بقلم: فيل مونكاستر
كاتب ضيف في " ESET "
لا يحظى الأمن السيبراني للشركات الصغيرة والمتوسطة دائمًا بالاهتمام الذي يستحقه، حتى من قبل الشركات الصغيرة نفسها. وهذا أمرٌ مثير للقلق لأسباب عديدة، أبرزها أن هذه الشركات تُشكّل 90% من الشركات في العالم، و70% من موظفيه، و50% من الناتج المحلي الإجمالي العالمي، وفقًا للمنتدى الاقتصادي العالمي. ومع محدودية الموارد المخصصة للأمن السيبراني، يجب تخصيص الأموال بأقصى قدر من الفعالية.
بالنسبة لهذه الشركات، ينبغي أن تكون المرونة السيبرانية هي الهدف الأساسي - أي القدرة على مواصلة العمل والتعافي حتى أثناء وقوع حادث خطير. ولكن من أين تبدأ هذه الرحلة؟ يتمحور الاستعداد السيبراني حول وضع العمليات والضوابط اللازمة لمنع التهديدات واكتشافها والاستجابة لها. يُفصّل تقرير جديد من ESET مدى نجاح الشركات الصغيرة والمتوسطة في هذا المجال، وما هي أكبر التحديات التي تواجهها، وما يجب فعله لاحقًا.
لا تختلف الشركات الصغيرة والمتوسطة، في كثير من النواحي، عن نظيراتها الأكبر حجمًا. فهي تواجه بيئة تهديدات تتطور باستمرار بوتيرة متسارعة، حيث يستغل المهاجمون أحدث التقنيات لزيادة حجم الهجمات ونطاقها وسرعتها. ويتسع نطاق الهجمات الإلكترونية على الشركات مع كل أداة رقمية جديدة واستثمار جديد. ويبقى الموظفون مصدرًا للمخاطر. كما يتعين على الشركات تلبية عدد متزايد من المتطلبات التنظيمية.
ووفقًا لتقرير ESET، تعرضت 45% من الشركات الصغيرة والمتوسطة لحادثة سيبرانية العام الماضي، بل إن نسبة أكبر (61%) تخشى التعرض لهجوم خلال الاثني عشر شهرًا القادمة. ويتمثل قلقها الأكبر في فقدان البيانات، وتعطيل العمليات، والتأثير المالي.
هذه هي أنواع المخاوف التي يتشاركها أصحاب الشركات الصغيرة والمتوسطة مع مسؤولي أمن المعلومات ومجالس إدارة أكبر الشركات متعددة الجنسيات. وهي تُبرز الأهمية البالغة للاستعداد السيبراني لأعمال الشركات، ولماذا يجب أن يكون الأمن السيبراني شرطًا أساسيًا - لا وظيفة تقنية معلومات منعزلة، بل جزءًا لا يتجزأ من ثقافة الشركة وعملياتها. يُعدّ هذا التحوّل بالغ الأهمية، فبينما تتعافى العديد من الشركات الصغيرة والمتوسطة في نهاية المطاف، لا يزال 34% منها يحتاج إلى ما بين أسبوعين وستة أسابيع لحلّ أيّ حادثة أمنية، وهي فترة طويلة من المعاناة التشغيلية التي قد تكون كارثية بالنسبة للعديد من الشركات.
يكشف التقرير أيضًا أن معظم الشركات الصغيرة والمتوسطة (73%) تُدمج الذكاء الاصطناعي في أعمالها، على الرغم من إدراكها أن ذلك سيُضيف مخاطر جديدة. ولكن هناك أيضًا مخاوف بشأن إمكانية استخدامه في الأيدي الخطأ. في الواقع، يُصنّف غالبية المشاركين في الاستطلاع البرامج الضارة المدعومة بالذكاء الاصطناعي على أنها "التهديد الأكثر إثارة للقلق". فهل ينبغي أن تحظى بهذا القدر من الاهتمام؟
الحقيقة هي أن البرامج الضارة التي تستخدم الذكاء الاصطناعي بطريقة آلية وفورية لا تزال غير شائعة، على عكس ما قد تُشير إليه عناوين الأخبار. فمشاهداتها نادرة نسبيًا، مما يجعلها موضوعًا يُركّز عليه باحثو الأمن السيبراني أكثر من كونها مصدر قلق بالغ للشركات الصغيرة والمتوسطة.
إذا نظرنا إلى حوادث الأمن السيبراني الفعلية، نجد أن المشتبه بهم المعتادين هم المسؤولون عن غالبية هذه الحوادث. تتصدر عمليات التصيد الاحتيالي والثغرات الأمنية غير المُعالجة قائمة المخاطر، وهو ما يتوافق مع بيانات من مصادر أخرى، مثل أحدث تقرير لشركة فيريزون، الذي يُشير إلى استغلال الثغرات والتصيد الاحتيالي كأحد أهم ثلاثة أساليب للوصول الأولي إلى الشركات الصغيرة والمتوسطة. كما تُصنف كلمات المرور الضعيفة ونقص المراقبة الأمنية ضمن المخاطر العالية في بيانات ESET.
أما فيما يتعلق بالذكاء الاصطناعي، فإن التهديد الأشد خطورة يأتي من الداخل. فبحسب تقرير DBIR، يُعد الذكاء الاصطناعي الخفي ثالث أكثر أنواع الأنشطة الداخلية غير الخبيثة شيوعًا. وفي الوقت نفسه، ورغم أن البرامج الضارة المدعومة بالذكاء الاصطناعي قد لا تُمثل مصدر القلق الأكبر، إلا أن الذكاء الاصطناعي والأتمتة يُساعدان الجهات الفاعلة في مجال التهديدات على تطوير مهاراتها وتوسيع نطاق جهودها، وذلك في مجالات الهندسة الاجتماعية، وبحوث الثغرات الأمنية واستغلالها، وغيرها من التهديدات التقليدية. وفي هذا السياق، تُبدي الشركات الصغيرة والمتوسطة التي تحدثت إليها ESET رغبةً كبيرة في استخدام الذكاء الاصطناعي لمواجهة التهديدات بالمثل، وذلك من خلال توقع التهديدات قبل وقوعها، وتسريع تحديد الهجمات والتخفيف من آثارها، والكشف عن الهندسة الاجتماعية.
يكمن التحدي في أن هذه الأدوات إما غير متوفرة، أو أن الشركات الصغيرة والمتوسطة لا تستطيع الاستفادة منها في كثير من الأحيان.
تُحرز الشركات الصغيرة والمتوسطة التي تتبنى برامج تدريبية للتوعية بالأمن السيبراني تقدماً ملحوظاً نحو تعزيز جاهزيتها السيبرانية. ولكن هل تتخذ هذه البرامج بشكل استباقي؟ تشير دراسة أجرتها ESET إلى أن نسبة تبني التدريب هي الأعلى بين الشركات التي تعرضت لحوادث متعددة (81% مقابل 53%). كما تُظهر هذه المؤسسات ثقة أكبر في قدرتها على الصمود، ربما لأنها تبنت، بشكل استباقي، أفضل ممارسات الأمن السيبراني.
في الوضع الأمثل، ستتحول الشركات الصغيرة والمتوسطة من عقلية "أن تأتي متأخراً خير من ألا تأتي أبداً" إلى عقلية تُدرك فيها فوائد الجاهزية السيبرانية قبل وقوع أي حادثة تُلقنها دروساً قاسية.
الخبر السار هو أن أربعة من كل خمسة مشاركين في الاستطلاع يرون أن ميزانية الأمن لديهم كافية أو أكثر من كافية، بينما يتوقع نصفهم زيادتها في العام المقبل. وهذا يدل على التخطيط الذكي وتخصيص الموارد بشكل سليم، بما في ذلك الاستعانة بمصادر خارجية حيثما يكون ذلك مجدياً من الناحيتين المالية والتشغيلية.
