عباس قاسم الملاحي

ابتُلينا في بعض الجهات بفئة تتعامل مع الأمن السيبراني بوصفه مجموعة تعليمات يجب حفظها وترديدها، لا منظومة مخاطر يجب فهمها وإدارتها. تحفظ أسماء الضوابط، وتستشهد بالسياسات، وتطالب المستخدمين بسلسلة طويلة من الإجراءات، لكنها قد تعجز عن تفسير التهديد الفعلي الذي يمنعه كل إجراء، أو قياس أثره الحقيقي في حماية المؤسسة.

هذه الفئة لا تبني أمناً سيبرانياً بقدر ما تبني بيروقراطية رقمية فحين يُطلب من الموظف تغيير كلمة مروره باستمرار، واستخدام تركيبات معقدة يصعب تذكرها، ومنعه من النسخ واللصق، وإجباره على المرور بعدة نوافذ وموافقات قبل الوصول إلى خدمة عادية، ثم يُقال له إن كل ذلك ضروري للأمن. والنتيجة المتوقعة ليست دائماً مزيداً من الحماية، بل كلمات مرور مكتوبة على الأوراق، وتكرار كلمات المرور، والبحث عن طرق للالتفاف على الأنظمة، وانخفاض الإنتاجية، وتحوّل فريق الأمن إلى خصم داخلي بدلاً من أن يكون شريكاً للأعمال.

إذاً المشكلة ليست في وجود الضوابط، بل في غياب التفكير القائم على المخاطر. الضابط الأمني لا يكتسب قيمته لأنه مكتوب في سياسة، بل لأنه يعالج تهديداً واضحاً، ويقلل احتمال وقوعه أو أثره، بتكلفة تشغيلية معقولة.

ومع انتشار التحقق الثنائي، خصوصاً عبر تطبيقات المصادقة والمفاتيح الأمنية، لم يعد من المنطقي التعامل مع كلمة المرور وكأنها خط الدفاع الوحيد. التحقق الثنائي يقلل بدرجة كبيرة من مخاطر سرقة كلمات المرور، ولذلك يجب أن يدفع المؤسسات إلى إعادة تقييم بعض القيود القديمة، لا إلى الإبقاء عليها وإضافة طبقات جديدة فوقها بلا نهاية.

لكن هذا لا يعني أن التحقق الثنائي يلغي الحاجة إلى بقية الضوابط. فهو لا يمنع جميع أشكال التصيد، ولا يعالج الأجهزة المخترقة، ولا يمنع إساءة استخدام الصلاحيات، ولا يحل مشكلة الحسابات ذات الامتيازات العالية. المقصود أن الضوابط يجب أن تعمل ضمن منظومة متكاملة، لا أن تتراكم عشوائياً لمجرد إظهار الصرامة.

وهناك فرق كبير بين الأمن الفعلي ومظهر الأمن. الأمن الفعلي يعتمد على إدارة الهوية، والتحقق القوي، وتحديث الأنظمة، ومراقبة السلوك المشبوه، وتقليل الصلاحيات، والاستجابة السريعة للحوادث. أما مظهر الأمن فيعتمد على رسائل التحذير المتكررة، والنماذج الطويلة، والموافقات اليدوية، وحظر الأدوات دون تقديم بدائل، وإرهاق المستخدم بتعليمات لا يعرف أحد مدى فعاليتها.

وأخطر ما تفعله الضوابط عديمة القيمة أنها تستهلك ثقة الموظفين وانتباههم. عندما يتلقى المستخدم عشرات التحذيرات غير المهمة، سيتعلم تجاهلها جميعاً، بما فيها التحذير الحقيقي. وعندما تصبح كل عملية بسيطة معركة مع فريق الأمن، سيبدأ الموظفون في إنشاء حسابات خارجية، ونقل الملفات بطرق غير معتمدة، واستخدام أدوات شخصية لإنجاز أعمالهم. عندها تتحول الضوابط نفسها إلى سبب في ظهور ما يسمى بـ»تقنية الظل»، وهي الخدمات والأدوات التي يستخدمها الموظفون بعيداً عن رقابة المؤسسة.

الأمن السيبراني الناضج لا يسأل: «كم ضابطاً طبقنا؟»، بل يسأل: «ما المخاطر التي خفّضناها؟». ولا يقيس النجاح بعدد المواقع المحجوبة أو الطلبات المرفوضة، بل بمؤشرات مثل انخفاض محاولات الاستيلاء على الحسابات، وسرعة اكتشاف الاختراقات، وتقليل الصلاحيات الزائدة، وقدرة المؤسسة على التعافي من الحوادث.

كما أن المختص الأمني الحقيقي لا يكتفي بقول «ممنوع». عليه أن يشرح سبب المنع، ويعرض البديل الآمن، ويوازن بين مستوى الخطر وأثر القرار في العمل. فالهدف من الأمن السيبراني ليس تعطيل المؤسسة بطريقة آمنة، بل تمكينها من العمل والنمو ضمن مستوى مخاطر مقبول.

ونحن لا نحتاج إلى مزيد من حراس البوابات الذين يحفظون النصوص ويخافون من الاستثناءات. نحتاج إلى مختصين يفهمون بنية الأنظمة، وأساليب الهجوم، وسلوك المستخدم، وطبيعة الأعمال، ويستطيعون التمييز بين ضابط يحمي المؤسسة وضابط لا يفعل سوى إنهاك موظفيها.

والأمن السيبراني ليس مسابقة في التشدد، ولا استعراضاً لسلطة المنع. إنه علم إدارة المخاطر. وكل ضابط لا يمكن تبرير فائدته أو قياس أثره أو مراجعته عند تغير التقنيات، ليس ضابطاً أمنياً مقدساً؛ بل عبء إداري ينتظر من يملك الشجاعة لإلغائه.