الأصول، والتهديدات، واختيار الضوابط بتناسب

الجهد الأمني محدود: الوقت، والمال، ومقدار الاحتكاك الذي ستتحمله أنت وزملاؤك قبل التخلي عن إجراء وقائي. توجد النشرة الخاصة رقم 800-30 من NIST، دليل تقييم المخاطر التابع للحكومة الأمريكية، لجعل ذلك الجهد يقع حيث يهم. تعرّف تقييم المخاطر بأنه «عملية تحديد المخاطر وتقديرها وترتيب أولوياتها»، وفكرتها الأساسية تُقاس بسهولة إلى حجم أصغر: يمكن لمنظمة غير حكومية من شخصين أن تمر بالأسئلة الأربعة نفسها التي تمر بها وكالة كبيرة، فقط بشكل أسرع وبأوراق أقل.

المصطلحات الأربعة التي تجعل تقييم المخاطر يعمل

مثال محلول: قائمة المتبرعين

خذ جدول بيانات المتبرعين الخاص بمنظمة غير حكومية صغيرة، المحفوظ في مجلد سحابي مشترك. الأصل هو أسماء المتبرعين وبريدهم الإلكتروني ومبالغ تبرعاتهم. التهديد المحتمل رسالة تصيّد احتيالي إلى من لديه صلاحية تعديل، بهدف سرقة تسجيل دخوله. الثغرة هي أن رابط المجلد يحتاج فقط إلى كلمة مرور، لا إلى عامل ثانٍ، وأن تلك الكلمة مُعاد استخدامها في مكان آخر. الاحتمال ذو دلالة (التصيّد الاحتيالي شائع، كما في الدرس السابق)، والأثر حقيقي لكنه ليس كارثيًا: إحراج، وربما بعض قلق المتبرعين، لا خطر جسدي. تشير هذه التركيبة إلى ضوابط متناسبة: تحقق بخطوتين على الحساب، وكلمة مرور فريدة، وحصر صلاحية التعديل بمن يحتاجها فعليًا — لا، مثلًا، إخراج القائمة من الإنترنت كليًا أو شراء برنامج أمان مؤسسي لا تستطيع المنظمة صيانته.

مثال محلول: هوية المصدر

الآن خذ معرفة صحفي بمصدر سري داخل جهاز حكومي. الأصل هو هوية المصدر. التهديد جهة تابعة لدولة تملك سلطة قانونية لطلب السجلات، ودافعًا كافيًا لاستخدام تلك السلطة فعليًا (تذكّر نموذج الخصم من الدرس الأول: هذه الجهة لديها موارد حقيقية وتحمّل منخفض للمخاطرة). قد تكون الثغرة أن مزود خدمة هاتف المراسل يسجّل من اتصل بمن، أو أن الملاحظات موجودة في تطبيق ملاحظات عادي غير مشفَّر. قد يكون الاحتمال أقل من حالة التصيّد الاحتيالي، لكن الأثر شديد — قد يفقد المصدر وظيفته أو حريته أو سلامته. تبرر هذه التركيبة ضوابط أكبر بكثير من مثال قائمة المتبرعين: أجهزة منفصلة للتغطية الحساسة، والتواصل عبر Signal بدلًا من المكالمات أو الرسائل النصية العادية، وكما في الدرس التالي، اعتبار هذه حالة تستدعي مساعدة خبراء لا دفاعات ذاتية التعلّم.

مواءمة الجهد مع الخطر، لا مع الخوف

تصوغ NIST 800-30 هذا بوصفه تقييمًا للمخاطر «فيما يتعلق بالتقنية، والعمليات، والأفراد، [و]المؤسسة» واختيار استجابة: قبول خطر صغير، أو تقليله بضابط، أو في حالات نادرة نقله أو تجنّبه كليًا (على سبيل المثال، بعدم الاحتفاظ بمعلومة معيّنة أصلًا). الانضباط هنا هو مقاومة خطأين متعاكسين: معاملة كل خطر بوصفه كارثيًا، وهو ما يُنهك الأشخاص والميزانيات على ضوابط لا يحافظ عليها أحد، ومعاملة كل خطر بوصفه مقبولًا، وهو ما يترك التهديد الحقيقي الوحيد دون معالجة. نسخة من خمس دقائق من هذا التحليل، مكتوبة ومُراجَعة عند تغيّر الظروف، أفضل من إحساس غير مكتوب بأنه "ربما ينبغي أن نكون أكثر حذرًا".

قائمة تحقق قصيرة لإعادة استخدامها

• اسرد الأمرين أو الثلاثة التي تخشى أكثر من غيرها أن تُكشَف أو تُفقَد أو تُدمَّر.
• لكل منها، حدد الخصم الواقعي من الدرس الأول — لا الأكثر إثارة للرعب الذي يمكنك تخيله.
• حدد نقطة ضعف ملموسة واحدة يمكن لذلك الخصم استغلالها فعليًا.
• قيّم الاحتمال والأثر بصدق، ثم اختر ضابطًا بحجم يناسب ذلك التقييم.
• دوّن القرار؛ وراجعه إذا تغيّر عملك أو بياناتك أو الخصم.