أكد روبرت بيجمان - مسؤول أمن المعلومات الأول بوكالة الاستخبارات المركزية الأميركية أن تجربة الإمارات ودبي في التحول إلى مدينة ذكية، تحتاج بالدرجة الأولى إلى حماية من الهجمات الالكترونية المنظمة قائمة على عملية تخطيط مركزي وحوكمة لشراء وتنفيذ التكنولوجيا المتعلقة.
لافتا إلى ان الأخطاء البشرية تلعب دوراً مهماً في تحدي الأمن الإلكتروني وان المؤسسات الحكومية في الإمارات والخليج لديها مجموعة من الخبرات الكبيرة، لكن الغالبية العظمى من المؤسسات لا تدرك تماماً حجم الأخطار المحدقة أو أنها ببساطة لا تشعر بأن الاستثمار في الموارد لا يضاهي المخاطر. ما يعني الحاجة إلى وجود استراتيجيات وطنية تقودها الحكومات تعنى بالأمن الإلكتروني تعالج كافة الثغرات والتحديات.
وقال ان ابرز نقاط الضعف التي تعاني منها المؤسسات الحكومية في بنيتها التقنية والامنية هو انعدام برنامج تكنولوجيا معلومات متكاملة تتم إدارتها مركزياً، فالكثير من المؤسسات مازالت تتيح الفرصة لوحدات الأعمال المباشرة لاتخاذ قراراتهم واستثماراتهم في مجال تكنولوجيا المعلومات ما يقود إلى مخاطر أمن إلكتروني هائلة.
وأوصى أن تقوم المؤسسات وقبل شراء أفضل الحلول الأمنية الإلكترونية الجديدة بدراسة الواقع الداخلي لها والتأكد باتخاذ اجراءات حوكمة تكنولوجيا المعلومات الموصى بها.
وقال إن انظمة الحماية لا تستطيع فعلا توقع الهجمات إلى الآن وانها تحتاج إلى 3 سنوات لبلوغ تلك المرحلة لأن القضية تتعلق بتحدي ساعة صفر الهجوم. وفي الولايات المتحدة تعمل عدة شركات على تشغيل برمجيات التحليل الأمني بالاعتماد على السلوك وحققت بعض النجاحات. ومع ذلك، فإن القراصنة ما زالوا لديهم الأفضلية.
تجربة دبي
وعند سؤال روبرت بيجمان عن تجربة الإمارات ودبي في التحول إلى مدينة ذكية وما السبل المثلى لحماية هذه المدينة من الهجمات الالكترونية المنظمة، قال: العبرة في هذا الجانب واضحة. فمن أجل حماية المدن الذكية تجب وجود عملية تخطيط مركزي وحوكمة لشراء وتنفيذ التكنولوجيا.
وبالإضافة إلى ذلك، ثمة حاجة لوجود هيكلية تكنولوجية واضحة جداً وإرشادات وقوانين ومعايير تتعلق بالأمن. وثالثاً ثمة حاجة أيضاً إلى عملية تحكم بالتغيير تتم إدارتها بشكل جيد للغاية. وأخيراً، فإن عمليات التنفيذ يجب أن تخضع لدرجة عالية جداً من الحذر لما يتعلق بكيفية ووقت ربط هذه الأنظمة من أجل الشروع بتقديم الخدمات عبر الانترنت.
صد الهجمات الثقيلة
وعلق على قدرة المؤسسات الحكومية الخليجية بصد الهجمات الالكترونية الكبيرة أو ثقيلة العيار قائلا: لست على دراية كافية بمستوى المعرفة والتطور لدى قدرات الإمارات ودول الخليج العربي. ومع ذلك، أخمن إن هذه الدول ليست مختلفة عن سائر البلدان التي لديها مجموعة من الخبرات الكبيرة ولكن الغالبية العظمى من المؤسسات لا تدرك تماماً حجم الأخطار المحدقة أو أنها ببساطة لا تشعر بأن الاستثمار في الموارد لا يضاهي المخاطر.
ويشير هذا الأمر إلى الحاجة إلى وجود استراتيجيات وطنية تقودها الحكومات تعنى بالأمن الإلكتروني تعالج كافة الثغرات والتحديات.
نقاط الضعف
ولفت إلى ان هناك نقاط ضعف تعاني منها المؤسسات الحكومية في بنيتها التقنية والأمنية: ما ألاحظه هو انعدام برنامج تكنولوجيا معلومات متكاملة تتم إدارتها مركزياً، وهو الأمر الذي ألمسه في برامج تقنية المعلومات على صعيد المؤسسات الحكومية والشركات. فمسؤول المعلومات الأول يشغل منصب رئيس وله سلطة محدودة في إدارة كافة الاستثمارات ذات الصلة بتكنولوجيا المعلومات، خاصة إدارة القرارات العملية اليومية.
والكثير من المؤسسات مازالت تتيح الفرصة لوحدات الأعمال المباشرة لاتخاذ قراراتهم واستثماراتهم في مجال تكنولوجيا المعلومات. ويقود هذا الأمر إلى مخاطر أمن إلكتروني هائلة فضلاً عن كونه اجراءً غير صحيح. وأوصي أن تقوم المؤسسات وقبل شراء أفضل الحلول الأمنية الإلكترونية الجديدة بدراسة الواقع الداخلي لها والتأكد باتخاذ اجراءات حوكمة تكنولوجيا المعلومات الموصى بها.
8 مليارات دولار
وعند سؤاله عن إنفاق القطاع الحكومي في منطقة الشرق الأوسط وإفريقيا على تقنية المعلومات مبلغا تجاوزت قيمته ٨ مليارات دولار في 2014 ومدى أهمية الرقم، قال: أود الحصول على نزر يسير من هذه المليارات الثمانية، فالرقم يبدو كبيراً بالنسبة لي. ومع ذلك، فإن الأمر لا يتعلق بحجم انفاق المؤسسات على الأمن الالكتروني إذا لم يستطيعوا السيطرة على الممارسات المهمة (وذات التكلفة المخفضة) لحوكمة تكنولوجيا المعلومات واعتماد الهيكلية الأمنية الصحيحة.
بركة وحل
هناك من يعتقد ان مكافحة التهديدات الإلكترونية والقراصنة الافتراضيين أشبه ما يكون بالسباحة في بركة من الوحل، لا سيما ان الجميع يطالبون ويحاولون الحد من هذه الجرائم، ولسان حال الواقع يقول ان الجريمة الالكترونية أصبحت أكثر تنظيما وتعقيدا وازدهارا على الأرض، إلا ان روبرت بيجمان يرى انه في الوقت الذي يكون فيه من المستحيل إزالة مخاطر الأمن الإلكتروني بشكل كامل من أصول تكنولوجيا المعلومات الخاصة بنا.
يشعر بالثقة بأن بوسعنا تقليل حجم المخاطر الناشئة من التهديدات البارزة التي تحدق باستقرار الاقتصاد والبنية التحتية. وتكمن المشكلة بأن علينا أن نولي أهمية كافية لاحتياجات أمن وإدارة أصول تكنولوجيا المعلومات والعمل في الوقت ذاته وبشكل سريع للاستفادة من كافة فرص تكنولوجيا المعلومات المتاحة. لقد حان الوقت لإعادة التفكير في عملية استقبال كافة التقنيات الجديدة من دون أن نولي اعتباراً للمخاطر الأمنية.
الأخطاء البشرية
وقال روبرت بيجمان إنه من الواضح إن الأخطاء البشرية تلعب دوراً مهماً في تحدي الأمن الإلكتروني:لم يشاهد أية احصائيات تبرز النسب المئوية لأخطاء المستخدمين التي أفضت بدورها إلى مخاطر أمنية. وأقوم بإعلام العملاء بضرورة دراسة كيفية اعتماد الأنظمة والشبكات ذات التصاميم الأفضل والتي تشمل احتمالية ارتكاب المستخدمين للأخطاء.
هاكتيفيزم
تجاوزت الجريمة الافتراضية أو السيبرانية في نشاطها البحث عن تحقيق المال والارباح إلى ما يعرف بالـ هاكتيفيزم التي تقوم بشن هجمات على دول واحزاب وشخصيات محددة وفي اوقات حساسة، وان هذا النوع من السلوك سيتصاعد في ظل اتساع دائرة الصراع الروسي الأمريكي في اوكرانيا وروسيا ومناطق أخرى. إلا ان بيجمان يرى ان أغلب الجرائم الإلكترونية تتم بدوافع مالية. إذ لم يبرز نشاط القراصنة (هاكتيفيزم) بشكل كبير خلال السنوات الأخيرة بسبب الاهتمام المتزايد من جانب مزودي خدمة الانترنت وكذلك الشركات والمؤسسات الحكومية إلى حجب ومنع الاعتداءات على الخدمات.
وعلى صعيد آخر، أدرك إن القراصنة أنفسهم باتوا على معرفة بالخطر المترتب في حال الكشف عن هوياتهم، وهو الأمر الأهم بالنسبة لهم من الفائدة التي يحصلون عليها من خلال تأثيرهم على توفر خدمات الشبكة.
التجسس التقليدي
ويقول بيجمان: الحقيقة إن العالم يعشق التكنولوجيا الجديدة ونحن نغتنم أية فرصة أو تقنية جديدة تسهم في تعزيز كفاءة مؤسساتنا أو ترتقي بنمط حياتنا. وعندما يتعلق بالأمر بالأجهزة والتقنيات المحمولة، فإننا جميعاً سارعنا على اقتناء هذه التكنولوجيا وأصبحنا نستخدمها بشكل كبير دون الالتفات إلى المخاطر الأمنية.
وأضاف: يتفهم القراصنة والمتطفلون ذلك، حيث تم الشروع بإعداد شيفرات الهجوم على نظام تشغيل أندرويد قبل إطلاق أول هاتف غوغل ذكي. والحقيقة، إننا مازلنا بحاجة إلى الكثير لما يتعلق بالحلول الأمنية لأن أنظمة الهواتف المحمولة المعقدة قادرة بشكل هامشي على توفير آليات الحماية الأمنية الضرورية. إن عصر الانترنت يفرض علينا توفير الأمن الكافي وأنا متفائل عن كل تحسن اجمالي في الأمن الإلكتروني العالمي.
ولفت إلى أن الربط والتواصل الهائل وسهولة الوصول إلى كم هائل من البيانات جعل من التجسس التقليدي أمراً متعذراً. فمثلاً جعل البوميتريك من المستحيل تقريباً التجسس دون التعرف على الهويات. وإلى جانب ذلك، فإن الجاسوس اليوم قد يدير عمليات من مكتب في مؤسسته دون أن يتصل مع العميل. وحتى في التجسس، فإن تكنولوجيا المعلومات تمثل هبة تمنح وتأخذ في آن معاً.
ويرى بيجمان ان من اخطر الدول المصدرة للإرهاب الالكتروني يقيناً الصين وهي الدولة رقم واحد تليها روسيا.
البنوك والحكومة
ويشير روبرت بيجمان إلى ان القطاعات الأكثر عرضة هي المؤسسات التي تتعامل بالأدوات المالية وتساهم في عملية تحريك الأموال (خاصة إلى العملاء). وتمثل المؤسسات الحكومية الهدف الثاني الأكثر أهمية ومن بعده المتعاقدين الحكوميين (خاصة في المجال العسكري). وتمثل المؤسسات العاملة في مجال بحث وتطوير تكنولوجيا المعلومات والفضاء والتقنيات البيئية أهدافاً مهمة.
وتليها شركات صناعة الأدوية وقطاع النفط والغاز ومن ثم محلات التجزئة الكبيرة. وسبب استهداف هذه المؤسسات قد أشرت إليها في الأجوبة السابقة. وعلى الرغم من إن هذه المؤسسات تنفق الكثير من المال على منتجات وخدمات الأمن الإلكتروني، فإنها تعاني من حوكمة ضعيفة في تكنولوجيا المعلومات ولا تتمتع بمركزية لما يتعلق بعمليات الشراء والدعم.
وأضاف: خير مثال على ذلك شركة تارجيت كوربوريشن التي كانت تشغل أنظمة أمن إلكتروني جيدة ولكن لم يعرف أي شخص في الشركة بمنصب مسؤول أمن المعلومات الأول بأن جزءاً آخر في الشركة كان يمنح النفاذ إلى بيانات الشركة من خلال شبه موصلات HVAC.
ساعة صفر الهجوم
لا يزال توقع الهجمات الالكترونية ضربا من الفرضيات التسويقية، إذ يرى بيجمان انه أمر نظري فقط، فيقول: من وجهة نظري يتطلب الوصول إلى هذه النقطة من عامين إلى 3 أعوام. إذ إن القضية تتعلق بتحدي ساعة صفر الهجوم. وإذا ما قمت بتطوير هجوم يبدو كأحد برمجيات التحليل الأمني باعتباره إجراءً/برنامجاً مشروعاً فإن من الصعب الامساك بي. وإذا ما استفاد هذا البرنامج الذي أشرت إليه من الثغرات غير المعروفة، فإن برمجيات تحليل الأمن ستكون غير قادرة على تحديد كون البرنامج ضاراً.
وأضاف: في الولايات المتحدة تعمل عدة شركات على تشغيل برمجيات التحليل الأمني بالاعتماد على السلوك وحققت بعض النجاحات. ومع ذلك، فإن القراصنة مازالو لديهم الأفضلية.
رواية تجسس
صحيح أن روبرت بيجمان يمتلك خبرة واسعة في امن المعلومات على مدار سنوات عمله في وكالة الاستخبارات المركزية الأميركية إلا انه يستعد على غير المتوقع لكتابة رواية خيالية عن التجسس الإلكتروني. إذ كان معظم وقته مخصصا لمساعدة الحكومات والشركات في قضايا الأمن الإلكتروني ولم يكن لديه الوقت الكافي لكتابة كتاب.
معرض ومؤتمر الخليج لأمن المعلومات في دبي قريباً
قال روبرت بيجمان ان المؤتمرات مثل معرض ومؤتمر الخليج لأمن المعلومات مهمة لسببين: فالأول أنها تتيح للمختصين بمجال الأمن الإلكتروني الفرصة للقاء وتبادل المعرفة والتجارب. وثانياً، تقدم العروض التقديمية التي تتخلل المؤتمر مقاربات وتصورات جديدة وتعرض إجابات جديدة للعديد من التحديات في مجال الأمن الإلكتروني، وبالتالي فإن المنفعة التي يمكن تحصيلها ايجابية للغاية.
ويعتبر معرض ومؤتمر الخليج لأمن المعلومات أبرز منصة لأمن المعلومات على صعيد المنطقة لعام ٢٠١٤. ويضم الحدث إقامة معرض خلال الفترة ما بين ٩ و١١ يونيو ومؤتمر على مدى يومي ١٠ و١١ يونيو في مركز دبي التجاري العالمي.
ويعتبر معرض ومؤتمر الخليج لأمن المعلومات الذي ينظمه مركز دبي التجاري العالمي أبرز حدث على صعيد المنطقة في مجال تقنية المعلومات والاتصالات، حيث يستقطب كبار قطاع تقنية المعلومات بمن فيهم رؤساء الأمن التنفيذيين، ورؤساء التقنية التنفيذيين، ورؤساء المعلومات التنفيذيين وكبار المديرين من قطاعات رئيسية مثل التمويل والطاقة والاتصالات والمؤسسات الحكومية وتقنية المعلومات.
ويجمع الحدث تحت مظلته أصحاب الفكر وأبرز الخبراء والعاملين بقطاع أمن المعلومات والمبدعين الذين يرسمون مستقبل القطاع. وبالإضافة إلى ذلك، فإن مجموعة بارزة من المتحدثين والخبراء سيقومون بتوجيه الحوار وإثرائه لما يتعلق بالتوجهات الاستراتيجية الجديدة في قطاع أمن المعلومات.
نصيحة للشاب
وجه روبرت بيجمان نصائح إلى الجيل الشاب العامل في أمن المعلومات الالكترونية قائلا: النصيحة الأولى التي تعلمتها بأنها برنامج الأمن الإلكتروني في المؤسسات لا يمكن له أن يكون أفضل من برنامج تكنولوجيا المعلومات بشكل عام. وإذا ما كان برنامج تكنولوجيا المعلومات يخضع لإدارة ضعيفة ومن دون مركزية، فثمة أمل ضئيل بأنها قادرة على تشغيل أمن إلكتروني جيد.
وثانياً، فإن الكثير من تكنولوجيا الأمن الإلكترونية باهظة التكاليف لا تضيف قيمة على عكس ما قد يقال إليكم. وفي الحقيقة، فإن السياسات والاجراءات الجيدة والهيكلية التي يتم تركيبها بشكل ذكي (التي تحدد النفاذ عبر الانترنت) هي استثمار أفضل على الدوام (وأقل تكلفة) من المنتجات القادمة المثيرة. وأخيراً، فإن من المهم أن يتمتع مسؤول الأمن الإلكتروني الأول في المؤسسة بالموقع والرؤية ذاتها لمسؤول المعلومات الأول.