تحديد المخاطر وسجل المخاطر

المخاطر هي احتمال حدوث خسارة أو ضرر نتيجة استغلال تهديد لنقطة ضعف. وفي أمن المعلومات، يُعبَّر عن المخاطر باعتبارها مزيجًا من الاحتمالية (مدى احتمال وقوع الحدث) والأثر (مدى جسامة الضرر الناتج). ويسمح فهم المخاطر للمؤسسات باتخاذ قرارات أمنية مستنيرة وفعالة من حيث التكلفة، بدلًا من محاولة القضاء على كل تهديد محتمل.

يبدأ تحديد المخاطر بثلاثة عناصر أساسية. الأصل هو أي شيء ذي قيمة — مثل الخوادم أو قواعد البيانات أو الملكية الفكرية أو السمعة. والتهديد هو أي حدث محتمل قد يضر بأصل، مثل هجوم برمجيات الفدية أو موظف ساخط. أما نقطة الضعف فهي ضعف يمكن لتهديد استغلاله، مثل نظام لم تُثبت تحديثاته أو سياسة كلمات مرور ضعيفة. وتوجد المخاطر عندما تلتقي التهديدات بأصول غير محمية.

يتبع تحديد المخاطر بصورة منهجية عملية منظمة: أولًا، تحصر جردة الأصول كل ما له قيمة؛ ثم يحدد نمذجة التهديدات من قد يشن هجومًا وكيف يمكنه ذلك؛ وبعدها يجد تقييم نقاط الضعف مواطن الضعف في الأنظمة والعمليات. وأخيرًا، يربط المحللون التهديدات بنقاط الضعف لتحديد الأصول المعرضة فعليًا للخطر. وعادةً ما تتكرر هذه العملية سنويًا أو بعد إجراء تغييرات كبيرة.

يساعد تحديد قيمة الأصول في ترتيب الأولويات. تمتلك الأصول الملموسة (الأجهزة وتراخيص البرامج) قيمًا سوقية واضحة. أما الأصول غير الملموسة (سمعة العلامة التجارية وبيانات العملاء) فتتطلب تقديرًا مهنيًا — فقد تحدد الجهات التنظيمية قيمة لكل سجل من سجلات PII. وتسأل طريقة تكلفة الاستبدال عن تكلفة إعادة إنشاء الأصل؛ بينما يسأل أثر الأعمال عن مقدار خسارة الإيرادات الناتجة إذا أصبح الأصل غير متاح لمدة ساعة أو يوم أو أسبوع.

سجل المخاطر هو مستند حي يسجل جميع المخاطر المحددة في صيغة منظمة وقابلة للبحث. ويتضمن كل إدخال عادةً: وصف المخاطر، والأصول المتأثرة، ومصدر التهديد، ونقطة الضعف المستغلة، وتقييم الاحتمالية، وتقييم الأثر، ودرجة المخاطر، والضوابط الحالية، ومالك المخاطر المعيّن. وتعمل سجلات المخاطر كمرجع مركزي لأنشطة الحوكمة والتدقيق وتتبع المعالجة.

يقيّم عمود الاحتمالية مدى احتمال الاستغلال (من 1=نادر إلى 5=شبه مؤكد). ويقيّم عمود الأثر العواقب من حيث الخسارة المالية أو العقوبة التنظيمية أو التوقف التشغيلي (من 1=ضئيل إلى 5=كارثي). وينتج عن ضرب القيمتين درجة مخاطر تُستخدم لترتيب الأولويات. ويسجل حقل المخاطر المتبقية المخاطر الباقية بعد تطبيق الضوابط، مما يضمن عدم افتراض وصولها إلى الصفر.

يجب أن يكون لكل خطر في السجل مالك مخاطر محدد بالاسم — عادةً ما يكون مديرًا للأعمال أو مالكًا للنظام، وليس فريق الأمن. ويتحمل مالك المخاطر مسؤولية ضمان تنفيذ الضوابط وبقاء المخاطر المتبقية ضمن الحدود المقبولة. ويقدم فريق الأمن المشورة ويراقب المخاطر، لكنه لا يستطيع امتلاك جميع المخاطر، لأن ذلك ينشئ مسؤولية فردية واحدة لا يمكن توسيع نطاقها لتشمل المؤسسة بأكملها.

تساعد عدة أطر في تنظيم تحديد التهديدات. يصنف STRIDE (انتحال الهوية، والعبث، والتنصل، وكشف المعلومات، وحجب الخدمة، وتصعيد الامتيازات) التهديدات التي تستهدف كل مكوّن من مكونات النظام. أما PASTA (عملية محاكاة الهجوم وتحليل التهديدات) فهي منهجية تتمحور حول المخاطر وتربط أهداف المهاجمين بها. ويقيّم DREAD التهديدات وفقًا للضرر، وقابلية التكرار، وقابلية الاستغلال، والمستخدمين المتأثرين، وقابلية الاكتشاف — رغم أن DREAD أقل شيوعًا في الممارسة الحديثة.

لا يمكن تحديد المخاطر دون العثور على نقاط الضعف أولًا. وتشمل المصادر الرئيسية: ماسحات نقاط الضعف (Nessus وOpenVAS) التي تختبر الأنظمة مقابل CVEs المعروفة؛ وتقارير اختبار الاختراق التي تتحقق من قابلية الاستغلال؛ وتدقيقات التهيئة التي تقارن الإعدادات بالمعايير المرجعية لـ CIS؛ وموجزات معلومات التهديدات التي تسلط الضوء على نقاط الضعف المستغلة حاليًا. كما تكشف تقارير التدقيق الداخلي والتقييمات الذاتية نقاط ضعف على مستوى العمليات قد تفوتها عمليات الفحص التقنية.

يجب أن تراعي سجلات المخاطر كلاً من التهديدات الداخلية (الموظفين والمتعاقدين والأنظمة التي تمت تهيئتها بشكل خاطئ) والتهديدات الخارجية (المخترقين والجهات الفاعلة التابعة للدول واختراقات سلسلة التوريد). وغالبًا ما تكون للتهديدات الداخلية آثار أكبر، لأن المطلعين يملكون صلاحية الوصول مسبقًا — إذ يمكن لموظف ساخط تهريب البيانات دون تفعيل ضوابط المحيط. وتعالج برامج التهديدات الداخلية التي تراقب الشذوذات السلوكية فئة من المخاطر لا تستطيع الضوابط التقنية وحدها التخفيف منها.

سجل المخاطر ليس مخرجًا يُسلَّم مرة واحدة، بل يجب مراجعته وتحديثه كلما حدثت تغييرات مهمة، مثل نشر أنظمة جديدة، أو إعادة هيكلة المؤسسة، أو الإفصاح عن CVEs جديدة، أو ظهور نتائج ما بعد الحوادث. تربط معظم المؤسسات المراجعات الرسمية لسجل المخاطر بالمراجعات الأمنية السنوية، وعمليات إدارة التغيير، وعمليات تدقيق الامتثال. وتؤدي سجلات المخاطر غير المحدَّثة إلى ثقة زائفة، وقد تتسبب في بقاء حالات تعرّض بلا موارد مخصصة أثناء التغييرات السريعة في البنية التحتية.

اختبروا مدى فهمكم لمفاهيم CompTIA Security+ (SY0-701) الواردة في هذا الدرس.

تعلمتم في هذا الدرس أن المخاطر تجمع بين الاحتمالية والأثر لتحديد أولويات القرارات الأمنية، وأن سجلات المخاطر توثّق الأصول والتهديدات ونقاط الضعف والدرجات والمسؤولين والمخاطر المتبقية، وأن تقنيات نمذجة التهديدات مثل STRIDE تساعد على تحديد ما قد يحدث من أخطاء بطريقة منهجية. بعد ذلك، سنستكشف أساليب تحليل المخاطر النوعي مقابل الكمي.