بقلم: لينا كام
في أواخر عام 2025، أبلغت منصة التواصل “ديسكورد” مستخدميها بحدوث اختراق لدى أحد مزودي خدماتها من الأطراف الثالثة. وكانت الشركة المزودة، 5CA، تتولى مراجعة طلبات التحقق من العمر باستخدام صور الهويات الحكومية التي يرسلها المستخدمون. وأفادت ديسكورد أن بيانات نحو 70 ألف مستخدم ربما تعرضت للكشف.
بالنسبة لشركات بحجم ديسكورد و5CA، التي تخدم ملايين المستخدمين، تُعد التهديدات السيبرانية واقعًا مألوفًا. فالشركات الكبرى تدير بنى رقمية معقدة وتتعامل مع كميات هائلة من البيانات الحساسة، كما تمتلك عادة فرقًا متخصصة وموارد كافية لإدارة هذه المخاطر.
لكن الصورة تبدو مختلفة تمامًا لدى الشركات الصغيرة والمتوسطة. فكثير منها يتعامل أيضًا مع بيانات حساسة للعملاء، لكنه لا يستطيع تحمّل تكلفة توظيف مختص في الأمن السيبراني. ومع تزايد التهديدات من حيث العدد والتعقيد، يبرز سؤال أساسي: كيف يمكن لهذه الشركات حماية بياناتها دون الموارد التي تمتلكها الشركات الكبرى؟
هل مخاطر الشركات الصغيرة محدودة فعلًا؟
تمثل الشركات الصغيرة والمتوسطة نحو 99% من إجمالي الشركات، وتوظف ما يقارب ثلثي القوى العاملة. وقد تبدأ كشركتين تعملان من مرآب صغير، ثم تنمو لتشغل مكاتب في أبراج المدن. ومع هذا النمو، تتزايد الأصول الرقمية التي تحتاج إلى الحماية، كما تتعاظم المسؤوليات تجاه العملاء.
في هذا السياق، أطلقت حكومات دول منظمة التعاون الاقتصادي والتنمية سياسات لتعزيز ممارسات الأمن السيبراني لدى الشركات. وتستند هذه السياسات إلى أطر وطنية ودولية تتراوح بين إرشادات طوعية ولوائح ملزمة، مثل توجيه NIS2 الأوروبي وقانون المرونة السيبرانية. كما تقدم معايير دولية وضعتها جهات مثل ISO/IEC وNIST وETSI منهجيات منظمة لتطبيق إجراءات الحماية. لكن بالنسبة لشركة صغيرة، قد يعني ذلك مئات الصفحات التي ينبغي قراءتها وفهمها وتطبيقها، وهو أمر قد يكون مرهقًا منذ البداية.
وفي أوروبا، وكذلك في دول مثل الولايات المتحدة وسنغافورة وأستراليا، بدأت بعض القواعد تميل إلى اعتماد نهج قائم على تقييم المخاطر بدل الاكتفاء بالامتثال الشكلي. وتساعد أطر مثل ISO وNIST المؤسسات على إدارة الأمن السيبراني وإثبات التزامها به.
ومع ذلك، يظل الأمر ثقيلًا على الشركات الصغيرة. فحجم الإرشادات كبير، وغالبًا ما تفتقر هذه الشركات إلى موظفين متخصصين أو ميزانيات مخصصة لهذا المجال.
لماذا يجب أن يبدأ الأمن السيبراني منذ اليوم الأول؟
من الطبيعي أن تضيف المؤسسات وظائف جديدة مع نموها. وغالبًا ما يكون المحاسب من أوائل الأدوار الأساسية لضبط التدفقات المالية. ثم تأتي أدوار أخرى مثل إدارة المرافق والتسويق والموارد البشرية والدعم التقني.
لكن متى يجب أن تبدأ الشركة الاستثمار في الأمن السيبراني؟
الإجابة ببساطة: منذ اليوم الأول. فإدماج إجراءات الحماية في مرحلة التصميم المبكرة أسهل وأكثر فعالية من إضافتها لاحقًا.
أما القوانين والمعايير المتعددة التي تحكم مختلف القطاعات، فمن الأفضل أخذها في الاعتبار مبكرًا أيضًا. ويساعد اعتماد نهج قائم على المخاطر منذ البداية على توجيه الجهود بشكل أكثر فاعلية. كما يفيد تحديد الأصول الأكثر قيمة داخل المؤسسة والتركيز عليها أولًا، ثم توسيع نطاق الحماية تدريجيًا مع نمو الشركة.
في المراحل المبكرة، حين يكون عدد الموظفين قليلًا، غالبًا ما يتولى المدير التنفيذي بنفسه مسؤولية إدارة المخاطر. ومع التوسع، تنتقل هذه المهمة إلى مسؤول تقنية المعلومات أو مدير الجودة، وعند بلوغ عدد معين من الموظفين يصبح من المنطقي توظيف مسؤول متخصص في أمن المعلومات. أما إذا كانت الشركة تعمل في مجالات عالية المخاطر أو تخضع لمتطلبات تنظيمية صارمة، فقد يكون من الضروري تعيين مسؤول أمن معلومات منذ وقت مبكر.
إدارة المخاطر تقوم في جوهرها على تحديد نطاق العمل، واكتشاف المخاطر، وتحليلها، وتقييمها، ثم التعامل معها. وغالبًا ما يتطلب تقييم المخاطر خبرة متخصصة. وفي المراحل الأولى، يمكن لأدوات الذكاء الاصطناعي أن تساعد في إعداد قائمة أولية بالمخاطر المحتملة، لكن الحكم النهائي يظل بيد من يفهمون طبيعة العمل وأصوله.
تحديد المخاطر الفعلية واحتمالاتها وتأثيراتها يعتمد على معرفة دقيقة بالعمليات والموارد داخل المؤسسة، وكذلك اختيار كيفية التعامل معها. وتقدم المعايير المختلفة قوائم بإجراءات التخفيف التي يمكن اتباعها.
وقد أظهر التحول نحو نهج قائم على المخاطر في التشريعات نتائج واعدة، إذ يسمح للمؤسسات بالتعامل مع متطلبات تنظيمية متعددة ومتداخلة. ومع ذلك، فإن منح تسهيلات مفرطة للشركات الصغيرة قد يكون محفوفًا بالمخاطر، بينما يمكن أن تساعدها الأدوات المبسطة لإدارة المخاطر على بناء نظام متكامل تدريجيًا، وربما الوصول لاحقًا إلى الحصول على شهادات في الأمن السيبراني.
أهمية الأدوات الداعمة
لدعم الشركات في تطبيق متطلبات التوجيهات الأوروبية، طورت ألمانيا مجموعة من الأدوات والخدمات. من بينها أداة تساعد الشركات على تقييم مستوى تعرضها للمخاطر ووضع خطط عمل مخصصة، بالإضافة إلى منصات تدريبية تحاكي الهجمات السيبرانية بطريقة تفاعلية، ما يسهم في رفع وعي الموظفين وصناع القرار.
كما طورت إستونيا معيارًا وطنيًا لأمن المعلومات يوفر قائمة بالتهديدات وإجراءات التخفيف المناسبة، بما يساعد الشركات على تحديد المخاطر والتعامل معها. ويتماشى هذا المعيار مع المعايير الدولية مثل ISO/IEC 27001، ما يتيح للشركات البدء بإطار مبسط محلي، ثم الانتقال لاحقًا إلى معايير أكثر تعقيدًا مع نموها أو توسعها دوليًا.
في النهاية، يتضح أن التحدي لا يكمن فقط في وجود التهديدات، بل في القدرة على التعامل معها ضمن موارد محدودة. ولذلك، فإن بناء نهج تدريجي وعملي للأمن السيبراني، مدعومًا بأدوات مناسبة، يمكن أن يساعد الشركات الصغيرة والمتوسطة على حماية نفسها دون أن تُثقل كاهلها.
