نصائح حول أمن المعلومات

نحب أن نعتقد أنه يمكننا أن نثق في زملائنا في العمل لفعل الشيء الصحيح. لسوء الحظ، ليس هذا هو الحال دائماً. بعض الأشخاص يصبحون تهديدات من الداخل؛ أي أنهم يستخدمون وصولهم المصرح لهم بالوصول إلى الأنظمة لإلحاق الضرر بالمؤسسة. على سبيل المثال، قد يبيع شخص ما معلومات من قاعدة بيانات إلى طرف ثالث.

هناك ثلاثة أنواع من التهديدات الداخلية:

1. غير مقصود -هذا الشخص DOE لا يتعمد التسبب في تهديد، ولكنه يفعل ذلك من خلال الإهمال. قد يضعون حاسوبهم المحمول أو محرك الأقراص المحمول في غير موضعه، أو يفشلون في تحديث البرامج أو يتجاهلون التعليمات عند إعداد البرامج أو التخزين السحابي. قد يكون اهتمامهم بالتفاصيل ضعيفًا وقد يرتكبون أخطاءً تلحق الضرر بالمؤسسة، مثل التسبب في خرق عن طريق إرسال البيانات بالبريد الإلكتروني إلى الشخص الخطأ.
2. متعمّد - هذا الشخص ينوي إلحاق الضرر بمنظمته وغالبًا ما يُطلق عليه "المطلع الخبيث". قد يكون ذلك لتحقيق مكاسب مالية، أو للانتقام من بعض الإهانات المتصورة، أو لبعض الدوافع الأخرى. قد يسربون المعلومات لأطراف ثالثة من أجل المال أو المعتقدات السياسية، أو يسرقون المعلومات لتعزيز أعمالهم الجانبية أو يدمرون البيانات لتخريب المنظمة.
3. التهديدات المتواطئة أو الطرف الثالث - التهديدات المتواطئة تحدث عندما يتعاون شخص من الداخل مع طرف خارجي لاختراق المؤسسة. قد يقوم الشخص الدخيل بتجنيد شخص من الداخل للحصول على معلومات لارتكاب الاحتيال أو سرقة الملكية الفكرية أو التجسس أو بعض الجرائم الأخرى. قد يتم التلاعب ببعض المطلعين الداخليين ليصبحوا تهديدًا وقد لا يدركون أن ما يفعلونه ضارًا. تهديدات الطرف الثالث تحدث عندما يعمل المطلع الداخلي لدى متعاقد أو بائع لديه إمكانية الوصول إلى شبكة المؤسسة أو مرافقها.

تتضمن بعض مؤشرات التهديد الداخلي المتعمد ما يلي:

• التغييرات الحياتية، مثل المشاكل المالية أو العلاقات أو العائلية أو مشاكل العمل.
• تغيرات سلوكية، مثل علامات الاكتئاب أو الغضب أو احتمال إدمان المخدرات أو الكحول. ومع ذلك، فإن الزميل الذي يطلب المساعدة يُظهر حكمة جيدة.
• التغييرات في عادات العمل مثل العمل خلال فترة الغداء، أو الوصول إلى أو طرح أسئلة حول معلومات أو أنظمة لا تدخل في نطاق عمل الزميل، أو تجاهل السياسات والممارسات الأمنية.

العديد من المطلعين غير المقصودين

• ضعف التدريب على النظافة السيبرانية، إما لأن المنظمة DOE لا تدرب الموظفين أو لأنهم لا ينتبهون.
• غير منظم؛ فقدان الحواسيب المحمولة أو محركات الأقراص المحمولة.
• غير معتاد على التكنولوجيا أو يعتقد أنه يعرف أكثر مما يعرفه ولا يتبع التعليمات عند تثبيت برامج جديدة أو إعداد التخزين السحابي.

جميعنا نرتكب الأخطاء، ولكن العديد من المطلعين غير المقصودين لا ينتبهون ببساطة إلى ما يفعلونه. إن عدم الاهتمام بالتفاصيل يعرض مؤسستهم لخطر الاختراقات والبرمجيات الخبيثة.

لتقليل احتمالية حدوث تهديد من الداخل، يجب على المؤسسات تطوير برنامج شامل يتضمن معرفة الأشخاص داخل المؤسسة، وتحديد الأصول وترتيب أولويات المخاطر، ووضع نهج تشغيلي مثبت للكشف وتحديد - تقييم - إدارة.  يجب على المؤسسات اتخاذ خطوات إضافية لفحص مقدمي الخدمات الخارجيين للتأكد من قدرتهم على الوصول إلى الأنظمة والمناطق الضرورية فقط في المبنى.

لدى وكالة الأمن السيبراني وأمن البنية التحتية (CISA) المزيد من المعلومات حول التخفيف من التهديدات الداخلية على الموقع الإلكتروني https://www.cisa.gov/insider-threat-mitigation.