أساسيات الأمن السيبراني للشركات الصغيرة والمتوسطة في السعودية

يظن كثير من أصحاب المنشآت الصغيرة والمتوسطة أن المهاجمين لا يلتفتون إلا إلى الشركات الكبرى، والواقع أن ضعف الحماية هو ما يجذب المهاجم في الغالب لا حجم الشركة. فالبريد الإلكتروني والفواتير وبيانات العملاء أصول ثمينة مهما صغرت المنشأة.

يجمع هذا الدليل الأساسيات التي يمكن لأي شركة أن تبدأ بها دون فريق أمني متخصص، مع ترتيبها بحسب أثرها الفعلي في تقليل المخاطر.

1. أكثر التهديدات شيوعًا التي تواجه المنشآت الصغيرة

لا تحتاج المنشأة إلى فهم كل أنواع الهجمات، بل إلى معرفة الأنماط المتكررة التي تستهدف أمثالها، لأن معظم الحوادث تبدأ من نقطة بسيطة يمكن سدّها.

• التصيد الاحتيالي: رسائل بريد أو رسائل نصية تنتحل صفة بنك أو جهة حكومية أو مورّد، وتطلب الضغط على رابط أو إدخال بيانات دخول.
• برامج الفدية: برمجيات تشفّر ملفات الشركة وتطالب بمبلغ مقابل فكّها، وقد تتسرب البيانات حتى لو دُفع المبلغ.
• الاحتيال على المدفوعات: رسالة تبدو صادرة من مدير أو مورّد تطلب تحويلًا عاجلًا إلى حساب جديد.
• سرقة بيانات الدخول: استغلال كلمات مرور ضعيفة أو مكررة سُرّبت من مواقع أخرى.
• الأجهزة غير المحدّثة: ثغرات معروفة في أنظمة التشغيل أو البرامج لم تُطبَّق تحديثاتها بعد.

2. كلمات المرور والتحقق متعدد العوامل

تبقى بيانات الدخول المسروقة من أسهل الطرق إلى داخل أي شركة، لذلك فإن إحكام هذا الباب يحقق أثرًا كبيرًا بجهد محدود. والفكرة الأساسية أن كلمة المرور وحدها لم تعد كافية، مهما بلغ تعقيدها.

ابدأ بسياسة واضحة: كلمات مرور طويلة يسهل تذكرها على هيئة عبارة، وعدم تكرار كلمة المرور بين الخدمات، واستخدام مدير كلمات مرور معتمد على مستوى الشركة بدلًا من الدفاتر والملفات المشتركة. ثم فعّل التحقق متعدد العوامل على كل حساب يدعمه، وفي مقدمتها البريد الإلكتروني والخدمات السحابية والخدمات المصرفية وحسابات الإدارة.

مثال توضيحي: لنفترض أن موظفًا في قسم المبيعات استخدم كلمة مرور بريده نفسها في موقع خارجي تعرّض للاختراق. إذا كان التحقق متعدد العوامل مفعّلًا، فإن المهاجم الذي حصل على كلمة المرور سيتوقف عند طلب الرمز الإضافي، ويصل إلى الموظف تنبيه بمحاولة دخول مريبة يمكن الإبلاغ عنها فورًا.

3. التحديثات وإدارة الأجهزة

كل تحديث أمني يصدره مطوّر نظام أو برنامج يعني أن هناك ثغرة أصبحت معروفة للجميع، ومن ضمنهم المهاجمون. ولهذا فإن تأجيل التحديثات يترك الباب مفتوحًا أمام هجمات جاهزة لا تتطلب مهارة عالية.

• التحديث التلقائي: فعّله لأنظمة التشغيل والمتصفحات وبرامج المكتب على جميع الأجهزة.
• قائمة الأصول: احتفظ بسجل محدّث لكل جهاز وخادم وبرنامج تستخدمه الشركة، فلا يمكن حماية ما لا تعرف بوجوده.
• الأجهزة الشخصية: ضع قواعد واضحة لاستخدام الهواتف والحواسيب الشخصية في العمل، مثل اشتراط قفل الشاشة والتشفير.
• الأنظمة القديمة: حدّد الأجهزة أو البرامج التي توقف دعمها الأمني، وخطّط لاستبدالها أو عزلها عن الشبكة.
• الشبكة: غيّر كلمات المرور الافتراضية لأجهزة التوجيه والطابعات، وافصل شبكة الضيوف عن شبكة العمل.

4. النسخ الاحتياطي واستمرارية الأعمال

النسخ الاحتياطي هو خط الدفاع الأخير حين تفشل الوسائل الأخرى، وهو ما يحدد إن كانت الشركة ستعود إلى العمل خلال ساعات أو ستتوقف أيامًا. غير أن النسخة الاحتياطية التي لم تُختبر قط لا يمكن الاعتماد عليها.

اتبع قاعدة الاحتفاظ بأكثر من نسخة، على وسائط مختلفة، مع نسخة واحدة على الأقل معزولة أو غير قابلة للتعديل، حتى لا تصل إليها برامج الفدية إذا أصابت الشبكة. وحدّد لكل نظام حيوي المدة المقبولة لتوقفه وحجم البيانات الذي يمكن تحمّل فقدانه، ثم اضبط جدول النسخ بناءً على ذلك.

مثال توضيحي: لنفترض أن متجرًا إلكترونيًا تعرّض لبرنامج فدية شفّر خادم الطلبات. إذا كانت لديه نسخة معزولة حديثة جرى اختبار استعادتها، فسيقرر الفريق إعادة بناء الخادم من النسخة بدلًا من التفاوض مع المهاجم، ويقتصر الضرر على الطلبات التي وردت بعد آخر نسخة.

5. توعية الموظفين وصلاحيات الوصول

الموظف المدرَّب هو أكثر وسائل الكشف المبكر فاعلية، لأن كثيرًا من الهجمات تمر عبر رسالة يقرؤها إنسان قبل أن تصل إلى أي نظام. والتوعية الفعالة قصيرة ومتكررة ومرتبطة بمواقف العمل اليومية، لا محاضرة سنوية طويلة.

• التدريب العملي: أمثلة حقيقية على رسائل التصيد وطريقة التحقق من المرسل والروابط.
• قناة إبلاغ سهلة: يجب أن يعرف كل موظف إلى من يبلّغ عن رسالة مريبة دون خوف من اللوم.
• أقل صلاحية لازمة: يحصل كل موظف على صلاحيات الأنظمة التي يحتاجها لعمله فقط، وتُراجع دوريًا.
• حسابات الإدارة المنفصلة: لا تُستخدم حسابات المسؤولين في التصفح أو البريد اليومي.
• إغلاق الحسابات فورًا: تُعطَّل صلاحيات الموظف المغادر في يوم مغادرته، بما فيها الخدمات السحابية.

6. خطة الاستجابة للحوادث

لا تُقاس جاهزية المنشأة بعدم وقوع الحوادث، بل بسرعة تعاملها معها حين تقع. والخطة المكتوبة، ولو كانت صفحة أو صفحتين، تمنع الارتباك في اللحظات التي يكون فيها كل قرار مكلفًا.

ينبغي أن تجيب الخطة عن أسئلة محددة: من المسؤول عن إدارة الحادثة، ومن يُبلَّغ داخليًا وخارجيًا، وكيف تُعزل الأجهزة المصابة، وأين تُحفظ أرقام التواصل مع مزود الخدمة التقنية والجهات المعنية. كما ينبغي توثيق ما حدث وما اتُّخذ من إجراءات، لأن ذلك يفيد في التحقيق وفي تحسين الحماية لاحقًا.

مثال توضيحي: لنفترض أن محاسبًا لاحظ أن أحد المورّدين أرسل طلبًا لتغيير رقم حسابه البنكي. وفق الخطة، يتوقف المحاسب عن التحويل، ويتصل بالمورّد على رقم معروف مسبقًا لا على الرقم الوارد في الرسالة، ويبلّغ مسؤول الأمن الذي يراجع البريد بحثًا عن اختراق محتمل.

7. الامتثال والأطر التنظيمية في المملكة

لا ينفصل الأمن السيبراني في المملكة عن الإطار التنظيمي، فالهيئة الوطنية للأمن السيبراني تصدر ضوابط وأدلة إرشادية تساعد الجهات على بناء حماية منظمة، ويمكن للمنشآت الصغيرة الاستفادة منها مرجعًا حتى إن لم تكن ملزمة بجميع تفاصيلها.

كذلك يفرض نظام حماية البيانات الشخصية التزامات على من يجمع بيانات الأفراد أو يعالجها، ومنها حماية هذه البيانات بإجراءات مناسبة، والتعامل مع حوادث تسربها وفق ما يقرره النظام ولوائحه. لذلك من المفيد أن تعرف الشركة أين تُخزَّن بيانات عملائها وموظفيها، ومن يصل إليها، وكم تحتفظ بها.

ويُستحسن الرجوع إلى النصوص الرسمية المنشورة أو إلى مستشار مختص عند تحديد الالتزامات الدقيقة، لأن التفاصيل تختلف بحسب نشاط المنشأة وطبيعة البيانات التي تعالجها.

الخلاصة

الأمن السيبراني للمنشآت الصغيرة والمتوسطة ليس مشروعًا تقنيًا معقدًا بقدر ما هو مجموعة عادات منضبطة: تحقق متعدد العوامل، وتحديثات منتظمة، ونسخ احتياطية مختبرة، وموظفون يعرفون كيف يكتشفون الرسائل المريبة، وخطة مكتوبة لما يجب فعله عند وقوع حادثة. ابدأ بالبنود الأعلى أثرًا، وهي غالبًا حماية البريد الإلكتروني والحسابات الإدارية والنسخ الاحتياطي، ثم انتقل إلى بقية البنود تدريجيًا بحسب ما تسمح به موارد الشركة ووقت فريقها. ثم راجعها بصورة دورية مع نمو الشركة وتغيّر أنظمتها، واجعل الأمن جزءًا من طريقة العمل اليومية لا مهمة تُنجز مرة واحدة ثم تُنسى.