فهم مخاطر الأمن السيبراني للمنظمات غير الربحية: الدليل الشامل

تعرضت منظمة غير ربحية في ولاية كاليفورنيا لهجوم باستخدام برمجيات خبيثة، مما أدى إلى اختراق قاعدة بيانات المتبرعين والوصول غير المصرح به إلى معلومات حساسة.

برمجيات الفدية هي نوع من البرمجيات الخبيثة يقوم بتشفير بياناتك ويطلب دفع مبلغ مالي مقابل مفتاح فك التشفير.

يُعد هذا النوع من الهجمات مدمرًا بشكل خاص للمنظمات غير الربحية، حيث يمكنه أن يشلّ العمليات بالكامل ويتسبب في خسائر مالية كبيرة.

تعرّضت منظمة Broward Health، وهي مؤسسة صحية غير ربحية، لهجوم ببرمجيات الفدية في يناير 2022، مما أثر على 1.35 مليون سجل من البيانات الخاصة، بما في ذلك أرقام الهوية والأرقام الرسمية التي قد تكون حساسة.

يتضمن التصيد الاحتيالي قيام مجرمي الإنترنت بإرسال رسائل بريد إلكتروني خادعة لخداع المستلمين للكشف عن معلومات شخصية أو النقر على روابط ضارة.

يزداد هذا الخطر لدى المنظمات غير الربحية بسبب اعتمادها الكبير على البريد الإلكتروني في التواصل مع المتبرعين والمتطوعين.

9 من كل 10 منظمات غير ربحية لا تقوم بتدريب موظفيها بانتظام على الأمن السيبراني، مما يجعلها أهدافًا مثالية لهجمات التصيد الاحتيالي.

تعتمد هجمات الهندسة الاجتماعية على استغلال علم النفس البشري بدلاً من الثغرات التقنية. يقوم مجرمو الإنترنت بخداع الأفراد للكشف عن معلومات سرية أو تنفيذ إجراءات تضر بأمن المنظمة.

في عام 2021، أفادت 50٪ من المنظمات غير الحكومية (NGOs) بأنها كانت هدفًا لهجوم إلكتروني، استخدم العديد منها أساليب الهندسة الاجتماعية.

يحدث اختراق البيانات عندما يتمكن أفراد غير مصرح لهم من الوصول إلى معلومات حساسة.

وقد يكون ذلك نتيجة إهمال الموظفين، أو نوايا خبيثة، أو هجمات إلكترونية ناجحة.

وقد تكون العواقب وخيمة، مثل سرقة الهوية وفقدان ثقة المتبرعين.

تعرّضت اللجنة الدولية للصليب الأحمر لاختراق بيانات في سبتمبر 2022، مما أدى إلى تسريب 500,000 سجل من البيانات الشخصية والمعلومات السرية.

تشير CATO إلى قيام مجرمي الإنترنت بسرقة بيانات تسجيل الدخول (مثل اسم المستخدم وكلمة المرور) للوصول إلى الأنظمة والبيانات.

وغالبًا ما يكون لدى المنظمات غير الربحية عدد كبير من المستخدمين الذين يصلون إلى الأنظمة، مما يزيد من خطر سرقة بيانات الاعتماد.

قم بتفعيل المصادقة متعددة العوامل (MFA) لتقليل خطر هجمات CATO.

هجمات حجب الخدمة الموزعة (DDoS) تُغرق الخادم بكمية هائلة من حركة المرور، مما يؤدي إلى تعطله وجعل الخدمات غير متوفرة.

بالنسبة للمنظمات غير الربحية، يمكن أن يؤدي ذلك إلى تعطيل العمليات وأنشطة جمع التبرعات.

كان متوسط مدة انقطاع الخدمات بعد هجمات برمجيات الفدية على المنظمات في الولايات المتحدة عام 2021 هو 22 يومًا، مما يُبرز إمكانية التوقف الطويل الناتج عن الهجمات السيبرانية.

غالبًا ما يُنظر إلى المنظمات غير الربحية على أنها أهداف سهلة لمجرمي الإنترنت.

دعونا نتعمق في الأسباب الرئيسية لذلك.

تقوم المنظمات غير الربحية بجمع وتخزين الكثير من المعلومات الحساسة عن متبرعيها، مثل الأسماء، والعناوين، بل وأحيانًا أرقام الضمان الاجتماعي.

تُعدّ هذه البيانات ذات قيمة عالية لمجرمي الإنترنت، إذ تُستخدم في سرقة الهوية وأنشطة خبيثة أخرى.

في يناير 2022، تعرّضت منظمة Broward Health، وهي منظمة غير ربحية، لاختراق بيانات أدى إلى تسريب 1.35 مليون سجل، بما في ذلك أرقام الضمان الاجتماعي.

ويُبرز هذا الحادث مدى خطورة المخاطر التي تواجهها المنظمات غير الربحية.

بسبب القيود المالية، تفتقر العديد من المنظمات غير الربحية إلى تدابير أمن سيبراني قوية.

غالبًا لا تمتلك أقسام تقنية معلومات مخصصة أو متخصصين لإدارة الأمن السيبراني.

وفقًا لشبكة Nonprofit Technology Enterprise Network (NTEN)، فإن 68٪ من المنظمات غير الربحية لا تمتلك سياسات وإجراءات موثّقة للتعامل مع الهجمات السيبرانية.

تعتمد المنظمات غير الربحية في الغالب على المتطوعين الذين قد لا يمتلكون التدريب أو الوعي الكافي بمخاطر الأمن السيبراني.

وقد يؤدي ذلك إلى حدوث خروقات أمنية غير مقصودة.

تستخدم المنظمات غير الربحية غالبًا مزوّدين خارجيين لخدمات متعددة مثل منصات جمع التبرعات وتخزين البيانات عبر السحابة.

وقد تُشكّل هذه الشراكات الخارجية نقاط دخول إضافية للهجمات السيبرانية إذا لم تكن هناك تدابير أمنية مناسبة.

تعرّضت اللجنة الدولية للصليب الأحمر لهجوم سيبراني في سبتمبر 2022، مما أدى إلى تسريب 500,000 سجل من البيانات الشخصية.

ويُظهر هذا المثال كيف يمكن أن تؤثر الثغرات في خدمات الأطراف الثالثة على أمن المنظمات غير الربحية.

تستخدم العديد من المنظمات غير الربحية بروتوكولات أمان قديمة، مما يجعلها أهدافًا سهلة لمجرمي الإنترنت.

غالبًا ما تكون هذه الأنظمة القديمة غير مجهّزة للتعامل مع التهديدات السيبرانية الحديثة.

وسيتناول القسم التالي أكبر الثغرات السيبرانية في هذه المنظمات وكيفية التعامل معها.

تُعد تصرفات الموظفين من أكبر الثغرات في الأمن السيبراني لدى المنظمات غير الربحية.

فالعديد من حالات اختراق البيانات تحدث بسبب إهمال الموظفين أو نواياهم الخبيثة.

فعلى سبيل المثال، قد يؤدي سوء التعامل مع البيانات، أو مشاركة بيانات الدخول، أو الوقوع ضحية لرسائل تصيد احتيالي، إلى وصول غير مصرح به لمعلومات حساسة.

نقر أحد الموظفين عن طريق الخطأ على رسالة تصيد احتيالي، مما أدى إلى تسريب معلومات المتبرعين وحدوث اختراق للبيانات.

ما يصل إلى 71٪ من المنظمات غير الربحية تسمح للموظفين باستخدام أجهزتهم الشخصية غير المؤمّنة للوصول إلى البريد الإلكتروني والملفات الخاصة بالمنظمة.

وتمثّل هذه الممارسة خطرًا أمنيًا كبيرًا، إذ غالبًا ما تفتقر الأجهزة الشخصية إلى التدابير الأمنية المتوفرة في أجهزة العمل، مما يجعلها أهدافًا سهلة لمجرمي الإنترنت.

السماح باستخدام أجهزة غير مؤمّنة قد يؤدي إلى إصابة الأجهزة ببرمجيات خبيثة، أو حدوث اختراقات للبيانات، أو وصول غير مصرح به إلى معلومات حساسة.

ومن دون وجود إرشادات رسمية، قد لا يعرف الموظفون كيفية التعامل مع الحوادث الأمنية، مما يؤدي إلى تأخّر في الاستجابة وتفاقم الأضرار.

خطوات للتخفيف من مخاطر الأمن السيبراني في المنظمات غير الربحية

ما البيانات التي نجمعها عن الأشخاص؟

ماذا نفعل بهذه البيانات؟

أين نقوم بتخزينها؟

جرد البيانات:

تطبيق سياسات قوية وتدريب فعال

• التعرف على رسائل التصيد الاحتيالي

• استخدام كلمات مرور قوية

• أهمية حماية البيانات

استخدام أطر وأدوات الأمن السيبراني

التعريف (Identify)، الحماية (Protect)، الكشف (Detect)، الاستجابة (Respond)، والاستعادة (Recover)،

تأمين المسؤولية السيبرانية

1. فهم التأثير:
   افهم كيف يمكن أن يؤثر حدوث خرق للخصوصية على منظمتك غير الربحية.

2. التعاون مع خبراء:
   اعمل مع وكيل تأمين أو وسيط لديه معرفة بعمليات منظمتك، ويمكنه مساعدتك في اختيار المنتجات التأمينية المناسبة.

3. تقييم التكلفة:
   ألقِ نظرة دقيقة على تكلفة القسط السنوي.

من خلال اتباع هذه الخطوات، يمكن للمنظمات غير الربحية تقليل مخاطرها السيبرانية بشكل كبير، وحماية بياناتها القيّمة.

الأسئلة الشائعة حول الأمن السيبراني للمنظمات غير الربحية

• النسخ الاحتياطي المنتظم:
  تأكد من إجراء نسخ احتياطي لجميع البيانات الحيوية بانتظام.
  احتفظ بهذه النسخ خارج الإنترنت (أوفلاين) لمنع برمجيات الفدية من الوصول إليها.

• أمان البريد الإلكتروني:
  استخدم خوادم بريد إلكتروني مؤمّنة، ودرب الموظفين على التعرف على رسائل التصيد الاحتيالي.
  يُعد التصيد الاحتيالي من الطرق الشائعة التي تُستخدم لنشر برمجيات الفدية.

• تحديثات البرامج:
  حافظ على تحديث جميع البرامج باستمرار.
  يستغل مجرمو الإنترنت الثغرات في البرامج القديمة.

• أدوات مكافحة البرمجيات الخبيثة:
  نفّذ أدوات قوية لمكافحة البرمجيات الخبيثة لاكتشاف برمجيات الفدية وحجبها قبل أن تتسبب في أضرار.

• خطة استجابة للحوادث:
  ضع خطة واضحة للاستجابة للحوادث.
  تأكد من معرفة ما يجب فعله عند وقوع هجوم، بما في ذلك من يجب الاتصال به، وكيفية عزل الأنظمة المصابة.

  
  

  ما هي أفضل الممارسات لإدارة المتطوعين لتقليل مخاطر الأمن السيبراني؟
  يُعد المتطوعون عنصرًا أساسيًا في عمل المنظمات غير الربحية، لكنهم قد يشكّلون أيضًا خطرًا سيبرانيًا إذا لم تتم إدارتهم بشكل جيد.
  فيما يلي بعض أفضل الممارسات للتعامل مع هذه المخاطر:

  • التحقق من الخلفية:
    ابدأ بإجراء فحص خلفية جنائية للتأكد من أن المتطوعين موثوقون.

  • التدريب:
    قدم تدريبًا على الأمن السيبراني لجميع المتطوعين.
    تأكد من فهمهم لأهمية حماية المعلومات الحساسة.

  • ضوابط الوصول:
    حدّد صلاحيات الوصول إلى البيانات بناءً على دور المتطوع.
    امنحهم فقط ما يحتاجونه لأداء مهامهم.

  • الإشراف:
    راقب أنشطة المتطوعين، خصوصًا من يتعاملون مع بيانات حساسة.
    راجع سجلات الوصول بانتظام لرصد أي نشاط غير معتاد.

  • سياسات واضحة:
    طبّق سياسات أمن سيبراني واضحة وملزمة.
    يجب أن يعرف المتطوعون ما هو متوقع منهم وما هي التصرفات المحظورة.
    
    
    كيف يؤثر الامتثال لمتطلبات الأمن السيبراني على المنظمات غير الربحية؟
    يُعد الامتثال لمتطلبات الأمن السيبراني أمرًا بالغ الأهمية للمنظمات غير الربحية لعدة أسباب:

    • المتطلبات القانونية:
      يجب على المنظمات غير الربحية الالتزام بالقوانين والأنظمة مثل اللائحة العامة لحماية البيانات (GDPR) الخاصة بحماية البيانات.
      عدم الامتثال يمكن أن يؤدي إلى غرامات مالية كبيرة.

    • ثقة المتبرعين:
      يساعد الامتثال لمعايير الأمن السيبراني في بناء الثقة مع المتبرعين.
      فهم بحاجة إلى التأكد من أن معلوماتهم آمنة.

    • سلامة العمليات:
      يساهم الالتزام في الحفاظ على سلامة الأنظمة وتوافرها، وهو أمر حيوي لاستمرار العمليات اليومية.

    • إدارة المخاطر:
      توفّر أطر الامتثال إرشادات لإدارة وتقليل مخاطر الأمن السيبراني، مما يساعد في منع اختراقات البيانات والحوادث السيبرانية المكلفة.

      
      

      إن إنشاء ثقافة أمنية داخل منظمتك غير الربحية أمر بالغ الأهمية.
      فالمسألة لا تتعلق فقط بامتلاك الأدوات والسياسات المناسبة، بل تتعلق أيضًا بتهيئة بيئة يدرك فيها الجميع أهمية الأمن السيبراني ودورهم في الحفاظ عليه.
      
      
      لماذا تُعدّ ثقافة الأمن مهمة جدًا؟
      لأن التهديدات السيبرانية تتطوّر باستمرار، وأمن منظمتك لا يكون أقوى من أضعف حلقة فيها.
      وبالنسبة للعديد من المنظمات غير الربحية، قد تكون تلك الحلقة الضعيفة موظفًا غير مدرّب أو بروتوكول أمان قديم.
      
      
      المقال الأصلي