تعرضت البيانات الشخصية للتسرب من نظام تجميع البيانات المخصص للتحقق من حماية البيانات الشخصية لدى الشركات المالية. أكد معهد الأمن المالي في التاسع من الشهر الجاري تعرض نظام التقييم المستمر لحماية المعلومات لديه للاختراق وتسرب البيانات. فمن المسؤول عن التحقق من قدرات الدفاع لدى الجهة المسؤولة عن فحص أمن القطاع المالي؟ يجب على السلطات المالية ألا تعامل هذا الحادث على أنه مشكلة في نظام واحد فحسب.
تضمنت البيانات المسربة حوالي 300 بند من البيانات الشخصية مثل الأسماء وتواريخ الميلاد الواردة في النماذج الإدارية، بالإضافة إلى حوالي 350 بند من بيانات مستخدمي النظام حيث تم إخفاء جزء من الأسماء وأرقام الهواتف. أوضح معهد الأمن المالي أن الهيكل التنظيمي لأنظمة الشركات المالية وأرقام التسجيل السكاني والمعلومات الائتمانية الحساسة للعملاء لم تتسرب. يجب تحديد نطاق الحادث بدقة. ومع ذلك، حتى وإن تم إخفاء بعض بيانات التعريف، فإن عناوين البريد الإلكتروني والمعلومات الأخرى قد تُستخدم في عمليات الانتحال والتصيد الاحتيالي. لا يجب الاستخفاف بالضرر بحجة أن البيانات المسربة لا تتعلق بمعاملات مالية مباشرة.
أعلن معهد الأمن المالي عن نيته إجراء فحص مكثف لحوالي 3000 شركة مالية خلال العام الحالي، بركيزه على سلطات الوصول والسجلات الدخول والتشفير وأنظمة كشف ومنع التسلل. ذكرت وكالة يونهاب أن المخترقين استغلوا ثغرات في تقييم الصلاحيات للوصول إلى البيانات عبر حساب وهمي بصلاحيات من المؤسسة العامة للإشراف المالي. إن صحت هذه المعلومات، فهذا يعني أن معهد الأمن المالي لم يمتثل للمراقبة الأساسية التي يطلبها من الشركات المالية. يجب التحقق من الحقائق والتأكد من عدم تمويه المسؤولية بحجة هجمات متطورة وعميقة.
من الصعب تحقيق أمن سيبراني مثالي يمنع جميع الهجمات. ولكن لا يمكن اعتبار حوادث الأمن في المؤسسات المتخصصة أمراً حتمياً لا يمكن تجنبه. يجب أن يشارك خبراء خارجيون في التحقيق من الأسباب للتحقق من مسار الاختراق والمدة المستغرقة في الكشف والمنع. عند إعادة التأهيل، يجب إجراء اختبارات مجددة للتأكد من إزالة الثغرات فعلياً. لا يجب إنهاء الفحص بمجرد تقديم خطة للتحسين.
يجب أيضاً فحص الإجراءات المتبعة في تجميع النماذج التي تحتوي على البيانات الشخصية للتقييم. من الضروري التحقق مما إذا كانت البيانات الشخصية الفعلية ضرورية حقاً، وما إذا كان يمكن استبدالها ببيانات وهمية أو معلومات محذوف منها عناصر التعريف. يجب تقليل البيانات المجمعة والصلاحيات الممنوحة إلى الحد الأدنى الضروري، وحذف البيانات التي لا حاجة لحفظها. يجب ألا تكون عملية التحقق من حماية البيانات الشخصية مصدراً لمخاطر تسرب جديدة.
بدأت لجنة الخدمات المالية والمؤسسة العامة للإشراف المالي عمليات فحص ميداني في الحادي عشر من الشهر الجاري. أعلنت السلطات أيضاً في الخامس من الشهر الجاري عن خطة لإجراء فحص شامل للنقاط الخارجية والمراقبة الداخلية لحوالي 580 شركة مالية. الآن يتعين على السلطات الكشف عن موعد وطريقة التحقق من مستوى الأمن لدى معهد الأمن المالي. إذا تم حذف النظام المعني من الفحص، يجب تقديم أسباب الحذف. وإذا تم اختراقه رغم خضوعه للفحص، يجب شرح حدود معايير التقييم وأساليب التحقق. لا يمكن اعتبار الإعلان عن إجراءات وتوجيهات فحصية كافياً للقيام بالمسؤولية الإشرافية.
يجب ألا تُحمَّل المسؤولية للموظفين التنفيذيين وحدهم. يتعين التحقيق فيما إذا كان الإدارة العليا قد وفرت الموارد البشرية والميزانيات اللازمة، وما إذا أرجأت تنفيذ الإجراءات رغم استلام تقارير عن المخاطر. إذا تأكدت الإهمال الإداري أو محاولات إخفاء الحقائق، يجب مساءلة مدير المؤسسة والمسؤولين بالمستوى اللائق. لا يجب على الإدارة العليا أن تستبدل مسؤوليتها في توفير الاستثمارات والموارد البشرية اللازمة للأمن بفرض واجبات حذر على الضحايا.
أعلن معهد الأمن المالي عن استعداده لتعويض الأضرار الثانوية إن حدثت. يجب إخطار المتضررين بسرعة بقائمة البيانات المسربة والمخاطر المرتبطة بها، مع تقديم قنوات استقبال الشكاوى والمواعيد النهائية للمعالجة. يجب توفير جميع المعلومات اللازمة لحماية الضحايا من الأضرار الثانوية. لا يجب ترك الأفراد يترددون بين الشركات المالية والمؤسسات للتحقق من تفاصيل الحادث بأنفسهم.
يجب على الجهة التي تطالب الشركات المالية بالامتثال لمعايير الأمن أن تمتثل لنفس المعايير. يتعين على السلطات تحديد المسؤولين عن إجراءات التصحيح والمواعيد النهائية لإنجازها، والتحقق من نتائج التنفيذ. ما يحتاجه المواطنون ليس عدد مرات الفحص، بل الثقة والأساس الحقيقي الذي يمكنهم من خلاله الاطمئنان إلى حماية بيانتهم الشخصية.
* تمت ترجمة هذا المقال تلقائيًا بواسطة الذكاء الاصطناعي.