التهديدات الداخلية: حين يأتي الخطر من حساب موثوق

الأنواع

• الإهمال — نسخ بيانات إلى أدوات شخصية، وإرسال ملف للجهة الخطأ.
• الالتفاف — تجاوز إجراء لأنه بطيء، بنية حسنة وأثر سيئ.
• المغادر الساخط — أخذ بيانات عملاء أو حذف عند المغادرة.
• الحساب المخترق — يبدو داخليا وهو خارجي فعلا.
• الاحتيال — استغلال صلاحية للمنفعة الشخصية.

فصل المهام

لا يجوز أن يتحكم شخص واحد في دورة كاملة: من ينشئ المورد لا يعتمد الدفع له، ومن يطلب الشراء لا يستلم البضاعة، ومن يكتب الكود لا ينشره في الإنتاج وحده. وهذا ليس شكا في الأفراد بل ضابط تصميمي يحمي الجميع بما فيهم الموظف نفسه.

تراكم الصلاحيات

الموظف الذي عمل في ثلاثة أقسام يحتفظ غالبا بصلاحيات الثلاثة. وهذا التراكم أشيع مما يظن، وينتج أشخاصا يملكون وصولا واسعا بلا سبب حالي. وراجع الصلاحيات دوريا واطلب من كل مدير اعتماد ما يحتاجه فريقه فعلا — واحذف الباقي.

المغادرة

1. قائمة إلغاء وصول مكتملة تنفذ في يوم المغادرة لا بعد أسابيع.
2. تشمل: الحسابات، والبريد، والوصول عن بعد، والخدمات السحابية، والأنظمة الخارجية.
3. استرجاع الأجهزة وإبطال الشهادات والمفاتيح المرتبطة به.
4. مراجعة نشاطه في الأيام السابقة للمغادرة خصوصا في الحالات الحساسة.
5. نقل ملكية البيانات والحسابات المشتركة قبل الإلغاء لا بعده.

المراقبة بلا ثقافة شك

المراقبة الشاملة للموظفين تفسد الثقة وتضر أكثر مما تحمي. والأنسب مراقبة سلوكية مركزة على الأنظمة الحساسة: تنزيل غير معتاد الحجم، ووصول خارج ساعات العمل، ومحاولات وصول مرفوضة متكررة. وأعلن سياسة المراقبة صراحة — الشفافية أقوى رادعا من التخفي.

أسئلة شائعة

هل نمنع أدوات التخزين الشخصية؟

المنع بلا بديل يدفع للالتفاف. وفر بديلا مؤسسيا سهلا للمشاركة الخارجية، ثم امنع البدائل. فأغلب الاستعمال غير المصرح به حل لمشكلة حقيقية في الأدوات المتاحة.

كيف نكتشف الاحتيال الداخلي؟

بفصل المهام أولا، ثم بمراجعات تحليلية على المعاملات: موردون جدد بمبالغ كبيرة، وتعديلات على بيانات بنكية، وأنماط غير معتادة في التوقيت. والأنظمة التي تسجل كل تغيير تجعل هذا ممكنا.

ماذا عن المتعاقدين والموردين؟

يعاملون بالحذر نفسه أو أشد: صلاحية محدودة بالمهمة ومحددة المدة تنتهي تلقائيا، وحسابات فردية لا مشتركة، ومراجعة عند انتهاء العقد. وكثير من الاختراقات دخلت عبر حساب متعاقد نسي إلغاؤه.