متطلبات الأمن السيبراني لمنصة تدريب حكومية

منصة التدريب تُصنَّف أحيانًا كنظام منخفض الحساسية لأنها لا تحمل بيانات مالية ولا تشغيلية حرجة. وهذا تقدير ناقص: فهي تحمل بيانات كل منسوبي الجهة وهياكلها الإدارية وسجلات ما تدرّبوا عليه، وقد تكشف تفاصيل عن أنظمة الجهة وإجراءاتها الداخلية في محتواها نفسه.

وهي أيضًا نظام يصله كل المنسوبين ويستقبل رفع ملفات وقد يفتح على جمهور خارجي — وهذه خصائص تجعلها هدفًا مغريًا كنقطة دخول. وهذا الدليل يعرض الضوابط الأساسية المطلوبة في خمسة محاور مع ما يجب اشتراطه على المزود.

إدارة الهوية والصلاحيات

المحور الأول وأكثره أثرًا. والمطلوب فيه: أدوار قابلة للتخصيص بدقة لا اختيار من قائمة ثابتة، وتطبيق مبدأ أقل امتياز بحيث يحصل كل مستخدم على الحد الأدنى الذي يلزم دوره فقط.

ويليه فصل المهام: من ينشئ المحتوى لا يعتمده، ومن يدير المستخدمين لا يعدّل سجلات الإتمام. فتركيز الصلاحيات في حساب واحد يجعل أي اختراق له كارثيًا، ويلغي إمكانية اكتشاف التلاعب.

وأضف مراجعة دورية للصلاحيات: من يملك صلاحيات إدارية اليوم؟ وهل ما زال يحتاجها؟ فالصلاحيات تتراكم مع الوقت — تُمنح لمهمة مؤقتة ولا تُسحب — وتصبح بعد سنتين قائمة طويلة لا أحد يعرف مبرر كل بند فيها.

حماية البيانات

أمن التطبيق

• فحص أمني مستقل — قبل التشغيل وبعد كل تحديث كبير.
• فحص الملفات المرفوعة — نوعًا وحجمًا ومحتوى.
• حماية من الهجمات الشائعة — حقن وبرمجة عابرة للمواقع.
• إدارة التبعيات — تحديث المكتبات المستخدمة.
• مهلة استجابة للثغرات — محددة تعاقديًا بحسب الخطورة.

والبند الثاني حرج في منصات التدريب تحديدًا، لأنها بطبيعتها تستقبل رفع ملفات: محتوى من المشرفين، وواجبات من المتدربين، ومرفقات شهادات. وكل مسار رفع هو مسار هجوم محتمل إن لم يُفحص المحتوى ويُقيَّد النوع.

والبند الخامس هو ما يفصل بين مزود مسؤول وآخر يترك الجهة معرّضة. واشترط مهلًا صريحة: كم ساعة لمعالجة ثغرة حرجة، وكم يومًا للمتوسطة، وما آلية إبلاغ الجهة.

المراقبة والتدقيق

سجل التدقيق هو ما يجيب عن السؤال الأهم بعد أي حادث: ماذا حدث بالضبط ومن فعله ومتى؟ والسجل المفيد يوثق: الدخول والخروج، ومحاولات الدخول الفاشلة، وتغييرات الصلاحيات، وتعديل أو حذف السجلات، وعمليات التصدير.

ويجب أن يكون غير قابل للتعديل حتى من مدير النظام، وأن يُحفظ لمدة كافية تحددها سياسة الجهة، وأن يكون قابلًا للتصدير للأنظمة المركزية لمراقبة الأحداث الأمنية إن وُجدت لدى الجهة.

وأضف تنبيهات على أنماط مشبوهة: محاولات دخول فاشلة متكررة، وتصدير بيانات بحجم غير معتاد، ومنح صلاحيات إدارية، ودخول من مواقع أو أوقات غير مألوفة. فالسجل الذي يُراجع بعد الحادث أقل قيمة من التنبيه الذي يمنعه.

الاستجابة للحوادث

الضوابط الوقائية لا تلغي احتمال الحادث، والفرق بين جهة مستعدة وأخرى غير مستعدة يظهر في الساعات الأولى. واشترط خطة استجابة موثقة تحدد: من يُبلَّغ ومتى، وكيف تُعزل المنصة عن بقية الأنظمة، ومن يقود التحقيق.

وحدد التزامات المزود صراحة: مهلة إبلاغ الجهة عند اكتشاف حادث يمس بياناتها، والتعاون في التحقيق، وتوفير السجلات المطلوبة. فالمزود الذي يكتشف حادثًا ولا يُلزم تعاقديًا بالإبلاغ قد يعالجه بصمت وتعلم الجهة متأخرة.

واختبر الخطة بتمرين محاكاة دوري لا تكتفِ بكتابتها. فالخطة التي لم تُجرَّب تكشف ثغراتها في اللحظة الأسوأ: أرقام تواصل قديمة، ومسؤوليات غير واضحة، وصلاحيات لا يملكها من يحتاجها. راجع حلول القطاع الحكومي ومميزات المنصة.

الجمهور الخارجي كسطح مخاطر

المنصة التي تفتح على مقاولين أو مستفيدين خارجيين توسّع سطح المخاطر بشكل جوهري. فحسابات الجمهور الخارجي لا تخضع لضوابط الجهة على الأجهزة والشبكات، وقد تُستخدم من أجهزة مشتركة أو غير محدثة.

والضوابط اللازمة هنا: عزل تقني كامل يمنع أي حساب خارجي من رؤية بيانات المنسوبين أو المحتوى الداخلي، وقيود أشد على رفع الملفات، وانتهاء صلاحية تلقائي مرتبط بالعقد أو بمدة محددة.

واختبر هذا العزل عمليًا قبل التشغيل: أنشئ حسابًا خارجيًا وحاول منه الوصول لمحتوى داخلي بتعديل الروابط مباشرة أو باستدعاء واجهات النظام. فالعزل الذي يعتمد على إخفاء الروابط في الواجهة فقط ليس عزلًا.

البعد البشري

أقوى الضوابط التقنية يتجاوزها مستخدم مصرّح له يتصرف بغير وعي. ومشرف المنصة الذي يملك صلاحيات واسعة هو الهدف الأثمن لأي محاولة هندسة اجتماعية، لأن حسابه يفتح بيانات كل المنسوبين.

وخصّص تدريبًا أمنيًا أعمق لمن يملك صلاحيات إدارية في المنصة، يتجاوز التوعية العامة إلى ما يخص دورهم: كيف تُستهدف حساباتهم، وما الطلبات التي لا يجب تنفيذها مهما بدت رسمية، ولمن يبلّغون عند الاشتباه.

وضع إجراء واضحًا للطلبات الحساسة: من يطلب تصدير بيانات أو تعديل سجل أو منح صلاحية، وكيف يُتحقق من هويته، ومن يعتمد الطلب. فالمشرف الذي يتلقى طلبًا عاجلًا يبدو من جهة عليا وينفذه دون تحقق هو أشيع سيناريوهات الاختراق نجاحًا.

أسئلة شائعة

الخلاصة

لا تعامل منصة التدريب كنظام منخفض الحساسية: فهي تحمل بيانات كل منسوبيك وهيكلك الإداري ويصلها الجميع. وطبّق مبدأ أقل امتياز مع فصل للمهام ومراجعة دورية للصلاحيات، واضبط التصدير فهو أشيع مسارات التسريب، وافحص كل ملف مرفوع. واشترط فحصًا أمنيًا مستقلًا ومهل استجابة للثغرات، وسجل تدقيق غير قابل للتعديل، وخطة استجابة تُختبر لا تُكتب فقط.

وأخيرًا اجعل المراجعة الأمنية دورية لا حدثًا يسبق التشغيل. فالنظام الآمن اليوم قد لا يكون كذلك بعد عام من التحديثات والتكاملات الجديدة وتراكم الصلاحيات، والجهة التي تفحص مرة واحدة عند الإطلاق تحمي نفسها من مخاطر لحظة واحدة لا من مخاطر سنوات التشغيل.