التوعية بأمن المعلومات

يُعدّ الوعي بأمن المعلومات جزءًا متطورًا من أمن المعلومات ، ويركز على رفع مستوى الوعي بالمخاطر المحتملة لأنواع المعلومات سريعة التطور ، والتهديدات المتسارعة التي تستهدف السلوك البشري. ومع تطور التهديدات وازدياد قيمة المعلومات، عزز المهاجمون قدراتهم وتوسعت نواياهم، وطوروا أساليب ومنهجيات هجومية أكثر تنوعًا، وتحركوا بدوافع أكثر تنوعًا. ومع تطور ضوابط وإجراءات أمن المعلومات ، تطورت الهجمات أيضًا للتحايل على هذه الضوابط والإجراءات. استهدف المهاجمون السلوك البشري للأفراد واستغلوه بنجاح لاختراق شبكات الشركات وأنظمة البنية التحتية الحيوية. قد يتحايل الأفراد المستهدفون، غير المدركين للمعلومات والتهديدات، دون وعي منهم، على ضوابط وإجراءات الأمان التقليدية، مما يُتيح اختراق المؤسسة. واستجابةً لذلك، يتطور الوعي بأمن المعلومات. وقد هيمن الأمن السيبراني، باعتباره مشكلة أعمال، على أجندة معظم مديري تقنية المعلومات ، مما كشف عن الحاجة إلى تدابير مضادة لمواجهة مشهد التهديدات السيبرانية الحالي. ^{[ 1 ]} الهدف من التوعية بأمن المعلومات هو جعل الجميع يدركون أنهم عرضة للفرص والتحديات في مشهد التهديدات اليوم، وتغيير سلوكيات المخاطر البشرية، وإنشاء أو تعزيز ثقافة تنظيمية آمنة .

يُعدّ الوعي بأمن المعلومات أحد المبادئ الأساسية لأمن المعلومات. ويسعى هذا الوعي إلى فهم وتعزيز سلوكيات الأفراد ومعتقداتهم وتصوراتهم حول المخاطر المتعلقة بالمعلومات وأمنها، بالإضافة إلى فهم وتعزيز ثقافة المؤسسات كإجراء مضاد للتهديدات سريعة التطور. فعلى سبيل المثال، تتضمن إرشادات منظمة التعاون الاقتصادي والتنمية لأمن نظم وشبكات المعلومات ^{[ 2 ]} تسعة مبادئ مقبولة عمومًا: الوعي، والمسؤولية، والاستجابة، والأخلاقيات، والديمقراطية، وتقييم المخاطر، وتصميم وتنفيذ الأمن، وإدارة الأمن، وإعادة التقييم. وفي سياق الإنترنت ، يُشار إلى هذا النوع من الوعي أحيانًا بالوعي بالأمن السيبراني ، وهو محور العديد من المبادرات، بما في ذلك الشهر الوطني للتوعية بالأمن السيبراني الذي أطلقته وزارة الأمن الداخلي الأمريكية ^{[ 3 ] ، وقمة البيت الأبيض التي عقدها الرئيس أوباما عام 2015 حول الأمن السيبراني وحماية المستهلك [ 4 ]} .

Computer based crimes are not something new to us. Viruses have been with us for well over 20 years; spyware has clocked up more than a decade since the earliest incidents; and large-scale use of phishing can be traced back to at least 2003. One of the reasons researchers agreed upon that the pace at information system is evolving and expanding, the security awareness program among the employees is falling way behind. Unfortunately, however, it seems that the rapid adoption of online services has not been matched with a corresponding embrace of security culture.^[5]

Information security awareness is evolving in response to the evolving nature of cyber attacks, increased targeting of personal information and the cost and scale of information security breaches. Furthermore, many individuals think of security in terms of technical controls, not realizing that they as individuals are targets, and that their behavior can increase risks or provide countermeasures to risks and threats.

Determining and measuring information security awareness has highlighted the need for accurate metrics. In response to this need, information security awareness metrics are rapidly evolving in order to understand and measure the human threat landscape, measure and change human understanding and behavior, measure and reduce organizational risk and measure effectiveness and cost of information security awareness as a countermeasure.^[6]

Most of the organizations do not want to invest money on information security. A survey conducted by PricewaterhouseCoopers (2014) found that current employees (31%) and former employees (27%) still contribute to information security incidents. The survey results indicated that the number of actual incidents attributable to employees had risen by 25% since the 2013 survey.^[7] A more recent study, the Verizon Data Breach Investigations Report 2020, discovered similar patterns with 30% of cyber security incidents involving internal actors within a company.^[8]

A security awareness program is the best solution that an organization can adopt to reduce the security threats caused by internal employees. A security awareness program helps employees to understand that the information security is not an individual's responsibility; it is the responsibility of everyone. The program also explicitly mentions that the employees are responsible for all activities performed under their identifications. Furthermore, the program enforces the standard ways of handling business computers.

على الرغم من عدم وجود منهجية موحدة لدى المؤسسات لتقديم برامج التوعية الأمنية، إلا أن البرنامج الجيد ينبغي أن يشمل التوعية بالبيانات، والشبكات، وسلوك المستخدمين، ووسائل التواصل الاجتماعي، واستخدام الأجهزة المحمولة وشبكات الواي فاي، ورسائل البريد الإلكتروني الاحتيالية، والهندسة الاجتماعية، وأنواع الفيروسات والبرامج الضارة المختلفة. كما ينبغي لبرنامج التوعية الأمنية الفعال للموظفين أن يوضح أن كل فرد في المؤسسة مسؤول عن أمن تكنولوجيا المعلومات. ويتعين على المدققين إيلاء اهتمام دقيق للمجالات الستة التي يغطيها البرنامج: البيانات، والشبكات، وسلوك المستخدمين، ووسائل التواصل الاجتماعي، والأجهزة المحمولة، والهندسة الاجتماعية. ^{[ 9 ]}

تُعقّد العديد من المؤسسات سياسات الخصوصية لديها لدرجة يصعب معها على الموظفين فهمها. لذا، ينبغي تذكير الموظفين بسياسة الخصوصية عند تسجيل دخولهم إلى أجهزة الكمبيوتر الخاصة بالعمل. يجب أن تكون سياسات الخصوصية أكثر وضوحًا وإيجازًا وتوحيدًا لتمكين فهم أفضل ومقارنة ممارسات الخصوصية. ^{[ 10 ]} يمكن للمؤسسات تنظيم جلسات تفاعلية أسبوعية لجميع الموظفين لمناقشة الأمن والمخاطر. قد تتضمن هذه الجلسات التوعية بالمخاطر الجديدة، وأفضل الممارسات، وجلسات أسئلة وأجوبة.

قد لا يكون برنامج التوعية الأمنية مفيدًا إذا لم تُعاقب المؤسسة المخالفين. يجب إبلاغ الإدارة العليا بالموظفين الذين ثبتت إدانتهم بانتهاك البرنامج لاتخاذ الإجراءات اللازمة، وإلا فلن يكون البرنامج فعالًا. يمكن لمسؤولي أمن المعلومات إجراء تحليل للفجوات لتحديد أي قصور في البرنامج.

في أوائل عام 2015، صنّف مديرو تقنية المعلومات قضايا التوعية بأمن المعلومات ضمن أهم أولوياتهم الاستراتيجية. فعلى سبيل المثال، خلال فعالية نظمتها صحيفة وول ستريت جورنال لشبكة مديري تقنية المعلومات في فبراير 2015، والتي عُقدت لوضع مجموعة من التوصيات ذات الأولوية لتوجيه الأعمال والسياسات في العام المقبل، بدا أن هناك إجماعاً حول الأمن السيبراني وإحداث التغيير من خلال التواصل الفعال مع باقي أقسام الشركة. ^{[ 11 ]}

بينما يحتل الوعي بأمن المعلومات والاختراقات الأمنية البارزة مكانةً بارزةً في أولويات معظم المؤسسات، كشفت دراسة حديثة أجراها لانس سبريتزنر على 220 مسؤولًا عن التوعية الأمنية عن ثلاث نتائج رئيسية مترابطة. أولًا، يُعد الدعم التنفيذي والمالي ضروريًا لنجاح أي برنامج للتوعية الأمنية. ثانيًا، نظرًا للطبيعة التقنية لضوابط الأمن التقليدية وإجراءات مكافحتها، فإن المهارات الشخصية اللازمة لفهم السلوك البشري وتغييره غير متوفرة. وأخيرًا، من حيث نموذج النضج، لا تزال التوعية الأمنية في مراحلها الأولى. ^{[ 12 ]}

يُعدّ قياس سلوكيات المخاطرة البشرية بدقة أمرًا صعبًا، نظرًا لأنّ هذه السلوكيات والمعتقدات والتصورات غالبًا ما تكون مجهولة. إضافةً إلى ذلك، فإنّ الهجمات الإلكترونية ، كالتصيّد الاحتيالي والهندسة الاجتماعية ، والحوادث المتعلقة بتسريب البيانات ونشر البيانات الحساسة على مواقع التواصل الاجتماعي، وحتى الاختراقات الأمنية، التي تمرّ دون اكتشاف أو رصد، تُصعّب تحديد نقاط الضعف وقياسها. في كثير من الأحيان، لا يتمّ الإبلاغ عن الهجمات والحوادث والاختراقات إلا بعد أن يُخفي المهاجمون آثارهم، ما يجعل من المستحيل دراستها وقياسها استباقيًا. علاوةً على ذلك، غالبًا ما تمرّ حركة البيانات الضارة دون أن يلاحظها أحد، لأنّ المهاجمين عادةً ما يتجسسون ويقلّدون السلوكيات المعروفة لتجنّب أيّ تنبيهات من أنظمة كشف التسلل أو مراقبة الوصول.

طوّرت دراسة أجريت عام 2016 طريقة لقياس الوعي الأمني. ^{[ 13 ]} وقد قاس الباحثون تحديدًا "فهم كيفية التحايل على البروتوكولات الأمنية، وتعطيل وظائف الأنظمة، أو جمع معلومات قيّمة، دون الوقوع في الفخ" (ص  38). ابتكر الباحثون طريقةً للتمييز بين الخبراء والمبتدئين من خلال تصنيف سيناريوهات أمنية مختلفة في مجموعات. يُصنّف الخبراء هذه السيناريوهات بناءً على محاور أمنية مركزية، بينما يُصنّفها المبتدئون بناءً على محاور سطحية.

عندما تُجرى حملات التصيد الاحتيالي المحاكاة بانتظام، فإنها يمكن أن توفر مقاييس لمدى امتثال المستخدم. ^{[ 14 ]}

• الوعي بالوضع
• معرفة استخدام الحاسوب
• محو الأمية الرقمية

• دورة الوعي الأمني