سرقة البيانات: المخاطر والنتائج وكيفية تجنبها

منذ عدة سنوات، أصبحت الشركات أكثر من أي وقت مضى عرضة للهجمات التي تستهدف سرقة البيانات. يمكن أن تشمل هذه الهجمات الهياكل الكبيرة (مثل هجوم أوبر في عام 2022)، فضلاً عن الشركات الصغيرة. في الواقع، فإن هذه الشركات، على الرغم من أنها في كثير من الأحيان تكون أقل ثراءً بالمعلومات، إلا أنها أسهل في التعرض للاختراق.

يمكن أن يحدث سرقة البيانات عبر عدة وسائل:

في المجمل، فقد تم تأثير أكثر من 353 مليون شخص من الأشخاص بتسرب البيانات المُبلَّغ عنها في عام 2023، في الولايات المتحدة. ولا يجب أن نتجاهل تلك التي لم يتم الإبلاغ عنها... في عام 2023، أكدت شركة IBM أن التكلفة المتوسطة لسرقة البيانات لشركة ما تصل إلى حوالي 4.5 مليون دولار. سندرس معًا لماذا، وكيفية تحديد هذه التكلفة.

التدابير الإصلاحية

بعد اكتشاف سرقة البيانات، من الضروري التصرف بسرعة، من خلال تحديد طبيعة السرقة (بيانات الموظفين، أسرار التصنيع، الأعمال)، وكذلك كيفية حدوث ذلك. من ثم، يمكن إعداد خطة لاحتواء هذا الانتهاك.

ومع ذلك، يمكن أن تترتب على هذه المرحلة تكلفة كبيرة: استدعاء فريق متخصص في سياق أزمة سيبرانية، وإمكانية توقف أعمال الشركة مؤقتًا حتى تستقر الأوضاع...

كما أنه من الضروري أيضًا التفكير في "ما بعد الهجوم"؛ حيث بعد تعلم الدروس من الهجوم، إنشاء تدابير أمنية جديدة يمثل نهجًا جديدًا بشأن حماية البيانات. عندما تحدث هذه المرحلة بعد حدوث غير متوقع (أو عندما لا يتم توقعها على الإطلاق)، يمكن أن تكون مكلفة للغاية بسرعة.

استخدام البيانات من قبل المهاجم

من الضروري أيضًا دراسة البيانات التي تم سرقتها بعناية. في الواقع، إذا كانت تتعلق بأعمال الشركة، أو أسرار التصنيع، أو طرق العمل، فإن هذه البيانات تحمل مخاطر كبيرة من الظهور للبيع على الإنترنت. هذا يعني ضمنًا تأثيراً كبيرًا على الأعمال: يمكن للشركات المنافسة فهم عملك والتكيف وفقًا لذلك. أو حتى، معرفة فريدة لديك، والتي تصبح معرضة للجميع.

أيضًا، لا يجب أن ننسى أنه إذا لم تظهر هذه البيانات مباشرة بعد السرقة، فمن الممكن تمامًا (وحتى محتمل) أن نراها تعود في المستقبل. على سبيل المثال، يمكن تنفيذ عمليات احتيال بالصيد الاحتيالي بمعلومات مسروقة بعد سنوات، حين يمر الوقت بعد "العاصفة". يمكن أن يكون هذا مدمرًا ويؤثر مرة أخرى على عملك.

النتائج القانونية

إذا لم تحترم الشركة التي تعرضت لسرقة البيانات القوانين المختلفة المتعلقة بحماية البيانات، يمكن مقاضاتها من قبل الأفراد الذين تعرضوا لهذه السرقة.

لذلك، في أوروبا، من الضروري اتباع إجراءات الالتزام بقواعد الحماية العامة للبيانات (GDPR) بشكل أساسي. كما يجب من 17 أكتوبر 2024، على الدول الأعضاء في الاتحاد الأوروبي الامتثال لقواعد التوجيه NIS 2. يجب تطبيق هذا التوجيه الذي دخل حيز التنفيذ في عام 2022 على وجه السرعة، لحماية البيانات وفي حالة وقوع هجوم.

بالتأكيد، في بعض الأحيان، تمر بعض الهجمات دون أن تحول دونها الحمايات الموجودة، على الرغم من احترام التوجيه وقانون حماية البيانات العامة. ولكن هذا يحمي من النفقات القانونية والغرامات الأخرى في حال نجاح الهجوم. على سبيل المثال، في فرنسا، يمكن معاقبة مسؤولي تلك البيانات من قبل اللجنة الوطنية للمعلوماتية وحقوق الأفراد (CNIL) بنسبة تصل إلى 4٪ من الإيرادات السنوية العالمية للشركة.

يرجى ملاحظة أنه في حالة تسرب بيانات شخصية، يكون المسؤول عن البيانات عادة رئيس الشركة. هذا يحدث بشكل خاص في الشركات الصغيرة والمتوسطة. ومع ذلك، يمكن تفويض هذه المسؤولية إلى مدير الموارد البشرية أو مدير تكنولوجيا المعلومات في الشركات التي لا تتيح لرئيس الشركة إمكانية مراقبة فعالة.

فقدان التنافسية والسمعة

بعد سرقة البيانات، قد تبقى الشركة لعدة أشهر بصورة مشوهة. قد يرفض العملاء وشركاء الأعمال العمل مرة أخرى مع الشركة. بالتأكيد، بعد سرقة البيانات، تستثمر الشركة الوقت والمال بشكل محدد بسبب الهجوم، مما يؤدي إلى انخفاض جوهري في مؤشر تنافسيتها.

بالمثل، يمكن أن يثير ذلك قلق الشركاء الذين يعملون مع هذه الشركة، خوفًا من أن تكون بياناتهم قد تم استردادها. كما يمكن أن يكون هناك مخاوف من أن الإصلاح لم يكن فعالًا تمامًا، أو ببساطة أن يتكرر ذلك. باختصار، يقل مؤشر الثقة أيضًا.

يؤدي ذلك إلى تكاليف مخفية رئيسية، تصعب تقديرها بقدر ما تعتمد على حالة الشركة قبل السرقة، وكذلك نجاحها في مرحلة الإصلاح.

كيفية تجنب سرقة البيانات؟

لتجنب سرقة البيانات، يجب على الشركات اتخاذ تدابير لحماية أنفسها من هذه الهجمات. فيما يلي قائمة غير شاملة من التدابير الموصى بها:

الامتثال
كما شرحنا سابقًا، فمن الضروري الآن الامتثال للتشريعات المتعلقة بحماية البيانات، مثل اللائحة العامة لحماية البيانات (GDPR) وتوجيه NIS 2 (في أوروبا)، لتجنب العقوبات القانونية والمالية. يتضمن ذلك اتخاذ التدابير لحماية البيانات الشخصية، بالطبع، ولكن أيضًا الإبلاغ السريع عن انتهاكات البيانات للسلطات المختصة. ولهذا، من الضروري إجراء تقييم للمخاطر في منظمتك، لوضع سياسة أمنية شاملة استنادًا إلى الأخطار المحددة. يجب أن تشارك إدارتك في هذه العملية، لأن توجيه NIS 2 يدخل مفهوم مسؤولية الإدارة عن الأمان.

تدريب الموظفين
من الجيد دائمًا تذكير أن 80٪ من حالات الهجمات الإلكترونية مرتبطة بخطأ بشري. لذا، من الضروري تدريب الموظفين على الصيد الاحتيالي وغيره من الأخطاء الممكنة على الإنترنت. ولهذا، من المستحسن تنفيذ حملات صيد احتيالي بانتظام، لاختبار مستوى معرفة الموظفين بالأمان السيبراني. استنادًا إلى النتائج، يصبح من الأسهل تنفيذ تدريبات تكميلية حسب الحاجة.

تطبيق حلول أمنية قوية
أيضًا، من الضروري تنفيذ تدابير أمنية قوية: سياسة كلمات مرور قوية، وإدارة الوسائط المحمولة بشكل متقن، وتثبيت برامج مكافحة الفيروسات وجدار الحماية، وتحديث البرامج بانتظام، بما في ذلك تلك المتعلقة بالأمان.

استخدام خدمة SOC المدارة
غالبًا ما تفتقر الهياكل الصغيرة والمتوسطة الحجم إلى الوقت والموارد لإنشاء مركز عمليات الأمن (SOC) لمراقبة ومراقبة وتحليل أمان معلومات شركتهم. لذا، يُمكن اللجوء إلى خدمة SOC المدارة؛ وهي SOC يُكلف بها شركة متخصصة في هذا النوع من الخدمات. هذا الحل يعتبر أقل تكلفة، حيث يتيح للهيكل الاقتصادي تجنب الاستثمار في معدات وموظفي أمان داخل الشركة نفسها.

تحديد وتصنيف البيانات الحساسة
من الموصى به بشدة تصنيف بياناتك داخل الشركة، لتحديد الحدود الأمنية المختلفة وفقًا للاحتياج والأمان. على سبيل المثال، يمكن أن تكون بعض البيانات مخزنة على سحب سحابية آمنة، أو على وسائط في موقع معين مؤمن. بالإضافة إلى ذلك، يسمح تصنيف البيانات بتحديد من يمكن الوصول إليها داخل المؤسسة، وبالتالي تقليل عوامل الاختراق.

الختام

يمكن أن يؤدي سرقة البيانات إلى تأثيرات عديدة على الشركة؛ ليس فقط على النظام المعلوماتي المتضرر، ولكن أيضًا على الجوانب التجارية والقانونية والبشرية داخل الشركة. لذلك، يُوصى بشدة باتباع التوصيات المذكورة أعلاه، لتقليل مخاطر التعرض للاختراق.