يفرض التصاعد المتواصل للتهديدات والهجمات السيبرانية على المؤسسات والمرافق العامة إعادة النظر في الطريقة التي تفهم بها مسألة الأمن الرقمي، فالمعضلة لا تختزل دائما في تطور أدوات المهاجمين أو تعقيد التقنيات المستخدمة في الاختراق، وإنما تكشف – في كثير من الحالات – عن فجوة أعمق بين ما تقوله المؤسسات عن الأمن السيبراني، وما تفعله واقعيا لحماية أنظمتها وبياناتها.

وتتعلق المسألة، في جانب أساسي منها، بالحوكمة والانضباط الإداري أكثر مما تتعلق بنقص الحلول التقنية؛ فالقواعد الأساسية للحماية معروفة، وأدوات التدقيق والمراقبة متاحة، ومبادئ النظافة الرقمية أصبحت جزءا من أبجديات الإدارة الحديثة، ومع ذلك، تظلّ المشكلة قائمة عندما لا تتحوّل هذه القواعد إلى إجراءات يومية ملزمة، أو عندما تظلّ المسؤولية موزعة بين جهات متعدّدة دون أن تكون هناك مساءلة واضحة عن نتائج التنفيذ.
هنا، تبرز مفارقة أساسية: قد تمتلك المؤسسة استراتيجية للأمن السيبراني، وأجهزة متطوّرة، وميزانية مخصّصة للحماية، ثم تظلّ معرضة للاختراق بسبب ثغرة كان يمكن تفاديها بإجراء بسيط.
وهم الهجوم الخارق
يميل الخطاب المتداول حول الأمن السيبراني إلى تقديم الاختراق باعتباره مواجهة بين مؤسسة عاجزة ومهاجم شديد العبقرية يمتلك تقنيات خارقة، وتؤدي هذه الصورة وظيفة نفسية مريحة؛ لأنها تنقل مركز المشكلة إلى الخارج، وتجعل الهجوم نتيجة لتفوق استثنائي للخصم.
غير أن كثيرا من المخاطر الرقمية يبدأ من نقاط أكثر بساطة: أنظمة لم تُحدّث في الوقت المناسب، حسابات لم تُحمَ بالشكل الكافي، كلمات مرور ضعيفة، صلاحيات وصول أوسع مما ينبغي، أجهزة قديمة، نسخ احتياطية غير محمية، أو موظفون لم يحصلوا على التدريب الضروري للتعامل مع الرسائل والروابط المشبوهة.
ولا يعني ذلك أن التهديدات المتقدمة غير موجودة، ولا أن جميع الهجمات سهلة أو بدائية، فقد تواجه المؤسسات خصوما يمتلكون موارد تقنية وتنظيمية كبيرة، ويستخدمون أساليب متطوّرة لاستغلال الثغرات والتخفي داخل الشبكات، غير أن وجود هذه التهديدات لا يلغي حقيقة أكثر مباشرة: كلما أهملت المؤسسة أساسيات الحماية، أصبحت في متناول هجمات لا تحتاج إلى قدرات استثنائية أصلا.
وهنا تكمن المفارقة.. قد تنفق مؤسسة مبالغ ضخمة على منظومات دفاع متقدمة، بينما تترك منفذا أساسيا مفتوحا.. وفي هذه الحالة، لا تكون المشكلة في ندرة التكنولوجيا، وإنما في غياب الانضباط الذي يجعل التكنولوجيا فعّالة.
الأمـن السيبرانـي يبـدأ مــن التفاصيـل الصغـيرة
تبدو إجراءات مثل تحديث البرمجيات، وإدارة الصلاحيات، وتفعيل المصادقة متعدّدة العوامل، ومراجعة الحسابات، وفصل الأنظمة الحساسة، واختبار النسخ الاحتياطية، وتدريب المستخدمين، أقل إثارة من الحديث عن الذكاء الاصطناعي والهجمات المتقدمة، لكن الأمن السيبراني لا يقاس بدرجة لمعان التكنولوجيا المستخدمة، وإنما بقدرة المؤسسة على تقليل نقاط الضعف والاستجابة السريعة عند ظهور الخطر.. هنا يصبح مفهوم «النظافة الرقمية» أكثر أهمية من الخطاب الاحتفالي حول التحوّل الرقمي؛ فالمؤسسة التي توسّع خدماتها الإلكترونية وتجمع كميات متزايدة من البيانات دون أن تطوّر آليات الحماية، إنما تزيد حجم المخاطر التي تحملها، كما أن حماية النظام لا تتوقف عند شراء المعدات والبرمجيات، وإنما تتطلب إجراءات دورية للتدقيق والاختبار والتحديث والمراجعة.. الأمن السيبراني ليس جهازا يوضع عند باب الشبكة ثم تنتهي المهمة، وإنما ممارسة مستمرة تتغير بتغير الأنظمة والمستخدمين وأساليب الهجوم.
الذكـاء الاصطناعــي ليـس بديـلا عــن الأساسيات
أدخل الذكاء الاصطناعي عنصرا جديدا إلى معادلة الأمن السيبراني، فهو قادر على تسريع تحليل البيانات، واكتشاف أنماط غير مألوفة، وأتمتة بعض عمليات الرصد والاستجابة، كما يمكن أن يستخدمه المهاجمون في تسريع عمليات الاستطلاع وصياغة المحتوى الاحتيالي وتوسيع نطاق الاستهداف، غير أن تضخيم هذه القدرات قد يقود إلى مغالطة خطيرة: الاعتقاد بأن ظهور تهديدات أكثر ذكاء يستوجب بالضرورة شراء دفاعات أكثر ذكاء قبل إصلاح الأساسيات، فالذكاء الاصطناعي يمكن أن يعزّز دفاعا منظما، لكنه لا يستطيع أن يعوض غياب السياسة الأمنية أو ضعف إدارة الصلاحيات أو تراخي التحديثات أو سوء تدريب الموظفين، وحتى أكثر أنظمة الرصد تطورا ستظل محدودة القيمة إذا كانت المؤسسة لا تملك إجراءات واضحة للتعامل مع التنبيه الأمني، أو لا تعرف من المسؤول عن اتخاذ القرار عند وقوع الحادث، لذلك، فإن المعركة ليست بين «ذكاء اصطناعي هجومي» و«ذكاء اصطناعي دفاعي» فقط.. إنها معركة بين مؤسسة منضبطة ومؤسسة تكتفي باقتناء التكنولوجيا، لهذا ينبغي التمييز بين الاستثمار التقني والاستثمار الأمني.. الأول يشتري أدوات، أما الثاني فيبني قدرة مؤسساتية على الوقاية والكشف والاستجابة والتعافي.
من الهيكلة إلى وسيلة لتأجيل الفعل
تظهر مشكلة أخرى عندما تواجه المؤسسات إخفاقا أمنيا أو إداريا فتسارع إلى إنشاء لجنة جديدة، أو هيئة إضافية، أو جهاز للتنسيق، أو إطار استراتيجي جديد.. قد تكون بعض هذه الهياكل ضرورية في حالات معينة، لكن تحويل إعادة الهيكلة إلى استجابة تلقائية للأزمات قد ينتج أثرا عكسيا، فكلما تعدّدت الجهات، أصبح السؤال أكثر تعقيدا: من يتحمل المسؤولية؟ ومن يملك صلاحية القرار؟ ومن يتابع التنفيذ؟ ومن يحاسب عند الإخفاق؟
إن الأمن السيبراني يحتاج إلى وضوح في المسؤوليات بقدر حاجته إلى التكنولوجيا، ولذلك، فإن المؤسسة التي تنشئ خمس لجان ولا تحدد من يجب أن يغلق حسابا مخترقا خلال دقائق، أو من يملك صلاحية عزل جهاز مصاب، لم تحل المشكلة، وإنما أعادت توزيعها على الورق.
المطلوب ليس مقاومة التنظيم المؤسسي، وإنما مقاومة التنظيم الذي يتحوّل إلى بديل عن التنفيذ؛ فالقاعدة العملية بسيطة: إذا لم ينتج الإطار الجديد إجراءات قابلة للقياس، ومسؤوليات محددة، وآجالا واضحة، وآليات مساءلة، فإن قيمته الأمنية ستظل محدودة مهما كانت الصياغات الاستراتيجية التي تحيط به.
من الاستراتيجية إلى الاختبار
الانتقال الحقيقي في إدارة الأمن السيبراني يبدأ عندما تتحوّل الخطط من وثائق إلى اختبارات دورية.
هل تعرف المؤسسة جميع أصولها الرقمية؟ هل تعرف من يملك صلاحية الوصول إلى البيانات الحساسة؟ هل تراجع تلك الصلاحيات بصورة منتظمة؟ هل تختبر قدرتها على استعادة الأنظمة بعد هجوم؟ هل يعرف الموظفون ماذا يفعلون عند تلقي رسالة مشبوهة؟ هل توجد خطة واضحة للإبلاغ عن الحوادث؟ وهل جرى اختبارها فعليا؟
هذه الأسئلة تبدو بسيطة، لكنها أكثر فائدة من الخطابات العامة حول «الجاهزية الرقمية»؛ فالجاهزية لا تعني امتلاك خطة على الخادم أو في ملف إداري، وإنما تعني قدرة المؤسسة على تنفيذها في لحظة الأزمة، وبين الخطة والتنفيذ، توجد المسافة التي تتحدّد فيها حقيقة الأمن السيبراني، وهنا تصبح عمليات التدقيق الأمني المنتظمة ضرورة لا إجراء شكليا، على أن ترتبط نتائجها بالمساءلة والتصحيح؛ فالثغرة التي يتمّ اكتشافها ولا تغلق، تتحوّل من مشكلة تقنية إلى مشكلة إدارية.
الموظـــف.. الحلقـة الأضعـف
أم خــــط الدفـاع الأول؟
يختزل العامل البشري كثيرا في عبارة «الحلقة الأضعف» في الأمن السيبراني، لكن هذه النظرة تحمل قدرا من الظلم، لأن الموظف يعمل داخل نظام تحدّده المؤسسة، وإذا لم توفر الإدارة تدريبا منتظما، وسياسات واضحة، وأدوات آمنة، وإجراءات للإبلاغ، فلا يمكن تحميل الفرد وحده مسؤولية الفشل.
في المقابل، لا يمكن تجاهل السلوك البشري، فالوعي الأمني ينبغي أن يصبح جزءا من الثقافة المهنية اليومية، مثلما أصبحت قواعد السلامة جزءا من العمل في قطاعات أخرى.
إن الموظف الذي يعرف كيف يتعامل مع رسالة مشبوهة، وكيف يبلّغ عن حادث، ومتى يمتنع عن مشاركة معلومة حساسة، يمثل جزءا من منظومة الدفاع، أما الموظف الذي لا يعرف هذه القواعد، فإنه قد يتحوّل، من دون قصد، إلى مدخل للخطر، ولهذا، لا يكفي تنظيم دورة تدريبية سنوية والتعامل معها بوصفها إنجازا إداريا، فالمطلوب بناء ثقافة أمنية مستمرة، تختبر المعرفة بالممارسة وتحولها إلى سلوك تلقائي.
البيانات.. مسؤولية تتجاوز المؤسسة
تكتسب المسألة بعدا أخلاقيا وسياديا أكبر عندما يتعلق الأمر بالمؤسسات العمومية، فالمواطن لا يمنح الإدارة بياناته باعتبارها مادة تجارية، وإنما يفعل ذلك في إطار علاقة تقوم على الثقة والضرورة القانونية والخدمة العامة.
وتحمل المؤسسات، لذلك، مسؤولية خاصة في حماية البيانات التي تجمعها، وتشمل هذه المسؤولية تقليل البيانات غير الضرورية، وضبط الوصول إليها، وتأمين تخزينها ونقلها، وتحديد مدد الاحتفاظ بها، والاستجابة السريعة عند حدوث اختراق.
إن تسرّب بيانات المواطنين لا يمثل عطلا تقنيا، بقدر ما يعبر عن إخفاق في علاقة الثقة بين الفرد والمؤسسة، وتزداد حساسية الأمر مع اتساع الاعتماد على الخدمات الرقمية، لأن التحول الرقمي يعني ـ بالضرورة – انتقال جزء أكبر من حياة المواطن إلى الأنظمة الإلكترونية، وكل توسع في الرقمنة دون بناء مواز للثقة والأمان، قد يؤدي إلى نتيجة تناقض الهدف الأصلي للتحوّل: بدلا من جعل الإدارة أكثر قربا من المواطن، تصبح أكثر عرضة لفقدان ثقته.
الأمن السيبراني واجب سيادي
تكشف المعطيات المذكورة آنفا أن الأمن السيبراني ينبغي أن ينتقل من موقع «الملف التقني» إلى موقع السياسة المؤسسية الأساسية؛ فالمسألة تتعلّق بحماية الخدمات العامة، والبيانات، والبنى التحتية، واستمرارية العمل، وثقة المواطنين، كما ترتبط بالأمن الاقتصادي والاجتماعي، لأن توقف منظومة رقمية حيوية قد تكون له آثار تتجاوز حدود الجهة التي تعرضت للهجوم.
إن بناء الأمن السيبراني لا يبدأ بالبحث عن أغلى نظام متاح في السوق، وإنما بتحديد ما يجب حمايته، ومعرفة المخاطر، وتوزيع المسؤوليات، وفرض الحد الأدنى من الضوابط، ومراجعتها باستمرار.
ثم تأتي التكنولوجيا لتعزّز هذه المنظومة، لا لتخفي غيابها.
أما المفارقة التي ينبغي التوقف عندها، هي أن الأمن السيبراني أصبح، في كثير من الأحيان، ضحية للنجاح التجاري للتكنولوجيا نفسها، فكلما ظهرت تقنية جديدة، ارتفع الإغراء باقتنائها بوصفها الحل المنتظر، ثم تظهر تقنية أحدث، فتتكرر الدورة، بينما تبقى بعض الثغرات الأساسية في مكانها.
والمطلوب هو قلب هذه الأولوية.. قبل الذكاء الاصطناعي، هناك تحديث الأنظمة، وقبل التحليلات المتقدمة، هناك إدارة سليمة للصلاحيات، وقبل منصات الاستجابة الآلية، هناك خطة واضحة للحوادث، وقبل الحديث عن «الدفاع الذكي»، هناك موظف يعرف كيف يتصرف عندما تصل إليه رسالة مشبوهة.
هذه ليست دعوة إلى التقليل من قيمة التكنولوجيا، وإنما إلى وضعها في السياق الصحيح.. التكنولوجيا تضاعف قدرة المؤسسة، لكنها تضاعف أيضا آثار سوء إدارتها؛ ولهذا، فإن المعركة الحقيقية في الأمن السيبراني ليست معركة أجهزة وبرمجيات، وإنما معركة انضباط مؤسسي، فالمؤسسة الآمنة ليست تلك التي تملك أكبر عدد من الشاشات وأنظمة المراقبة، وإنما التي تعرف ما الذي تحميه، ومن المسؤول عن حمايته، وكيف تكتشف الخلل، وماذا تفعل عند وقوعه، وكيف تمنع تكراره.
وعندما تستعيد المؤسسات هذا المنطق، يصبح الذكاء الاصطناعي أداة لتعزيز الأمن، لا ستارا لتغطية الثغرات.. أما الاستمرار في الاعتقاد بأن كل اختراق هو نتيجة عبقرية تقنية خارقة، فقد يكون مجرد طريقة أنيقة للهروب من السؤال الأكثر إزعاجا: هل نفذنا فعلا أبسط قواعد الحماية التي نعرفها منذ سنوات؟
في الأمن السيبراني، كثيرا ما تكون الإجابة عن هذا السؤال أهم من امتلاك أحدث تقنية في العالم.