ملخص التهديدات والتدابير المضادة في أمن المعلومات (3) — أولى ثانوي

مقدمة

الوحدة الثالثة: أمن المعلومات — الموضوع 3-3

ليست كل الهجمات برامج خبيثة معقدة؛ فكثير منها يعتمد على خداع الإنسان نفسه: رسالة تبدو من البنك، أو فاتورة لخدمة لم تطلبها، أو شخص يقف خلفك وأنت تكتب كلمة المرور. في هذا الدرس نتعرف على هذه الحيل وكيف تحمي المؤسسات نفسها بسياسة واضحة لأمن المعلومات.

أهداف التعلم

أن تتعرف على صور الاحتيال بالفواتير والاحتيال بنقرة واحدة.
أن تعرّف التصيد والهندسة الاجتماعية وأساليبها.
أن تشرح معنى تزوير البطاقات.
أن توضح مفهوم سياسة أمن المعلومات ومستوياتها.

شرح الدرس

الاحتيال بالفواتير

الفاتورة الاحتيالية (Fraudulent billing): إرسال فاتورة لشخص مقابل خدمة وهمية لم يستخدمها قط، بهدف الحصول على المال.
الاحتيال بنقرة واحدة (One-click fraud): بمجرد النقر على رابط (URL) في موقع أو بريد إلكتروني تظهر رسالة تدّعي أنك أبرمت عقدًا، ثم تُطالب بدفع مبلغ.

الحصول غير المصرح به على المعلومات

التصيد (Phishing): استخدام مواقع ويب مزيفة تتنكر في صورة بنوك أو هيئات حكومية لسرقة المعلومات الشخصية مثل رموز PIN وبيانات الحسابات.
الهندسة الاجتماعية (Social engineering): الحصول على المعلومات باستغلال علم النفس البشري أو الإهمال وقلة الوعي، ومن أساليبها:
1. انتحال الشخصية (Impersonation): التظاهر بأنك شخص آخر، مثل الاتصال هاتفيًّا باسم مدير أو موظف دعم فني لطلب كلمة مرور.
2. التجسس المباشر (Shoulder surfing): النظر إلى شاشة شخص أو لوحة مفاتيحه لسرقة كلمة المرور أو رمز PIN.
3. البحث في المهملات (Dumpster diving): تفتيش القمامة للحصول على أوراق سرية أُلقيت دون إتلافها.
التزوير أو نسخ البطاقات (Skimming): نسخ بيانات بطاقة ائتمان أو خصم بطريقة غير قانونية، واستخدامها لصنع بطاقة مزورة.

سياسة أمن المعلومات

سياسة أمن المعلومات (Information Security Policy) مجموعة من القواعد والإرشادات الأساسية تضعها شركة أو منظمة للحفاظ على أمن معلوماتها. وتُبنى على ثلاثة مستويات، من العام إلى التفصيلي:

المستوى	محتواه
السياسة الأساسية	المبادئ العامة وإعلان موقف المنظمة من أمن المعلومات
معايير الأمان	القواعد اللازمة لتطبيق السياسة الأساسية عمليًّا
إجراءات التنفيذ وقواعد التشغيل	خطوات محددة بوضوح لكل فئة من العاملين حسب الغرض

فمثلًا: السياسة الأساسية “نحمي بيانات عملائنا”، والمعيار “كل كلمات المرور لا تقل عن 12 حرفًا”، والإجراء “يغيّر موظف خدمة العملاء كلمة مروره كل ثلاثة أشهر بالخطوات التالية…”.

أمثلة وتطبيقات

وصلتك رسالة: “حسابك البنكي سيُغلق، ادخل بياناتك من هذا الرابط”، والرابط يقود إلى موقع يشبه البنك تمامًا: تصيد. تأكد دائمًا من عنوان الموقع، ولا تُدخل بياناتك من روابط الرسائل.
اتصل بك شخص يدّعي أنه من الدعم الفني للمدرسة ويطلب كلمة مرور منصتك: هندسة اجتماعية بانتحال الشخصية. لا جهة رسمية تطلب كلمة مرورك.
عند استخدام ماكينة الصراف الآلي، غطِّ لوحة الأرقام بيدك لتحمي نفسك من التجسس المباشر، وتأكد أن فتحة البطاقة لا تحتوي جهازًا غريبًا (Skimming).
مزّق الأوراق التي تحتوي بيانات شخصية قبل رميها لتحمي نفسك من البحث في المهملات.

ملاحظات مهمة

الهندسة الاجتماعية تستهدف الإنسان لا الجهاز؛ لذلك لا يكفي برنامج الحماية وحده، بل نحتاج إلى الوعي.
الاستعجال والتخويف (“سيُغلق حسابك خلال ساعة”) علامة شائعة على الاحتيال.
إذا ظهرت لك رسالة “تم الاشتراك، ادفع الآن” بعد نقرة واحدة، فلا تدفع، وتحقق من الأمر أولًا.

المفاهيم الأساسية

الاحتيال بالفواتير: فاتورة احتيالية لخدمة وهمية، واحتيال بنقرة واحدة يدّعي إبرام عقد.
التصيد: مواقع مزيفة تنتحل صفة جهات رسمية لسرقة البيانات.
الهندسة الاجتماعية: استغلال الإنسان، ومن أساليبها انتحال الشخصية والتجسس المباشر والبحث في المهملات.
Skimming: نسخ بيانات البطاقات لتزويرها.
سياسة أمن المعلومات: سياسة أساسية، ثم معايير أمان، ثم إجراءات تنفيذ.

ملخص الدرس

يعتمد كثير من الهجمات على خداع الإنسان: فواتير وهمية، ونقرات تدّعي إبرام عقود، ومواقع مزيفة، ومكالمات منتحلة، ونظرات خاطفة إلى الشاشة، وتفتيش في المهملات، ونسخ للبطاقات. وتواجه المؤسسات ذلك بسياسة لأمن المعلومات تبدأ بالمبادئ العامة وتنتهي بإجراءات تفصيلية يلتزم بها الجميع.

أسئلة للتدريب

فرّق بين الفاتورة الاحتيالية والاحتيال بنقرة واحدة.
ما التصيد؟ وكيف تحمي نفسك منه؟
عرّف الهندسة الاجتماعية، واذكر ثلاثة من أساليبها.
كيف تحمي نفسك عند استخدام ماكينة الصراف الآلي؟
اذكر المستويات الثلاثة لسياسة أمن المعلومات مع مثال لكل مستوى.