لا يبدأ الأمن السيبراني في مقاولة صغيرة جداً أو صغيرة أو متوسطة بشراء أداة، بل يبدأ بمعرفة ما يجب حمايته، ومن يملك حق الولوج إليه، وكيف تتصرف المقاولة يوم يقع حادث. يقترح هذا الدليل مقاربة عملية موجهة إلى مسيّر غير متخصص، في المغرب كما على الصعيد الدولي.
لماذا يهمّ الأمن السيبراني المقاولات الصغيرة أيضاً
البريد الإلكتروني، الفوترة، نظام CRM، الموقع الإلكتروني، التطبيق المحمول، التخزين على الإنترنت: حتى المقاولة الصغيرة تعتمد اليوم على خدمات رقمية عديدة. وكل خدمة منها تحتوي على بيانات مفيدة للنشاط، مثل ملفات الزبناء والمحاسبة والعقود والخبرة المهنية.
قد يتخذ الحادث أشكالاً متعددة: حساب بريد إلكتروني مخترق، ملفات أصبحت غير قابلة للقراءة، موقع متوقف عن الخدمة أو تسرّب لبيانات الزبناء. وفي جميع الحالات، تكون استمرارية النشاط وثقة الزبناء على المحك. ليس الهدف بلوغ خطر منعدم، بل تقليص المخاطر الأكثر احتمالاً بتدابير تتناسب مع حجم المقاولة.
جرد أصولكم وصلاحيات الولوج لديكم
لا يمكن أن نحمي جيداً إلا ما نعرفه. تتمثل الخطوة الأولى في إعداد جرد بسيط:
- المعدات: حواسيب العمل، الخوادم، الهواتف الذكية، الأجهزة اللوحية.
- البرمجيات والخدمات على الإنترنت: البريد الإلكتروني، CRM، ERP، الفوترة، الأدوات المهنية.
- الحضور على الإنترنت: الموقع الإلكتروني، متجر التجارة الإلكترونية، الحسابات المهنية على شبكات التواصل الاجتماعي.
- الحسابات وصلاحيات الولوج: من يستطيع الولوج إلى ماذا، بمن فيهم مقدمو الخدمات والمتدربون والمتعاونون السابقون.
- البيانات الحساسة: ملفات الزبناء والزبناء المحتملين، ملفات الموارد البشرية، المحاسبة، عروض الأسعار والعقود.
ويشكل هذا الجرد أيضاً نقطة انطلاق التدقيق المعلوماتي للمقاولات الصغيرة والمتوسطة: فهو يتيح تحديد ما هو حرج وضبط الأولويات.
إحكام الولوج: كلمات المرور، المصادقة والصلاحيات
التحكم في الولوج هو التدبير الأكثر مباشرة. تكفي بضع قواعد لتقليص التعرض للمخاطر بشكل كبير:
- كلمات المرور: طويلة، فريدة لكل حساب، ولا يجري تبادلها أبداً عبر البريد الإلكتروني. ويسهّل مدير كلمات المرور الالتزام بهذا الانضباط.
- المصادقة متعددة العوامل: تُفعَّل بالأولوية على البريد الإلكتروني والأدوات المالية وحسابات الإدارة والخدمات الحرجة على الإنترنت.
- أقل قدر من الامتيازات: لا يلج كل متعاون إلا إلى البيانات والوظائف الضرورية لعمله.
- الالتحاق والمغادرة: مسطرة مكتوبة لإنشاء الحسابات وتعديلها وتعطيلها، بما فيها حسابات مقدمي الخدمات.
- حسابات الإدارة: منفصلة عن الحسابات المستعملة يومياً ومحصورة في عدد قليل من الأشخاص.
إبقاء المعدات والتطبيقات محدَّثة
تصحح التحديثات ثغرات معروفة. وتأجيلها يعني ترك باب مفتوح.
- برمجوا تحديثات الأنظمة والمتصفحات والبرمجيات المهنية والأجهزة المحمولة، وطبّقوا دون انتظار التصحيحات الأمنية التي يصنفها الناشرون على أنها حرجة.
- حددوا قواعد للأجهزة الشخصية المستعملة في العمل: قفل الشاشة، التشفير متى كان الجهاز يتيح ذلك، الفصل بين الاستعمال المهني والاستعمال الشخصي.
- تجنبوا شبكات Wi-Fi العمومية غير المؤمَّنة للولوج إلى أدوات المقاولة.
- أزيلوا البرمجيات وأغلقوا الحسابات التي لم تعد مستعملة.
تأمين تطبيقاتكم على الويب والهاتف المحمول
الموقع الإلكتروني أو فضاء الزبناء أو التطبيق المحمول معرَّض للمخاطر بشكل دائم. ويُعالَج أمنه منذ مرحلة التصميم، ثم طوال مدة حياته:
- تحديث منتظم للمكوّنات والمكتبات والوحدات المستعملة.
- تدبير الأدوار والصلاحيات داخل التطبيق، مع حماية حسابات الإدارة.
- تشفير المبادلات وحماية البيانات المخزَّنة.
- تسجيل العمليات الحساسة لفهم ما جرى عند حدوث خلل.
- صيانة مبرمجة بعد الإطلاق، وليس فقط عند وقوع عطل.
إذا كنتم تحضّرون لنقل تطبيقاتكم إلى السحابة، فأدرجوا هذه النقاط في المشروع: انظروا دليلنا حول الانتقال إلى السحابة للمقاولات الصغيرة والمتوسطة.
توعية الفرق بالتصيّد الاحتيالي
تبدأ حوادث كثيرة برسالة مضلِّلة. لذلك ينبغي أن تكون التوعية قصيرة ومنتظمة وعملية:
- سيناريوهات ينبغي عرضها: فاتورة مزيفة، رسالة مزيفة من البنك، انتحال صفة مورِّد أو مسيّر، رابط احتيالي يصل عبر البريد الإلكتروني أو على شبكات التواصل الاجتماعي.
- ردود فعل ينبغي ترسيخها: التحقق من عنوان المرسِل، عدم النقر على رابط غير متوقع، عدم إرسال كلمة مرور أبداً، طلب تأكيد كل طلب تحويل مالي مستعجل عبر قناة أخرى.
- التبليغ: يجب أن يعرف كل متعاون إلى من يبلّغ عن رسالة مشبوهة، دون خوف من اللوم.
- شبكات التواصل الاجتماعي: الحد من المعلومات الحساسة المنشورة والفصل بين الحسابات المهنية والشخصية.
النسخ الاحتياطي والاستعداد للتصرف عند وقوع حادث
لا توجد حماية مطلقة. والنسخ الاحتياطية الموثوقة والمسطرة الواضحة هي ما يصنع الفرق يوم يقع حادث.
- النسخ الاحتياطي: عدة نسخ، إحداها خارج الموقع أو غير متصلة بالشبكة، مع اختبارات استرجاع منتظمة. ويفصّل دليلنا حول النسخ الاحتياطي لبيانات المقاولة هذه الطريقة.
- الإجراءات الأولى: عزل الجهاز المتضرر، تغيير كلمات المرور المعنية، إخبار المسؤول المرجعي عن المعلوميات وتدوين الوقائع (التاريخ، الساعة، الأعراض).
- التواصل: معرفة من يخبر الزبناء والشركاء، وكذلك السلطات المختصة متى اقتضت القواعد المطبَّقة ذلك. تحققوا من التزامات حماية البيانات التي تسري على نشاطكم وعلى بلدكم.
- استئناف النشاط: إعداد قائمة بالوظائف التي يجب استعادتها بالأولوية، مثل الفوترة أو العلاقة مع الزبناء، وبأدوات الطوارئ المقررة.
تنظيم المقاربة: التدقيق، خطة العمل والمواكبة
تصمد مقاربة الأمن السيبراني مع مرور الوقت إذا كانت منظَّمة:
- تشخيص الوضع: يستعرض التدقيق الأنظمة وصلاحيات الولوج وممارسات المستعملين والنسخ الاحتياطية.
- خطة عمل مرتبة حسب الأولويات: أولاً التدابير البسيطة (الولوج، التوعية)، ثم الإجراءات التقنية المبرمجة (التحديثات، الصلاحيات)، وأخيراً الإجراءات العميقة (المساطر، التوثيق).
- مسؤول معيَّن: مسؤول مرجعي، ولو بدوام جزئي، يتابع الخطة ويحيّن التوثيق.
- مراجعة منتظمة: تُحيَّن قائمة التحقق والتكوينات كلما تغيرت المقاولة أو أدواتها أو فرقها.
Unziptech شركة للاستشارات في تكنولوجيا المعلومات والتطوير، مقرها فاس، تعمل في مجالات الذكاء الاصطناعي والويب والهاتف المحمول والبرمجيات المصممة حسب الطلب والاستشارة. وتصاحب مشاريعَها خدماتُ التكوين والتوثيق وعقود الصيانة.
قائمة تحقق عملية للأمن السيبراني للمقاولات الصغيرة جداً والصغيرة والمتوسطة
- إنجاز جرد المعدات والبرمجيات والخدمات على الإنترنت.
- تحيين قائمة الحسابات وصلاحيات الولوج الإدارية.
- كتابة قواعد كلمات المرور وتعميمها.
- تفعيل المصادقة متعددة العوامل على الحسابات الحرجة.
- وضع مسطرة التحاق المتعاونين ومغادرتهم.
- برمجة تحديثات الأنظمة والبرمجيات والتطبيقات.
- تحديد قواعد استعمال الأجهزة المحمولة والعمل عن بعد.
- إنجاز التوعية بالتصيّد الاحتيالي وتجديدها.
- توثيق النسخ الاحتياطية واختبار الاسترجاع.
- تحرير مسطرة التصرف عند وقوع حادث.
- تعيين مسؤول مرجعي عن الأمن السيبراني.
إذا بقيت عدة نقاط مفتوحة، تواصلوا مع Unziptech للحصول على عرض أسعار مخصص ومجاني.
أسئلة شائعة حول الأمن السيبراني للمقاولات الصغيرة والمتوسطة
من أين نبدأ إذا لم يسبق للمقاولة أن عالجت موضوع الأمن السيبراني؟
بجرد المعدات والحسابات والبيانات، ثم بالولوج: كلمات مرور فريدة ومصادقة متعددة العوامل على الحسابات الحرجة. وتتطلب هذه التدابير الأولى التنظيم قبل كل شيء.
هل بياناتي في أمان لأنها موجودة في السحابة؟
ليس تلقائياً. فالسحابة تنقل جزءاً من المسؤوليات، لكن ضبط إعدادات الولوج وتدبير الصلاحيات والنسخ الاحتياطي تبقى أموراً عليكم تنظيمها من جهتكم.
كيف نوعّي فريقاً صغيراً دون تعطيل النشاط؟
بحصص قصيرة ومنتظمة، مبنية على أمثلة قريبة من مهنتكم، وبتعليمة بسيطة: التبليغ عن كل رسالة مشبوهة لدى شخص معيَّن.
ماذا أفعل إذا اكتشفت رسالة مشبوهة أو ملفات أصبحت غير قابلة للقراءة؟
اعزلوا الجهاز المعني، غيّروا كلمات المرور المتضررة، أخبروا مسؤولكم المرجعي عن المعلوميات ودوّنوا الوقائع. وقبل أي قرار آخر، استشيروا مهنياً متخصصاً.
هل المقاولة الصغيرة معنية بقواعد حماية البيانات؟
تتوقف القواعد على البلد والنشاط والبيانات المعالَجة. تحققوا من النصوص التي تنطبق على وضعيتكم لدى السلطات المختصة أو لدى مستشار قانوني.
ما فائدة التدقيق المعلوماتي في مقاربة الأمن السيبراني؟
يعطي رؤية واضحة عن الوضع، ويحدد المخاطر ذات الأولوية، ويفضي إلى خطة عمل واقعية تلائم حجم المقاولة وإمكانياتها.