الخلاصة 80% من الهجمات السيبرانية الناجحة تستغل ثغرات أساسية: كلمات مرور ضعيفة، تحديثات غير مطبقة، نسخ احتياطية غير موجودة. تغطي قائمة التحقق هذه تلك الأساسيات، ويمكن تنفيذها في أقل من أسبوع.
لماذا تُستهدف المؤسسات الصغيرة والمتوسطة
هناك خرافة لا تزال قائمة: القراصنة يستهدفون الشركات الكبرى. في الواقع، المؤسسات الصغيرة والمتوسطة أهداف مفضّلة لسببين:
- تملك بيانات ذات قيمة (العملاء، المالية، العقود)
- دفاعاتها تكاد تكون منعدمة
في الجزائر، يتضاعف هذا الواقع بسبب ضعف مستوى النضج في الأمن السيبراني والاستهانة العامة بالخطر. فالتكلفة المتوسطة لحادث سيبراني بالنسبة لمؤسسة جزائرية صغيرة أو متوسطة، بما في ذلك توقف النشاط واسترجاع البيانات والأثر على العملاء، تتجاوز في الغالب تكلفة الإجراءات الوقائية بـ 5 إلى 15 مرة.
الإجراءات العشرة
1. فعّلوا المصادقة الثنائية (2FA) على جميع الحسابات الحساسة
البريد الإلكتروني المهني، السحابة، أدوات التسيير، الوصول عبر VPN. تمنع المصادقة الثنائية 99% من الهجمات القائمة على سرقة كلمات المرور. على Microsoft 365 أو Google Workspace، يستغرق التفعيل 15 دقيقة.
2. حدّثوا جميع الأنظمة والتطبيقات
برامج الفدية الأكثر تدميرًا تستغل ثغرات سبق تصحيحها. إذا كانت أجهزتكم لا تزال تعمل بنظام Windows 7 أو ببرمجيات لم تُحدَّث منذ 6 أشهر، فأنتم معرّضون للخطر. فعّلوا التحديثات التلقائية حيثما أمكن ذلك.
3. اختبروا نسخكم الاحتياطية
لا يكفي امتلاك نسخة احتياطية. السؤال هو: هل جرّبتم الاسترجاع انطلاقًا من هذه النسخة؟ أجروا الاختبار الآن. قاعدة 3-2-1: 3 نسخ، على وسيطين مختلفين، منها نسخة واحدة خارج الموقع (في السحابة أو على وسيط مادي خارجي).
4. غيّروا جميع كلمات المرور الافتراضية
أجهزة التوجيه، الطابعات، وحدات NAS، كاميرات IP: كثيرًا ما تُسلَّم هذه التجهيزات ببيانات دخول افتراضية (admin/admin، admin/1234). والروبوتات تمسحها باستمرار. غيّروها يوم التركيب.
5. درّبوا فرقكم على مواجهة التصيّد الاحتيالي
85% من الهجمات تبدأ برسالة تصيّد احتيالي. جلسة تدريب مدتها ساعتان، بأمثلة حقيقية، تخفض الخطر بشكل ملموس. ليس هذا استثمارًا في تكنولوجيا المعلومات، بل استثمار في الأشخاص.
6. قسّموا شبكة Wi-Fi
أنشئوا شبكة Wi-Fi للضيوف منفصلة عن شبكتكم الداخلية. لا ينبغي أن يصل الزوار ومقدمو الخدمات الخارجيون والأجهزة الشخصية للموظفين إلى خوادمكم وطابعاتكم.
7. شفّروا أقراص الحواسيب المحمولة
إذا سُرق حاسوب محمول، يجعل التشفير بياناته غير قابلة للوصول. على Windows: BitLocker (مجاني ومدمج). على Mac: FileVault (مفعّل افتراضيًا). مدة التفعيل: 5 دقائق لكل جهاز.
8. أحصوا صلاحيات الوصول واحذفوا الحسابات غير النشطة
الموظفون السابقون، المتربصون، مقدمو الخدمات: كم منهم لا يزال يملك وصولًا إلى أنظمتكم؟ قوموا بالجرد كل ثلاثة أشهر. فكل حساب غير مستعمل هو باب دخول محتمل.
9. ثبّتوا برنامج مكافحة الفيروسات/EDR على جميع الأجهزة
برامج مكافحة الفيروسات الأساسية لم تعد كافية أمام التهديدات الحديثة. استثمروا في حل EDR (Endpoint Detection and Response): Sentinel One أو CrowdStrike أو Microsoft Defender for Business. الميزانية: من 725 إلى 1,450 دج شهريًا لكل جهاز.
10. وثّقوا خطة للاستجابة للحوادث
ماذا نفعل إذا أصيب جهاز بالعدوى صباح الغد؟ بمن نتصل؟ ما البيانات ذات الأولوية؟ لا تحتاج هذه الخطة إلى أن تكون معقدة، فصفحة A4 واحدة تتضمن جهات الاتصال والخطوات تكفي. لكن يجب أن تكون موجودة.
ما لا تعوّضه قائمة التحقق هذه
تغطي هذه الإجراءات العشرة الأساسيات. وهي لا تعوّض تدقيقًا أمنيًا احترافيًا، ولا اختبار اختراق، ولا استراتيجية أمن سيبراني مكيّفة مع قطاعكم. اعتبروها الحد الأدنى، لا السقف.
الأسئلة الشائعة
كم من الوقت يلزم لتنفيذ قائمة التحقق هذه؟
بالنسبة لمؤسسة صغيرة أو متوسطة تضم من 20 إلى 50 جهازًا، احسبوا من 2 إلى 5 أيام عمل موزعة على أسبوعين. بعض الإجراءات (المصادقة الثنائية، التحديثات) يمكن إنجازها في بضع ساعات. أما تدريب الفرق فيتطلب تنظيمًا أكبر.
هل يلزم خبير في الأمن السيبراني لتطبيق هذه الإجراءات؟
لا، بالنسبة لمعظم هذه الإجراءات. نعم، بالنسبة للنقطتين 4 و6 إذا كانت بنيتكم التحتية معقدة، وللانتقال من هذه القائمة إلى برنامج أمني متكامل.
ما الميزانية الدنيا لتأمين مؤسسة صغيرة أو متوسطة من 30 شخصًا؟
احسبوا من 43,500 إلى 87,000 دج شهريًا للأدوات الأساسية (EDR، نسخ احتياطي سحابي، مدير كلمات مرور للمؤسسات، تدريب). وهذا أقل من تكلفة نصف يوم من توقف النشاط إثر حادث.