أمن المعلومات والأمن السيبراني: ركيزة العصر الرقمي

في كل ثانيتين، يقع في مكان ما من هذا العالم هجوم سيبراني جديد، ويُتوقع أن يكلّف الابتزاز السيبراني بأشكاله المختلفة الاقتصاد العالمي ما يقارب 74 مليار دولار خلال عام 2026 وحده. هذه ليست أرقاماً مأخوذة من سيناريو خيالي، بل خلاصة تقارير مؤسسات بحثية رصينة تُجمع على أن الفضاء الرقمي أصبح ساحة الصراع الأكثر صمتاً وكلفةً في عصرنا. ومع ذلك، لا يزال كثيرون، أفراداً ومؤسسات، يتعاملون مع أمن المعلومات والأمن السيبراني بوصفهما ” شأناً تقنياً ” يخص قسم تقنية المعلومات وحده، بينما الحقيقة أنهما باتا أحد أعمدة الاستقرار في الدولة والاقتصاد والمجتمع على حدٍّ سواء.

تهدف هذه المقالة، وهي الأولى في سلسلة متخصصة، إلى وضع إطار واضح يربط بين أهمية هذا المجال على المستوى العام، ودوره الحيوي في المؤسسات الحكومية وقطاع الأعمال، وصولاً إلى ضرورة وجود تشريعات داعمة، ثم إلى جوهر المهنة الحديثة: إدارة المخاطر السيبرانية بوصفها لغة تخاطب بين المتخصص ومتخذ القرار.

أولاً: المفهومان والفرق بينهما

قبل الخوض في التفاصيل، من المهم التمييز بدقة بين مصطلحين كثيراً ما يُستخدمان كمترادفين، وهما ليسا كذلك تماماً. أمن المعلومات (Information Security) هو المفهوم الأشمل، ويُعنى بحماية المعلومة في أي شكل من أشكالها: ورقية كانت، أم رقمية، أم محفوظة في أذهان الموظفين، وذلك عبر ثلاثة مبادئ جوهرية تُعرف باسم “ثالوث الحماية”: السرية (Confidentiality)، والسلامة (Integrity)، والتوفّر (Availability). أما الأمن السيبراني (Cybersecurity) فهو الفرع المتخصص في حماية ما هو رقمي ومتصل بالشبكات: الأنظمة والتطبيقات والبيانات الإلكترونية والبنى التحتية الرقمية.

بعبارة أوضح: كل أمن سيبراني هو جزء من أمن المعلومات، لكن ليس كل أمن معلومات سيبرانياً. وفي الممارسة العملية هما وجهان متكاملان لعملة واحدة، يكمّل أحدهما الآخر، ولا يستقيم أحدهما دون الآخر.

ثانياً: لماذا يهمّنا جميعاً؟

نعيش اليوم في زمن تُوصف فيه البيانات بأنها ” نفط القرن الحادي والعشرين “، لكنها في الواقع أثمن من النفط؛ لأن خسارتها لا تعني خسارة مال فحسب، بل خسارة هويات وثقة وسمعة، بل وأرواح أحياناً. الفرد العادي يحمل في هاتفه حسابه المصرفي وصور عائلته ومراسلاته الخاصة وموقعه الجغرافي. والمنشأة الصغيرة تعتمد على نظام محاسبي إلكتروني وقواعد بيانات عملاء. والمستشفى يدير ملفات مرضاه ونتائج فحوصاتهم رقمياً. والدولة تدير شؤونها، من إصدار الوثائق الثبوتية إلى تشغيل محطات الكهرباء والمياه، عبر منظومات معلوماتية متشابكة.

وكل هذه الأصول معرّضة للخطر. والعنصر البشري لا يزال الحلقة الأضعف في هذه السلسلة؛ فبحسب تقرير شركة Verizon لتحقيقات اختراق البيانات لعام 2025 (DBIR)، فإن نحو 60% من الاختراقات يتدخل فيها العنصر البشري بصورة أو بأخرى: نقرة على رابط تصيّد، أو كلمة مرور ضعيفة، أو إعدادات سحابية تُركت مكشوفة عن غير قصد. وهذا بالضبط ما يجعل التوعية والتدريب لا يقلّان أهمية عن الجدران النارية والتشفير وأنظمة كشف التسلل، بل قد يفوقانها أثراً.

ثالثاً: في المؤسسات الحكومية وقطاع الأعمال

على مستوى الحكومات، لم تعد البنية التحتية الرقمية تقتصر على المواقع والتطبيقات، بل امتدت لتشمل محطات الطاقة وشبكات المياه وأنظمة المرور والمستشفيات وأنظمة الدفاع الوطني. وخطورة هذا التشابك تتجلّى في أن هجوماً واحداً ناجحاً قد يُعطّل الحياة في مدينة بأكملها.

والمثال الأبرز عالمياً على ذلك هو الهجوم الذي تعرّضت له شركة Colonial Pipeline الأمريكية، أكبر خط أنابيب للوقود المكرّر في الولايات المتحدة، في مايو 2021. فقد تمكّنت مجموعة DarkSide من اختراق الشبكة عبر كلمة مرور واحدة مُسرّبة لحساب شبكة افتراضية خاصة (VPN) لم يكن مزوّداً بالمصادقة الثنائية. أدى ذلك إلى توقّف خط أنابيب يمتد لأكثر من 8,800 كيلومتر ويغذّي نحو 45% من وقود الساحل الشرقي، ما تسبّب في نقص حادّ في الوقود وحالة شراء بدافع الذعر، ودفع الرئيس الأمريكي إلى إعلان حالة الطوارئ. وقد اضطرت الشركة لدفع فدية بلغت نحو 4.4 مليون دولار، استعادت السلطات لاحقاً جزءاً منها. والدرس الجوهري هنا أن ثغرة بسيطة في حساب مهمل كانت كافية لإحداث أزمة وطنية.

وعلى صعيد الجهات الحكومية تحديداً، رصدت تقارير عام 2025 ارتفاعاً يقارب 65% في هجمات الفدية الموجَّهة إليها خلال النصف الأول من العام، وهو رقم لا يُستهان به يعكس أن المهاجمين باتوا يرون في الدولة هدفاً سياسياً ومالياً في آن.

أما في قطاع الأعمال، فالأرقام لا تقل دلالة. بحسب تقرير IBM ” تكلفة اختراق البيانات ” لعام 2025، بلغ متوسط تكلفة الاختراق الواحد عالمياً نحو 4.44 مليون دولار، فيما قفز في الولايات المتحدة إلى رقم قياسي عند 10.22 مليون دولار، ووصل في القطاع الصحي، الأعلى كلفةً منذ أربعة عشر عاماً متتالياً، إلى 7.42 مليون دولار للحادثة الواحدة. لكن الأهم من الرقم ذاته هو ما يقف خلفه: ثقة عميل تتآكل خلال ساعات، وعقود تتعطّل، وموظفون يقفون عاجزين أمام أنظمة مُشفّرة، وعلامة تجارية يستغرق ترميمها سنوات.

وأشدّ ما يُؤسف له أن المنشآت الصغيرة والمتوسطة هي الأكثر استهدافاً وأقلها استعداداً في آنٍ معاً؛ إذ يظن كثير من أصحابها أن ” لا أحد سيكترث بهم “، بينما المهاجم في الغالب لا يبحث عن ضحية كبيرة، بل عن ضحية سهلة. وتشير بيانات Verizon إلى أن برامج الفدية تتورّط في نحو 88% من اختراقات هذه الشريحة من المنشآت، مقابل نسبة أقل بكثير لدى المؤسسات الكبرى الأكثر تحصيناً.

رابعاً: أهمية التشريعات والقوانين

كل ما سبق لا يستقيم دون إطار قانوني واضح. والقانون في هذا المجال ليس مجرد عقوبة على المخترِق، بل منظومة متكاملة تؤدّي عدة أدوار في وقت واحد، أبرزها:

• توحيد المعايير: حين تُلزم الدولة منشآتها بتطبيق ضوابط محدّدة، كالضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني في المملكة العربية السعودية (NCA)، أو نظام حماية البيانات الشخصية (PDPL)، أو اللائحة الأوروبية العامة لحماية البيانات (GDPR)، فإنها ترفع الحدّ الأدنى من النضج الأمني في السوق بأكمله، بدلاً من ترك كل جهة تجتهد وحدها بمنطقها الخاص.
• المساءلة والامتثال: التشريعات تجعل من الحوكمة الأمنية واجباً لا خياراً، فلا يستطيع مجلس الإدارة تجاهل المخاطر السيبرانية حين تكون هناك غرامات صريحة ومسؤولية قانونية أمام الجهة المنظِّمة.
• الردع والملاحقة القضائية: أنظمة الجرائم المعلوماتية تمنح أجهزة إنفاذ القانون الأدوات اللازمة لتعقّب الجناة ومحاسبتهم، وتُقلّص شعور المهاجمين بأنهم يعملون في فراغ بلا عقاب.
• التعاون الدولي: الجريمة السيبرانية عابرة للحدود بطبيعتها، ولا يمكن مواجهتها بقوانين وطنية معزولة. ومن هنا تبرز أهمية الاتفاقيات الدولية وآليات تبادل المعلومات الاستخبارية بين الدول.
• حماية حقوق الأفراد: أنظمة حماية البيانات لا تُلزم المؤسسات وحسب، بل تمنح المواطن حقاً صريحاً في معرفة كيف تُستخدم بياناته والاعتراض على ذلك، في تحوّل ثقافي يضع الإنسان في قلب المعادلة الرقمية لا على هامشها.

وتجدر الإشارة إلى أن الأطر الدولية الطوعية باتت تتكامل مع التشريعات الملزِمة؛ فإطار العمل الأمريكي NIST Cybersecurity Framework، في نسخته الثانية الصادرة في فبراير 2024، أضاف وظيفة محورية جديدة هي “الحوكمة” (Govern) إلى وظائفه الخمس السابقة، تأكيداً على أن مسؤولية الأمن السيبراني تبدأ من القيادة العليا ومجلس الإدارة، لا من غرفة الخوادم.

خامساً: إدارة المخاطر السيبرانية، جوهر المهنة الحديثة

إذا كان هناك مفهوم واحد يميّز الممارسة الناضجة للأمن السيبراني عن مجرد ” شراء أدوات حماية “، فهو مفهوم إدارة المخاطر (Risk Management). فالحقيقة التي يدركها كل متخصص محترف أن الأمن المطلق وهمٌ لا وجود له؛ إذ لا يمكن لأي مؤسسة، مهما أنفقت، أن تحمي كل شيء بالدرجة نفسها وفي الوقت نفسه. والسؤال الجوهري إذن ليس ” كيف نمنع كل هجوم؟ “، بل ” ما الأصول الأكثر أهمية لدينا، وما التهديدات الأرجح، وأين نوجّه مواردنا المحدودة لتحقيق أكبر أثر؟ “.

هنا يأتي دور المعايير الدولية. فالمواصفة ISO/IEC 27001، وهي المرجع العالمي الأول لبناء نظام إدارة أمن المعلومات (ISMS)، تشترط أن تكون كل ضوابط الحماية مبنيّة على تقييم منهجي للمخاطر. وتأتي المواصفة المكمّلة ISO/IEC 27005 (بنسختها المحدّثة لعام 2022) لتقدّم منهجية عملية واضحة لإدارة المخاطر تمرّ بمراحل متتابعة: تحديد سياق المؤسسة، ثم تحديد المخاطر، فتحليلها، فتقييمها مقارنةً بمستوى المخاطرة المقبول، وأخيراً معالجتها.

وأمام كل خطر مُحدَّد، تملك المؤسسة عادةً أربعة خيارات للمعالجة، يجدر بكل مسؤول أن يعيها:

• تجنّب الخطر: بالتوقّف عن النشاط الذي يولّده أصلاً (مثلاً، الاستغناء عن نظام قديم شديد الهشاشة).
• تقليل الخطر: عبر تطبيق ضوابط أمنية تخفّض احتمال وقوعه أو حجم أثره (كالتشفير والمصادقة الثنائية والنسخ الاحتياطي).
• نقل الخطر: بتحويل جزء من تبعاته إلى طرف آخر، كالتأمين السيبراني أو إسناد بعض الخدمات لمزوّد متخصص.
• قبول الخطر: حين تكون كلفة المعالجة أعلى من الضرر المحتمل، يُتّخذ قرار واعٍ ومُوثَّق بقبول الخطر ضمن حدود مقبولة.

والعائد على هذا النهج ملموس ورقمي. فبحسب تقرير IBM لعام 2025، انخفض متوسط الزمن اللازم لاكتشاف الاختراق واحتوائه إلى 241 يوماً، وهو الأدنى منذ تسع سنوات، وثبت أن الاختراقات التي تُحتوى خلال أقل من مئتي يوم تكلّف أقل بنحو مليون دولار من تلك التي تتجاوزها. كما أن المؤسسات التي توظّف الذكاء الاصطناعي والأتمتة في عملياتها الأمنية وفّرت في المتوسط نحو 1.9 مليون دولار لكل حادثة، واختصرت دورة حياة الاختراق بنحو ثمانين يوماً. إدارة المخاطر، إذن، ليست ترفاً تنظيمياً، بل استثمار يُقاس أثره بالأرقام.

وخطورة إهمال إدارة المخاطر تتضّح في مخاطر سلسلة الإمداد (Supply Chain Risk). ولعلّ أوضح مثال موثّق على ذلك حادثة برمجية MOVEit عام 2023، حين استغلّت مجموعة Cl0p ثغرة في برنامج لنقل الملفات تستخدمه آلاف المؤسسات، فتسلّلت عبره إلى ما يزيد على 2,000 مؤسسة حول العالم، وكشفت بيانات عشرات الملايين من الأفراد. الدرس هنا أن أمن أي مؤسسة لم يعد مرهوناً بدفاعاتها وحدها، بل بدفاعات كل طرف ثالث تتعامل معه، بل وأطراف هؤلاء الأطراف. ولهذا أفردت نسخة NIST الجديدة اهتماماً خاصاً بإدارة مخاطر سلسلة الإمداد.

ويبقى التحدّي الأكبر بشرياً لا تقنياً. فدراسة القوى العاملة في الأمن السيبراني الصادرة عن منظمة ISC2 لعام 2025، والتي شملت أكثر من 16,000 متخصّص حول العالم، كشفت أن 95% من المشاركين يعانون فجوة مهارات واحدة على الأقل في فرقهم، وأن نحو 88% منهم تعرّضوا لحادثة أمنية مؤثّرة واحدة على الأقل بسبب نقص المهارات. بل إن المنظمة امتنعت هذا العام، ولأول مرة، عن نشر تقديرها المعتاد لحجم ” فجوة القوى العاملة “، معلّلةً ذلك بأن نقص المهارات النوعية بات أكثر إلحاحاً من نقص الأعداد ذاته. وهذا يعني أن الاستثمار في تأهيل الكفاءات الوطنية لم يعد خياراً تكميلياً، بل ضرورة استراتيجية.

وفي القادم من هذه السلسلة

ما عرضناه هنا هو الإطار العام ومدخل لما هو أعمق وأدقّ. وفي المقالات القادمة سنغوص في تفاصيل عملية أكثر، من بينها: شرح مبادئ “ثالوث الحماية” (السرية والسلامة والتوفّر) وكيف نقيس كلاً منها على أرض الواقع؛ وتشريح أبرز أنواع التهديدات السيبرانية من التصيّد الاحتيالي إلى برامج الفدية والهجمات المعزَّزة بالذكاء الاصطناعي؛ ومنهجية بناء برنامج أمن سيبراني داخل المؤسسة وفق معايير ISO وNIST بمعزل عن حجمها؛ ودور الإنسان والتدريب وثقافة الوعي؛ إضافة إلى قراءة معمّقة في المشهد التشريعي العربي والدولي وكيف يستفيد منه المسؤول والمهندس عملياً.

الأمن السيبراني ليس ” ترفاً ” يخصّ كبرى الشركات، ولا تعقيداً يخصّ المهندسين وحدهم. إنه ثقافة، ومسؤولية، ومهنة، وفي قلب كل ذلك التزام أخلاقي بحماية الإنسان أولاً.