[نقاش] هل الشركات العربية بحاجة إلى الأمن الرّقميّ؟

[باحث عن المعرفة]

الابحاث والدراسات التي قام بها خبراء أمن المعلومات أفادت بأنّ هناك دافعين أساسيّين لعمليات الاختراق والتي ازدادت بشكل كبير في 2008. الدافع الأول هو الدّافع المادي يقوم المخترقون بالاختراق باستخدام وسائل مختلفة بدأ من خداع المستخدم من خلال دعوته الى زيارة مواقع مشبوهة وانتهاء بالاختراق الكامل والغرض من ذلك سرقة بطاقات ائتمان أو الاستيلاء على حساب مالي وعمل تحويل أموال وما شابه. وقد يقوم المخترقون بالاستيلاء على ارقام البطاقات الشخصية أو ما يعرف بسرقة الشخصيّة.

أمّا الدافع الثاني فهو دافع التجسس الصناعي وفيه يقوم المخترقون بمحاولة سرقة أسرار صناعيّة أو عسكريّة.

هناك دوافع أخرى كالسّياسيّة مثلاً ولكن لا أود نقاشها هنا.

غالب الشركات العربية هي شركات صغيرة أو متوسطة تقوم بعملها بعيداً عن الانترنت والشركات التي تقوم بذلك تقوم به من أجل اثبات وجود وتعريف بها. هناك بالطبع شركات تقوم بأعمال تجارية ولكن عدد هذه الشركات أقل بكثير. ولذلك فغالب الاستهداف لهذه الشركات ان تم سيكون من أجل التخريب (عن طريق أطفال الكود) ولكن لن يتم لسرقة بيانات أو ما شابه. كذلك من الناحيّة الصناعيّة الشركات عندنا ليس لها أسرار صناعيّة او عسكرية فنحن بالأغلب أمّة مستوردة لا مصنّعة فهل تحتاج الشركات في هذه الحال إلى موظّفين مختصّين بالأمن الرّقميّ؟ بل هل االشركات بحاجة إلى ميزانيّة خاصة بالأمن من الأساس؟ وكيف تقيّم وضع الامن الرقمي والوعي الأمنيّ الرّقميّ في منطقتنا العربية بشكل عام؟

[one-zero]

غالب الشركات العربية هي شركات صغيرة أو متوسطة تقوم بعملها بعيداً عن الانترنت والشركات التي تقوم بذلك تقوم به من أجل اثبات وجود وتعريف بها. هناك بالطبع شركات تقوم بأعمال تجارية ولكن عدد هذه الشركات أقل بكثير. ولذلك فغالب الاستهداف لهذه الشركات ان تم سيكون من أجل التخريب (عن طريق أطفال الكود) ولكن لن يتم لسرقة بيانات أو ما شابه.

ليست بهذة الصورة الامور ربما لم نصل لحوسبة كل شئ كما في الخارج ولكن
لديك الحكومة الالكترونية وموفري خدمة الانترنت و شركات القطاع الخاص والتي تمثل سيادة كشركات الطيران والبورصة
كل هؤلاء يحتاجون التأمين

من الناحيّة الصناعيّة الشركات عندنا ليس لها أسرار صناعيّة او عسكرية فنحن بالأغلب أمّة مستوردة لا مصنّعة فهل تحتاج الشركات في هذه الحال إلى موظّفين مختصّين بالأمن الرّقميّ؟

التصنيع العسكري وما شابه يكون له شبكته الخاصة حتى في الاتصالات ولكن الشركات الصناعية تحتاج التأمين في ظل التنافسية بين الشركات واهمية المعلومة من طرف الي اخر
احيان المعلومة تكون بسعر الذهب وهذا يذكرني بمجموعة افراد قامو بالدخول على شبكة البورصة المصرية من فترة واستنتاج ما يحدث على الشبكة من بيع وشراء لعمل مضاربات والتربح غير المشروع ولولا التأمين ما كان هؤلاء في السجن الان

هل االشركات بحاجة إلى ميزانيّة خاصة بالأمن من الأساس؟

هذة نقطة مهمة , ولكن الاهم كيف تنفق الميزانية
شاهدت مؤساسات تصرف الالف على موظفيها كتدريب يندرج تحت احد خطوات مشروع يهدف لتطوير قسم السيكيورتي والشبكات ولكن بدون اعطائهم الفرصة للدراسة وهضم الماد ة وكأن العملية مجرد تربح مالي تحت مسمى تدريب

كيف تقيّم وضع الامن الرقمي والوعي الأمنيّ الرّقميّ في منطقتنا العربية بشكل عام؟

سؤالك مزدوج فبالنسبة الي ضع الامن الرقمي في منطقتنا العربية
مع الاسف اكثر من 70% من احيتاجات التأمين غير متوافقة مع عناصر الجودة والحداثة والتدريب الكافي
تحدثت مع شخص في مقابلة شخصية للعمل كمهندس امني من فترة وسائلتها قبل التسليم الحل الامني هل نجربه لدينا او لدي العميل فقال لي نسلم كل حاجة شغالة وخلاص
قلت له يا اخي عمل معدة كال Cisco IPS شئ و التأكد من ملائمتها وصدها للهجمات و تظبيطها في ما يسمى مرحلة التطوير شئ اخر

وهكذا بالمصري ( التأمين سبوبة اخرى للحصول على ارباح) لدى سبعين في المائة من شركات التأمين



اما الوعي الأمنيّ الرّقميّ في منطقتنا العربية فهو بتقدير ضعيف جدا

لا مدير الشركة يملك المعلومة الكافية في فهم احياجته
ولا مدير قسم تقنية المعلومات متابع كل شئ واذا كان يفهم بتأمين ميكروسوفت فلن يفهم سيسكو
(موظف كان يعمل معي انتقل لشركة بالقاهرة قلت له كيف حال التأمين عندكم قال لي عندنا فريقي افضل تأمين واحد لميكروسوفت والاخر سيسكو ........ هذة الشركة التي يجب ان تكون راية :cool: علم
تم اختراقها من فترة ونشر عملبة الاختراق على منتدياتنا العربية

نأتي للموظف لا يوجد توعية حقيقة(على الرغم ان بعض البنوك هنا تقوم بتوعية الموظفيين من خلال مختصي التأمين بقسم تقنية المعلومات)
فالموظف يفتح اي ايميل واي مرفقات بمبداء ده جهاز الشغل وايه يعني


للحديث بقية

[باحث عن المعرفة]

إضافة ممتازة أخي wobooo أشكرك جدّاً عليها.

ليست بهذة الصورة الامور ربما لم نصل لحوسبة كل شئ كما في الخارج ولكن لديك الحكومة الالكترونية وموفري خدمة الانترنت و شركات القطاع الخاص والتي تمثل سيادة كشركات الطيران والبورصة كل هؤلاء يحتاجون التأمين

هذه نقطة غابت عنّي صراحة. والسبب في ذلك أنني حصرت نفسي خطاً ببلد واحد مع أن النقاش يدور حول الشركات العربية وهي موجودة في أكثر من بلد.

التصنيع العسكري وما شابه يكون له شبكته الخاصة حتى في الاتصالات ولكن الشركات الصناعية تحتاج التأمين في ظل التنافسية بين الشركات واهمية المعلومة من طرف الي اخر
احيان المعلومة تكون بسعر الذهب وهذا يذكرني بمجموعة افراد قامو بالدخول على شبكة البورصة المصرية من فترة واستنتاج ما يحدث على الشبكة من بيع وشراء لعمل مضاربات والتربح غير المشروع ولولا التأمين ما كان هؤلاء في السجن الان

معك في أن التصنيع العسكري يجب أن يكون له شبكته الخاصةولكن للأسف هذا ليس الحال دائماً كذلك السماح للعاملين في المجال العسكري بالدخول البعيد يطرح مشاكل أمنية بحد ذاته لأن حاسب العامل ان لم يكن مؤمن سيؤدي إلى دخول إلى الشبكة الخاصة وهذا حصل في الدول المتقدمة.

بخصوص المجموعة التي ذكرتها...هل استطاعت الدخول وبعد الدخول تم اكتشافها؟ أم أنها حاولت الدخول وتم وقفها والقبض على المجموعة؟ هل هناك قوانين متعلقة بالأمن الرقمي حيث تتواجد أخي؟

هذة نقطة مهمة , ولكن الاهم كيف تنفق الميزانية
شاهدت مؤساسات تصرف الالف على موظفيها كتدريب يندرج تحت احد خطوات مشروع يهدف لتطوير قسم السيكيورتي والشبكات ولكن بدون اعطائهم الفرصة للدراسة وهضم الماد ة وكأن العملية مجرد تربح مالي تحت مسمى تدريب

ما ذكرته أخي صحيح للأسف ومن خلال تجربتي أقوال أن الشركات غير جاهزة لتقديم الميزانية الكافية للتدريب. ومراكز التدريب هي مراكز ربحية المدربون فيها لا يوجد لديهم خبرة عملية بالمطلق. بل مجرد دراسة للمادة من الكتاب والاستعداد للامتحان بدراسة نماذج braindump وهو يجعل المدرب وطلّابه يبدون للأسف ومع احترامي للجميع dump والتدريب يستغرق مدة طويلة لدرجة ان الشخص يفقد حماسه بالكامل. وهذا في التدريبات المتعلقة بالامن وغيره.

سؤالك مزدوج فبالنسبة الي ضع الامن الرقمي في منطقتنا العربية
مع الاسف اكثر من 70% من احيتاجات التأمين غير متوافقة مع عناصر الجودة والحداثة والتدريب الكافي
تحدثت مع شخص في مقابلة شخصية للعمل كمهندس امني من فترة وسائلتها قبل التسليم الحل الامني هل نجربه لدينا او لدي العميل فقال لي نسلم كل حاجة شغالة وخلاص
قلت له يا اخي عمل معدة كال Cisco IPS شئ و التأكد من ملائمتها وصدها للهجمات و تظبيطها في ما يسمى مرحلة التطوير شئ اخر

وهكذا بالمصري ( التأمين سبوبة اخرى للحصول على ارباح) لدى سبعين في المائة من شركات التأمين

اتفق معك تماماً. ولكن بخصوص النسبة فليس لدي علم ولكن اتوقع انها مرتفعة.

اما الوعي الأمنيّ الرّقميّ في منطقتنا العربية فهو بتقدير ضعيف جدا

لا مدير الشركة يملك المعلومة الكافية في فهم احياجته
ولا مدير قسم تقنية المعلومات متابع كل شئ واذا كان يفهم بتأمين ميكروسوفت فلن يفهم سيسكو
(موظف كان يعمل معي انتقل لشركة بالقاهرة قلت له كيف حال التأمين عندكم قال لي عندنا فريقي افضل تأمين واحد لميكروسوفت والاخر سيسكو ........ هذة الشركة التي يجب ان تكون راية علم
تم اختراقها من فترة ونشر عملبة الاختراق على منتدياتنا العربية

نأتي للموظف لا يوجد توعية حقيقة(على الرغم ان بعض البنوك هنا تقوم بتوعية الموظفيين من خلال مختصي التأمين بقسم تقنية المعلومات)
فالموظف يفتح اي ايميل واي مرفقات بمبداء ده جهاز الشغل وايه يعني

للاسف هذا صحيح. بعض الشركات التي تعاملت معها المدير أو الشخص المسؤول عن الشبكة يعتقد أن تأمين الشبكة هو الحصول على أداة باهظة الثمن سواء سيسكو او جونبر تعمل كجدار ناري و IPS ولا توجد لديهم سياسة حول إدارة هذه الاداة ولو حتى موظّفين جاهزون للتعامل معها. أما الموظف فللاسف هذا حاله وبجهله يفتح المجال لكل مخترق بالدخول الى شبكة العمل لديه.

بارك الله فيك على الإضافة

[one-zero]

شكرا اخي والشكر لك ايضا لفتح باب النقاش في موضوع نحتاج النقاش فيه فعلا

كذلك السماح للعاملين في المجال العسكري بالدخول البعيد يطرح مشاكل أمنية بحد ذاته لأن حاسب العامل ان لم يكن مؤمن سيؤدي إلى دخول إلى الشبكة الخاصة وهذا حصل في الدول المتقدمة.

من هنا تأتي اهمية الفهم الكامل والتنفيذ الصحيح لتقنيات ك VPN , IPsec و طرق ال cryptology المختلفة وكذلك طرق الرصد والتقاط نسخ من المعلومات وكل ما له علاقة بهجمات man in the middle و فك التشفير من تقنيات مستحدثة وبرامج متطورة

بخصوص المجموعة التي ذكرتها...هل استطاعت الدخول وبعد الدخول تم اكتشافها؟ أم أنها حاولت الدخول وتم وقفها والقبض على المجموعة؟ هل هناك قوانين متعلقة بالأمن الرقمي حيث تتواجد أخي؟

استطاعت الدخول لعدة ايام ولكن يقظة المختصين كانت بالمرصاد
مع الاسف الخبر نشر بالجرائد المصرية بشكل موجز وسريع وهنا تظهر مشكلة الاعلام ودوره في التوعية بدل التوك شو حول توافه الامور

ولا توجد لديهم سياسة حول إدارة هذه الاداة ولو حتى موظّفين جاهزون للتعامل معها.

نسميها security policy هي وثيقة ليست بالصغيرة تحدد سياسة الشركة في كل شئ من قريب او بعيد فيما يتعلق بالتأمين في الشركة
لاحظ معي:

According to the Site Security Handbook (RFC 2196), “A security policy is a formal statement of the rules by which people who are given access to an organization’s technology and information assets must abide.” It further states, “A security policy is essentially a document summarizing how the corporation will use and protect its computing and network resources


The following are some of the key security policy components:
 Statement of authority and scope: This topic specifies who sponsors the security policy and what areas the policy covers.
 Acceptable use policy: This topic specifies what the company will and will not allow regarding its information infrastructure.
 Identification and authentication policy: This topic specifies what technologies, equipment, or combination of the two the company will use to ensure that only authorized individuals have access to its data.
 Internet use policy: This topic specifies what the company considers ethical and proper use of its Internet access capabilities.
 Campus access policy: This topic specifies how on-campus users will use the company’s data infrastructure.
 Remote access policy: This topic specifies how remote users will access the company’s data infrastructure.
 Incident handling procedure: This topic specifies how the company will create an incident response team and the procedures it will use during and after an incident.

[باحث عن المعرفة]

من هنا تأتي اهمية الفهم الكامل والتنفيذ الصحيح لتقنيات ك VPN , IPsec و طرق ال cryptology المختلفة وكذلك طرق الرصد والتقاط نسخ من المعلومات وكل ما له علاقة بهجمات man in the middle و فك التشفير من تقنيات مستحدثة وبرامج متطورة

+

نسميها security policy هي وثيقة ليست بالصغيرة تحدد سياسة الشركة في كل شئ من قريب او بعيد فيما يتعلق بالتأمين في الشركة

ال Security Policy كما تفضّلت هي وثيقة تحدد سياسة الشركة في كل شيء. طبعاً التحديد هنا هو في الأمور العامة دون التطرق إلى التّفاصيل والتي تكون موجودة في وثائق تقوم السياسة العامة بالإحالة إليها. الفهم الكامل للبنيّة التحتية في المؤسسة أمر أساسي ومن خلاله يتم بناء سياسة عامة فعّالة. أمر آخر ضروري من اجل سياسة فعّالة هو عملية التدقيق والمراجعة فبعد التنفيذ الصحيح نحتاج إلى عمل تدقيق للتأكد من صحّة هذا التنفيذ.

استطاعت الدخول لعدة ايام ولكن يقظة المختصين كانت بالمرصاد
مع الاسف الخبر نشر بالجرائد المصرية بشكل موجز وسريع وهنا تظهر مشكلة الاعلام ودوره في التوعية بدل التوك شو حول توافه الامور

للأسف يقظة المختصّين هنا جاءت متأخرة لأن المجموعة استطاعت الدخول ولو كانت المجموعة محترفة أكثر لكانت عملية اكتشافهم أصعب ولكانت نتائج اخترقهم أكبر. ولكنّك أشرت إلى نقطة في غاية الأهمية وهي دور الإعلام. للأسف الإعلام عندنا يتناول هذه الأخبار بشكل لا يدل على اهتمام بل ولا حتى على فهم لما يجري. والتغطية المتخصصة تكاد تكون مفقودة للأسف الشديد.

[Q 8]

قرأت مرة بالصحف الكويتية ان احد الهاكرز اخترق مواقع الوزارة ومنها وزارة الداخلية

فمن اين يأتي الامن الرقمي وموقع رجال الامن تم اختراقه

[باحث عن المعرفة]

قرأت مرة بالصحف الكويتية ان احد الهاكرز اخترق مواقع الوزارة ومنها وزارة الداخلية

فمن اين يأتي الامن الرقمي وموقع رجال الامن تم اختراقه

البعض سيقول ان البنتاجون تم اختراقه...وهذا صحيح ولكن تم معرفة انه تم اختراقه. ولكن ما أخشاه هو ان يكون لدينا مواقع حكومية حساسة مخترقة ولا يعرف أنها مخترقة.