سجى خلايلة . 06 يناير 2017

الثغرات الإلكترونية بالمؤسسات الإسرائيلية

مقدمة العسّاس | يتحفظ الاحتلال الإسرائيلي عن عرض تقارير مفصلة حول الثغرات في نظم الحماية الخاصة بمؤسساته المختلفة. إلا أن جزءاً من المشاكل النمطية والثغرات العامة متاح لاطّلاع الجمهور بالرغم من عدم حسم النقاش في المؤسسة الحاكمة حول هامش المعرفة المسموح الكشف عنه في هذا المجال.

ترجمة العسّاس | أغلب المؤسسات القائمة اليوم قابلة للاختراق حال توفُّر الموارد الكافية لشن الهجوم عليها، ولذا فإن جوهر مسألة الحماية الرقمية يكمن في التركيز قدر الإمكان وبأعلى درجة على الاستثمار في تقنيات ووسائل الحماية السايبرية بما يحقق انتقالًا فعليًا لمسؤوليات القيادة والتحكّم من أيدي المبرمجين إلى أيدي السياسيين ليتحول رد الفعل الرقمي إلى رادعٍ مناسب وكافٍ لأي هجوم من دولة أجنبية. إنَّ مسوغات هذا البحث تتعلق ببحث فكرة الانتقال من وضعية الدفاع إلى الهجوم ومباغتة ما يُسمّى “هاكرز” Hackers، أي قراصنة الإنترنت ومجموعاتهم، وعدم الاكتفاء بعد الآن بأدوار الحماية والدفاع وصد الهجمات الخارجية.

مؤسسات صغيرة ومتوسطة (SME):

بشكلٍ عام، لا تتوفر لدى هذه المؤسسات الوسائل التقنية الكافية للتمتع بالقدر اللازم من الحماية الرقمية. وفوق ذلك، وظائفٌ كإدارة الشبكات، إدارة المعلومات والبرمجيات و حماية البيانات، تصميم وإدارة أنظمة أمن المعلومات والمراقبة والاستجابة الطارئة يتولاها شخصٌ واحدٌ في أغلب الأحيان، ما يحُد من قدرة المؤسسة على مواجهة وصد الهجمات الحقيقية التي لا يكون فيها الهاكر مبتدئًا أو تتعدى مجرد كونها هجماتٍ مرتجلة دون خطة هجوم متقنة.

مؤسسات صغيرة ومعرضة لخطر كبير:

في هذه المؤسسات أيضًا لا يوجد الكثير من وسائل الحماية التقنية، وهناك العديد من المهام يستلمها بضعة أشخاص كفنيي حماية البيانات، تصميم وإدارة أمن المعلومات و المراقبة والاستجابة الطارئة. كما أن قدرتها على مواجهة هجومٍ حقيقي تكون منخفضةً للغاية. المؤسسات ذات الهيكلية الجيدة قد تستثمر بشكلٍ بسيط ضمن حدود ميزانيتها المنخفضة في وسائل حماية مظهرية تُمكنها بالكاد من مواجهة هجمات بسيطة كتلك التي يشنها هاكر وحيد أو مبتدئ، و ربما ردعٍ جزئي فقط لهاكر على مستوًى متقدّم.

مؤسسات كبيرة عادية:

مستوى تجهيزات الحماية التقنية لدى هذه المؤسسات يتراوح بين المنخفض والمتوسط. ورغم احتمالية تعرضها لهجماتٍ ضخمة، تعجر أنظمة هذه المؤسسات عادة عن صد هذا النوع من الهجمات، فهي مهيئة بالأساس للتعامل مع عملياتٍ أقل تهديدًا. هذه المؤسسات لا تستثمر الكثير من ميزانايتها في نظم الحماية وبالتالي تقتصر قدرتها على ردع الهجمات المرتجلة و هجمات الذئاب المنفردة (الهاكر الوحيد)، وقد تتمتع بقدرة جيدة نسبيًا على مواجهة هاكر على مستوًى متقدّم.

المؤسسات الضخمة المعرّضة لخطر كبير:

خصائص هذه المؤسسات ليست ضمن نطاق بحث هذه الدراسة.

أنواع المشاكل حسب القطاعات:

بطبيعة الحال، لن يتم التطرّق هنا للمجال الأمني، الصناعة الأمنية، مكتب رئيس الحكومة ومكتب وزارة الخارجية، أو مؤسسات البنى التحتية ذات الأهمية الخاصة. سنبحث الخطورة الكامنة في حالة الانكشاف الأمني المحتمل، مع التركيز على ألا يُعتبر ذلك مؤشرًا مرجعيًا لتقييم المستوى الحالي للأمن المعلوماتي عمومًا، إلّا إن ذُكر غير ذلك في السياق.

القطاع المالي:

يضم هذا القطاع مختلف البنوك وشركات الائتمان وشركات الخدمات الأمنية المصرفية، إضافة لوكالات ووكلاء التأمين والعديد من الشركات الاستثمارية. يشرف بنك “إسرائيل” على مراقبة نشاط البنوك وشركات الائتمان، إلى جانب تأمين المعلومات التي بحوزة المصارف المختلفة بغرض حماية الجمهور.

ويشرف البروفيسور عوداد سريج، المسؤول عن سوق الأعمال، على رؤوس أموال التأمين والتوفير بوزارة الماليّة وعلى مراقبة شركات رؤوس الأموال وشركات التأمين، إلى جانب عدد من الجهات المسؤولة ذات العلاقة. فهناك العشرات من الجهات العاملة في هذا القطاع التي تُعَد سياساتها الأمنية ضعيفةً جدًا، وهو ما من شأنه تعريض القطاع المالي بأكمله وسوق العمل عمومًا لتهديدٍ خطير، ما يستلزم اتخاذ بعض التدابير الاحترازية والوقائية من قبل الدولة.

القطاع الطبي:

القطاع الطبي عمومًا يفتقر إلى التوعية والإرشاد اللازمين فيما يختص بالأمن المعلوماتي، إذ تكتفي المنشآت والمرافق الطبية التي بحوزتها معلومات مهمة وحساسة باتباع مجموعة من الإرشادات الأساسية البسيطة لحماية البيانات تتلقاها عبر وزارة الصحة. مؤخرًا فقط، بدأ العمل على تطوير مجموعة من المعايير الموحدة لحماية البيانات الطبية في المنشآت الصحية. ومن الجدير بالذكر أنّ صندوق الصحة الخدماتيّ، المعروف بـ”كلاليت”، يُظهر استقلالية في العمل ويأخذ بزمام المبادرة، ويحاول الضغط على وزارة الصحة كي تتعاون وتبادر لكن دون فائدة تُذكر، فافتقار هذا القطاع إلى الحد المطلوب من الاستعداد التقني يُعرّض سوق العمل لتهديدٍ بدرجة عالية من الخطورة.

القطاع البلديّ:

العديد من البلديات الإسرائيلية بدأت بتشغيل بعض الخدمات عبر أنظمة الحواسيب، كأنظمة تنقية وتعقيم المياه والمراقبة والتحكم بالحركة المرورية والعديد غير ذلك. إلا أن هذه الأنظمة ماتزال مستقلةً عن بعضها ولا يجمعها نظامٌ مركزي مُوحد، البعض منها فقط تتم مراقبته جزئيًا عبر نظام “رام” الرقمي الحكومي، ولذا يمكن القول بأن القطاع البلدي عمومًا معرضٌ لأخطار الاختراق والهجمات من الدرجة المتوسطة.

القطاع الأكاديميّ:

على الرغم من وجود مختصي حماية سايبرية في هذا القطاع ووعي إداري ومهني عالٍ، إلا أن نمط الشخصية السائد بين العاملين في سلك التعليم العالي و الأبحاث يجعلهم غير متقبلين للكم الهائل من القوانين المطلوب منهم اتباعها للحفاظ على السريّة، فضلًا عن رفضهم للنمط المتشدد الذي يفرض طريقة عملٍ معيّنة ضرورية لبناء نظام أمان معلوماتي حقيقي. معظم الكليّات والأقسام ومجموعات البحث تتنصّل بشكل ممنهج من اتّباع تعليمات الأمان الصادرة عن أقسام الحوسبة في كليّات التعليم العالي، ما يعرقل جهود رفع مستوى الأمان الرقمي في القطاع الأكاديمي.

القطاع الحكومي “المدنيّ”:

مكاتب الحكومة والجهات المسؤولة في الدولة تفتقر إلى الأساس الأمني السليم، والشبكات المستخدمة بين الدوائر الرسمية وداخلها ماتزال شبكاتٍ عادية غير مشفرة. اليوم، لا يوجد تطبيق مهني لإدارة حماية البيانات كما لا توجد جهة تُعنى بأمر المراقبة مثل “رام”، غير “رام” نفسها. التأهيل المناسب للعاملين و معايير تأهيل الأشخاص في هذا المجال كلها مفقودة، هذا القطاع يُعرّض سوق العمل برمته لتهديدٍ معلوماتي حقيقي على درجة عالية من الخطورة.

“الحكومة الإلكترونية”:

في الحكومة يبرز عمل دائرة “الحوكمة الإلكترونية”، هذه الجهة وظيفتها تحسين الخدمات الحكوميّة للمواطنين وتوفيرها عبر شبكة الإنترنت “أونلاين”. بدأت هذه الجهة عملها عام 2007 تنفيذًا لقرارٍ حكومي صدر في العام 2002، وكانت تعي بشكل كافٍ كيف توظّف أشخاصًا مختصّين ذوي مؤهلات ومهارات عالية في مجال حماية البيانات، ولذلك رغم النقص في الميزانيات التي خصصت لها. توظيف القدرات بالشكل المناسب مكّن دائرة الحوكمة الإلكترونية من النجاح في إحباط العديد من هجمات السايبر الضخمة ضد مواقعها.

قواعد بيانات تخص المواطن:

قواعد البيانات هذه صُممت للعمل على مدار الساعة لصالح استخدامات الجمهور الذي -وبحسب القانون- من حقّه الاطلاع على المعلومات التي تخصّه، مع بعض القيود (قانون حرية المعلومات، قانون الصالح العام، قانون حقوق الملكية وقوانين أخرى). وتشمل هذه الفئة من قواعد البيانات تلك المخصصة لتسجيل السكّان، الضمان الاجتماعي، الضرائب، تسجيل الشركات، سوق الأوراق المالية “البورصة”، التسجيل العقاري “الطابو”، والعديد من قواعد البيانات الأخرى الموجودة تحت وصاية وزارة المواصلات، الصناعة والتجارة، الرّفاه الاجتماعي وغيرها.

قبل بضع سنوات، سُرِّب سِجل السكّان إلى شبكة الإنترنت، نتيجة لذلك تمت مناقشة مدى أمان طريقة التسجيل البيومترية للبيانات وفوائدها في مقابل المخاطر الأمني المعرّضة لها.

قطاع الاتصالات:

تبرز في هذا القطاع شركات الاتصالات السلكيّة واللاسلكية (الخلوية)، مزوّدو خدمات الإنترنت و خدمات الأقمار الصناعية والاتصالات العالمية. خدمات هذه الشركات حاضرة وبقوة في شتى جوانب حياة المواطن، وهي مع ذلك حساسة جدًا تجاه هجمات السايبر. وتعد ديمومة عمل الشركات أساسًا مهمًا وضروريًا لاستقرار نظام الدولة والمجتمع بيد أن خدماتها لا تُصنف ضمن فئة البنى التحتية لطبيعتها غير المادية.

ومن المثير للاهتمام أن مزودي خدمات الإنترنت يصعب عليهم عمليًا تأمين بيئة عملهم الرقمية، حيث أن مهمتهم الأساسية تنحصر في ضمان استقرار خدمات الشبكة من النواحي التقنية والإدارية، في حين يتولى “رام” مسؤولية الأمن الرقمي للشبكات، ويتناسب حجم الاستثمار والدعم لكل شبكةٍ مع قيمتها الاقتصادية وطبيعة وحساسية المعلومات التي تُتداول عبرها.

قطاعات التجارة والصناعة:

معظم جهود اتحادات الصناعة والتجارة في “إسرائيل” موجّهة ضد استخبارات الأعمال، ومع ذلك فإن مستوى أمان شبكات الأعمال (الكوربوريت نت) يُعتبر متدنيًا. فالاعتقاد السائد هو أن طبيعة البيانات التجارية لا تشكل مادةً جذابة للجمهور، ما يجعلها أقل عرضة للاستهداف. فعلى سبيل المثال، من سيهتم بمعرفة مقدار الدخل الشهري لسائق الشاحنات التابع لشركة “تنوفا” مثلًا؟ وما القيمة التي يمكن أن يقدمها هذا النوع من المعلومات للشركات المنافسة؟

رغم منطقية هذا السؤال، لا بد من الإبقاء على حدٍ أدنى من اليقظة والحرص على المحافظة على سرية المعلومات قدر الإمكان، فأي ضررٍ قد يلحق بالمنظومة الصناعية سيؤثر على مؤشرات الدولة الاقتصادية ويهد مكانتها في السوق العالمية.