خبير عالمي يشرح أفضل ممارسات حماية الأجهزة المحمولة في أماكن العمل
مع دخول الأجهزة النقالة إلى مكان العمل، ليس هناك من ينكر قدرتها على تحسين وتبسيط إجراءات العمل. وتقوم الشركات باستخدام التطبيقات المؤسسية التي تعد فريدة من نوعها لأعمالها، ويقوم الموظفون بالاستفادة بشكل كامل من الفوائد التي تصاحب الأعمال المتنقلة. ولكن مع الراحة التي توفرها الأجهزة النقّالة تتزايد التهديدات. وكلما ازداد عدد الموظفين والمتعاقدين الذين يستخدمون الأجهزة المحمولة للوصول إلى أنظمة وتطبيقات وبيانات المؤسسة، كلما ازدادت أهمية حماية مثل هذا الوصول.
هشام السرخي، المدير العام لشركة جيمالتو الشرق الأوسط يجيب على عدد من الأسئلة المهمة في هذا المجال
- ما هي الأجهزة النقالة الأكثر استخداماً في أمكنة العمل، وكيف يتم استخدامها؟
يعتمد انتشار الأجهزة النقالة في مكان العمل، بما في ذلك سياسة (أحضر جهازك الخاص)، وازديادها بشكل ملحوظ على الموظفين المتمرسين في استخدام التكنولوجيا من القوى العاملة التي تضم الموظفين الذين يفضلون الاتصال عبر هواتفهم الذكية وحواسيبهم اللوحية وأجهزة الكمبيوتر المحمولة الخاصة بهم. وتزداد هذه الظاهرة أكثر وأكثر لأن الأجهزة النقالة تمنح الموظفين وصولاً افتراضياً غير محدود تقريباً إلى المعلومات وإلى بعضهم البعض وإلى التطبيقات – في أي وقت وفي أي مكان ومن أي جهاز – في حين أنها تقوم بخفض التكاليف وتعزيز إنتاجية الموظفين بالنسبة لأصحاب العمل. سواء كان العمل عبارة عن استعراض وتحرير للمستندات وجداول البيانات والعروض التقديمية في الوقت الملائم للموظف، أو الوصول إلى تطبيقات الشركة وشبكة الموظفين الداخلية من المنزل أو خلال السفر؛ يستخدم الموظفون الأجهزة النقّالة لمجموعة متنوعة من الأسباب، وهذا التوجه آخذ في الازدياد. من المتوقع أن يتوسع السوق العالمي لسياسة (أحضر جهازك الخاص) من الإجمالي الحالي البالغ 72.33 مليار دولار أمريكي إلى 284.71 مليار دولار في عام 2019، وذلك وفقاً إلى تقرير عام 2014 الصادر عن “Micro Market Monitor”. وفي الوقت نفسه، يتوقع أن يصل حجم سوق الشرق الأوسط وأفريقيا لسياسة (أحضر جهازك الخاص) إلى 38.03 مليار دولار أمريكي بحلول عام 2019.
في تحول مثير للاهتمام، تقوم بعض المؤسسات الآن بتنفيذ استراتيجيات أجهزة نقّالة مختلطة قد تشمل إصدار أجهزة مملوكة من قبل الشركة ووضع سياسات (أحضر جهازك الخاص) أو السماح للموظفين بالاختيار من بين مجموعة بدائل من الأجهزة الموافق عليها مسبقاً.
- ما الذي على مطوري التطبيقات المؤسسية أخذه بالاعتبار، فيما يتعلق بالأمن عند إنشاء التطبيقات للأعمال؟
في حين أن حلول الأجهزة النقالة للشركات تعزز سير العمل، إلا أنها تستلزم التشديد على البنية التحتية الأمنية لتكنولوجيا المعلومات – على المطورين المعاصرين لتطبيقات الشركات أن يأخذوا بالاعتبار عند تصميم تطبيقات الأعمال: أولاً، الارتياح عند الاستخدام، وثانياً، الأمن. ينبغي تعزيز أمن الوصول إلى تطبيقات الشركة عن طريق وضع إجراءات قوية للتحقق من الهوية لضمان الوصول فقط من قبل المستخدمين ذوي الصلاحيات الإدارية المناسبة. لكن وبالطبع، فإنه من المهم أيضاً إحراز التوازن الصحيح بين الأمن والارتياح عند الاستخدام. – على سبيل المثال، إذا كانت الإجراءات الأمنية معقدة جداً – أي في حال يستغرق المستخدم 10 دقائق لتسجيل الدخول – سيقوم المستخدمون إما بإيجاد بديل لتجاوز الإجراءات الأمنية، أو سيتوقفون عن استخدام التطبيق بكل بساطة. لضمان استخدام هذه الطريقة على نطاق واسع وفعّال، فإن التوازن بين الأمن والراحة هو العامل الرئيسي.
- ما هي أفضل الممارسات الأمنية للأجهزة النقالة الخاصة بالأفراد – بغض النظر عن استخدامهم أو عدم استخدامهم لأجهزتهم لأغراض العمل؟
الأجهزة النقّالة مرتبطة بالعديد من التهديدات الأمنية: فهناك التهديدات المرتبطة بالتطبيقات مثل البرمجيات الخبيثة، والتهديدات المرتبطة بشبكة الإنترنت مثل الانتحال والاحتيار وتهديدات الشبكة، إضافة إلى التهديدات المادية التقليدية، كأن يتعرض الجهاز للسرقة أو الضياع. ومن الجدير بالذكر أن البرمجيات الخبيثة تشهد تصاعداً لم يسبق له مثيل في الشرق الأوسط: فقد شهدت كل من المملكة العربية السعودية ودولة الإمارات العربية المتحدة أعلى مستويات مكتشفة للبرمجيات الخبيثة في المنطقة بين عام 2013 وعام 2014. وقد تؤدي الهجمات الخبيثة على الأجهزة النقّالة من قبل الهاكرز إلى سرقة الهوية أو الوصول غير المصرح به إلى البيانات السرية أو التعديل على البيانات أو المكالمات الهاتفية غير المرغوب فيها أو انقطاع الخدمة.
عندما يتعلق الأمر بالأفراد، تتذبذب مستويات المخاطر تبعاً لسلوك المستخدم، وتتراوح أفضل ممارسات إجراءات التحقق من الهوية ما بين استخدام كلمة المرور أو رقم التعريف الخاص، إلى تثبيت التطبيقات من المصادر الموثوقة فقط أو حتى إيقاف خدمات شبكة “واي فاي” والبلوتوث عندما لا تكون قيد الاستعمال. وهناك أيضاً الحلول البسيطة: مثل المواظبة على تحديث النظام الخاص بك، حيث أنه كلما تمت ترقية البرمجيات كلما قامت بإغلاق نقاط الضعف الجديدة فيها، هذا إضافة إلى تجنب إرسال المعلومات الشخصية عبر الرسائل النصية أو البريد وتثبيت تطبيق أمن للجهاز النقال.
أما من حيث مكان العمل، فتظهر تهديدات أمنية كبيرة عندما يتجاوز المستخدمين سياسة الشبكة وتعليمات الإدارة. وهو أمر يؤدي إلى عدد من المخاطر الأمنية من انتشار للبرمجيات الخبيثة ونقاط الضعف الأخرى التي قد تكون موجودة على الجهاز الشخصي أو على خوادم الشبكة، إلى تسرب البيانات وقضايا أمن نقاط النهاية. لذلك هناك ممارسة على المستخدمين ترسيخها: الالتزام بسياسة الشبكة وتعليمات الإدارة. التضخم المفاجئ والكبير في عدد الأجهزة النقالة في مكان العمل يتحدى بالفعل النهج التقليدي بالمحافظة على ‘أربعة جدران أمنية “حول الشركة؛ فقد أثار ذلك بالتأكيد انفصالاً عن نهج الإغلاق التام الذي عفا عليه الزمن إلى البنية التحتية الأمنية، حيث على الأفراد إلى أن يكونوا أكثر يقظة أيضاً.
- عند اعتماد سياسة (أحضر جهازك الخاص)، ما هي التعليمات التي ينبغي على الشركات تطبيقها؟
تحتاج الشركات إلى أن تفهم بأن توجه (أحضر جهازك الخاص) سيبقى موجوداً لفترة طويلة، وأن نموه المتوقع يتطلب تصعيداً في الإجراءات الأمنية. لكن ليس بالضرورة أن تكون الأجهزة النقّالة الشخصية في مكان العمل كابوساً لأمن تكنولوجيا المعلومات؛ يمكن لسياسة (أحضر جهازك الخاص) أن تكون مصممة تصميماً جيداً بحيث تخفف بشكل كبير من المخاطر. وإحدى السياسات التي من الجيد تواجدها في مكان العمل هي أن تقوم المؤسسة بالسماح للموظفين بجلب واستخدام الأجهزة الشخصية في العمل مقابل أن يقوم الموظفون بالموافقة على تثبيت برنامج أمن من اختيار المؤسسة على ذلك الجهاز.
يمكن استخدام اثنين من تقنيات السوق البارزة حالياً من قبل المؤسسات في مثل هذه الحالات ألا وهي تطبيقات “إدارة الأجهزة النقّالة” (MDM) و”كلمة المرور لمرة واحدة” (OTP). توفر تقنية إدارة الأجهزة النقّالة القدرة على إنشاء منطقة آمنة داخل الجهاز بحيث تكون مكرسة لوظائف وتطبيقات الشركة، مما يساعد على فصل هذه التطبيقات والوظائف عن غيرها من التطبيقات الشخصية والبرمجيات الضارة التي من المحتمل أن تشكل خطراً على الجهاز. كما يمكن إبطال تفعيلها فوراً في حال إنهاء خدمة الموظف أو فقدان الجهاز. أما التكنولوجيا الثانية فتقوم بالتركيز حالياً على توفير ضوابط أقوى للوصول للبيانات والمعلومات، وذلك عن طريق استخدام الجهاز كأداة للتحقق من الهوية. فيتحول هذا الجهاز إلى جهاز كلمة مرور لمرة واحدة مقتطعين بذلك تكلفة الجهاز الفعلي. سوف نرى في المستقبل القريب حلول هوية مستندة إلى شهادة تحقق أكثر تطوراً. ترستونك “Trustonic” هو مشروع مشترك تم اعتماده مؤخراً وتساهم فيه شركة جيمالتو، ويعمل على استخدام مكونات الهاتف المحمول لإنشاء مكان آمن لتخزين هوية المستخدم الفريدة. وهو أمر يمكن أن يستخدم لتعزيز كل من مراقبة الدخول والوصول الآمن إلى التطبيقات والأجهزة نفسها.
يحفل المشهد العام للأعمال بقصص الشركات الرائدة التي تضررت سمعتها بسبب خروقات البيانات. يمكن لاستخدام تطبيق كلمة المرور لمرة واحدة أو الاستناد إلى شهادة التحقق من هوية البطاقة الذكية كجزء من سياسة “أحضر جهازك الخاص” أن تعمل بمثابة طبقة أساسية لأمن الأجهزة المتنقلة في المؤسسة.
- ما هي أفضل ثلاث ممارسات لتقليص ظهور تهديدات الجهاز النقّال؟
بالنسبة لأمن الأجهزة النقّالة، فإنه من المهم حجب نقاط الضعف المعرضة للخطر من خلال الضمان بأن تكون الضوابط الأمنية الشاملة والسياسات في مكانها المناسب، وأن يجري تطبيقها بشكلٍ فعّال. تعدد الطبقات يعني تعدد الحواجز بين البيانات والتهديدات المحتملة. وتوصي شركة جيمالتو بثلاث ممارسات للحد من ظهور تهديدات الهواتف النقالة، والتي قمنا بإضافتها أيضا إلى محفظة حلول إكسيك بروتكت “ExecProtect” لدينا، وهي:
تطبيق إجراءات قوية للتحقق من الهوية
غالباً ما تسمح الشركات بالوصول إلى المعلومات عن بعد عن طريق أسماء مستخدمين وكلمات مرور بسيطة وغير آمنة. وهذه يمكن أن يتم اختراقها بسهولة – يمكن للمتسللين استخدام رسائل البريد الإلكتروني الاحتيالية وتثبيت برامج أحصنة طروادة وبرامج تخزين استخدام لوحة المفاتيح وغيرها من البرامج الضارة لسرقة بيانات مرور المستخدم، والتي يمكن أن تمنحهم إمكانية الوصول إلى البيانات السرية للشركة. للحفاظ على سلامة هذه البيانات يمكن استخدام حلول مراقبة الدخول مثل تطبيق كلمة المرور لمرة واحدة ومعلومات اعتماد المفتاح العام للبنية التحتية(PKI) في البطاقات أو الرموز.
تشفير البريد الإلكتروني / بيانات المدراء التنفيذيين ذوي المستوى العالي
يميل المدراء التنفيذيون من ذوي المستوى العالي إلى أن يكونوا متنقلين جداً ولكن في نفس الوقت قادرين على الوصول إلى بيانات سرية للغاية. عند إعداد الإجراءات الأمنية لهؤلاء الأفراد، يكون من الحكمة إدخال طبقة إضافية من الأمن عن طريق حماية رسائل البريد الإلكتروني والبيانات الخاصة بهم بأقوى تقنيات التشفير وتصاريح الوصول. وفي هذه الحالة، حتى عند فقدان الجهاز أو سرقته، تبقى المعلومات والبيانات آمنة وليس من الممكن الوصول إليها إذا لم تتوفر جميع عوامل التوثيق.
التوقيع الإلكتروني
فكّر به بهذه الطريقة: كلما زادت عوامل التوثيق التي يتم تقديمها، كلما ازدادت درجة أمن الجهاز. لذا هناك طريقة أخرى للحد من ظهور التهديدات في الأجهزة النقالة، وهي إضافة توقيع رقمي لمزيج العوامل وذلك لمنصات بيانات وأعمالٍ معينة. يمكن للمؤسسات أيضاً تطبيق – تسجيل الدخول لمرة واحدة (SSO) لضمان الوصول الآمن إلى التطبيقات على شبكة الإنترنت من نقاط نهاية متعددة؛ والميزة هنا هي القدرة على تسجيل الدخول لمرة واحدة لجميع الأنظمة دون الطلب من المستخدم تسجيل الدخول في كل جهاز مرة أخرى.
