مقدمة
أحدث التحول الرقمي نقلة نوعية في طريقة عمل المؤسسات غير الربحية، حيث أصبحت الجمعيات تعتمد بصورة متزايدة على الأنظمة الإلكترونية لإدارة عملياتها اليومية، وتنفيذ برامجها، والتواصل مع المستفيدين والمتبرعين، وإدارة الحملات، وجمع التبرعات، وحفظ السجلات، وتحليل البيانات، وإعداد التقارير.
وقد أسهم هذا التحول في رفع كفاءة العمل وتسريع الإجراءات وتحسين جودة الخدمات، إلا أنه في المقابل أوجد تحديات جديدة تتعلق بحماية الأنظمة الرقمية من التهديدات السيبرانية المتزايدة.
ولم تعد الهجمات الإلكترونية تستهدف المؤسسات التجارية أو الحكومية فقط، بل أصبحت المؤسسات غير الربحية عرضة للاستهداف لما تحتفظ به من بيانات شخصية ومالية، واعتماد بعضها على بنى تقنية محدودة أو موارد أمنية أقل مقارنة بقطاعات أخرى.
ولا تقتصر آثار الهجمات السيبرانية على تعطيل الأنظمة أو فقدان البيانات، بل قد تمتد إلى الإضرار بسمعة المؤسسة، وتعطيل خدماتها، وفقدان ثقة المستفيدين والمتبرعين، وإرباك العمليات التشغيلية، وربما تعريضها للمساءلة النظامية إذا ترتب على الحادث تسرب معلومات حساسة أو إخلال بمتطلبات الامتثال.
ومن هذا المنطلق، أصبح الأمن السيبراني عنصرًا أساسيًا في منظومة الحوكمة المؤسسية، ولم يعد مسؤولية إدارة تقنية المعلومات وحدها، بل مسؤولية مشتركة تبدأ من مجلس الإدارة، مرورًا بالإدارة التنفيذية، ووصولًا إلى الموظفين والمتطوعين.
وتشير الممارسات المهنية إلى أن المؤسسات الأكثر قدرة على مواجهة المخاطر السيبرانية ليست بالضرورة تلك التي تمتلك أكثر التقنيات تعقيدًا، بل التي تعرف أصولها الرقمية ومخاطرها، وتطبق ضوابط مناسبة، وتدرب العاملين، وتستعد للحوادث، وتعرف كيف تستمر في العمل وكيف تتعافى إذا وقع الاختراق.
ويهدف هذا المقال إلى استعراض الأسس التي تقوم عليها منظومة الأمن السيبراني في الجمعيات، وأهم التهديدات الرقمية، وآليات الوقاية منها، وكيفية بناء بيئة رقمية آمنة تحافظ على استمرارية العمل وتعزز ثقة المستفيدين والمتبرعين والجهات المانحة. ويحتفظ بذلك بالإطار المؤسسي والعملي الذي يقوم عليه المقال الأصلي مع تعزيز جوانب إدارة الأصول والمخاطر والاستمرارية والجاهزية.
أولًا: ما المقصود بالأمن السيبراني؟
يقصد بالأمن السيبراني (Cybersecurity) مجموعة السياسات والإجراءات والتقنيات والممارسات التي تهدف إلى حماية الأنظمة الرقمية والشبكات والأجهزة والتطبيقات والبيانات من الاختراق أو التعطيل أو التلاعب أو الوصول غير المصرح به.
ولا يقتصر الأمن السيبراني على برامج مكافحة الفيروسات أو الجدران النارية، بل يشمل منظومة متكاملة لإدارة المخاطر الرقمية وضمان استمرارية الخدمات وحماية المعلومات الحيوية.
وفي بيئة الجمعيات، يشمل ذلك حماية:
- أنظمة إدارة المستفيدين والمتبرعين.
- منصات التبرعات الإلكترونية.
- قواعد البيانات والسجلات الرقمية.
- البريد الإلكتروني المؤسسي.
- المواقع الإلكترونية والتطبيقات.
- الأجهزة المحمولة والحواسيب.
- الشبكات والخدمات السحابية.
- الحسابات الإدارية والمنصات الخارجية.
فالهدف ليس فقط منع الهجمات، وإنما أيضًا تقليل احتمالية وقوعها، والحد من أثرها، واكتشافها، والاستجابة لها، واستعادة العمل بعد حدوثها.
ثانيًا: الفرق بين الأمن السيبراني وحماية البيانات
رغم الترابط الوثيق بين المجالين، فإن لكل منهما تركيزًا مختلفًا.
حماية البيانات (Data Protection) تهتم بكيفية جمع البيانات الشخصية واستخدامها ومشاركتها والاحتفاظ بها بصورة مسؤولة ووفق المتطلبات المطبقة.
أما الأمن السيبراني فيركز على حماية الأنظمة والشبكات والأجهزة والحسابات من الاختراق والهجمات والتهديدات الرقمية.
وبعبارة مبسطة:
حماية البيانات: كيف ندير المعلومات بصورة مسؤولة؟
الأمن السيبراني: كيف نحمي البيئة الرقمية التي تعالج هذه المعلومات؟
ويؤدي التكامل بين المجالين إلى بيئة أكثر أمانًا وثقة واستمرارية.
ثالثًا: لا يمكنك حماية ما لا تعرف أنك تملكه
قبل شراء أدوات الحماية، تحتاج الجمعية إلى معرفة أصولها الرقمية.
وهنا يأتي جرد الأصول التقنية (Asset Inventory).
يمكن أن يشمل:
الأجهزة | الأنظمة | المواقع والتطبيقات | قواعد البيانات | البريد الإلكتروني | النطاقات Domains | الحسابات السحابية | الخدمات الخارجية | الحسابات الإدارية
ويحدد لكل أصل، بحسب الحاجة:
- مالك الأصل أو المسؤول عنه.
- الغرض منه.
- أهميته للعمل.
- البيانات التي يعالجها.
- المستخدمين المخولين.
- مزود الخدمة.
- مستوى حرجية الأصل.
فليست جميع الأصول متساوية.
قد يكون توقف الموقع التعريفي لساعتين أمرًا يمكن التعامل معه، بينما قد يؤدي توقف منصة التبرعات أو نظام إدارة المستفيدين إلى تأثير مباشر في العمليات والخدمات.
لذلك يبدأ الأمن السيبراني بسؤالين:
ماذا نملك؟
ثم:
ما الأصول التي لا نستطيع تحمل فقدانها أو توقفها أو اختراقها؟
رابعًا: لماذا أصبحت الجمعيات هدفًا للهجمات السيبرانية؟
قد يُعتقد أن الجمعيات ليست أهدافًا مغرية للمهاجمين بسبب طبيعتها غير الربحية، إلا أنها قد تمتلك بيانات وأصولًا ذات قيمة كبيرة.
ومن العوامل التي تزيد تعرضها للمخاطر:
- الاحتفاظ ببيانات شخصية ومالية حساسة.
- استقبال الأموال عبر منصات إلكترونية.
- استخدام أنظمة قديمة أو غير محدثة.
- محدودية الموارد الأمنية.
- انخفاض الوعي لدى بعض العاملين.
- الاعتماد على الخدمات السحابية.
- العمل عن بُعد.
- الاعتماد على أطراف ومزودي خدمات خارجيين.
ولا تتساوى المخاطر بين المؤسسات؛ لذلك ينبغي أن يكون حجم الحماية متناسبًا مع حجم المؤسسة، وحساسية بياناتها، وأهمية أنظمتها، والضرر المحتمل من توقفها أو اختراقها.
خامسًا: الأمن السيبراني كجزء من إدارة المخاطر المؤسسية
ينبغي التعامل مع الأمن السيبراني ضمن إدارة المخاطر السيبرانية (Cyber Risk Management) وليس بوصفه قضية تقنية منعزلة.
ويشمل ذلك:
تحديد الأصول → تحديد التهديدات والثغرات → تقييم الاحتمالية والأثر → تحديد الضوابط → متابعة المخاطر المتبقية
ومن المهم إدراج المخاطر السيبرانية المهمة ضمن سجل المخاطر المؤسسي، ومتابعتها من الإدارة التنفيذية ومجلس الإدارة وفق مستوى خطورتها.
فالخطر لا يتمثل في وجود ثغرة تقنية فقط، بل في أثرها المحتمل.
مثلاً:
ماذا يحدث للجمعية إذا فقدت الوصول إلى البريد الإلكتروني لمدة ثلاثة أيام؟
أو:
ماذا يحدث إذا سيطر مهاجم على حساب إدارة منصة التبرعات؟
هذه هي اللغة التي تربط الأمن السيبراني بالحوكمة والإدارة.
سادسًا: أبرز التهديدات السيبرانية التي تواجه الجمعيات
لا تبدأ جميع الهجمات باختراق تقني معقد؛ فقد تبدأ برسالة بريد تبدو طبيعية.
التصيد الاحتيالي (Phishing)
رسائل أو روابط مزيفة تهدف إلى سرقة بيانات الدخول أو دفع المستخدم إلى تنزيل ملف ضار أو تنفيذ إجراء معين.
برمجيات الفدية (Ransomware)
تعمل على تشفير الملفات أو تعطيل الأنظمة ثم محاولة ابتزاز المؤسسة مقابل استعادة الوصول.
البرمجيات الخبيثة (Malware)
برامج تستخدم للتجسس أو سرقة المعلومات أو إتلاف الملفات أو منح المهاجم وصولًا إلى الأنظمة.
اختراق الحسابات
قد يحدث نتيجة كلمات مرور ضعيفة أو مسربة، أو إعادة استخدامها، أو غياب MFA.
الهندسة الاجتماعية (Social Engineering)
استغلال الثقة أو الخوف أو السلطة أو الاستعجال لدفع الموظف إلى تنفيذ إجراء غير آمن.
اختراق البريد التجاري (Business Email Compromise – BEC)
يكتسب هذا النوع أهمية خاصة للجمعيات.
قد ينتحل المهاجم هوية مدير أو مورد أو شريك، أو يسيطر على بريده، ثم يطلب:
- تحويل مبلغ عاجل.
- تغيير الحساب البنكي للمورد.
- دفع فاتورة.
- مشاركة ملف حساس.
ولهذا ينبغي اعتماد قاعدة واضحة:
أي تغيير في بيانات الحسابات البنكية أو طلب مالي غير معتاد يجب التحقق منه عبر قناة مستقلة عن القناة التي ورد منها الطلب.
سابعًا: الضوابط الأساسية للأمن السيبراني
لا تحتاج جميع الجمعيات إلى بنية أمنية معقدة، لكنها تحتاج إلى مجموعة أساسية من الضوابط المناسبة لمخاطرها.
ومن أهمها:
- سياسة مكتوبة للأمن السيبراني.
- تحديث الأنظمة والتطبيقات.
- حماية الأجهزة.
- تشفير البيانات الحساسة عند الحاجة.
- نسخ احتياطية واختبارات استعادة.
- مراقبة الأنشطة غير الطبيعية.
- تقييد الصلاحيات.
- MFA للأنظمة المهمة.
- مراجعات أمنية دورية.
- خطة للاستجابة للحوادث.
وتحقق هذه الضوابط أعلى قيمة عندما تعمل كمنظومة واحدة بدل تطبيقها بصورة منفصلة.
ثامنًا: إدارة التحديثات والثغرات الأمنية
وجود تحديث متاح لا يعني أن المؤسسة قامت بإدارة الخطر.
تحتاج الجمعية إلى عملية مبسطة لـ Patch & Vulnerability Management تساعدها على معرفة:
ما الأنظمة المستخدمة؟
↓
هل ما زالت مدعومة؟
↓
هل توجد تحديثات أو ثغرات مهمة؟
↓
ما الأكثر خطورة؟
↓
من المسؤول عن المعالجة؟
↓
هل تم تنفيذها؟
وينبغي إعطاء الأولوية للأنظمة المتصلة بالإنترنت والأنظمة التي تحتوي على بيانات حساسة أو تتحكم في وظائف حرجة.
فالهدف ليس تثبيت كل تحديث فور ظهوره، بل وجود عملية واضحة ومبنية على المخاطر لإدارة الثغرات والتحديثات.
تاسعًا: كلمات المرور والمصادقة متعددة العوامل
تظل بيانات الدخول من أهم خطوط الدفاع عن الأنظمة.
ومن الممارسات المهمة:
- استخدام كلمات مرور قوية وطويلة.
- عدم إعادة استخدام كلمة المرور نفسها.
- عدم مشاركة الحسابات.
- تغيير بيانات الدخول عند الاشتباه في تعرضها للخطر.
- استخدام أدوات مناسبة لإدارة كلمات المرور عند الحاجة.
والأهم هو تفعيل Multi-Factor Authentication (MFA) على الحسابات المهمة.
حتى إذا حصل المهاجم على كلمة المرور، فإن MFA يمكن أن يضيف حاجزًا إضافيًا أمام الدخول.
عاشرًا: أقل صلاحية ممكنة... وليس كل موظف يحتاج إلى كل شيء
يقوم مبدأ Least Privilege على منح المستخدم أقل مستوى من الصلاحيات التي يحتاج إليها لأداء عمله.
فوجود الموظف داخل المؤسسة لا يعني حاجته إلى الوصول إلى جميع البيانات والأنظمة.
وينبغي مراجعة الصلاحيات خلال دورة الموظف:
التوظيف → تغيير الدور → الترقية أو النقل → المغادرة
وعند مغادرة الموظف، ينبغي إلغاء صلاحياته دون تأخير.
كما يجب تجنب الحسابات المشتركة قدر الإمكان، لأن المؤسسة تحتاج إلى معرفة:
من قام بالفعل؟ ومتى؟ وبأي صلاحية؟
الحادي عشر: الحسابات الإدارية تحتاج حماية أعلى
بعض الحسابات تمنح سيطرة واسعة على البيئة الرقمية، ولذلك ينبغي معاملتها كأصول حرجة.
ومن أمثلتها:
- Domain Registrar.
- Hosting.
- Cloud Administration.
- Google Workspace أو Microsoft 365 Admin.
- CRM Admin.
- منصات التبرعات.
- أنظمة الدفع.
- حسابات إدارة وسائل التواصل الاجتماعي.
وينبغي لهذه الحسابات أن تتمتع بضوابط أقوى، مثل:
MFA + عدم مشاركة الحسابات + وسائل استعادة آمنة + مراجعة دورية للصلاحيات + توثيق المسؤولية عنها.
فالاستيلاء على حساب إداري واحد قد يكون أخطر من اختراق عشرات حسابات المستخدمين العادية.
الثاني عشر: حماية البريد الإلكتروني والهوية الرقمية للمؤسسة
البريد الإلكتروني من أكثر منافذ الهجوم شيوعًا.
لذلك ينبغي:
- التحقق من المرسل.
- الحذر من المرفقات والروابط غير المتوقعة.
- التحقق المستقل من طلبات تحويل الأموال.
- الإبلاغ عن الرسائل المشبوهة.
- استخدام حلول الحماية المناسبة.
لكن الحماية لا تعتمد على الموظف وحده.
يمكن كذلك تعزيز حماية نطاق البريد المؤسسي باستخدام تقنيات مثل:
SPF — DKIM — DMARC
التي تساعد على تقليل مخاطر انتحال نطاق المؤسسة واستخدامه في الرسائل الاحتيالية.
الثالث عشر: أمن الأجهزة والشبكات والعمل عن بُعد
مع العمل من المنزل أو الميدان، لم تعد حدود المؤسسة محصورة داخل المكتب.
لذلك ينبغي:
- حماية الأجهزة بآليات قفل مناسبة.
- تحديث أنظمة التشغيل.
- تشفير الأجهزة التي تحتوي على معلومات حساسة حيث يكون ذلك مناسبًا.
- تجنب الشبكات العامة غير الموثوقة عند التعامل مع أنظمة حساسة.
- تنظيم استخدام الأجهزة الشخصية BYOD إذا كانت مسموحة.
- توفير وسائل وصول آمنة إلى الأنظمة المؤسسية.
- القدرة على تعطيل أو حماية الأجهزة المفقودة عندما تسمح الأدوات المستخدمة بذلك.
الرابع عشر: الموردون قد يصبحون جزءًا من المخاطر السيبرانية
قد تكون أنظمة الجمعية محمية جيدًا، لكن الاختراق قد يأتي من مزود خدمة أو طرف لديه وصول إلى البيانات أو الأنظمة.
لذلك ينبغي تقييم Third-Party Cyber Risk عند التعامل مع:
- خدمات Cloud.
- شركات الاستضافة.
- CRM.
- منصات التبرعات.
- مزودي التقنية.
- الأدوات التي تتصل بأنظمة الجمعية.
ومن الأسئلة المهمة:
ما الذي يستطيع المورد الوصول إليه؟
كيف يحميه؟
ماذا يحدث إذا تعرض لحادث؟
متى سيبلغنا؟
كيف نستعيد بياناتنا؟
وماذا يحدث للصلاحيات والبيانات عند انتهاء العلاقة؟
ويجب أن تنعكس المتطلبات المهمة في الاتفاقيات والعقود المناسبة.
الخامس عشر: النسخ الاحتياطي... هل سينجو من الهجوم نفسه؟
النسخ الاحتياطي أحد أهم خطوط الدفاع ضد الأعطال والأخطاء وRansomware.
ويمكن الاستفادة من مبدأ 3-2-1 كإطار عملي شائع:
3 نسخ من البيانات
على بيئتين أو وسيطين مختلفين
مع نسخة واحدة منفصلة أو خارج البيئة الأساسية
لكن الأهم من عدد النسخ هو ألا يستطيع الحساب الذي تعرض للاختراق حذف البيانات الأصلية وجميع النسخ الاحتياطية معها بسهولة.
كما ينبغي اختبار الاستعادة دوريًا.
فوجود Backup لم يتم اختبار استعادته لا يقدم ضمانًا كافيًا لاستمرارية المؤسسة.
السادس عشر: التعافي من الكوارث... كم من الوقت وكم من البيانات؟
تحدد Disaster Recovery Plan كيفية استعادة الأنظمة بعد حادث كبير.
وهنا يظهر مفهومان مفيدان:
RTO – Recovery Time Objective
ما المدة القصوى المقبولة لتوقف النظام؟
RPO – Recovery Point Objective
ما مقدار البيانات الذي تستطيع المؤسسة تحمل فقده؟
على سبيل المثال:
هل تستطيع منصة التبرعات التوقف 24 ساعة؟
وهل يمكن للمؤسسة تحمل فقد معاملات آخر 24 ساعة؟
تساعد الإجابة عن هذه الأسئلة على تحديد مستوى النسخ الاحتياطي والبنية والاستجابة المطلوبة لكل نظام بحسب أهميته.
السابع عشر: استمرارية الأعمال... ماذا لو لم يعد النظام الآن؟
التعافي من الكوارث يهتم بإعادة الأنظمة، لكن Business Continuity يهتم باستمرار المؤسسة نفسها.
إذا تعطلت الأنظمة، ينبغي أن تعرف الجمعية:
- كيف تستمر الخدمات الحرجة؟
- كيف تتواصل مع الموظفين؟
- كيف تصل إلى معلومات الطوارئ؟
- كيف تستمر العمليات الميدانية؟
- كيف تتعامل مع التبرعات والمدفوعات؟
- من يملك صلاحية اتخاذ القرارات أثناء الأزمة؟
فالسؤال ليس فقط:
كيف نعيد النظام؟
بل أيضًا:
كيف نستمر في أداء رسالتنا إلى أن يعود النظام؟
الثامن عشر: الاستجابة للحوادث السيبرانية
لا يمكن ضمان منع جميع الحوادث.
ولهذا تحتاج المؤسسة إلى Incident Response Plan تحدد:
من يستقبل البلاغ؟
↓
من يقود الاستجابة؟
↓
كيف يتم الاحتواء؟
↓
كيف يتم تقييم الأثر؟
↓
كيف تتم الاستعادة؟
↓
من يملك صلاحية التواصل؟
↓
كيف نتعلم من الحادث؟
وتشمل المراحل الأساسية:
الاكتشاف والإبلاغ → الاحتواء → التحليل → المعالجة → التعافي → المراجعة والتحسين
مثال عملي
يتلقى مسؤول المالية رسالة تبدو وكأنها من المدير التنفيذي تطلب تحويلًا عاجلًا إلى حساب بنكي جديد.
بعد تنفيذ التحويل، يتبين أن حساب المدير تعرض للاختراق.
لا ينبغي أن يقتصر التعامل مع الحالة على تغيير كلمة المرور.
قد يتطلب الأمر محاولة إيقاف أو استرداد التحويل، وتأمين الحساب، وإلغاء الجلسات النشطة، وتحديد نطاق الاختراق، وحفظ الأدلة اللازمة، وتقييم أثر الحادث، واتخاذ إجراءات الإبلاغ المطلوبة عند انطباقها، ثم تحليل السبب الجذري.
وقد يكون الإجراء التصحيحي بعد ذلك بسيطًا لكنه بالغ الأهمية:
لا يتم اعتماد أي تغيير في الحساب البنكي اعتمادًا على البريد الإلكتروني وحده.
التاسع عشر: الوعي السيبراني... الإنسان خط دفاع رئيسي
قد تتجاوز نقرة واحدة كثيرًا من الضوابط التقنية.
لذلك ينبغي الاستثمار في:
- التدريب الدوري.
- التعرف إلى Phishing.
- الوعي بالهندسة الاجتماعية.
- الاستخدام الآمن للبريد.
- حماية كلمات المرور.
- التعامل الصحيح مع الملفات.
- الإبلاغ السريع عن الحوادث.
- محاكاة بعض الهجمات عند الحاجة.
والهدف ليس تحويل جميع الموظفين إلى متخصصين في الأمن السيبراني، بل تمكينهم من:
التعرف إلى الخطر → تجنب الإجراء غير الآمن → الإبلاغ بسرعة.
العشرون: الذكاء الاصطناعي يخلق نوعًا جديدًا من المخاطر
أصبحت أدوات الذكاء الاصطناعي جزءًا من بيئة العمل اليومية، ويمكن أن ترفع الإنتاجية بصورة كبيرة، لكنها قد تتحول أيضًا إلى قناة غير مقصودة لتسريب المعلومات.
قد ينسخ الموظف إلى أداة AI:
- بيانات مستفيدين.
- بيانات مانحين.
- عقودًا.
- تقارير داخلية.
- معلومات مالية.
- كلمات مرور.
- API Keys.
- وثائق سرية.
لذلك ينبغي أن تحدد المؤسسة سياسة واضحة لاستخدام أدوات الذكاء الاصطناعي، بما في ذلك الأدوات المسموح بها وأنواع المعلومات التي يحظر إدخالها فيها.
ومن القواعد الأساسية:
لا تُدخل البيانات الشخصية أو السرية أو بيانات الدخول أو الوثائق المقيدة في أدوات ذكاء اصطناعي غير معتمدة من المؤسسة.
الحادي والعشرون: مؤشرات نضج الأمن السيبراني
لا يكفي وجود السياسات؛ بل يجب معرفة مدى تطبيقها.
ومن المؤشرات المفيدة:
- نسبة الموظفين الذين أكملوا التدريب.
- نسبة الأنظمة المهمة التي تستخدم MFA.
- مستوى الالتزام بتحديث الأنظمة.
- عدد الحوادث وطبيعتها.
- متوسط زمن اكتشاف الحوادث والاستجابة لها.
- نسبة نجاح اختبارات استعادة النسخ الاحتياطية.
- نتائج تقييمات المخاطر والمراجعات الأمنية.
- نسبة مراجعة الصلاحيات.
- نسبة الإجراءات التصحيحية المغلقة.
ولا ينبغي تحويل الأمن السيبراني إلى عشرات المؤشرات؛ فمجموعة صغيرة مرتبطة بأكبر المخاطر أكثر فائدة للإدارة.
الثاني والعشرون: الأمن السيبراني والحوكمة
يرتبط الأمن السيبراني بالحوكمة لأنه يتعلق بحماية الأصول، وإدارة المخاطر، واستمرارية الأعمال، والثقة.
ويظهر ذلك من خلال:
القيادة والإشراف: متابعة مجلس الإدارة والإدارة التنفيذية للمخاطر المهمة.
المساءلة: تحديد المسؤوليات عن الأنظمة والضوابط.
إدارة المخاطر: إدراج المخاطر السيبرانية ضمن منظومة المخاطر المؤسسية.
استمرارية الأعمال: الاستعداد لتوقف الأنظمة والخدمات.
الامتثال: مراعاة المتطلبات القانونية والتعاقدية ومتطلبات الجهات المانحة ذات الصلة.
وبذلك يتحول الأمن السيبراني من وظيفة تقنية إلى عنصر من عناصر الاستدامة المؤسسية.
الثالث والعشرون: كيف يعرف المانح أن الجمعية ناضجة سيبرانيًا؟
لا يكفي أن تقول الجمعية:
"لدينا Antivirus وFirewall."
فالمانح أو الشريك قد يبحث عن أدلة تثبت أن المخاطر الرقمية تُدار فعليًا، مثل:
- Cybersecurity Policy.
- Asset Inventory.
- Cyber Risk Register.
- Access Control Matrix.
- سجلات مراجعة الصلاحيات.
- مستوى تطبيق MFA.
- Patch & Vulnerability Management.
- Backup Procedures.
- نتائج اختبارات الاستعادة.
- Incident Response Plan.
- Incident Register.
- Business Continuity Plan.
- Disaster Recovery Plan.
- سجلات التدريب والتوعية.
- ضوابط إدارة مخاطر الموردين.
- الإجراءات التصحيحية الناتجة عن المراجعات والحوادث.
وهنا يظهر الفرق بين مؤسسة تمتلك أدوات أمنية ومؤسسة تمتلك نظامًا لإدارة الأمن السيبراني يمكن إثباته.
قبل الانتقال إلى المقال القادم...
إذا أرادت الجمعية رفع مستوى أمنها السيبراني، يمكنها البدء بـ:
✓ حصر أصولها الرقمية.
✓ تحديد الأنظمة الأكثر أهمية.
✓ تفعيل MFA للحسابات المهمة والإدارية.
✓ مراجعة صلاحيات المستخدمين.
✓ تأمين الحسابات الإدارية.
✓ تحديث الأنظمة ومعالجة الثغرات ذات الأولوية.
✓ حماية البريد والنطاق المؤسسي.
✓ مراجعة النسخ الاحتياطية واختبار الاستعادة.
✓ تحديد RTO وRPO للأنظمة الحرجة.
✓ إعداد Incident Response Plan.
✓ إعداد Business Continuity وDisaster Recovery بحسب احتياجات المؤسسة.
✓ تدريب العاملين.
✓ تقييم الموردين الذين يصلون إلى الأنظمة أو البيانات.
✓ وضع قواعد لاستخدام أدوات الذكاء الاصطناعي.
تقييم ذاتي سريع
اسأل نفسك:
□ هل نعرف جميع الأنظمة والحسابات والأجهزة والخدمات الرقمية التي تستخدمها الجمعية؟
□ هل نعرف أيها حرج لاستمرار العمل؟
□ هل MFA مفعل على البريد والحسابات الإدارية؟
□ هل توجد حسابات مشتركة لا نعرف من يستخدمها؟
□ هل تُلغى صلاحيات الموظف عند مغادرته؟
□ هل توجد آلية واضحة لمتابعة التحديثات والثغرات؟
□ هل الحسابات الإدارية محمية أكثر من الحسابات العادية؟
□ هل نستطيع اكتشاف محاولة انتحال بريد المؤسسة؟
□ هل يمكن للمهاجم الذي اخترق النظام حذف الـBackup أيضًا؟
□ هل اختبرنا استعادة النسخ الاحتياطية فعليًا؟
□ هل حددنا RTO وRPO للأنظمة الحرجة؟
□ هل نعرف ماذا سنفعل إذا تعطلت أنظمتنا الرئيسية غدًا؟
□ هل يعرف الموظفون كيف يبلغون عن حادث؟
□ هل لدينا قواعد لاستخدام أدوات AI؟
□ هل نراجع مخاطر الموردين الخارجيين؟
□ هل نستطيع تقديم أدلة على هذه الضوابط إذا طلبها مانح؟
إذا كانت الإجابة "لا" على عدة أسئلة، فلا تبدأ بشراء مزيد من أدوات الأمن.
ابدأ بمعرفة:
ماذا نملك؟ → ما الأكثر أهمية؟ → ما المخاطر؟ → من يستطيع الوصول؟ → ما الضوابط الموجودة؟ → كيف سنستجيب؟ → وكيف سنستمر إذا فشلت هذه الضوابط؟
خاتمة
لم يعد الأمن السيبراني قضية تقنية تقتصر على حماية الحواسيب والشبكات، بل أصبح ركيزة لاستدامة المؤسسات غير الربحية في بيئة تعتمد بصورة متزايدة على الأنظمة الرقمية.
فكل خدمة إلكترونية، وكل تبرع، وكل قاعدة بيانات، وكل حساب إداري، وكل نظام تعتمد عليه الجمعية، يمثل أصلًا ينبغي فهم أهميته والمخاطر المرتبطة به وحمايته بالمستوى المناسب.
ولهذا لا تُقاس جاهزية الجمعية بعدد برامج الحماية التي اشترتها، بل بقدرتها على الإجابة عن أسئلة عملية:
هل نعرف أصولنا الرقمية؟
هل نعرف الأنظمة الحرجة؟
هل الصلاحيات محدودة ومراجعة؟
هل نستطيع اكتشاف الحوادث والاستجابة لها؟
هل نستطيع استعادة بياناتنا؟
هل تستطيع المؤسسة مواصلة عملها إذا تعطلت أنظمتها؟
وهل نستطيع إثبات كل ذلك عند التقييم؟
إن بناء الأمن السيبراني يتطلب تكامل الحوكمة وإدارة المخاطر والضوابط التقنية والوعي البشري وإدارة الموردين والاستجابة للحوادث واستمرارية الأعمال، وهي جميعًا عناصر مكملة للمنظومة الأساسية التي تناولها المقال.
وعندما تصبح هذه الممارسات جزءًا من العمل اليومي، يتحول الأمن السيبراني من تكلفة تقنية إلى قدرة مؤسسية تحمي الأموال والبيانات والخدمات والسمعة والثقة.
وفي القطاع الإنساني، تبقى الغاية الأهم من ذلك كله واضحة:
ألا يؤدي خلل رقمي أو هجوم سيبراني إلى تعطيل قدرة المؤسسة على أداء رسالتها تجاه الأشخاص الذين تعتمد خدماتهم عليها.
