الأمن الرقمي وحماية المعلومات

1لماذا يُعدّ المجال الرقمي خطرًا أمنيًا

تحتفظ المنظمات الإنسانية بمعلومات بالغة الحساسية: قوائم المستفيدين (أحيانًا مع بيانات بيومترية ومواقع)، شهادات عن الانتهاكات، بيانات طبية، معلومات عن الموظفين، تحليلات أمنية، تحركات. وقد يعرّض التسرّب أو الاختراق أرواحًا للخطر، لا البيانات فحسب.

استهدفت عدة هجمات سيبرانية معروفة منظمات إنسانية، بما في ذلك سرقة بيانات مئات الآلاف من الأشخاص المستضعفين. كما تُستهدف المنظمات بالاحتيال المالي عبر الإنترنت وبمراقبة الاتصالات من قبل جهات حكومية أو من غير الدول.

التهديدات الرئيسية:

• التصيّد الاحتيالي (phishing): رسائل بريد إلكتروني أو رسائل مزيفة تسرق بيانات الدخول أو تثبّت برمجيات خبيثة.
• الاحتيال في التحويلات: مورّد مزيف، مدير مزيف يطلب دفعة عاجلة، تغيير احتيالي للبيانات المصرفية.
• برمجيات الفدية: تشفير البيانات مقابل فدية.
• سرقة الأجهزة أو مصادرتها (الحواسيب، الهواتف) عند نقاط التفتيش أو أثناء عمليات السطو المسلح.
• مراقبة الاتصالات وشبكات التواصل الاجتماعي.
• الأخطاء الداخلية: مشاركة عن طريق الخطأ، ملف أُرسل إلى المستلم الخطأ، كلمة مرور معروضة.

2التدابير الأساسية

تمنع بعض التدابير البسيطة الغالبية العظمى من الهجمات الشائعة:

• المصادقة متعددة العوامل (MFA) على البريد الإلكتروني، والتخزين عبر الإنترنت، والمصرف، والبرنامج المحاسبي.
• مدير كلمات المرور وكلمات مرور طويلة وفريدة.
• تحديثات تلقائية للأنظمة والتطبيقات.
• نسخ احتياطي منتظم، منه نسخة غير متصلة بالشبكة أو معزولة، واختبارات للاستعادة (قاعدة 3-2-1: ثلاث نسخ، على وسيطين مختلفين، نسخة واحدة خارج الموقع).
• تشفير أقراص الحواسيب المحمولة والهواتف.
• إدارة صلاحيات الوصول: لا يصل كل شخص إلا إلى ما يحتاج إليه؛ وسحب صلاحيات الوصول يوم مغادرة الموظف.
• تدريب منتظم، مع تمارين محاكاة للتصيّد الاحتيالي.

مثال على تمرين. أُرسل بريد تصيّد احتيالي مزيف إلى 120 موظفًا: نقر 38 على الرابط (31,7 %)، وأدخل 14 بيانات دخولهم (11,7 %)، وأبلغ 9 عن البريد إلى قسم المعلوماتية (7,5 %). وبعد تدريب موجَّه، أسفر تمرين ثانٍ عن 12 نقرة (10 %)، و3 عمليات إدخال (2,5 %)، و41 بلاغًا (34,2 %). ارتفاع البلاغات لا يقل أهمية عن انخفاض النقرات: فهو يحوّل الموظفين إلى نظام إنذار.

3الاحتيال في التحويلات والإجراءات المالية

يكلّف احتيال انتحال صفة المدير والاحتيال المتعلق بالبيانات المصرفية المنظماتِ، بما فيها الإنسانية، مبالغ كبيرة كل عام. والإجراءات المالية هي أفضل وسيلة دفاع:

• يجري التحقق من أي تعديل للبيانات المصرفية لمورّد أو موظف بالاتصال على رقم معروف مسبقًا، وليس أبدًا على الرقم الوارد في الطلب.
• لا دفعة عاجلة خارج الإجراءات، حتى لو بدا أنها بطلب من مدير: يبقى الاعتماد المزدوج إلزاميًا.
• يجري الوصول إلى الخدمات المصرفية عبر الإنترنت بأجهزة وحسابات مخصصة، مع توقيع إلكتروني مزدوج.
• يعرف الموظفون أنهم سيحظون بالدعم إذا رفضوا دفعة مشبوهة، حتى لو طلبها رئيس أعلى.

الاستعجال والسرية هما أداتا الضغط المفضلتان لدى المحتالين: «أنا في اجتماع، نفّذ هذا التحويل فورًا ولا تخبر أحدًا».

4الأجهزة ونقاط التفتيش والمراقبة

في الميدان، المخاطر الرقمية مادية أيضًا:

• عند نقاط التفتيش، قد تُفتَّش الهواتف. والهاتف الذي يحتوي على صور لمواقع عسكرية، أو رسائل تنتقد أحد الأطراف، أو قوائم مستفيدين، قد يؤدي إلى الاحتجاز. القاعدة: عدم حمل سوى الضروري، حذف البيانات الحساسة من الأجهزة الميدانية، استخدام أجهزة مخصصة للعمل.
• تكشف شبكات التواصل الاجتماعي الخاصة بالموظفين معلومات قابلة للاستغلال: الموقع في الوقت الحقيقي، الآراء السياسية، صور الزملاء، علامات الثراء. وتقلّل سياسةٌ لاستخدام شبكات التواصل الاجتماعي، مشروحةٌ وغير عقابية، من هذه المخاطر.
• تحمي تطبيقات المراسلة المشفّرة من طرف إلى طرف المحتوى، لكنها لا تحمي واقعة التواصل نفسها، ولا الهاتف ذاته إذا صودر وهو غير مقفل.
• قد يكون استخدام بعض الأدوات (الأقمار الصناعية، الشبكات الافتراضية الخاصة VPN، الطائرات المسيّرة) محظورًا أو مثيرًا للريبة: يجب التحقق من التشريعات ومن القبول.

5حماية بيانات الأشخاص

تقوم حماية بيانات المستفيدين والموظفين على مبادئ معترف بها (ولا سيما دليل اللجنة الدولية للصليب الأحمر وBrussels Privacy Hub بشأن حماية البيانات في العمل الإنساني):

• المشروعية والغرض: أساس مشروع وغرض محدد لكل عملية جمع.
• تقليل البيانات إلى الحد الأدنى: عدم جمع سوى ما هو ضروري.
• الموافقة المستنيرة عندما تكون هي الأساس المعتمد، مع مراعاة علاقات القوة (فالأسرة التي تحتاج إلى المساعدة ليست حرة في الرفض).
• الأمن: التشفير، تقييد صلاحيات الوصول، تسجيل العمليات.
• الاحتفاظ المحدود والحذف عند انتهاء الغرض.
• المشاركة المؤطَّرة باتفاقات لتبادل البيانات، مع تحليل للمخاطر (بما في ذلك طلبات السلطات أو أطراف النزاع).
• تقييم الأثر قبل أي نظام جديد (البيانات البيومترية، الدفع عبر الهاتف المحمول، منصة مشتركة).

مثال على تقليل البيانات. لتوزيع حقائب، يجب تحديد هوية الأسرة والتحقق من أنها لم تتلقَّ الحقيبة من قبل. والانتماء العرقي أو الديني ليس ضروريًا ويجب ألّا يُجمع؛ وكذلك الصورة وبصمة الإصبع ليستا ضروريتين في العادة.

6الاستجابة لحادث رقمي

يُعالَج الحادث الرقمي (حساب مخترَق، حاسوب مسروق، برمجية فدية، ملف أُرسل عن طريق الخطأ) كحادث أمني:

• الاحتواء: تغيير كلمات المرور، إلغاء الجلسات، عزل الجهاز المصاب، محو الجهاز المسروق عن بُعد.
• التقييم: ما البيانات، وما الأشخاص، وما الخطر عليهم؟
• الإبلاغ: الإدارة، مسؤول حماية البيانات، الأشخاص المعنيون إذا كانوا معرّضين لخطر، سلطات الرقابة وفق القانون الواجب التطبيق، المانحون وفق العقود.
• الاستعادة من النسخ الاحتياطية؛ وعدم دفع فدية دون قرار من الإدارة وتحليل قانوني.
• التعلّم: التحليل، التصحيحات، التدريب.

مثال. سُرق أثناء عملية سطو مسلح حاسوب محمول غير مشفّر يحتوي على قائمة 3 200 أسرة مع أرقام هواتفها ومواقعها. يتوقف الخطر على الأشخاص على السياق: فإذا كانت بعض الأسر تنتمي إلى مجموعة مستهدفة، يكون الخطر مرتفعًا. الإجراءات: تقييم فوري، إبلاغ المجتمعات المعنية عبر قنوات آمنة إذا كانت معرّضة للخطر، تغيير طرائق التواصل، تشفير إلزامي لجميع الحواسيب المحمولة.