المقدمة

حين يُذكر أمن المعلومات، تتجه الأذهان سريعًا إلى المخترقين، والجدران النارية (Firewalls)، وبرامج مكافحة البرمجيات الخبيثة، والتشفير، ومراكز العمليات الأمنية (Security Operations Centers – SOC)، واختبارات الاختراق، والهجمات السيبرانية.

هذه الصورة ليست خاطئة، لكنها ناقصة.

فالمعلومة قد تُسرق من ورقة مطبوعة دون اختراق جهاز واحد، وقد يكشفها موظف مخوّل بالدخول إلى النظام، وقد تضيع بسبب إجراء إداري سيئ، أو تُلتقط من شاشة داخل مكتب، أو تُكشف بسبب خطأ في تصنيف البيانات، أو تُفقد نتيجة حريق أو انقطاع كهربائي أو كارثة طبيعية، أو تنتقل إلى طرف ثالث لا يطبق المستوى نفسه من الحماية.

وفي جميع هذه الحالات قد تقع الحادثة الأمنية دون أن ينفذ المهاجم هجومًا سيبرانيًا بالمعنى التقليدي. ومن هنا تبدأ المشكلة المفاهيمية التي تواجه كثيرًا من المؤسسات: اختزال أمن المعلومات (Information Security) في الأمن السيبراني (Cybersecurity).

المعلومة هي الأصل الذي نحميه

يعرّف المعهد الوطني الأمريكي للمعايير والتكنولوجيا (National Institute of Standards and Technology – NIST) أمن المعلومات بأنه حماية المعلومات ونظم المعلومات من الوصول أو الاستخدام أو الإفصاح أو التعطيل أو التعديل أو التدمير غير المصرح به، بهدف توفير ثلاثة مبادئ أساسية: السرية (Confidentiality)، والسلامة والتكامل (Integrity)، والتوافر (Availability). وتشكل هذه المبادئ ما يُعرف تقليديًا بمثلث CIA Triad.[1]

المركز في أمن المعلومات ليس الجهاز ولا الشبكة؛ المركز هو المعلومة ونظم المعلومات التي تتعامل معها.

فإذا كانت لدينا وثيقة سرية مطبوعة ومحفوظة في خزانة غير مؤمنة، فلدينا مشكلة أمن معلومات حتى لو كانت الشبكة محمية بأفضل التقنيات. وإذا كان موظف يمتلك صلاحيات أكبر مما تتطلب وظيفته، فلدينا مشكلة أمن معلومات. وإذا احتفظت مؤسسة ببيانات شخصية لسنوات دون حاجة فعلية إليها، فهناك قضية تتعلق بحماية البيانات والخصوصية.

أين يقع الأمن السيبراني إذن؟

الأمن السيبراني ليس منافسًا لأمن المعلومات، ولا يمكن التقليل من أهميته في عالم أصبحت فيه المؤسسات والدول معتمدة بصورة عميقة على البنى التحتية الرقمية. بل يمثل أحد أكثر مجالات الحماية أهمية وتعقيدًا. المشكلة تبدأ فقط عندما نستخدم المصطلحين وكأنهما يعنيان الشيء نفسه.

فالأمن السيبراني يركز على إدارة المخاطر المرتبطة بالفضاء والبيئات والتقنيات السيبرانية، بينما تتعامل منظومة أمن المعلومات مع حماية المعلومات ضمن سياق مؤسسي أوسع يشمل التقنية، ولكنه لا يتوقف عندها.

ويتكون إطار الأمن السيبراني 2.0 (Cybersecurity Framework – CSF 2.0) الصادر عن NIST من ست وظائف مترابطة: الحوكمة (Govern) ← التعرّف (Identify) ← الحماية (Protect) ← الكشف (Detect) ← الاستجابة (Respond) ← التعافي (Recover).[2]

وقد أصبحت الحوكمة (Govern) وظيفة مستقلة في الإصدار 2.0، بما يعكس أهمية الاستراتيجية والسياسات والأدوار والمسؤوليات وإدارة المخاطر وربط الأمن السيبراني بإدارة مخاطر المؤسسة.[3]

الأمن يبدأ قبل تشغيل أول جهاز

قد تشتري مؤسسة حكومية جدرانًا نارية متقدمة، وأنظمة للكشف والاستجابة، وحلول تشفير، ومنصة لإدارة المعلومات والأحداث الأمنية (Security Information and Event Management – SIEM)، وتؤسس مركز عمليات أمنية (SOC).

لكن ماذا لو لم تكن هناك سياسة واضحة لتصنيف المعلومات؟ أو لم تحدد المؤسسة مالك كل نوع من البيانات؟ أو بقي الموظف يحتفظ بصلاحياته بعد انتقاله إلى وظيفة أخرى؟ أو كان المورد الخارجي يستطيع الوصول إلى أنظمة حساسة دون رقابة كافية؟ أو كانت النسخ الورقية من التقارير السرية تُترك على الطابعات؟ أو لم توجد خطة لاستمرارية الأعمال؟

الحوكمة قبل التكنولوجيا

من يجب أن يتخذ القرار الأمني؟ من يتحمل المخاطر؟ من يحدد مستوى المخاطر المقبول؟ ما المعلومات الحرجة؟ من يملكها؟ من يحق له الوصول إليها؟ ما القواعد التي تحكم الموردين والأطراف الثالثة؟ ماذا يحدث عند وقوع خرق؟ ومن يُبلغ الإدارة؟ ومتى يجب إيقاف النظام؟

هذه ليست أسئلة تقنية، لكنها قد تكون أهم من اختيار نوع الجدار الناري. ولهذا أصبحت الحوكمة (Governance)، وإدارة المخاطر (Risk Management)، والامتثال (Compliance)، والمرونة (Resilience) من الركائز الأساسية لأي برنامج ناضج لأمن المعلومات.

الإنسان جزء من المنظومة الأمنية

يمكن بناء شبكة محمية جيدًا، لكن موظفًا واحدًا قد يتلقى رسالة تصيد احتيالي (Phishing) ويمنح المهاجم بيانات الدخول. ويمكن استخدام المصادقة متعددة العوامل (Multi-Factor Authentication – MFA)، لكن المهاجم قد يستهدف الموظف نفسه من خلال الهندسة الاجتماعية (Social Engineering).

وقد لا يكون التهديد خارجيًا أصلًا. الموظف أو المتعاقد أو المسؤول الذي يمتلك وصولًا مشروعًا قد يتحول، بقصد أو دون قصد، إلى مصدر للخطر. ومن هنا يظهر مجال أمن الأفراد والعامل البشري (Personnel & Human-Factor Security).

ويشمل التوعية والثقافة الأمنية، والهندسة الاجتماعية، والتهديدات الداخلية (Insider Threats)، ومبدأ الحد الأدنى من الصلاحيات (Least Privilege)، وفصل الواجبات (Segregation of Duties)، وإدارة الجوانب الأمنية لدورة حياة الموظف.

والمعلومة ليست رقمية دائمًا

العقد المطبوع، وملف الموظف، والمخطط الهندسي، والمذكرة السرية، والسجل الطبي، والوثيقة الاستخباراتية، ومخططات المنشأة، والنسخة الاحتياطية المخزنة على وسيط منفصل: كلها معلومات تستحق الحماية.

ولذلك يدخل أمن الوثائق والسجلات والمعلومات غير الرقمية (Documentary & Non-Digital Information Security) ضمن منظومة الحماية. وهنا تظهر مفاهيم مثل تصنيف المعلومات، ووضع العلامات، والتداول، والأرشفة، والاحتفاظ، والنقل، والإتلاف الآمن، وسلسلة الحيازة (Chain of Custody).

حتى المبنى جزء من أمن المعلومات

إذا استطاع شخص غير مخوّل الدخول إلى غرفة الخوادم، فإن قوة كلمة المرور لم تعد القضية الوحيدة. وإذا توقف مركز البيانات بسبب فشل منظومة التبريد، فقد تتحقق خسارة في التوافر دون وجود مهاجم. وإذا تسبب حريق في تدمير النسخ الأساسية والاحتياطية الموجودة في الموقع نفسه، فقد تكون النتيجة الأمنية كارثية رغم عدم وقوع هجوم سيبراني.

لهذا يوجد مجال الأمن المادي والبيئي (Physical & Environmental Security)، وهو يتعامل مع حماية المنشآت والمحيط الأمني ومناطق الحماية والتحكم بالدخول والمراقبة والطاقة والتبريد والحرائق والمياه والكوارث والظروف البيئية.

الخصوصية ليست مجرد تشفير

مع توسع الاقتصاد الرقمي أصبحت المؤسسات تجمع كميات هائلة من البيانات الشخصية. لكن حماية هذه البيانات لا تعني فقط تشفير قاعدة البيانات. السؤال يبدأ قبل ذلك: لماذا نجمع هذه البيانات؟ هل نحتاج إليها كلها؟ من يستطيع استخدامها؟ كم من الوقت نحتفظ بها؟ وهل يمكن مشاركتها؟ وما حقوق الشخص الذي تتعلق به البيانات؟

وهنا ننتقل إلى الخصوصية وحماية البيانات الشخصية (Privacy & Personal Data Protection). وتظهر مبادئ مثل تقليل جمع البيانات (Data Minimization)، وتحديد الغرض (Purpose Limitation)، وسياسات الاحتفاظ والحذف (Retention & Deletion)، والأساس القانوني للمعالجة، وحقوق أصحاب البيانات، وتقييم أثر حماية البيانات (Data Protection Impact Assessment – DPIA).

ثم تأتي التكنولوجيا

بعد الحوكمة والإنسان والمعلومة والمكان والخصوصية، نصل إلى المجال الذي يعرفه معظم الناس: الأمن التقني والرقمي (Digital & Technical Security)، وهو المجال الذي تتقاطع داخله نسبة كبيرة من الضوابط التقنية للأمن السيبراني.

وهنا نجد أمن الشبكات والاتصالات، وأمن الأجهزة الطرفية، وإدارة الهوية والوصول (Identity and Access Management – IAM)، والتشفير، وأمن التطبيقات وواجهات البرمجة (API Security)، وأمن قواعد البيانات، وأمن الحوسبة السحابية (Cloud Security)، وأمن الأجهزة المحمولة، وإنترنت الأشياء (Internet of Things – IoT)، والأنظمة الصناعية والتشغيلية (Operational Technology – OT)، وغيرها.

لكن الأمن السيبراني (Cybersecurity) لا يقتصر على هذه الضوابط التقنية؛ بل يمتد إلى المراقبة والكشف والاستجابة، واستخبارات التهديدات، وإدارة الحوادث، والعمليات الدفاعية والهجومية، وهو ما يقودنا إلى المجال التالي: عمليات الأمن السيبراني (Cybersecurity Operations).

ومن الحماية إلى العمليات

لا توجد مؤسسة تستطيع منع جميع الحوادث. ولهذا لا يكفي بناء الدفاعات؛ بل يجب امتلاك القدرة على معرفة ما يحدث داخل البيئة التقنية واكتشاف السلوك غير الطبيعي والاستجابة له.

ومن هنا تأتي عمليات الأمن السيبراني (Cybersecurity Operations)، وتشمل مراكز العمليات الأمنية (SOC)، وإدارة المعلومات والأحداث الأمنية (SIEM)، والكشف والاستجابة الموسعة (Extended Detection and Response – XDR)، والكشف والاستجابة على الأجهزة الطرفية (Endpoint Detection and Response – EDR)، واستخبارات التهديدات (Threat Intelligence)، والصيد الاستباقي للتهديدات (Threat Hunting)، والتحليل الجنائي الرقمي (Digital Forensics)، وتحليل البرمجيات الخبيثة (Malware Analysis)، وإدارة الثغرات واختبارات الاختراق.

ثم تأتي لحظة الاختبار الحقيقي: ماذا نفعل عندما ينجح الهجوم؟ وهنا تظهر إدارة الحوادث الأمنية والاستجابة والتعافي (Security Incident Management, Response & Recovery)، من الاكتشاف والاحتواء والتحليل وإزالة الآثار إلى استعادة الخدمات وحفظ الأدلة والتعلم من الحادث.

الذكاء الاصطناعي والدولة والسيادة: اتساع المشهد الأمني

أمن الذكاء الاصطناعي والتقنيات الناشئة

دخول الذكاء الاصطناعي (Artificial Intelligence – AI) والذكاء الاصطناعي التوليدي (Generative AI) إلى المؤسسات يخلق طبقة جديدة من المخاطر: مصدر بيانات التدريب، وتسميم البيانات، واستخراج المعلومات الحساسة، والتلاعب بالتعليمات، وتسرب بيانات المؤسسة إلى نماذج خارجية، ومسؤولية القرار الآلي.

وبذلك يصبح أمن الذكاء الاصطناعي (AI Security) امتدادًا حديثًا للمشهد الأمني، يحتاج في الوقت نفسه إلى الحوكمة وإدارة المخاطر والأمن التقني وحماية البيانات والخصوصية.

وعندما تصبح المؤسسة دولة

الدولة لا تحمي حواسيب فقط؛ إنها تحمي هوية مواطنيها الرقمية، وسجلاتهم، وشبكات الاتصالات، والأنظمة المالية، والطاقة، والمياه، والصحة، والنقل، والمنصات الحكومية، والسجلات الوطنية، والبنى التحتية الحرجة، وسلاسل التوريد التقنية.

فإذا كانت دولة لا تعرف أين توجد بياناتها الحساسة، أو من يدير بنيتها الرقمية، أو تحت أي ولاية قانونية تقع خدماتها الحيوية، فإن القضية لم تعد مشكلة تقنية فقط؛ إنها قضية سيادة وأمن وطني.

ومن أمن المعلومات إلى الصراع بين الدول

في أعلى مستويات المشهد، يمكن أن تتحول المعلومات والبنية الرقمية نفسها إلى أدوات للصراع. وتظهر هنا الحرب السيبرانية (Cyber Warfare)، وحرب المعلومات (Information Warfare)، والتهديدات الهجينة (Hybrid Threats). ولا يعود أمن المعلومات في هذا المستوى وظيفة قسم تقنية المعلومات وحده، بل يصبح جزءًا من قدرة المؤسسة أو الدولة على الاستمرار واتخاذ القرار والمحافظة على الثقة والسيادة.

منظومة وليست مجموعة أدوات

إذا جمعنا هذه الطبقات، تظهر أمامنا صورة مختلفة تمامًا عن الصورة التقليدية لأمن المعلومات. فالحماية المؤسسية المتكاملة تضم مجالات مترابطة تبدأ من الحوكمة والإنسان والمكان والوثيقة والخصوصية، وتمتد إلى الأمن التقني والعمليات والاستجابة والهندسة الأمنية.

• الحوكمة والمخاطر والامتثال والمرونة.
• أمن الأفراد والعامل البشري.
• الأمن المادي والبيئي.
• أمن الوثائق والسجلات والمعلومات غير الرقمية.
• الخصوصية وحماية البيانات الشخصية.
• الأمن التقني والرقمي.
• عمليات الأمن السيبراني.
• إدارة الحوادث والاستجابة والتعافي.
• هندسة ومعمارية أمن المعلومات.

وفوق هذه الأسس تظهر قضايا العصر الجديدة: أمن الذكاء الاصطناعي، والسيادة الرقمية، والأمن الوطني، والحرب السيبرانية، وحرب المعلومات والتهديدات الهجينة.

لماذا نحتاج إلى إعادة بناء طريقة تدريس أمن المعلومات؟

المشكلة ليست في المصطلحات وحدها. طريقة فهم المجال تحدد طريقة بناء المؤسسات له. إذا بدأنا من الأدوات، فقد ننتج متخصصًا يعرف تشغيل مجموعة من الحلول الأمنية. أما إذا بدأنا من المعلومة والمخاطر والحوكمة، ثم انتقلنا إلى الإنسان والمكان والخصوصية والتقنية والعمليات، فإننا ننتج متخصصًا يستطيع فهم المنظومة.

وهذا الفرق مهم خصوصًا في المؤسسات الحكومية والقطاعات الحساسة. المطلوب اليوم ليس متخصصًا يعرف كيف يعمل الجدار الناري فقط، ولا محلل مركز عمليات أمنية فقط، ولا مدقق معيار فقط؛ بل القدرة على رؤية العلاقة بين المجالات المختلفة.

• كيف تؤثر الحوكمة في التقنية؟
• كيف تتحول صلاحية موظف إلى مخاطرة؟
• كيف تؤثر الخصوصية في تصميم النظام؟
• كيف يمكن لضعف الأمن المادي أن يهزم أقوى الضوابط الرقمية؟
• كيف يتحول اعتماد تقني على طرف خارجي إلى خطر استراتيجي؟
• كيف يمكن لقرار إداري سيئ أن يهزم استثمارًا تقنيًا بملايين الدولارات؟

من هذه الفكرة بدأ المشروع

من هنا جاءت فكرة العمل على إعداد منهج متكامل لأمن المعلومات في مركز iTach Denmark – Strategic Studies Center – ITSSC 🇩🇰.

المشروع لا ينطلق من محاولة جمع أكبر عدد ممكن من المصطلحات والأدوات في كتاب واحد، ولا من إعادة تقديم دورة تقليدية في الأمن السيبراني تحت اسم مختلف، بل يقوم على بناء خريطة معرفية تبدأ بالسؤال الأساسي:

ولهذا سيبدأ المنهج بمدخل شامل إلى أمن المعلومات، ثم ينتقل تدريجيًا عبر الحوكمة وإدارة المخاطر والامتثال والمرونة، وأمن الأفراد والعامل البشري، والأمن المادي والبيئي، وأمن الوثائق والسجلات، والخصوصية وحماية البيانات، والأمن التقني والرقمي، وعمليات الأمن السيبراني، وإدارة الحوادث والاستجابة والتعافي، وهندسة ومعمارية أمن المعلومات.

ثم ينتقل إلى موضوعات أكثر تقدمًا واستراتيجية مثل أمن الذكاء الاصطناعي والتقنيات الناشئة، والسيادة الرقمية والأمن الوطني، والحرب السيبرانية وحرب المعلومات والتهديدات الهجينة.

المصادر والمراجع

1. المعهد الوطني الأمريكي للمعايير والتكنولوجيا (NIST)، Information Security – CSRC Glossary، تعريف أمن المعلومات ومبادئ السرية والسلامة والتوافر. الرابط المباشر
2. المعهد الوطني الأمريكي للمعايير والتكنولوجيا (NIST)، The NIST Cybersecurity Framework (CSF) 2.0، 2024. الإطار الرسمي
3. المعهد الوطني الأمريكي للمعايير والتكنولوجيا (NIST)، Cybersecurity Framework 2.0 – Frequently Asked Questions، حول وظيفة الحوكمة وربط الأمن السيبراني بإدارة مخاطر المؤسسة. الأسئلة الشائعة الرسمية
4. المعهد الوطني الأمريكي للمعايير والتكنولوجيا (NIST)، Glossary of Key Information Security Terms – NISTIR 7298 Rev. 3. المرجع الرسمي
5. ISO/IEC 27001:2022، Information Security Management Systems — Requirements.
6. ISO/IEC 27002:2022، Information Security, Cybersecurity and Privacy Protection — Information Security Controls.