دراسة: 73% من الشركات الخليجية تدرب كوادرها على أمن تقنية المعلومات محلياً

جاء في دراسة أجرتها منظمة B2B International بالتعاون مع كاسبرسكي لاب الربيع الماضي تحت عنوان Global IT Security Risks 2013 شاركت فيها شركات في دول مجلس التعاون الخليجي ، أن معظم الشركات تكلف قسم دعم تقنية المعلومات فيها بتدريب العاملين في الشركة على المسائل المتعلقة بأمن تقنية المعلومات بدلا من استجلاب استشاريين في تقنية المعلومات أو تقديم طلب إلى قسم الموارد البشرية لتكليف متخصصين محترفين في أمن تقنية المعلومات بذلك.
إن التدريب الفعال على مسائل أمن تقنية المعلومات هو المكون الرئيسي لأي استراتيجية موجهة إلى مكافحة التهديدات الالكترونية – وفقا للدراسة، فإن 4 من أصل 5 حوادث أمنية داخلية شائعة سجلت في الأشهر ال12 الفائتة كان متعلقة بأفعال الموظفين:
● 35% من المشاركين أشاروا إلى وقوع تسريبات عرضية للبيانات السرية
● 20% من المشاركين أشاروا إلى فقدان الأجهزة المحمولة المؤسساتية وبها بيانات حساسة مخزنة
● 23% من الشركات واجهت تسريبات للبيانات قام بها الموظفون
● 13% من الشركات واجهت حوادث تتعلق بوقوع البيانات في أيدي الغير بسبب الاستخدام غير الصحيح للأجهزة المحمولة (بوجود البريد الالكتروني، الرسائل النصية وغيرها).
وتوضح نتائج البحث أن أخطاء الكادر غير المبالي هي السبب في وجود نسبة كبيرة من حوادث تسريب البيانات واختراق امن تقنية المعلومات. ويكمن الحل في التأكد من تفهم الموظين للمخاطر التي تعترض أمن تقنية المعلومات – وكيفية تجنبها على أفضل صورة.
في حين أن ذلك يبين أهمية تدريب الموظفين على مسائل أمن تقنية المعلومات، لا يزال السؤال المطروح: من ينبغي أن يقوم أن بالتدريب؟
وذكر الخبراء الدوليون في قطاع B2B أن معظم الشركات تعتبر أن مهمة تدريب الموظفين في الشركة تقع على عاتق قسم تقنية المعلومات فيها – على الرغم من أن تدريب الموظفين لا يعتبر من المهام الأساسية لقسم تقنية المعلومات. كما أن العبء الإضافي يؤثر على الأداء: فقد أكد المشاركون في الدراسة أن قسم تقنية المعلومات له مهام أخرى وبالتالي لا يمتلك الوقت الكافي لتدريب الزملاء. ومن الواضح أن لذلك تأثير سلبي على جودة التدريب. وللحصول على نتائج أفضل يمكن تكليف جهة ثالثة لها خبرة في التدريب. إلا أن 11% فقط من المشاركين في الدراسة أكدوا أنهم قاموا بذلك.
في 8% من الشركات كان قسم الموارد البشرية مشتركا في تدريب الموظفين. نسبة مماثلة من الشركات كلفت قسم تدريب وتطوير الموظفين بهذه المهمة. قرابة 3% من المشاركين أشاروا إلى تكليف موفر خدمة التدريب المؤسساتي بالمهمة.
وتتشابه هذه المؤشرات فيما بينها في مختلف المناطق، فعلى سبيل المثال تم تسجيل أعلى نسبة من الشركات التي تقوم بتنظيم تدريبات محلية بمشاركة قسم تقنية المعلومات فيها وكانت في دول مجلس التعاون (73%)، اليابان (72%) وأمريكا الشمالية (71%)، وبنسبة أقل في أمريكا الجنوبية (65%) وشرق أوروبا (57%). وتلجأ إلى خدمات الاستشاريين في تقنية المعلومات لتدريب الموظفين أكثر من غيرها شركات في أمريكا الجنوبية (16%) ودول منطقة آسيا – المحيط الهادئ، بنسبة 11% لكل من شرق أوروبا و دول مجلس التعاون.
إجمالا، فإن أهمية تدريب الموظفين على مسائل أمن تقنية المعلومات تعتبر مسألة مقبولة لدى الغالبية العظمى من الشركات، فقط 1% من المشاركين في الدراسة أشاروا إلى أن الشركات التي يعملون بها لا تقوم بتدريب الموظفين في مسائل أمن تقنية المعلومات على الإطلاق. غير أن جودة التدريب في المؤسسات لا تزال مسألة عالقة؛ إلمام الموظفين بالمخاطر الالكترونية له تأثير مباشر على مدى اتباع سياسات أمن تقنية المعلومات في الشركة وبالنتيجة على المستوى العام لحماية الشركة من التهديدات الاكترونية. حاليا يعتبر مستوى تطبيق السياسات الأمنية متدني نسبيا، فنحو 37% من المشاركين ذكروا أن موظفي الشركة لا يتقيدون دوما بالقواعد أمن تقنية المؤسسة التي يعملون بها.
التعليم: احد مكونات استراتيجية الأمن
بغض النظر عن مستوى إدراك الموظفين للمخاطر الأمنية، فإن احتمال تعرض الشركة لهجمات الكترونية لا يزال واردا بشدة لذلك يعتبر استخدام حلول أمنية مطورة لتقنية المعلومات أمرا ضروريا.
ويتضمن منتج كاسبرسكي لاب الرائد للمؤسسات – Kaspersky Endpoint Security for Business إلى جانب توفير حماية من البرمجيات الخبيثة، الهجمات الالكترونية والمستهدفة، البريد المزعج والتصيد، عددا من الوظائف التي تمكن من إدارة البنية التحتية لتقنية المعلومات بفعالية. كما يساعد هذا الحل في الحفاظ على مكونات محطات العمل، تحديث البرامج بسرعة، إدارة وتقييد حقوق الوصول إلى مختلف مكونات البنية التحتية لتقنية المعلومات، ضبط ومراقبة تنفيذ السياسات الأمنية، تشفير البيانات السرية (عند فقدان أو سرقة الجهاز المؤسساتي مثلا) كما يمكن استخدامه لإجراء عمليات أخرى لضمان مستو عال من أمن تقنية المعلومات.
وهناك أيضا تقنية أخرى يقدمها منتج Kaspersky Endpoint Security for Business تعمل على تجنب الحوادث الناجمة عن أخطاء الموظفين: Dynamic Whitelisting. هذه التقنية تمنع البرمجيات الخبيثة من بدء عملها. وتعتمد حلول "القائمة البيضاء" على قاعدة بيانات التطبيقات الموثوقة وتسمح لنظام التشغيل بإطلاق البرامج المدرجة في قاعدة بيانات "القائمة البيضاء". وهذا يجعل من الصعب شن هجمة ناجحة ضد شركة ما حتى في حال كان البرنامج الخبيث معقدا وغير معروف بالنسبة للحلول المكافحة للفيروسات بعد.
وفي الوقت نفسه من الهام أن تتمتع قاعدة بيانات القائمة البيضاء في الحل بسعة كافية لتشمل أكبر عدد من التطبيقات المستخدمة من قبل الشركة دون أن تحدث مشكلة للبرامج المرخصة. على سبيل المثال، قاعدة بيانات Dynamic Whitelisting تتضمن حاليا اكثر من 700 مليون ملف فريد ويتم تحديثها باستمرار بملفات جديدة. وأظهرت نتائج الاختبارات المستقلة لهذا الحل في أوائل العام الجاري أن حجم قاعدة البيانات هذه يكفي لتوفير حماية فعالة. وقد نجح منتج كاسبرسكي لاب في جميع الاختبارات دون أن يأتي بنتيجة إيجابية زائفة واحدة، وهو قادر على كشف حتى 100% من الملفات الموجودة في أكثر التطبيقات استخداما في المؤسسات وفي المنازل على حد سواء. وتوصلت دراسة منظمة B2B International إلى أن حلول "القائمة البيضاء" تعتبر من بين اكثر الإجراءات التي تتخذها المؤسسات لحماية البنية التحتية لتقنية المعلومات فيها: قرابة 47% من المشاركين أشاروا إلى أن الشركات التي يعملون بها تستخدم مثل هذه الحلول. وهذا يدل على التغير الكبير الذي حدث خلال فترة عام واحد، قبل ذلك قلما كانت تقنية القائمة البيضاء تُستخدم من قبل المؤسسات.
وتشتمل حلول كاسبرسكي لاب المتخصصة الأخرى على Kaspersky Endpoint Security for Business، ومنها حلول أمن المحمول والإدارة مثل Kaspersky Mobile Security، حلول أمن الخوادم الافتراضية وعدد من المنتجات الأخرى لتساعد في حماية البنى التحتية لتقنية المعلومات حتى المعقدة والفريدة منها.