ثقافة أمن المعلومات

1. ثقافة أمن المعلومات ثقافة أمن المعلومات أ.عبدالله بن شائع بيهان. مُحاضر بجامعة الملك سعود – كلية المعلمين –قسم الحاسب عضو مركز التميز لأمن المعلومات – جامعة الملك سعود. عضو جمعية الحاسبات السعودية – مجموعة الاهتمام ”أمن المعلومات“ aalbaihan@ksu.edu.sa

2. عناصر المحاضرة • تعريف أمن المعلومات وأهميتها. • مكونات وأركان النظام المعلوماتي. • جرائم المعلوماتية وتصنيفها. • المخترقون. • وسائل الحماية. • تعليمات استخدام واختيار كلمة المرور. • القياس الحيوي. • الجهات ذات العلاقة بالتشريعات الخاصة بتقنية المعلومات في المملكة العربية السعودية. • نظام مكافحة جرائم المعلومات في المملكة العربية السعودية. • توصيات الملتقى الدولي الثالث لأمن المعلومات والاتصالات (سوريا 2007). • الخلاصة.

3. تعريف أمن المعلومات يمكن تعريف أمن المعلومات من ثلاثة زوايا: • من الناحية الأكاديمية: هو العلم الذي يبحث في نظريات واستراتيجيات توفير الحماية للمعلومات من المخاطر التي تهددها ومن أنشطة الاعتداء عليها . • ومن الناحية التقنية: هي الوسائل والأدوات والإجراءات اللازم توفيرها لضمان حماية المعلومات من الأخطار الداخلية والخارجية . • من الناحية القانونية: هي محل الدراسات والتدابير اللازمة لضمان سرية وسلامة محتوى المعلومات وتوفرها ومكافحة أنشطة الاعتداء عليها أو استغلالها في ارتكاب جرائم معلوماتية.

4. تعريف أمن المعلومات • وبشكل عام فإنه يقصد بأمن المعلومات: “حماية وتأمين كافة الموارد المستخدمة في معالجة المعلومات، حيث تؤمن المنشأة نفسها والأفراد العاملين فيها وأجهزة الحاسب المستخدمة فيها ووسائط المعلومات التي تحتوي على بيانات المنشأة وذلك في جميع مراحل تواجد المعلومة (التخزين – النقل – المعالجة)”.

5. أهمية أمن المعلومات: • القطاعات الأمنية والعسكرية والاقتصادية تعتمد على صحة ودقة المعلومات. • حاجة الدول لوجود إجراءات أمنية قابلة للتطبيق تغطي المخاطر التي يمكن أن تظهر عند التعامل مع الأطراف الأخرى. • الحاجة المتزايدة لإنشاء بيئة إلكترونية آمنة تخدم القطاعين الخاص والعام. • النمو السريع في استخدامات التطبيقات الإلكترونية والتي تتطلب بيئة آمنة. • الحاجة إلى حماية البنية التحتية للشبكة المعلوماتية وذلك من أجل استمرارية الأعمال التجارية. • مع تطور التقنية المعلوماتية وازدهارها توفرت فرصاً للإجرام الإلكتروني.

6. مكونات النظام المعلوماتي:

7. أركان أمن المعلومات : • أخطاء مدخلين C I A C C • حذف معلومات I A التوفر التكامل • الحرمان من الخدمة C الأمن I A I A C • الكراكر I A السريـة

8. جرائم المعلوماتية: • هي تعبير شامل يشير إلى جريمة تتعلق باستعمال إحدى وسائل تقنية المعلومات لغرض خداع الآخرين وتضليلهم، أو من أجل تحقيق هدف معين لجهة معينة. • تُكبد جرائم المعلوماتية الحكومات والمنشآت خسائر تقدر بمليارات الدولارات سنوياً. • في أحدى الدراسات التي أجريت على قطاع المصارف أن نسبة 70% من هذه الجرائم تتم بتواطؤ المجرمين والمبرمجين وموظفي المصارف.

9. تصنيف جرائم المعلوماتية: • جرائم هدفها نشر المعلومات: مثل الحصول على أرقام البطاقات الائتمانية، والحسابات المصرفية ومعلومات استخباراتيه. • جرائم هدفها نشر معلومات غير صحيحة: مثل نشر المعتقدات الخاطئة أو التشكيك في القرآن والسنة. • استخدام تقنية المعلومات كوسيلة لأداء الجريمة: مثل تزوير بطاقات الائتمان والتحويل بين الحسابات المصرفية. • جرائم لها علاقة بانتشار تقنية المعلومات: مثل قرصنة البرامج الأصلية والتي تكون أسعارها 5000$ لتباع بأقل من 10$

10. المخترقون: • هم أشخاص يتمتعون بموهبة وقدرة عاليتين على كتابة وتصميم البرامج، وفهم عميق لكيفية عمل الحاسب الآلي مما يسهل عليهم اختراق أنظمتها وتغييرها. • هناك نوعين من المخترقين: الأول : الهاكر (White Hat). هم في العادة أشخاص فائقو الذكاء يسيطرون بشكل كامل على الحاسب، ويجعلون البرامج تقوم بأشياء أبعد بكثير مما صممت له أصلا. لذلك نجد أن بعض الشركات العملاقة توظف أمثال هؤلاء الهاكر لتستفيد من مواهبهم سواء في الدعم الفني، أو حتى لإيجاد الثغرات الأمنية في أنظمة هذه الشركات. الثاني: الكراكر(Black Hat). هم من يسخرون ذكائهم بطريقة شريرة، وهم يهتمون بدراسة الحاسب والبرمجة ليتمكنوا من سرقة معلومات الآخرين الشخصية، ويغير أولئك المخربون، أحيانا، المعلومات المالية للشركات، أو يكسرون أنظمة الأمان، ويقومون بأعمال تخريبية أخرى.

11. المخترقون: الفرق مابين الهاكر و الكراكر: • الكراكر: • يمتلك القدرة على اختراق أنظمة التشغيل والبرامج الغير مجانية والتلاعب في برمجتها وإعطاؤها رقم خاص لكي تعمل. • ويقوم بكسر الأنظمة الأمنية لأهداف تخريبية، فقد يكون هدفه سرقة معلوماتك أو في أسوأ الأحيان القضاء على النظام المعلوماتي الإلكتروني، بشكل كلي. • كثير منهم يقوم بسرقة البرامج و توزيعها مجانا لهدف، فمنهم من يضع ملف الباتش بين ملفات هذا البرنامج. • الكراكر دائما عمله تخريبي ولا ينفع سوى نفسه أو من يدفع له. • الهاكر: • يحاول فقط أن يتعرف على كيفية عمل النظام والبرامج لكي يساعد في تطويرها وتحسينها. • لديه القدرة الكاملة على اختراق أنظمة التشغيل عبر الانترنت. • يقوم الهاكر بحل المشاكل و بناء الأشياء, و يؤمن بالعمل التطوعي. • الهاكر دائما عمله بناء ومفيدو ينفع الآخرين.

12. أمثلة لمواقع مخترقة:وكالةالاستخبارات المركزية الأمريكية الموقع المخترق الموقع الأصلي

13. أمثلة لمواقع مخترقة:وزارة العدل الأمريكية. الموقع المخترق الموقع الأصلي

14. وسائل الحماية: وسائل الحماية المادية وسائل الحماية الفنية وسائل الحماية الإدارية المعلومات 1 2 3

15. وسائل الحماية: وسائل الحماية المادية: وهي الأجزاء المحسوسة من وسائل الحماية. من أمثلتها: • الكاميرات ( الفيديو أو الفوتوغرافية ) • أجهزة الإنذار . • الجدران والأسوار والمفاتيح. • بطاقات دخول الموظفين. • أجهزة اكتشاف الأصوات والحركة.

16. وسائل الحماية: وسائل الحماية الفنية: وهي تقنيات تحديد وإثبات هوية المستخدم وصلاحياته ومسئولياته. من أمثلتها: • كلمة المرور. • القياس الحيوي. • التشفير. • الجدران النارية. • البرامج المضادة للفيروسات. • التوقيع الالكتروني.

17. وسائل الحماية: وسائل الحماية الإدارية: وهي إعداد وصياغة سياسات أمن المعلومات وتتضمن: • تشريعات داخل المنشأة لتنظيم أمن المعلومات وتحديد المسئوليات والأدوار. • تحدد ما هو مسموح به وما هو غير مسموح به للتعامل مع المعلومات ومع نظم المعلومات. من أمثلتها: • اتفاقية صلاحيات المستخدم وقبول استخدام النظام. • الخصوصية. • كلمات المرور. • البريد الالكتروني.

18. وسائل الحماية: • توعية الموظفين: بما أن العنصر البشري يُعتبر من أهم مكونات النظام الأمني للمعلومات، فبالتالي يجب الحرص على تثقيفه وتوعيته عبر الطرق الآتية: • الاشتراك في مجموعات الاهتمام بأمن المعلومات. • حضور عدد من المحاضرات القصيرة لمدة يوم أو نصف يوم في مجال أمن المعلومات ، ويكون حضورها إلزامي. • تكريم الموظفين المثاليين بشكل شهري والذين طبقوا الأنظمة واللوائح. • إقامة برامج تدريبية لكبار الموظفين وكذلك لمستخدمي الأجهزة و الإداريين.

19. تعليمات استخدام كلمة المرور: • لاستخدام كلمة المرور: • أن تكون خاصة ولا يطلع عليها أحد مهما كان. • عدم كتابتها أبدا سواء كان في الجوال أو على ورق الملاحظات. • يجب تغييرها كل شهرين كحد أقصى. • لا تستخدم نفس كلمة المرور في حسابات وأماكن أخرى. • لا تقبل أن يضع لك شخص أخر كلمة المرور. • عندما تشعر بأن أحد اكتشف كلمة المرور، قم بتغيرها فوراً. • عند إدخالك لكلمة المرور تأكد بأنه لا يوجد أحد يراقبك. • تجنب استخدام الحواسيب المشتركة مع الآخرين.

20. تعليمات اختيار كلمة المرور: • لاختيار كلمة المرور: • يُفضل أن تحتوي على أحرف وأرقام. • يُفضل أن لا تقل عن 8 خانات. • يُفضل أن لا تكون مشهور ومتداولة. • يمكن استخدام معادلة بسيطة لإنشاء كلمة المرور، مثلاً نضع حرف ، ثم الرقم الأول، ثم الرقم التالي يكون ثلاثة أضعاف الرقم السابق وهكذا. 1*3=3 9*3=27 3*3=9

21. القياس الحيوي Biometrics : • BioMetricsهي كلمة إغريقية مكونة من جزئين "BIO" ومعناها الحياة و "METRICS" ومعناها قياس. • والتعريف الدقيق للقياس الحيوي : هو العلم الذي يستخدم التحليل الإحصائي لصفات الإنسان الحيوية وذلك للتأكد من هويتهم الشخصية باستخدام صفاتهم الفريدة.

22. القياس الحيوي: 2.الصفات السلوكية: وهي الصفات التي تتعلق بسلوك الإنسان. أقسام القياس الحيوي:.  1.الصفات الفيزيائية: وهي الصفات التي تتعلق بجزء من جسم الإنسان.

23. القياس الحيوي: * يوفر لنا القياس الحيوي عدد من المزايا منها: • الأمن والخصوصية: - يمنع الأشخاص الآخرين من الدخول الغير مصرح على البيانات الشخصية. - إيقاف سرقة الهوية،مثل استخدام البطاقات الائتمانية أو الشكيات المسروقة. • البديل لحمل الوثائق الثبوتية مثل: - بطاقة الهوية الوطنية. - رخصة القيادة. - بطاقة الائتمان. • البديل لحفظ وتذكر الأرقام السرية. • البديل لحمل المفاتيح للدخول إلى: - السيارات. - المنازل. -المكاتب. • تأمين سرية العمليات المالية مثل: - مكائن الصراف الآلي ATM - التجارة الإلكترونية.

24. القياس الحيوي: • بصمة الإصبع Fingerprint Scanning: أكثر الأنظمة شيوعًا في الاستخدام وخاصة بين المستخدمين لأجهزة تقنية المعلومات. بصمة الإصبع تمسح ضوئيًا باستخدام قارئات خاصة، ومن الأمثلة على هذه القارئات: أجهزة تربط بالكمبيوتر ، أو تأتي مدمجة مع الفأرة.

25. القياس الحيوي: • بصمة اليد Hand Geometry: • يُستخدم هذا النظام منذ سنوات عديدة وبشكل خاص في أنظمة متابعة الحضور والانصراف وتسجيل الوقت. يعطي هذا النظام توازنًا جيدًا بين الأداء والدقة وسهولة الاستخدام. ومن السهولة دمجه في أنظمة أخرى. توضع اليد على الجهاز الماسح في المكان المخصص لها، ويقوم النظام بفحص تسعين صفة من بينها شكل اليد ثلاثي الأبعاد 3D، طول وعرض الأصابع، وكذلك شكل مفاصل الأصابع.

26. القياس الحيوي: • قزحية العين Iris Scanning: • يعتمد النظام المستخدم لقزحية العين على ثباتها حيث أنها الجزء الذي لا يتغير من الجسد. ولها ميزة أيضًا أنها مرئية عن بعد، ليست كصفة الشبكية .أيضًا قزحية العين اليسرى تختلف عن العين اليمنى لنفس الشخص.، ولا يحتاج المستخدم أن يقرب هذه العدسات من عينه، وهي بالتالي تعطي دقة عالية مع سهولة الاستخدام.

27. القياس الحيوي: • شبكية العين Retina Scanning: • هذه الطريقة تستخدم مصدر ضوء منخفض لعمل مسح للشعيرات الدموية خلف العين. عيب هذه الطريقة أن المستخدم يجب أن ينظر ويركز على الماسحة وهذا يسبب للمستخدم عدم الرغبة للتعامل مع النظام.

28. القياس الحيوي: • الوجه Facial Scanning: هذا النظام يعتمد على أخذ صورة كاملة للوجه من آلة تصوير، وقيام النظام بمقارنتها مع ما خزن فيه مسبقًا. مازالت هذه التقنية في أوج التطوير، وما هو موجود حالياً من الأنظمة المعتمدة على صورة الوجه لا تعطي دقة عالية.

29. القياس الحيوي: • الصوت Voice Verification: في هذه الأيام، برامج تدقيق الصوت تعد من الإضافات الشائعة لأجهزة الكمبيوترات الخاصة لدى معظم الشركات والبنوك. لكن أنظمة القياس الحيوي اُلمعتمدة على الصوت، فإنها تحلل ترددات الصوت بشكل أكثر دقة لكي تعطي نتائج صحيحة يُعتمد عليها. ولذلك يجب أن تكون بيئة هذا النظام هادئة، حيث أن أي ضجة تؤثر على النتيجة و أجهزة هذا النظام قد تكون مستقلة بحد ذاتها أو مدمجة مع أنظمة الهاتف التي قد تساعد في مجالات عديدة منها الأنظمة المصرفية.

30. القياس الحيوي: • التوقيع اليدوي Signature Verification: هذا النظام يعتمد على الطريقة التقليدية لتوقيع الشخص، ولكنها تتم من خلال توقيع الشخص على شاشة حساسة للمس باستخدام قلم ضوئي. ويتم من خلالها تحويل توقيعه إلى شكل رقمي ومن ثم مقارنته مع ما خزن مسبقًا في النظام.

31. القياس الحيوي: • الحمض النووي DNA Scanning: هذا النظام يعتمد على الشريط الوراثي للشخص.DNA وهو نظام معقد جدًا ويستحيل تغييره بين الأشخاص، وهذا النظام مكلف جدًا لذلك قليلاً ما يُستخدم.

32. القياس الحيوي: • ضربات لوحة المفاتيح keystroke Dynamics: هذا النظام يقوم تسجيل ضربات الشخص على لوحة المفاتيح. ومن خلال هذه العملية يقوم بمراقبة الوقت بين ضرب مفتاح والانتقال الأصابع لضرب مفتاح آخر. وكذلك يراقب الوقت الذي يأخذه المستخدم وهو ضاغط على المفتاح. وحيث أنه يجب على المستخدم أن يتذكر أسم المستخدم والرقم السري.

33. الجهات ذات العلاقة بالتشريعات الخاصة بتقنية المعلومات بالمملكة العربية السعودية: • وزارة العدل: وهي الجهة المعنية بالفصل في القضايا والمنازعات. • ديوان المظالم: وهو الجهة المعنية بالفصل في القضايا والمنازعات بين المنشآت. • وزارة الداخلية: وهي الجهة المسئولة عن ضبط جرائم المعلوماتية والتحقيق فيها وتنفيذ العقوبات التي تحددها الجهات القضائية. • وزارة الاتصالات وتقنية المعلومات: وهي الجهة المسئولة عن رفع مشاريع الأنظمة ذات العلاقة بتقنية المعلومات. • هيئة الاتصالات وتقنية المعلومات: هي الجهة الفنية التي يُستعان بها من قبل جهات الأمنية للتحقيق في جرائم المعلوماتية.

34. الجهات ذات العلاقة بالتشريعات الخاصة بتقنية المعلومات بالمملكة العربية السعودية: • وزارة الثقافة والإعلام:وهي الجهة المسئولة عن نظام حماية الحقوق الفكرية للمؤلف. • مجلس الشورى:وهو الجهة المعنية بدراسة الأنظمة واللوائح والمعاهدات والاتفاقيات الدولية واقتراح ما يراه بشأنها. • وزارة الشؤون البلدية والقروية: وهي الجهة المسئولة عن وضع الاشتراطات للمحلات التجارية التي تقدم خدمات الإنترنت. • المجمع الفقهي برابطة العالم الإسلامي: ومن مهامه إصدار القرارات الفقهية حول قضايا تقنية المعلومات. • هيئة كبار العلماء:ومن مهامها إصدار الفتاوى المتعلق بقضايا تقنية المعلمات. • مؤسسة النقد العربي السعودي: وهي التي تُشرف على قطاع المصارف وتضع اللوائح والمنظمة لنقل الأموال لأغراض التجارة الإلكترونية.

35. نظام مكافحة جرائم المعلوماتية في المملكة العربية السعودية: • المادة الثالثة: يعاقب بالسجن مدة لا تزيد عن سنة وبغرامة لا تزيد عن 500.000 ريال أو بإحدى العقوبتين كل من يرتكب أحد هذه الجرائم المعلوماتية الآتية: • التنصت على ما يتم إرساله أو استقباله عبر شبكة المعلومات. • الدخول الغير مشروع على أجهزة الغير ثم تهديده وابتزازه. • المساس بالحياة الخاصة عن طريق إساءة استخدام الجوالات ذات الكاميرا • التشهير بالآخرين وإلحاق الضرر بهم عبر وسائل النقل المختلفة.

36. نظام مكافحة جرائم المعلوماتية في المملكة العربية السعودية: • المادة الرابعة: يعاقب بالسجن مدة لا تزيد عن ثلاث سنوات وبغرامة لا تزيد عن 2.000.000 ريال أو بإحدى العقوبتين كل من يرتكب أحد هذه الجرائم المعلوماتية الآتية: • الاستيلاء لنفسه أو لغيره على مال منقول وذلك عن طريق الاحتيال . • الوصول إلى بيانات بنكية أو ائتمانية خاصة بالآخرين وإساءة أستخادمها.

37. نظام مكافحة جرائم المعلوماتية في المملكة العربية السعودية: • المادة الخامسة: يعاقب بالسجن مدة لا تزيد عن أربع سنوات وبغرامة لا تزيد عن 3.000.000 ريال أو بإحدى العقوبتين كل من يرتكب أحد هذه الجرائم المعلوماتية الآتية: • الدخول الغير مشروع لإلغاء بيانات خاصة أو حذفها أو تعديلها أو تسريبها أو نشرها. • إيقاف الشبكة المعلوماتية عن العمل مؤقتاً أو تدميرها أو مسح البرامج. • إعاقة الوصول إلى الخدمة أو تشويشها أو تعطيلها بأي وسيلة كانت.

38. نظام مكافحة جرائم المعلوماتية في المملكة العربية السعودية: • المادة السادسة: يعاقب بالسجن مدة لا تزيد عن خمس سنوات وبغرامة لا تزيد عن 3.000.000 ريال أو بإحدى العقوبتين كل من يرتكب أحد هذه الجرائم المعلوماتية الآتية: • إنتاج ونشر ما يمس النظام العام أو القيم الدينية أو الآداب العامة. • إنشاء موقع على الشبكة المعلوماتية بهدف نشر المواد المخلة بالآداب. • إنشاء موقع على الشبكة المعلوماتية بهد نشر والاتجار بالمخدرات والمؤثرات العقلية وتسهيل تداولها.

39. نظام مكافحة جرائم المعلوماتية في المملكة العربية السعودية: • المادة السابعة: يعاقب بالسجن مدة لا تزيد عن عشر سنوات وبغرامة لا تزيد عن 5.000.000 ريال او بإحدى العقوبتين كل من يرتكب أحد هذه الجرائم المعلوماتية الآتية: • إنشاء موقع على شبكة المعلوماتية لمنظمات إرهابية وتسهيل التواصل بين قياداتهم وإفرادهم حول العالم، أو نشر كيفية تصنيع المتفجرات . • الدخول الغير مشروع إلى مواقع إلكترونية أو نظام معلوماتي والمساس بالأمن الداخلي أو الأمن الخارجي أو الاقتصاد الوطني.

40. توصيات الملتقى الدولي الثالث لأمن المعلومات والاتصالات(سوريا 2007) • وضع سياسة واضحة لأمن المعلومات على مستوى الدولة، وعلى مستوى المؤسسات. • تحديد الاحتياجات الفعلية للمجتمع في مجال أمن المعلومات، والعمل على رفع الكفاءة لدى الكوادر المعلوماتية في هذا المجال. • تشجيع البحوث في مجال التعمية والتشفير وغيرها من مجالات أمن المعلومات في الجامعات ومراكز البحوث المحلية . • وضع إطار عام على مستوى الدولة لتمويل متطلّبات أمن المعلومات. • مساعدة القطاع الخاص على توفير خدمات أمنية للشركات والمؤسسات، وتقديمها على مستوى عالٍ، بطريقة تناسب الاحتياجات والتوقعات.

41. الخلاصة: • أهمية التوعية ونشر ثقافة أمن المعلومات بين جميع شرائح المجتمع. • لا يوجد أمن كامل في أي نظام. • الأمن يتناسب عكسيا مع سهولة استخدام النظام. • الأمن كالسلسلة، تقاس قوتها بقوة أضعف حلقة فيها. • العنصر البشري من أهم العناصر الأمنية لان اختراق البشر أسهل من اختراق الأجهزة. • الهاكر يُفيدون النظام الأمني بعكس الكراكر يهدمون النظام الأمني. • يجب الاهتمام بتوفر المعلومات كجزء من الأمن. • أهمية معرفة كيفية اختيار واستخدام كلمات المرور. • توجد أنظمة سعودية رادعة لكل من يحاول العبث بأمن الدولة وأمن المستخدمين.