الكفاية الأمنية لشبكة الإنترنت في البلدان العربية

[ابو وليد البحيرى]

الكفاية الأمنية لشبكة الإنترنت في البلدان العربية

حسن مظفر الرزّو

المستخلَص

تهدف أنشطة الكفاية الأمنية - المعلوماتية إلى حماية البِنية المعلوماتية للمؤسَّسات، وحصانتها إزاء مُحاولات الاختراق المعلوماتي، التي تستهدف شبكة الحواسيب، والملحقات المرتبطة بها.
تعتمد الكفاية المعلوماتيَّة للمؤسسة، على الخصائص التقنية للمعدَّات الحاسوبيَّة المستخدمة في شبكة المعلومات، وطبيعة سياسات إدارة المعلومات، والحدود المعتمدة في صياغة معايير تداوُل المعلومات ضمن الهيكل الهرمي للعاملين فيها.
تهدف هذه الورقة إلى بيان أهمِّ المعايير، التي ينبغي أن تعتمدها الجهات المسؤولة عن إدارة نظم أمن المعلومات المؤسساتية؛ لضمان الكفاية المعلوماتيَّة لشبكات الحواسيب المقيمة فيها، وطبيعة الأدوات التي ينبغي استخدامُها للتحقُّق من الكفاية الأمنيَّة لنظم شبكات المعلومات، وما هو طبيعة الدَّور الذي تختصُّ به الخدمات التي توفِّرها الشبكات لضمان أمْن المعلومات.
وقد اقترحت مجموعة من معايير الأمْن المعلوماتي؛ لغرض اعتمادِها في بيئتنا المعلوماتية الوطنية أو القومية؛ لضمان كفاية أمنية عالية لشبكات الحاسبات المحلِّية، ومفاصل ارتباطاتِها مع شبكة الإنترنت.
1- مقدمة:
إنَّ انتشار استخدام شبكات المعلومات على نطاقٍ واسع في المؤسسات الحكومية، وقطاع الشركات الخاصَّة، وسيادة شبكة الإنترنت، التي يمكن اعتبارها البؤرة التي تُسافر خلالها جلّ أنشطة المرور المعلوماتي الوطني والعالمي - بات يؤكد ضرورة الاهتمام بموضوع أمن المعلومات (Jiang,J.,2000).
يكمن الهدف الأساس لأمْن المعلومات وراء مبدأ حماية الموجودات المعلوماتيَّة للمؤسسات الحكومية والأفراد، من الهجمات والاختِراقات التي تستهدف استخدامًا غير مشروع لموارِدِها، أو إحداث خلل في هيكليَّتِها أو مُحتواها (Solms,E.V.etal.,2000).
بصورة عامَّة تنبثق السياسة الأمنيَّة لمؤسَّسةٍ ما، من مجموع السياسات الفنيَّة والاقتصاديَّة التي تنتهِجُها في تسْيير دفَّة أنشطتها، فتصنّف على ضوئها البيانات التي تقيم في نظامها المعلوماتي، وأساليب تداوُلها بين مختلف مستويات الكوادر العاملة، وسبل المحافظة عليها من الانتشار والإعلان، وحمايتها من موارد الخلل والتَّلف.
لا زالت الإدارات المعلوماتيَّة والجهات المستفيدة من الخدمات المعلوماتية بشتى مستوياتها - في وطننا العربي - تفتقر إلى رؤية واضحة عن مقوِّمات الأمن الوطني المعلوماتي، والتي تعتبر الركيزة الأساسية لتحقيقِ الكفاية الأمنيَّة لنظْم المعلومات؛ ولكي تتحقَّق الخطوة الأولى على طريق صياغة سياسة وطنيَّة وقوميَّة واضحة المعالم لهذا الموضوع الحيوي، سنحاول بيان مقومات الكفاية الأمنية المعلوماتيَّة، من خلال معالجة المعايير المستخدمة للتأكد من أمن شبكات المعلومات.
2-معمارية نظام أمن شبكة المعلومات:
مما لا شكَّ فيه أنَّ شبكة المعلومات تعاني من عملية تغيير دائم في نقاط ارتباطاتها مع الحواسيب المقيمة داخل النظام وخارجه، الأمر الذي يحتم ضرورة اعتماد آلية نشطة في المعالجة والتحليل (Venter,H.S.,etal,2000).
لتحليل معمارية نظام شبكة المعلومات، وتقييم الكفاية الأمنية لمكوناتها، فقد تَمَّ التوجه صوب تفكيك هذه المكونات إلى أجزاء يسهل التعامل معها (Nerurkar,U.,2000)، تتألف هذه المكونات من أربعة أصناف رئيسة هي:
• الكائنات المعلوماتية Information System Objects: التي تستهدفها الهجمات والاختراقات المعلوماتيَّة، وتتألَّف من بنيات فيزيائية، أو منطقية، أو كلاهما سوية.
• المستفيدون (الشرعيُّون) من خدمات شبكة المعلومات Users.
• قراصنة المعلومات ((Attackers (******* & *****ers): الذين يمارسون أنشطة اختراق البنية المعلوماتية لنظام شبكة المعلومات، وتسخير مواردها الفيزيائية والمنطقية؛ لتحقيق الأغراض الكامنة وراء الانتهاكات التي يمارسونَها على نظام الشبكة.
• نظام البنية المعلوماتية الأمنية Structured Security System: ويتألف من مجموعة أصناف من البِنى الأمنية، التي تعالج موضوع أمن معلومات نظام الشبكة (فيزيائيًّا أو منطقيًّا) على ضوء موقع قرصان المعلومات[1]، سواء كان يُمارس محاولة الاختراق المعلوماتي من داخل النظام Internal Attacker ، أو خارج حدودهExternal Attacker.
تتطلب عملية التحليل هذه دراسة تفصيلية لخصائص Attributes جميع مكونات نظام شبكة المعلومات، وتحديد طبيعة متطلبات الكفاية الأمنية لكل جزء من أجزائها، على ضوء سياسة المؤسسة التي تسخّر الشبكة لتسْيير دفَّة أنشطتها المختلفة.
3- الأنموذج المعلوماتي المعتمد لمعايرة الكفاية الأمنية لشبكة المعلومات:
لا يمكن تحقيق الكفاية الأمنية المقبولة لشبكة المعلومات، دون اعتماد أنموذج معلوماتي Information Model أُحْكِمت صياغته؛ لتحقيق الأهداف المتوخَّاة من تبني منظومة الحماية الأمنية بعد أن حُدِّدت أهدافها ومعالمها بدقَّة.
يمكن إجمال أهم العوامل التي ينبغي أن تؤخذ بنظر الاعتبار في صياغة بنية الأنموذج المعلوماتي، والتي تتضمن: خصائص البيئة المعلوماتية لنظام شبكة المعلومات، ومتطلَّبات الخدمات الأمنية لنظم المعلومات، والأسس المعتمدة في تقْييم الحماية الأمنيَّة الخاصَّة بالنظام، واقتراح أنواع الخدمات الأمنية المطلوبة أثناء استخدام المعلومات، وأرشفتها، واسترجاعها في داخل دائرة نظام شبكة المعلومات.
المحور الأول: خصائص البيئة المعلوماتية لنظام شبكة المعلومات:
يعالج هذا المحور الخصائص الفريدة لبيئة نظام شبكة المعلومات، على أساس استخدام مبدأ التفكيك إلى مكونات أدنى، قابلة للمعالجة بواسطة مكونات الأنموذج المعلوماتي، وتحديد مفاصل الشبكة Nodes، وارتباطاتها Links المقيمة.
المحور الثاني: متطلبات الخدمات الأمنية لنظم المعلومات:
يعالج هذا المحور الثوابت، والسياسات، والآليات المطلوب توفرها في دائرة النظام لضمان الحماية الأمنية أثناء استخدام المعلومات، وأرشفتها، واسترجاعها في داخل دائرة نظام شبكة المعلومات.
وتشمل الخدمات الأمنية لنظم المعلومات أنشطة:
أ- إدارة نظام المعلومات من خلال آليات الشهادة والتفويض، إدارة المخاطر الأمنية، ومراقبة أداء نظم الحماية الأمنية (Wang,L.,etal.,2000).
ب- تمييز هوية المستخدمين، وتحديد الموثوقية الأمنية لكل منهم، بحيث يمكن صياغة القواعد الحاكمة لصلاحية استخدام المعلومات السائدة في النظام من قبلهم.
ج- إحكام السيطرة على أنشطة الدخول؛ لضمان كف عمليات الاستخدام اللامشروع لموارد النظام ومعلوماته.
د- صياغة المعرفة النوعية والخصائص الأمنية لمكونات النظام المعلوماتي، والتي تمهد الطريق أمام صياغة القواعد المتحكمة بأنشطة الدخول عليها.
هـ- توفير مقومات السلامة المعلوماتية للنظام من خلال سلامة: البيانات والمعلومات، الشبكة ومكوناتها، والتِّقْنيات الموظفة على نظام الشبكة.
المحور الثالث: الأسس المعتمدة في تقييم الحماية الأمنية وبيان متطلبات النظام لتحقيقها:
ترتكز الأسس المعتمدة في تقييم الحماية الأمنية السائدة في شبكة المعلومات، إلى ثلاثة أهداف رئيسة تهدف إدارة النظام إلى تحقيقها، وهي:
الهدف الأول: تحديد الأسباب - أو الحالات - التي تتيح للغير إمكانية تجاوز - أو محاولة تجاوُز - العقبات التي تقيمها منظومة الحماية.
الهدف الثاني: بناء الثقة بالمنظومة الأمنية على ضوء النتائج المستحصلة من المقاييس الأمنية المعتمدة، لضمان قدرة النظام على احتواء المخاطر والتهديدات الأمنية، وتوفير مستوى مقبول من مقومات السلامة في مكونات نظام شبكة المعلومات.
الهدف الثالث: البعد الزمني لضمان دوام تطبيق الهدفين الأول والثاني، خلال دورة حياة النظام المعلوماتي.
أما المتطلبات الأمنية للنظام، فتشمل حصيلة الخبرات والمعارف، والاقتراحات التي تنبثق من مجموع العاملين في إدارته والمستفيدين من خدماته، والتي تصبّ جميعها في بوتقة ضرورة توفير الكفاية الأمنية القصوى لنظام شبكة المعلومات.
4- الكفاية الأمنية المعلوماتية ومراتبها:
إن ضمان الأمن المطلق لشبكة المعلومات من أنواع الاختراقات المعلوماتية - هو أمر شبه مستحيل بالمعايير الأمنية والهندسية (Jiang,J.,etal.,2000)، ولعل أهم المبررات التقنية والوظيفية التي تؤسس هذا المبدأ هي:
• التصميم الرديء لمنظومة شبكة المعلومات، والتنفيذ الخاطئ لبعض مكوناتها.
• عدم وجود سياسة أمنية واضحة المعالم والأهداف، للمؤسسة التي تمتلك شبكة المعلومات وتشرف على إدارتها.
• وجود خلل في تطبيق السياسة الأمنية من قبل إدارة النظام، أو المستخدمين المرتبطين بنظام الشبكة.
• غياب التنسيق بين نظم الحماية الثانوية الموجودة في نظام الشبكة.
• تدني تقنيات التشفير الأمني، ووجود مشاكل تقنية أمام تطبيقها ميدانيًّا.
• غياب الوعي الأمني المعلوماتي لدى الكوادر العاملة في نظام الشبكة، وعدم وجود تقدير صحيح لحجم المخاطر الناجمة عن سوء الاستخدام.
يمكن تعريف الكفاية الأمنية لشبكة المعلومات بأنها: حصيلة مجموعة من العوامل الفيزيائية والمنطقية، التي تعتمدها إدارة النظام المعلوماتي؛ لضمان سلامة موارد النظام من مواطن الخلل والتلف، وحمايتها من أي محاولة لاختراق حماها الأمني، من قِبَل جهات لا تمتلك ترخيصًا بالاطلاع على مكونات النظام، أو استخدامها لأغراض خارج دائرة السياسات التي تعتمدها إدارة نظام شبكة المعلومات.
يعتمد تقييم مراتب الكفاية الأمنية لشبكة المعلومات على ضوء تقسيمها إلى أربعة فئات (متدرجة من الحدِّ الأدنى إلى الحدِّ الأعلى للكفاية الأمنية):
فالفئة الرابعة: لا تمتلك أية مراتب ثانوية لوقوعها في أدنى الفئات، ولا تحتوي سوى على الحد الأدنى من مقوِّمات الكفاية الأمنية، التي يوفرها نظام المعلومات، دون وجود أي نوع مسبقٍ من التدخل، من قبل الجهة المستفيدة من خدمات شبكة المعلومات.
أما الفئتين الثالثة والثانية: فتمثلان الأساليب التي توظفها إدارة شبكة المعلومات، على ضوء طبيعة المعلومات السائدة في المواقع المقيمة فيها، فتعتمد الحماية الأمنية الحصيفة (الفئة الثالثة)، عندما تكون المعلومات التي نريد توفير الحماية لها ضمن دائرة الافتقار إلى المعرفة Need-To-Know، بينما تعتمد الحماية الأمنية التعريفية التي تباشر أنشطة إدارة تعريف هوية المستخدم وتنظيمها، وَفْق مستويات حساسية تُنَظِّمها قواعد محكمة بالسيطرة على أنشطة الدخول المختلفة (Yu,L.,etal,2000).
يتبع