تحتفظ المؤسسات اليوم بكميات هائلة من بيانات المستهلكين، تتراوح بين أسمائهم وعناوين بريدهم الإلكتروني وأرقام الضمان الاجتماعي ومعلوماتهم المصرفية. ورغم أن هذه البيانات تُعدّ أصولاً قيّمة، إلا أنها تُحمّل المؤسسات مسؤولية جسيمة فيما يتعلق بحمايتها. إذ تُلزم قوانين حماية الخصوصية، مثل قانون خصوصية المستهلك في كاليفورنيا (CCPA) واللائحة العامة لحماية البيانات (GDPR)، المؤسسات بحماية هذه البيانات مهما كلف الأمر، وإلا ستواجه غرامات في حال عدم الامتثال.
قبل أن نخوض في موضوع كشف البيانات الحساسة، دعونا أولاً نلقي نظرة على ماهية البيانات الحساسة .
البيانات الشخصية هي أي معلومات تتعلق بشخص طبيعي محدد أو قابل للتحديد، بينما تشمل البيانات غير الشخصية عناصر لا ترتبط بشخص محدد أو لا تتميز بخصوصية. أما البيانات الحساسة، فهي أي بيانات تكشف عن هوية فرد ما.
- البيانات الصحية
- البيانات البيومترية
- البيانات الجينية
- البيانات المتعلقة بالحياة الجنسية أو التوجه الجنسي لشخص طبيعي
- الأصل العرقي أو الإثني
- الآراء السياسية
- منظمة دينية أو فلسفية أو سياسية
- المعتقدات الدينية أو الفلسفية
- عضوية النقابات العمالية والمزيد
ما هو الكشف عن البيانات الحساسة؟
البيانات الحساسة هي أي بيانات لا ينبغي إتاحتها لأي شخص غير مصرح له بالوصول إليها. قد تشمل البيانات الحساسة معلومات التعريف الشخصية (PII) ، مثل أرقام الضمان الاجتماعي، والمعلومات المالية، وبيانات تسجيل الدخول. يحدث انكشاف البيانات الحساسة عندما تكشف مؤسسة ما بيانات حساسة دون علمها، أو عندما يؤدي حادث أمني إلى تدميرها أو فقدانها أو تغييرها أو الكشف عنها أو الوصول إليها بشكل غير مصرح به، سواء كان ذلك عرضيًا أو غير قانوني. قد يحدث انكشاف البيانات نتيجة لعدم كفاية حماية قاعدة البيانات، أو سوء تكوينها عند إنشاء نسخ جديدة من مخازن البيانات، أو الاستخدام غير المناسب لأنظمة البيانات، وغير ذلك.
يمكن أن يكون التعرض للبيانات الحساسة من الأنواع الثلاثة التالية:
- انتهاك السرية : حيث يتم الكشف عن البيانات الحساسة أو الوصول إليها بشكل غير مصرح به أو عرضي.
- انتهاك سلامة البيانات : حيث يحدث تغيير غير مصرح به أو عرضي للبيانات الحساسة.
- خرق التوافر : هو فقدان الوصول إلى البيانات الحساسة أو تدميرها بشكل غير مصرح به أو عرضي. ويشمل ذلك الفقدان الدائم والمؤقت للبيانات الحساسة .
تتحمل المنظمات التي تجمع البيانات الحساسة مسؤولية حمايتها، وقد يؤدي عدم القيام بذلك إلى غرامات وعقوبات باهظة .
لنأخذ على سبيل المثال الغرامات المرتبطة بقانون نقل التأمين الصحي والمساءلة ( HIPAA ) وقانون تقنية المعلومات الصحية للصحة الاقتصادية والسريرية ( HITECH ). يحمي هذان القانونان بيانات المرضى الصحية، وقد يؤدي عدم الالتزام بهما إلى انتهاكات محتملة تصل إلى 1.5 مليون دولار أمريكي سنويًا. ونظرًا لأن هذه الغرامات قد تتراكم على مدى سنوات عديدة، فقد يصل المبلغ الإجمالي إلى مبلغ ضخم، ما قد يُلحق ضررًا بالغًا بخطط نمو أي مؤسسة.
ولتجنب هذه المبالغ الباهظة من الغرامات، يجب على المؤسسات تطبيق التدابير المناسبة لحماية البيانات الحساسة لعملائها ومنع أي انتهاكات.
ما الفرق بين تسريب البيانات واختراق البيانات؟
يُشار إلى فقدان البيانات في كثير من الأحيان باسم اختراق البيانات أو كشف البيانات. ومع ذلك، فإن الاختراق والكشف مفهومان مختلفان.
اختراق البيانات
عندما يتمكن شخص أو أشخاص مخوّلون من الوصول إلى بيانات شركة أو فرد، يُعرف ذلك باختراق البيانات . غالبًا ما تتعرض هذه المعلومات الخاصة للاختراق أو السرقة أو البيع. ويحدث هذا عادةً نتيجة ثغرات في أنظمة الأمان أو الإهمال البشري. والسبب الأكثر شيوعًا لاختراقات أمن البيانات هو الخطأ البشري.
يمكن اختراق البيانات عبر تقنيات متنوعة، مما يتيح للمهاجمين الوصول إلى البيانات المحمية. وقد تشمل هذه الهجمات الإصابة ببرامج ضارة ، واختراقات أمنية داخلية، وهجمات تخمين كلمات المرور، والتصيد الاحتيالي، واستغلال كلمات المرور.
كشف البيانات
يُعرَّف انكشاف البيانات بأنه فقدان معلومات حساسة نتيجةً لكشف غير مقصود. ويختلف هذا عن اختراق البيانات الذي يحدث عندما يستولي فرد أو مجموعة غير مصرح لهم على معلومات خاصة أثناء هجوم إلكتروني.
ينتج التعرض للبيانات الحساسة عن إجراءات الشركة، أو تقصيرها في ذلك. ويحدث هذا غالبًا عندما لا تكون البيانات الإلكترونية محمية ومشفرة بشكل كافٍ، مما يُسهّل الوصول إليها. ومن الأمثلة الشائعة على ذلك تحميل البيانات عن غير قصد إلى قواعد بيانات أو أنظمة خاطئة على الإنترنت.
قد يشير مصطلح "انكشاف البيانات" أيضاً إلى البيانات التي يسهل الحصول عليها نتيجة ضعف التشفير، أو انعدامه، أو أخطاء البرمجة. وقد تتأثر سمعة العلامة التجارية سلباً بانكشاف البيانات، إذ يُنظر إلى ذلك غالباً على أنه مسؤولية الشركة.
طرق كشف البيانات الحساسة
تكون البيانات عرضة للاختراق في أي وقت تفتقر فيه الشركة إلى إجراءات أمنية. يجب على فرق التطوير والأمن أولاً أن يكون لديها فهم واضح لكيفية تعرض البيانات للاختراق لتحسين أساليب التخفيف من آثار الهجمات المحتملة على التطبيقات، بما في ذلك:
البيانات أثناء النقل
تنتقل البيانات باستمرار، ناقلةً التعليمات والطلبات عبر الشبكات إلى خوادم أو برامج أو أشخاص آخرين. وتُعدّ البيانات أثناء انتقالها بالغة الحساسية، خاصةً عند مرورها عبر شبكات غير محمية أو من خلال واجهة برمجة التطبيقات (API) التي تُمكّن التطبيقات من التواصل فيما بينها.
يُعد هجوم الوسيط (MITM)، الذي يعترض حركة البيانات ويراقب الاتصالات، أحد أنواع الهجمات التي تستهدف البيانات أثناء نقلها. إضافةً إلى ذلك، وبسبب ثغرة في بروتوكولات SSL ، يمكن تعديل طلبات المتصفح من خلال هجمات حقن التعليمات البرمجية مثل البرمجة النصية عبر المواقع (XSS).
البيانات المخزنة
يحتوي أي نظام، سواء كان حاسوبًا أو شبكة، على بيانات مخزنة. ويُعتقد أن هذه البيانات، في غياب خطر الهجمات، أكثر قيمة وأقل عرضة للاختراق. يستخدم المهاجمون أساليب متنوعة للوصول إلى البيانات المخزنة، وغالبًا ما يوظفون برامج خبيثة لاستغلال الثغرات الأمنية والوصول إلى البيانات المخزنة.
قد يتمكن المهاجمون من الوصول إلى البيانات المخزنة في ملفات خارج نطاق الوصول المصرح به المعتاد، إذا كانت هذه البيانات محفوظة على خادم. ونتيجة لذلك، يزداد احتمال وقوع هجوم اختراق الدليل أو اختراق المسار، والذي يتيح الوصول إلى مواقع محظورة على النظام.
كيف تكون التطبيقات عرضة لتسريب البيانات
عندما لا يوفر تطبيق الويب حماية كافية للمعلومات الحساسة من التعرض للمهاجمين، قد تظهر ثغرات أمنية في البيانات الحساسة. وتُعدّ التطبيقات التي تستضيف معلومات مثل أرقام بطاقات الائتمان، والسجلات الطبية، ورموز الجلسات، أو بيانات اعتماد المصادقة الأخرى، الأكثر عرضةً لهذه الثغرات.
يُعتقد غالباً أن إهمال تشفير البيانات هو الخطأ الأكثر شيوعاً. ويُعدّ إرسال كلمة المرور كنص عادي مثالاً على هذه الثغرة الأمنية.
هجمات تكشف البيانات الحساسة
يمكن أن تؤدي الهجمات على التطبيقات إلى كشف البيانات الحساسة بطرق متنوعة، منها:
هجمات حقن SQL
يُعدّ هجوم حقن SQL أكثر أنواع الهجمات شيوعًا على التطبيقات. وقد أشارت دراسة إلى أن الثغرات الأمنية في التطبيقات، التي يُمكن استغلالها، هي السبب الرئيسي لمعظم هجمات حقن SQL. يتضمن هذا الهجوم قيام جهات معادية بالتلاعب بطلبات SQL لتنفيذ أوامر خبيثة. يستطيع مجرمو الإنترنت تعديل الأوامر بفعالية للوصول إلى البيانات الحساسة إذا لم تكن الخوادم مزودة بدفاع قوي ضد اكتشاف التعليمات البرمجية المُعدّلة.
قد يُمنح المهاجمون إمكانية الوصول المستمر إلى الأجزاء المقيدة من التطبيق، ويكونون أحرارًا في الدخول والخروج كما يحلو لهم، وذلك اعتمادًا على مدى خطورة الأمر أو الطلب القابل للبرمجة في حقن التعليمات البرمجية الخبيثة.
اختراق الشبكة
تُكشف جميع المعلومات عند اختراق الشبكة، خاصة عندما يحافظ المهاجمون على وجود مستمر ولكن صامت، على سبيل المثال، اختطاف الجلسة.
الجلسة هي فترة يكون فيها المستخدمون مسجلين دخولهم ويتم التعرف عليهم من خلال معرّف جلسة فريد. يستطيع المهاجمون الذين يحصلون على هذا المعرّف الوصول إلى ملفات تعريف الارتباط التي تحفظ نشاط المستخدم ومعلومات تسجيل الدخول عبر مواقع ويب متعددة. يمكن للمهاجمين شنّ هجمات باستخدام ثغرة أمنية قابلة للاستغلال، دون ترك أي أثر يُذكر. يُعرّض المستخدمون لخطر كشف بياناتهم الحساسة أو سرقة هوياتهم إذا سُمح للمجرمين الإلكترونيين بالعمل دون أن يُكتشف أمرهم.
هجمات التحكم في الوصول المعطل
تفرض التطبيقات والشبكات قيودًا بالفعل على ما يمكن للمستخدمين الوصول إليه وما لا يمكنهم الوصول إليه. وعند اختراق هذا الوصول، يمكن للمستخدمين الحصول على تصاريح دخول إلى مواقع خارج هذه الحدود، بعضها يحتوي على بيانات حساسة.
هجمات برامج الفدية
يُشفّر نوع من الفيروسات يُعرف باسم برامج الفدية الملفات على النظام المُصاب. غالبًا ما يتم دمج هذا البرنامج الخبيث في الأجهزة عبر مرفق أو رابط يعتقد المستخدمون أنه من مصدر موثوق. بعد النقر، يقوم برنامج الفدية بتنزيل البيانات وفك تشفيرها إلى شفرة غير قابلة للقراءة، يستخدمها المخترقون للمطالبة بفدية.
يرسل المهاجمون رسائل بريد إلكتروني يطلبون فيها المال أو المعلومات مقابل مفتاح فك التشفير الذي يتحكمون به. ويملك المهاجمون صلاحية الوصول إلى جميع المعلومات المخزنة على نظام الحاسوب، ولهم حرية التصرف بها كيفما شاؤوا لأنهم يمتلكون مفتاح فك التشفير.
هجمات التصيد الاحتيالي
تعتمد هجمات التصيد الاحتيالي بشكل متكرر على خداع المستخدمين وإيهامهم بأنهم يدخلون إلى موقع ويب موثوق. ويتنكر المهاجمون في هيئة شركات ذات سمعة طيبة، ويتواصلون مع ضحاياهم عبر البريد الإلكتروني أو الرسائل النصية.
يتم خداع الضحايا لحملهم على الكشف عن معلومات خاصة يستغلها المجرمون للوصول إلى حساباتهم وسرقة معلومات بطاقات الائتمان الخاصة بهم وغيرها من البيانات الحساسة.
هجمات التهديدات الداخلية
بما أن التهديدات الداخلية تشمل عادةً موظفاً حالياً أو سابقاً، فإنها تمثل خطراً يتعين على جميع الشركات التعامل معه. أي شخص يعمل في المؤسسة ولديه إمكانية الوصول إلى معلومات خاصة قد يتسبب في اختراق البيانات عن طريق اقتحامها والاستيلاء على البيانات السرية.
نظراً لأن الشركات غالباً ما تنشغل بالهجمات من مصادر خارجية ولا تخصص سوى القليل من الوقت لإنشاء دفاعات ضد الهجمات الداخلية، فإن هجمات التهديد الداخلي وإساءة استخدام الوصول غالباً ما تمر دون رادع.
كيف تحمي نفسك من تسريب البيانات؟
بيانات الكتالوج
لحماية بيانات عملائها، يتعين على المؤسسات التأكد من تتبع جميع البيانات المخزنة في أنظمتها وإجراء تدقيق دوري لها. سيوفر ذلك صورة واضحة عن مالكي البيانات ومواقعها وإجراءات الأمان والحوكمة المطبقة عليها.
تقييم المخاطر المرتبطة بالبيانات
لحماية البيانات، تحتاج المؤسسات إلى فهم واضح لمخاطر البيانات وتخصيص الميزانيات والموارد اللازمة لأنشطة تخفيف هذه المخاطر. كلما زادت حساسية البيانات، زاد خطر تعرضها للضرر. حتى كمية صغيرة من البيانات شديدة الحساسية قد يكون لها تأثير كبير على أصحاب البيانات .
ضوابط أمنية مناسبة
يجب أن يكون لدى المنظمات ضوابط أمنية مناسبة لتجنب حدوث تسريبات للبيانات الحساسة وكذلك للحد من آثارها على أصحاب البيانات.
إجراء فوري
يجب أن تمتلك المؤسسات آلية فعالة للاستجابة للاختراقات الأمنية للاستجابة الفورية لكشف البيانات الحساسة.
