حادث أمن المعلومات

ما هو حادث أمن المعلومات

حادث أمن المعلومات هو أي حدث غير مرغوب فيه أو غير متوقع (أو سلسلة من هذه الأحداث) يضر أو يخلق تهديدًا بالإضرار بسرية المعلومات والأنظمة المعلوماتية وسلامتها وتوفّرها. بمفاهيم مبسطة، إنه حالة تصل فيها بياناتك إلى أيدي خاطئة أو تُفقد نهائيًا أو يتوقف فيها النظام عن العمل.

من المهم التمييز بين الحادث وحدث الأمن. فالحدث أي تغيير في النظام سواء كان طبيعيًا أو مريبًا (إدخال المستخدم كلمة مرور خاطئة مثلًا). أما الحادث فهو حدث تسبب أو قد يتسبب في ضرر فعلي (نجح مهاجم في كسر كلمة مرور والتسلل إلى النظام أو سرق بيانات أو شفّر ملفات مثلًا).

وفق الإحصاءات تواجه أكثر من 80% من الشركات سنويًا حادثًا واحدًا على الأقل جسيمًا لأمن المعلومات. ويبلغ متوسط تكلفة معالجة عواقب حادث واحد عدة ملايين من الروبلات، وقد تستغرق استعادة السمعة سنوات. ووفق Kaspersky Lab بلغ عام 2025 متوسط تكلفة الحادث للشركات الروسية 12.4 مليون روبل بمدة استعادة تتراوح بين أيام قليلة وعدة أسابيع. اقرأ الوقاية من هذه الحالات في مقال أمن المعلومات.

أنواع الحوادث الرئيسية

تُصنَّف حوادث أمن المعلومات بحسب نوع التهديد وطبيعة التأثير. أكثرها شيوعًا:

• البرمجيات الخبيثة: الإصابة بفيروسات وبرامج فدية (شفافية) وبرامج تجسس وأحصنة طروادة وديدان وأدوات جذور. يمكن للبرمجيات الخبيثة سرقة البيانات وتشفير الملفات وإدخال النظام في بوت نت أو تعطيله كليًا.
• الوصول غير المصرح به: هجمات قرصنة وكسر كلمات المرور ورفع غير قانوني للامتيازات وسرقة الحسابات واستغلال الثغرات للوصول إلى الأنظمة. يعد الوصول غير المصرح به من أكثر أسباب تسرب البيانات شيوعًا.
• تسرب البيانات واختراقها: نسخ أو حذف أو نشر غير قانوني لوثائق سرية وقواعد بيانات عملاء وبيانات شخصية وأسرار تجارية أو حكومية. وقد يكون التسرب خارجيًا (هاكرز) أو داخليًا (عمال مخابرون).
• الإضرار بالتوفر: هجمات DDoS (الهجمات الموزعة لحجب الخدمة) وحجب الأنظمة وتلف العتاد وأعطال برمجية تمنع الموظفين والعملاء من الوصول إلى الخدمات.
• الهندسة الاجتماعية: هجمات تصيد ناجحة يتابع فيها الموظفون روابط خبيثة أو يفتحون مرفقات مصابة أو يسلمون للمهاجمين بيانات اعتماد ووثائق سرية بحجة «التحقق» أو «الطلب الرسمي».
• الانتهاكات الداخلية (التهديدات الداخلية): إفشاء البيانات عمدًا أو خطأً من قبل الموظفين وإرسال معلومات سرية إلى مستلم خاطئ ونقل البيانات إلى وسائط شخصية أو تخزين سحابي.

اقرأ المزيد عن أنواع الهجمات السيبرانية في مقال الاحتيال السيبراني.

دورة حياة الحادث

وفق المعايير (NIST SP 800-61 مثلًا والتوصيات المنهجية الوطنية) تشمل عملية معالجة الحوادث الكلاسيكية المراحل التالية:

• الكشف والتسجيل: رصد نشاط مريب في النظام. قد يكون ذلك تشغيل نظام SIEM أو حل EDR أو مضاد فيروسات، أو شكوى من مستخدم، أو اكتشاف حالات شاذة في السجلات.
• التحليل: تقييم حجم التهديد وتحديد الأنظمة المتضررة وتحديد نوع الهجوم والبحث عن مصدره. يجري محللو SOC التحقيق باستخدام السجلات وحركة مرور الشبكة وبيانات التحليل الجنائي الرقمي.
• الحصر والاستجابة: صدّ الهجوم ومنع انتشاره. عزل الأنظمة المصابة عن الشبكة وحجب عناوين IP للمهاجمين وتعطيل الحسابات المخترقة.
• المعالجة والاستعادة: إزالة البرمجيات الخبيثة واستعادة البيانات من النسخ الاحتياطية (نظام النسخ الاحتياطي) وإعادة تشغيل الأنظمة وإغلاق الثغرات التي حدث عبرها الاختراق.
• تحليل الحادث (Post-mortem): تحديد الثغرات ووضع إجراءات للوقاية من حالات مماثلة مستقبلاً وتحديث سياسات الأمن وتدريب الموظفين وإعداد تقرير للإدارة والجهات التنظيمية (عند الاقتضاء).

اقرأ طرق استعادة البيانات في مقال النسخ الاحتياطي للبيانات.

كيف تستجيب للحادث

الاستجابة الصحيحة للحادث ضرورية لتقليل الأضرار إلى أدنى حد. الترتيب الموصى به للتصرف:

• اعزل فورًا الأنظمة المصابة عن الشبكة (قطع الاتصال بالشبكة المحلية وبالإنترنت) لمنع انتشار الهجوم إلى أجهزة أخرى.
• احفظ جميع السجلات والأدلة للتحقيق: سجلات النظام وملفات الأحداث وصور الذاكرة ونسخ الملفات المصابة. لا تحذف ولا تعدّل أي بيانات قبل انتهاء التحقيق.
• أبلغ الإدارة وقسم الأمن وفق الإجراء الداخلي للتعامل مع الحوادث.
• استعن بمتخصصين في التحقيق في الحوادث (التحليل الجنائي الرقمي) لإجراء فحص مهني وجمع الأدلة.
• أبلغ الجهات التنظيمية (روسكومنادzor وFSTEC والبنك المركزي الروسي) في الحالات المنصوص عليها قانونًا (تسرب بيانات شخصية بموجب القانون 152-FZ مثلًا أو حوادث في منشآت البنية التحتية الحرجة للمعلومات). مدة الإخطار 24 ساعة عادة من لحظة الكشف.

اقرأ الجوانب القانونية في مقال القانون الاتحادي 152-FZ.