تضم شركة “أوك فالي” للمحاسبة (Oak Valley Accounting) 40 موظفاً وتتولى مهام إعداد الإقرارات الضريبية للعملاء، ومعالجة ملفات الرواتب، وحساب المبالغ المستردة. وقد أدى سرقة جهاز كمبيوتر محمول يحتوي على ملفات ضريبية للعملاء بصيغة PDF، وتعديل جدول بيانات أدى إلى ظهور إجماليات خاطئة للمبالغ المستردة، وتعطل خادم الملفات الذي منع الموظفين من تقديم ملفات الرواتب في الموعد المحدد، إلى إلحاق الضرر بالشركة؛ إذ لم يكن المهاجم بحاجة لاختراق كافة الأنظمة لإلحاق الضرر، بل كان الوصول إلى جهاز واحد أو جدول بيانات واحد أو خادم واحد كافياً. تقودنا هذه الإخفاقات إلى الأهداف الأمنية الثلاثة التي سنعتمدها طوال هذه الدورة التدريبية.
تتمثل الأهداف الثلاثة في: السرية (Confidentiality)، التي تحمي الملفات الضريبية للعملاء من الاطلاع عليها من قبل أشخاص غير مصرح لهم بذلك؛ والسلامة (Integrity)، التي تضمن دقة جدول بيانات المبالغ المستردة وتمنع إجراء أي تعديلات غير مصرح بها؛ والتوافر (Availability)، الذي يضمن إمكانية الوصول إلى خادم الملفات عندما يحتاج الموظفون إلى سجلات الرواتب. وتشكل هذه العناصر الثلاثة معاً ما يُعرف بـ “ثالوث CIA”.
تُعد سرقة الكمبيوتر المحمول إخفاقاً في جانب السرية؛ لأن شخصاً غير مصرح له قد يطلع على الأسماء والعناوين وسجلات الدخل والوثائق الضريبية. وتساعد حماية الجهاز بكلمة مرور وتشفيره في منع هذا الانكشاف، بينما تساعد سجلات تسجيل الدخول وبلاغات فقدان الأجهزة “جوردان لي” -المسؤول العام عن تكنولوجيا المعلومات في الشركة- في اكتشاف احتمالية فشل تدابير الحماية.
يُعد تعديل جدول بيانات المبالغ المستردة إخفاقاً في جانب السلامة؛ لأن الموظفين قد يتخذون قرارات بناءً على أرقام لم تعد تطابق السجلات المعتمدة. ويساعد تقييد صلاحيات تعديل الجدول في منع التغييرات غير المصرح بها، كما تساعد مراجعة سجل الإصدارات أو رصد التغييرات غير المتوقعة في إجماليات المبالغ المستردة في اكتشاف تلك التعديلات. وتكمن النقطة الجوهرية هنا في أن جدول البيانات -وإن كان متاحاً للاستخدام- قد يظل غير آمن إذا كانت الأرقام الواردة فيه خاطئة.
يُعد توقف خادم الملفات عن العمل إخفاقاً في جانب التوافر؛ لأن “سام ريفيرا” لا يستطيع استرجاع سجلات العملاء اللازمة لمعالجة ملفات الرواتب. ويمكن استعادة إمكانية الوصول من خلال النسخ الاحتياطي، وأنظمة التخزين المكررة (redundant storage)، وإجراءات التعافي، بينما تكشف تنبيهات حالة تشغيل الخادم وأحداث فشل الوصول إلى الملفات عن حدوث الانقطاع. فقد يحافظ النظام على السرية والدقة، ومع ذلك يفشل في خدمة الأعمال إذا عجز الموظفون المصرح لهم عن استخدامه.
قد يعزز أحد تدابير التحكم هدفاً معيناً بينما يفرض ضغوطاً على هدف آخر؛ فعلى سبيل المثال، يحمي اشتراط الحصول على موافقة إضافية قبل تعديل أي ملف عنصر “السلامة”، إلا أن عملية الموافقة قد تؤدي إلى تأخير المهام العاجلة وتقليل مستوى “التوافر”. لذا، يتعين على المحلل أولاً تحديد هدف CIA المعرض للخطر، ثم اختيار تدبير للتحكم ومؤشر يمكنه الكشف عما إذا كان هذا التدبير قد أخفق في أداء وظيفته. وتربط المقارنة الواردة أدناه كل هدف من هذه الأهداف بأنظمة شركة “أوك فالي”.
يوضح هذا الجدول أن كل جانب من جوانب نموذج CIA (السرية والسلامة والتوافر) يقترن بإجراء وقائي وبأدلة يمكن للمحلل مراقبتها. لا يقتصر العمل الأمني على صد المهاجمين فحسب، بل يشمل أيضاً اكتشاف الحالات - مثل فقدان جهاز كمبيوتر محمول، أو تعديل سجل ما، أو تعطل خدمة - بسرعة كافية تتيح الاستجابة لها. [المصادر][/المصادر]
قاعدة للاختبار تمنع السرية الكشف غير المصرح به للمعلومات، وتمنع السلامة إجراء تعديلات غير مصرح بها، بينما يضمن التوافر إمكانية الوصول المصرح به عند الحاجة.
[المصادر][/المصادر]
نظراً لأن مبادئ CIA تنطبق على أصول محددة وليس على الشركة ككل، فإننا بحاجة إلى خريطة مشتركة توضح أماكن تخزين المعلومات وتداولها داخل شركة Oak Valley. تستخدم مايا باتيل (الشريك الإداري) وسام أجهزة كمبيوتر محمولة تعمل بنظام Windows 11 ومتصلة بشبكة Wi-Fi المكتبية. وتُستخدم هذه الأجهزة لإرسال واستقبال رسائل العملاء عبر البريد الإلكتروني Microsoft 365، والوصول إلى ملفات الضرائب الخاصة بالعملاء والمخزنة على خادم الملفات المحلي، وتسجيل الدخول إلى خدمة QuickBooks Online للتعامل مع السجلات المحاسبية. [المصادر][/المصادر]
توجد البيانات الحساسة في مواقع متعددة؛ إذ يحتوي خادم الملفات على ملفات الضرائب الخاصة بالعملاء وجداول البيانات المشتركة، وقد تتضمن صناديق البريد في Microsoft 365 مستندات ضريبية مرفقة وتعليمات للدفع، بينما تحتفظ خدمة QuickBooks Online بالسجلات المالية، كما قد تُخزَّن الملفات التي يتم تنزيلها مؤقتاً على أجهزة الكمبيوتر المحمولة. وتكتسب حدود صلاحيات حساب المسؤول الخاص بـ “جوردان” أهمية بالغة، لأن الحساب الذي يتمتع بصلاحيات واسعة للوصول إلى النظام يمكن أن يؤثر على العديد من هذه المواقع في آن واحد. [المصادر][/المصادر]
تنتقل البيانات عبر مسارات قد تكون هدفاً لتهديدات مستقبلية؛ فعلى سبيل المثال، قد تصل رسالة تصيد احتيالي من الإنترنت عبر Microsoft 365 ويفتحها أحد الموظفين على جهاز الكمبيوتر المحمول، مما قد يؤدي إلى انتقال بيانات الاعتماد أو الملفات إلى نظام آخر. وتتم عمليات الوصول إلى الملفات بالتنقل بين أجهزة الكمبيوتر المحمولة وخادم الملفات، بينما ينتقل الوصول إلى QuickBooks من جهاز الكمبيوتر المحمول عبر الإنترنت إلى الخدمة السحابية (عبر الإنترنت). ويقوم المخطط بتحديد مواقع هذه الأنظمة وحدودها تمهيداً لإجراء تحليل لاحق. [المصادر][/المصادر]