التهديدات، والثغرات الأمنية، والمخاطر

ثلاث كلمات غالبًا ما تختلط على الناس. افصل بينها، وسيصبح باقي جوانب الأمان أسهل.

• التهديد هو شيء يمكن أن يسبب ضررًا: مجرم، أو خطأ ناتج عن الإهمال، أو عاصفة، أو انقطاع في الكهرباء، أو فيضان.
• قابلية التعرض هي نقطة ضعف يمكن لتهديد أن يستغلها: باب تُرك من دون قفل، أو برنامج لم يُحدَّث، أو كلمة مرور مكتوبة على ورقة.
• المخاطر هي احتمال أن يستغل تهديدٌ نقطةَ ضعف، مضروبًا في مدى سوء النتيجة التي ستحدث.

إليك مثالًا. النهر تهديد للمنزل (فقد يسبب فيضانًا). أما السكن في أسفل الوادي فهو قابلية التعرض. والمخاطر هي مدى احتمال حدوث الفيضان، مع مقدار الضرر الذي سيسببه. نقل الأثاث إلى الطابق العلوي لا يزيل النهر، لكنه يزيل بعض الأثر.

تسجيل المخاطر. عادةً ما تمنح الفرق كل خطر درجتين على مقياس بسيط، مثلًا من 1 (منخفض) إلى 5 (مرتفع):

• الاحتمال: ما مدى احتمال حدوثه في السنة القادمة؟
• الأثر: ما مدى سوء الأمر إذا حدث؟

بعد ذلك المخاطر = الاحتمال × الأثر. ضع كل خطر على شبكة 5 × 5 (تُسمى مصفوفة المخاطر)، وتحتوي الزاوية العلوية اليمنى على المشكلات الأكثر إلحاحًا. إليك مثالًا افتراضيًا:

هذه الدرجات هي أحكام على مقياس ترتيبي (مرتبة، لكنها ليست دقيقة). الدرجة 12 لا تعني أن الخطر «حقيقي بقدر الضعف» مقارنةً بالدرجة 6. الشبكة وسيلة للتصنيف والنقاش، وليست قياسًا لكمية مادية. تعامل معها على أنها بداية جيدة للحوار، وكن صريحًا بشأن حدودها.

ماذا يمكنك أن تفعل حيال خطر؟ هناك أربع إجابات قياسية:

• تقليله: أضف وسيلة حماية تقلّل احتماله أو تأثيره أو كليهما (التحديثات والنسخ الاحتياطية والأقفال والتدريب).
• قبوله: قرّر أنه صغير بما يكفي، أو أن إصلاحه مكلف جدًا، وتعايش معه عن دراية.
• نقله: دع شخصًا آخر يتحمل جزءًا من التكلفة، مثلًا من خلال التأمين أو مزوّد خدمة موثوق.
• تجنّبه: توقّف عن القيام بالشيء المحفوف بالمخاطر (لا تجمع بيانات لا تحتاج إليها).

تُسمّى وسيلة الحماية التي تضيفها ضابطًا. لكل ضابط تكلفة (المال والوقت والراحة)، لذا تتمثل مهمة المدافع الحقيقية في تحقيق أكبر قدر من تقليل المخاطر ضمن الميزانية.

لا يوجد خطر صفري. حتى جهاز كمبيوتر مُطفأ في غرفة مقفلة يمكن أن يُسرق أو يتعطّل. الهدف هو الوصول إلى خطر مفهوم ومقبول، وليس إلى الصفر.