، تكون الخطوة التالية هي تحديد الأصول. يتضمن ذلك حصر كل ما له قيمة ضمن النطاق المحدد والذي يدعم عمليات الأعمال. تتضمن الأصول:
- الأجهزة المادية مثل أجهزة الحواسيب المحمولة والخوادم وأجهزة التوجيه وأجهزة التخزين.
- أنظمة البرمجيات مثل أنظمة التشغيل وتطبيقات الأعمال وأدوات الأمان والبرمجيات المخصصة.
- البنية التحتية للشبكة، بما في ذلك نقاط الوصول اللاسلكية وشبكات VPN وجدران الحماية وأنظمة DNS.
- الأشخاص، مثل الموظفين والمسؤولين ومستخدمي الجهات الخارجية، بالإضافة إلى هوياتهم وبيانات اعتماد الوصول المرتبطة بهم.
يجب تصنيف كل أصل استنادًا إلى مدى أهمية كل أصل للأعمال.
3. تحديد التهديدات
التهديد هو أي حدث أو جهة فاعلة أو حالة محتملة يمكن أن تسبب ضررًا من خلال استغلال ثغرة أمنية في نظام أو شبكة أو تطبيق أو عملية. إنه "جزء ما الذي يمكن أن يحدث بشكل خاطئ" في سيناريو المخاطر.
يمكن أن تكون التهديدات:
- متعمَّد، مثل قيام مجرم إلكتروني بشن هجوم تصيّد احتيالي أو إساءة أحد المشاركين لاستخدام صلاحيات الوصول الخاصة به.
- غير مقصود، مثل جدار حماية مُهيأ بشكل خاطئ أو قيام موظف بإرسال بيانات حساسة إلى الشخص الخطأ.
- بيئية، بما في ذلك الحرائق أو الفيضانات أو انقطاعات التيار الكهربائي التي تعطل العمليات أو تتسبب في تلف المعدات.
يمكن أن تستهدف الأجهزة (مثل سرقة جهاز حاسوب محمول)، أو البرمجيات (استغلال خلل في أحد التطبيقات)، أو الشبكات (اعتراض حركة المرور غير المشفّرة)، أو الأشخاص (خداع المستخدمين لمشاركة كلمات المرور).
4. معالجة الثغرات الأمنية
الثغرة الأمنية هي نقطة ضعف في نظام أو تطبيق أو عملية أو سلوك بشري يمكن أن يستغلها التهديد للتسبب في ضرر أو نتائج غير مُصرّح بها. إنها الطريقة التي "قد تؤدي بها الأمور إلى خطأ" في سيناريو المخاطرة.
يمكن أن تظهر الثغرات الأمنية بعدة طرق:
- أجهزة. أجهزة الحواسيب المحمولة غير المُشفّرة، أو البرامج الثابتة القديمة، أو المنافذ غير المُؤمّنة.
- برامج. التطبيقات غير المُحدَّثة، أو بيانات الاعتماد الافتراضية، أو الشيفرة غير الآمنة.
- شبكات. افتح المنافذ أو التشفير الضعيف أو التقسيم الضعيف.
- عوامل بشرية. كلمات المرور المُعاد استخدامها أو نقص التدريب أو صلاحيات الوصول المفرطة.
لا تؤدي الثغرة الأمنية تلقائيًا إلى وقوع حادث، ولكن عند اقترانها بتهديد ذي صلة، فإنها تفتح الباب أمام المخاطر. على سبيل المثال، يكون خادم ويب يعمل ببرمجيات قديمة عرضةً للثغرات الأمنية. إذا فحص أحد الجهات الممثلة للمخاطر هذه الثغرات الأمنية واستغرقتها، فقد تواجه المؤسسة
خرقًا للبيانات.
5. تقييم عناصر التحكم الموجودة
بمجرد تحديد التهديدات والثغرات، يحين الوقت لتقييم الضوابط الموجودة حاليًا للحد منها. تقع عناصر التحكم في ثلاثة أنواع واسعة:
- الوقائية. مثل جدر الحماية وبرنامج الحماية من الفيروسات والمصادقة متعددة العوامل.
- التفتيشية. بما في ذلك أنظمة كشف التسلل، وأدوات إدارة معلومات الأمان والأحداث (SIEM).
- التصحيحية. تشمل الأمثلة النسخ الاحتياطية وخطط التعافي من الكوارث.
من المهم تقييم التغطية عبر:
- أجهزة. هل توجد تدابير أمن مادي مثل الدخول عبر البطاقات التعريفية أو تشفير الأجهزة أو إجراءات التخلص الآمن؟
- برامج. هل توجد إدارة للتصحيحات وممارسات تطوير آمنة مطبّقة؟
- شبكات. هل تقوم بتقسيم حركة المرور وتسجيل السجلات بشكل مناسب واستخدام بروتوكول TLS للاتصالات المُشفّرة؟
- أشخاص. هل تم تدريب الموظفين على التوعية بهجمات التصيّد الاحتيالي؟ هل تتبع سياسات الوصول مبدأ أقلّ الامتيازات؟
يوفّر هذا التقييم رؤى حول مدى فعالية الدفاعات الحالية وأين توجد الثغرات.
6. تحديد الاحتمالية والتأثير
لكل سيناريو مخاطرة محدد، قم بالتقدير:
- احتمال. ما مدى احتمالية التهديد، نظرًا لعناصر التحكم الحالية؟
- تأثير. ماذا سيحدث إذا نجح الهجوم—هل سيكون هناك خسائر مالية أو تسريب للبيانات أو وقت التعطل؟
ضع في الاعتبار تعطل الأعمال والغرامات التنظيمية والأضرار التي تلحق بالسمعة وتكاليف التشغيل. على سبيل المثال، قد تؤدي أعطال الأجهزة أو الشبكة إلى انقطاعات واسعة النطاق، بينما قد يؤدي هجوم التصيّد الاحتيالي إلى فقدان البيانات نتيجة اختراق بيانات الاعتماد.
7. حساب المخاطر
الآن اجمع بين الاحتمالية والتأثير لتحديد تصنيف المخاطر لكل سيناريو.
على سبيل المثال:
| سيناريو المخاطرة | احتمال | التأثير | مستوى الخطورة |
| برامج الفدية الضارة على الخوادم القديمة | عالي | عالي | هام |
| تم تكوين قاعدة جدار الحماية بشكل غير صحيح | متوسط | متوسط | متوسط |
| البريد الإلكتروني للتصيد الاحتيالي يتجاوز عوامل التصفية | عالي | منخفض | متوسط |
يساعد ذلك في تحديد أولويات المشاكل التي تتطلب اهتمامًا عاجلًا وتلك التي تُعد مقبولة أو قابلة للتفاوت.
8. التوصية بتخفيف المخاطر
لكل مخاطرة عالية أو حرجة، اقترح إجراءات للحد منها. قد تتضمن التوصيات ما يلي:
- أجهزة. فرض استخدام التخزين المُشفّر وإعدادات التشغيل الآمن وتأمين المنافذ غير المستخدمة.
- برامج. تنفيذ التحديثات بشكل منتظم واستخدام أدوات فحص الشيفرة في تدفقات التطوير.
- شبكات. تطبيق تقسيم الشبكة وتوزيع أنظمة منع التسلل.
- أشخاص. توسيع تدريب التوعية الأمنية، وتعزيز ضوابط الوصول والتحقق من الهوية.
يجب أن توازن التوصيات بين تقليل المخاطر والتكلفة والتعقيد وتأثيرها على سهولة الاستخدام.
9. التوثيق والإبلاغ
يجب توثيق تقييم المخاطر الشامل بوضوح ومشاركته مع أصحاب المصلحة على مستويات متعددة. يتضمن التقرير عادةً ملخصًا عالي المستوى للمديرين التنفيذيين، ونتائج تقنية مفصلة لفرق تكنولوجيا المعلومات والأمن، وإجراءات ذات أولوية. غالبًا ما تساعد العناصر المرئية مثل الخرائط الحرارية، ومخططات البنية المعمارية، والجداول في توصيل المخاطر المعقدة بشكل أكثر فعالية. يجب أن تتضمن الوثائق جردًا بالأصول والتهديدات المحددة والثغرات الأمنية والضوابط الحالية وتصنيفات المخاطر والتوصيات للتخفيف منها. يجب أن يحدد التقرير أيضًا المسؤول عن كل إجراء، ومتى يُخطط لإجراء تقييمات متابعة. تساعد الشفافية والوضوح على كسب الدعم ومواءمة الفرق.
10. المراجعة والتكرار
تقييمات المخاطر ليست عملية تُنفَّذ مرة واحدة وتنتهي، بل هي جزء من دورة مستمرة. تتطور التكنولوجيا وتتغير عمليات الأعمال وتظهر تهديدات جديدة باستمرار. فيما يلي بعض التلميحات لمساعدتك على المحافظة على مرونتك واستعدادك.
- جدولة تقييمات منتظمة (ربع سنويًا أو سنويًا أو بعد التغييرات الرئيسية).
- قم بالأتمتة حيثما كان ذلك ممكنًا عمليًا (مثل الفحص المستمر لقابلية التعرّض للخطر ومراقبة نقاط النهاية).
- قم بتعديل الضوابط لديك مع ظهور مخاطر جديدة، خصوصًا في ما يتعلق بالعمل عن بُعد أو اعتماد سلاسل التوريد أو أدوات الذكاء الاصطناعي التوليدي.
الأمان
متابعة الأمان من Microsoft