بينت دراسة عالمية كشفت "إتش بي" عن نتائجها امس أن المصدر الأول للتهديدات الأمنية المتزايدة التي تتعرض لها البيانات الحساسة والسرية في موقع العمل هو الثغرات في آلية ضبط ومراقبة نشاط المستخدمين الحاصلين على تصاريح خاصة وواسعة، بما يتضمن مديري قواعد البيانات ومهندسي الشبكات وأخصائيي أمن تقنية المعلومات. وقد كشفت نتائج هذه الدراسة، المعنونة "غياب الضوابط الأمنية في تصاريح الاستخدام الخاصة الممنوحة لبعض المستخدمين"، والتي تم إجراؤها من قبل معهد "بونيمون"، عن الحقائق ابرزها:
- رجح المشاركون في الاستبيان (بنسبة 52%) حصولهم على تصاريح تخولهم الاطلاع على معلومات محظورة وسرية لا حاجة لهم بالاطلاع عليها وتتجاوز متطلبات المناصب التي يشغلونها.
- رجح المشاركون في الاستبيان (بنسبة تتجاوز 60%) بأن المستخدمين الحاصلين على التصاريح الخاصة يقومون بالاطلاع على البيانات السرية من باب الفضول لا بموجب متطلبات العمل.
- تعتبر معلومات العملاء وبيانات الأعمال العامة الأكثر عرضة للمخاطر الأمنية.
، أما التطبيقات الأكثر عرضة فغالباً ما تتضمن التطبيقات المتنقلة وتطبيقات الإعلام الاجتماعي والتطبيقات الخاصة بوحدات الأعمال.
وقال العدد الأكبر من المشاركين في الاستبيان الذي تم إجراؤه في إطار هذه الدراسة انهم يمتلكون سياسات واضحة ومحددة لضبط نشاطات الأفراد الحاصلين على تصاريح الاستخدام الخاصة التي تضمن لهم حقوق الدخول إلى مجموعة معينة من أنظمة تقنية المعلومات، إلا أن عدم الثقة بمدى إمكانية مراقبة بعض التصاريح المحددة كان الموقف الواضح لدى 40% من المشاركين، حيث لم يكونوا متأكدين من مدى التزام أصحاب التصاريح الخاصة بالسياسات المعتمدة في هذا المجال.
وتلجأ المؤسسات إلى طرق مختلفة للحفاظ على سيطرتها على هذا النوع من المسائل الأمنية. وقد أكدت نسبة 27% من المشاركين بالاستبيان بأن مؤسساتهم تستخدم الضوابط التقنية للهوية وتصاريح الدخول المرتبطة بها لمراقبة حالات تشارك تصاريح إدارة النظم الحاسوبية أو تصاريح الاستخدام الفائقة من قبل المستخدمين الذين تم منحهم إياها، في حين أكدت نسبة 24% من المشاركين بأنهم يجمعون بين التقنية وآليات العمل. وقد أقرت نسبة 15% من المشاركين بضعف الضوابط المفروضة على تصاريح الاستخدام الخاصة، فيما أكدت نسبة 11% بأنهم غير قادرين على الكشف عن حالات تشارك الحقوق المترتبة على تصاريح الاستخدام الخاصة. وشمل الاستبيان الخاص بالدراسة أكثر من 5 آلاف مدير من مديري عمليات وأمن تقنية المعلومات في أستراليا والبرازيل وفرنسا وألمانيا وهونغ كونغ والهند وإيطاليا واليابان وكوريا وسنغافورة وإسبانيا والولايات المتحدة والمملكة المتحدة.