مسارات تسريب البيانات

في أثناء تدقيق أمني لمورّد تقنية معلومات في قطاع الرعاية الصحية، تبيّن للمدققين أن فريق نجاح العملاء لدى المورّد كان يرسل بانتظام مستخرجات بيانات العملاء بالبريد الإلكتروني إلى حساباته الشخصية للعمل على العروض التقديمية والتقارير خارج ساعات الدوام. لم يكن السلوك خبيثًا؛ فقد احتاج الموظفون إلى البيانات لإعداد مواد لاجتماعات العملاء، وكانت حواسيبهم المحمولة المؤسسية بطيئة، وكانت الأجهزة الشخصية أكثر ملاءمة للعمل في عطلات نهاية الأسبوع. لم يكن هناك DLP على نظام البريد الإلكتروني لدى المورّد، ولا سياسة تعالج تحديدًا استخدام الأجهزة الشخصية مع بيانات العملاء. كانت البيانات تغادر البيئة الخاضعة لرقابة المورّد عبر البريد الإلكتروني وتصل إلى أجهزة شخصية وحسابات سحابية شخصية وشبكات منزلية دون أي ضوابط أمنية، ودون فرض للتشفير، ودون مراقبة. أما الضوابط الأمنية لدى المورّد، من تشفير ممتاز لقواعد البيانات وضوابط وصول قائمة على الأدوار ومراقبة أمنية، فكانت كلها تنطبق على الأنظمة التي تقيم فيها البيانات، ولم ينطبق أي منها على مرفق Gmail الذي انتقلت فيه البيانات.

ما مسارات تسريب البيانات حقًا؟

تسريب البيانات هو النقل غير المصرح به للبيانات من بيئة خاضعة للرقابة إلى بيئة غير خاضعة لها، سواء بنية خبيثة أو بإهمال من الموظفين أو باختصارات بدافع الراحة تتجاوز الضوابط الأمنية. ومسارات التسريب هي القنوات التي يمكن أن تغادر البيانات عبرها البيئة الخاضعة للرقابة: البريد الإلكتروني، وأجهزة USB، والرفع إلى التخزين السحابي، والتقاط الشاشة، والطباعة، واستدعاءات API، وأي آلية أخرى تتيح انتقال البيانات من نظام خاضع للحوكمة إلى نظام غير خاضع لها. وفهم المجموعة الكاملة لمسارات التسريب، لا الواضحة منها فقط، شرط مسبق لتطبيق ضوابط تقلل مخاطر التسريب تقليلًا فعليًا بدلًا من إقامة حاجز انتقائي حول القنوات الأكثر ظهورًا.

مشكلة مسارات التسريب هي في جوهرها مشكلة اكتمال. إذ تطبق برامج الأمن عادةً ضوابط على قنوات التسريب الأكثر ظهورًا والأكثر استغلالًا والأيسر وصولًا من الناحية التقنية: DLP للبريد الإلكتروني، وحظر USB، ومراقبة الرفع عبر الويب. وتوفر هذه الضوابط حماية حقيقية من أنماط التسريب التي تغطيها. والخطر أن تُنشئ الضوابط محيطًا ناقصًا، يغطي بعض القنوات ويترك غيرها دون معالجة، وأن يحدث التسريب عبر القنوات غير المعالجة لا عبر القنوات الخاضعة للضوابط. ولا يلزم أن يضاهي تطور التسريب تطور الضوابط؛ بل يكفي أن يجد مسارًا لا تغطيه الضوابط.

العامل البشري في التسريب هو البُعد الأكثر تعرضًا للاستهانة في برامج الأمن التقنية. فالموظف الداخلي الخبيث الذي يتجاوز الضوابط الأمنية عمدًا يمثل تهديدًا حقيقيًا وكبيرًا. لكن غالبية أحداث تسريب البيانات التي تحقق فيها المؤسسات تتعلق بموظفين لم تكن لديهم نية خبيثة، بل كانوا يحلّون مشكلة تتعلق بالراحة، أو يلتزمون بموعد نهائي، أو يعملون بالطريقة التي اعتادوها دائمًا دون إدراك تبعاتها على أمن البيانات. فمدير نجاح العملاء الذي أرسل مستخرج البيانات بالبريد الإلكتروني إلى Gmail لم يكن يخطط لسرقة بيانات العملاء، بل كان يخطط لإنهاء عرض تقديمي. كان التسريب أثرًا جانبيًا لقرار يتعلق بسير العمل، لا هجومًا أمنيًا. وقد تغفل الضوابط المصممة لكشف التسريب الخبيث تمامًا التسريبَ بدافع الراحة الذي يستخدم القنوات نفسها.

تتركز مخاطر تسريب البيانات في بيئات الموردين حول خمس فئات محددة من المسارات:

• البريد الإلكتروني الشخصي والتخزين السحابي الشخصي: موظفون يعيدون توجيه البيانات إلى حسابات بريد إلكتروني شخصية أو يرفعونها إلى تخزين سحابي شخصي (Google Drive وDropbox وiCloud) للعمل من المنزل أو بدافع الراحة
• الوسائط القابلة للإزالة: محركات USB والأقراص الصلبة الخارجية ووسائط التخزين القابلة للإزالة الأخرى المستخدمة لنقل البيانات من الأنظمة المُدارة إلى أجهزة غير مُدارة
• التقاط الشاشة والتصوير: بيانات تُلتقط عبر لقطات الشاشة أو تسجيلات الشاشة أو تصوير محتوى الشاشة بالهاتف، وهي قناة لا يستطيع DLP التقني اعتراضها
• الطباعة والوسائط المادية: بيانات حساسة تُطبع لاستخدامها خارجيًا، ومستندات ورقية تُخرج من البيئة الخاضعة للرقابة
• وصول غير مصرح به عبر API والتكاملات: بيانات تُستخرج عبر استدعاءات API أو اتصالات تكامل مصرح بها للتكامل لكنها تُستخدم لتصدير البيانات خارج النطاق المقصود

لماذا يهم هذا

تكتسب حوكمة مسارات تسريب البيانات أهميتها بالنسبة إلى TPRM لأن مخاطر التسريب التي يمثلها المورّد لا تتحدد بقوة الضوابط التي طبقها على القنوات التي عالجها، بل باكتمال الضوابط عبر جميع القنوات التي يمكن أن تنتقل عبرها البيانات. فالمورّد الذي يملك DLP بمستوى المؤسسات على البريد الإلكتروني المؤسسي دون أي DLP على إعادة التوجيه إلى البريد الإلكتروني الشخصي قد طبّق ضابطًا يستطيع المهاجمون المتمرسون والموظفون الباحثون عن الراحة على حد سواء تجاوزه بالإجراء البسيط نفسه: إعادة التوجيه إلى Gmail.

البُعد الأكثر أثرًا من منظور TPRM هو سيناريو التسريب عبر المسار المصرح به، حيث تغادر البيانات عبر قناة موجودة لغرض مشروع لكن نطاقها اتسع إلى ما يتجاوز استخدامها المقصود. فتكامل API مصمم لتمكين حالة استخدام خاصة بإعداد التقارير ثم يُستخدم لاستخراج سجلات العملاء بالجملة هو تسريب عبر مسار مصرح به. ومدير نجاح العملاء الذي يملك وصولًا مشروعًا إلى بيانات العملاء ويصدّرها لمهمة التحضير لاجتماع هو تسريب عبر مسار مصرح به. وتتطلب هذه السيناريوهات ضوابط لا تقتصر على ما إذا كانت القناة مستخدمة، بل تتناول ما إذا كان نطاق الاستخدام على تلك القناة متسقًا مع الغرض المقصود منها.

بالنسبة إلى ممارسي TPRM، يتطلب تقييم مسارات التسريب تجاوز تأكيد DLP إلى السؤال عن القنوات المحددة التي يمكن أن تنتقل عبرها البيانات وعمّا إذا كانت هناك ضوابط لكل منها. ويُعد سيناريو مرفق Gmail من أكثر أنماط تسريب البيانات شيوعًا في بيئات المؤسسات. وتأكيد أن DLP المؤسسي يغطي البريد الإلكتروني المؤسسي مع ترك إعادة التوجيه إلى البريد الإلكتروني الشخصي دون معالجة هو تأكيد لضابط يتجاوزه نمط التسريب الأكثر شيوعًا.

أين تخطئ معظم الفرق

الإخفاق الأكثر تكرارًا هو تقييم تغطية DLP على القنوات الرئيسية ثم استنتاج أن مخاطر التسريب تحت السيطرة. فـ DLP على البريد الإلكتروني المؤسسي، وحظر USB على نقاط النهاية، ومراقبة الرفع عبر الويب، هي تطبيقات DLP المعتادة التي تؤكدها معظم تقييمات الموردين. وهي تعالج القنوات الواقعة ضمن نطاق أداة DLP. أما إعادة التوجيه إلى البريد الإلكتروني الشخصي، والتخزين السحابي الشخصي، والتقاط الشاشة، والطباعة، فهي قنوات كثيرًا ما لا تغطيها تطبيقات DLP المعتادة، وهي المسارات التي يحدث عبرها أكثر أنواع التسريب شيوعًا، أي التسريب بدافع الراحة.

الإخفاق الثاني هو عدم السؤال عن سياسات استخدام الموظفين للأجهزة الشخصية والحسابات الشخصية. فالمورّد الذي لا يملك سياسة تعالج تحديدًا ما إذا كان يجوز للموظفين استخدام حسابات شخصية لأغراض العمل لم يُغلق مسار التسريب عبر القنوات الشخصية على مستوى السياسات، بصرف النظر عن الضوابط التقنية الموجودة على الأنظمة المؤسسية. وغياب حظر واضح للعمل على بيانات العملاء من الأجهزة الشخصية يمثل في حد ذاته ثغرة في حوكمة مسارات التسريب.

• تأكيد DLP على البريد الإلكتروني المؤسسي دون تقييم إعادة التوجيه إلى البريد الإلكتروني الشخصي، وهو أكثر مسارات التسريب بدافع الراحة شيوعًا
• عدم تقييم سياسات استخدام الأجهزة الشخصية: هل يُسمح للموظفين باستخدام أجهزة أو حسابات شخصية في عمل يتضمن بيانات العملاء
• عدم معالجة التقاط الشاشة والطباعة: مسارات تسريب مادية لا يستطيع DLP التقني اعتراضها
• عدم تقييم نطاق المسار المصرح به: هل يُراقب الوصول عبر API والتكاملات للتحقق من اتساق النطاق مع الاستخدام المقصود
• عدم التمييز بين كشف التسريب ومنعه: كشف التسريب بعد وقوعه مقابل منع استخدام القنوات

كيف تبدو الممارسة الجيدة

تحصر برامج ضبط التسريب الناضجة جميع القنوات التي يمكن أن تغادر البيانات عبرها البيئة الخاضعة للرقابة، وتطبق ضوابط أو تدابير تعويضية لكل منها. ويكون نطاق تغطية DLP شاملًا لا انتقائيًا. وتكون سياسات استخدام الأجهزة الشخصية والحسابات الشخصية صريحة ومطبقة. كما يكمّل كشفُ التسريب المنعَ، من خلال رصد حالات الشذوذ في النطاق ضمن القنوات المصرح بها التي لا تستطيع ضوابط المنع معالجتها.

• تغطية شاملة لـ DLP: تطبيق متسق على البريد الإلكتروني المؤسسي، وإعادة التوجيه إلى البريد الإلكتروني الشخصي، والرفع إلى التخزين السحابي، وUSB، وDLP للرفع عبر الويب
• سياسة الأجهزة والحسابات الشخصية: حظر صريح لاستخدام البريد الإلكتروني الشخصي أو التخزين السحابي الشخصي أو الأجهزة الشخصية في عمل يتضمن بيانات العملاء
• DLP على نقاط النهاية بما في ذلك الوسائط القابلة للإزالة: حظر USB ومراقبة الحافظة على نقاط النهاية المُدارة
• مراقبة نطاق API والتكاملات: كشف الشذوذ في أحجام استدعاءات API التي تشير إلى استخراج بيانات يتجاوز نطاق التكامل المقصود
• حوكمة الطباعة ولقطات الشاشة: سياسات، وضوابط حيثما كان ذلك ممكنًا تقنيًا، تعالج قنوات التسريب المادية

الأدوات

تتطلب الضوابط الشاملة للتسريب أدوات متعددة الطبقات تغطي قنوات الشبكة ونقاط النهاية والسحابة.

DLP على نقاط النهاية: Microsoft Purview Endpoint DLP وCrowdStrike وForcepoint

تراقب أدوات DLP على نقاط النهاية تدفقات البيانات وتتحكم فيها على مستوى نقطة النهاية، فترصد وتحظر نسخ البيانات الحساسة إلى أجهزة USB أو رفعها إلى التخزين السحابي أو إعادة توجيهها إلى البريد الإلكتروني الشخصي أو التقاطها في لقطات الشاشة. ويغطي Microsoft Purview Endpoint DLP تحديدًا نقاط النهاية العاملة بنظام Windows ويتكامل مع إطار تصنيف البيانات الأوسع في Purview. وبالنسبة إلى ممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم DLP على نقاط النهاية يغطي إعادة التوجيه إلى البريد الإلكتروني الشخصي والرفع إلى التخزين السحابي يمثل سؤال القدرة المحدد الذي يكشف ثغرة مرفق Gmail.

أمن البريد الإلكتروني مع DLP: Proofpoint وMimecast وMicrosoft Defender for Office 365

تفحص منصات أمن البريد الإلكتروني ذات قدرات DLP رسائل البريد الصادرة بحثًا عن البيانات الحساسة، فتطبق سياسات قائمة على التصنيف لرصد الرسائل التي تحتوي على معلومات شخصية أو بيانات مالية أو بيانات اعتماد وحظرها. والأهم أن هذه الضوابط تنطبق على الإرسال عبر البريد الإلكتروني المؤسسي، لكنها لا تستطيع منع الموظفين من الوصول إلى خدمات البريد عبر الويب (Gmail وOutlook.com) من متصفح على جهاز مؤسسي. ولمعالجة مسار التسريب عبر البريد الشخصي على الويب، يلزم DLP على نقاط النهاية يحظر الرفع إلى البريد عبر المتصفح.

تحليلات سلوك المستخدمين والكيانات: Exabeam وVaronis وMicrosoft Sentinel

ترصد منصات UEBA أنماط سلوك المستخدمين غير الاعتيادية التي تشير إلى تسريب محتمل، مثل أحجام الوصول إلى البيانات غير المعتادة، والنشاط خارج ساعات العمل، وتنزيل ملفات كبيرة يليه رفع إلى جهات خارجية، وغيرها من المؤشرات السلوكية التي توحي بتجهيز البيانات للتسريب. وبالنسبة إلى ممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم UEBA لرصد أنماط التسريب السلوكية يمثل سؤالًا عن قدرة الكشف يكمّل أسئلة المنع المتعلقة بـ DLP.

تحديات الحوكمة

يتمثل تحدي الحوكمة في تغطية مسارات التسريب في مشكلة الاكتمال. فكل نوع جديد من الأجهزة، وكل قناة اتصال جديدة، وكل أداة تعاون جديدة، تضيف مسار تسريب محتملًا. وقد تنشأ في برامج DLP التي كانت شاملة عند تصميمها ثغرات في التغطية مع تطور مشهد القنوات؛ فبرنامج DLP صُمّم قبل أن يصبح Slack قناة اتصال رئيسية في بيئة العمل قد لا يتضمن أي DLP لـ Slack. ويتطلب جرد مسارات التسريب مراجعة دورية مع تطور بيئة البيانات.

بالنسبة إلى برامج TPRM، لا يقتصر سؤال الحوكمة العملي على ما إذا كان DLP موجودًا، بل يشمل ما إذا كانت خريطة تغطية DLP قد قورنت بالقنوات الفعلية التي تنتقل عبرها البيانات في بيئة المورّد. فالمورّد الذي يستطيع وصف نطاق DLP لديه وتأكيد أنه يغطي إعادة التوجيه إلى البريد الإلكتروني الشخصي والتخزين السحابي الشخصي والوسائط القابلة للإزالة قد فكّر في اكتمال مسارات التسريب. أما المورّد الذي يصف تأكيد DLP لديه حماية البريد الإلكتروني المؤسسي دون معالجة القنوات الشخصية فقد أكّد محيطًا جزئيًا.

• اسأل عن تغطية DLP للبريد الإلكتروني الشخصي والتخزين السحابي: هل تُعالج إعادة التوجيه عبر القنوات الشخصية
• اسأل عن سياسات استخدام الأجهزة الشخصية: حظر صريح لاستخدام الأجهزة الشخصية في العمل على بيانات العملاء
• اسأل عن أحدث حادثة تسريب: ما القناة المستخدمة وما الضابط الذي كشفها أو أخفق في كشفها
• أدرج تحديد مسارات التسريب في التقييم: مقارنة جرد القنوات بتغطية DLP
• اسأل عن مراقبة نطاق API: كشف الشذوذ في التكاملات المصرح بها لرصد استخراج البيانات بما يتجاوز النطاق

إذا كنت فريقًا صغيرًا

اطرح على أعلى مورّديك خطورة سؤالين يتجاوزان تأكيد DLP إلى التغطية الفعلية للقنوات. الأول: هل يغطي DLP لديكم قيام الموظفين بإعادة توجيه البيانات إلى Gmail الشخصي أو حسابات بريد إلكتروني شخصية أخرى من الأجهزة المؤسسية؟ وتحديدًا، هل يطلق إرسال موظف مستخرجًا من بيانات العملاء إلى حسابه الشخصي تنبيهًا في DLP أو يُحظر؟ الثاني: ما سياستكم بشأن استخدام الموظفين للأجهزة الشخصية أو الحسابات السحابية الشخصية للعمل على بيانات العملاء خارج المكتب؟ يختبر السؤال الأول التغطية التقنية، ويختبر الثاني تغطية السياسات. ومعًا يكشفان ثغرة القنوات الشخصية التي تمثل أكثر مسارات التسريب بدافع الراحة شيوعًا.

• اسأل عمّا إذا كانت إعادة التوجيه إلى البريد الإلكتروني الشخصي تطلق تنبيهات DLP أو تُحظر
• اسأل عن السياسة المتعلقة باستخدام الأجهزة الشخصية والحسابات الشخصية في التعامل مع بيانات العملاء
• اسأل عن أحدث حادثة تسريب بيانات والقناة التي استُخدمت فيها
• اسأل عمّا إذا كانت منافذ USB والوسائط القابلة للإزالة محظورة على نقاط النهاية المُدارة

ما الذي ينبغي اشتراطه

اسأل مباشرةً:

«إذا أرسل موظف مستخرجًا من بيانات العملاء بالبريد الإلكتروني إلى حسابه الشخصي على Gmail من حاسوبه المحمول المؤسسي، فهل ستكشف ضوابط DLP لديكم هذا الإجراء أو تحظره، وما الذي يغطي تحديدًا إعادة التوجيه إلى البريد الإلكتروني الشخصي على نقاط النهاية المُدارة؟»

«ما سياستكم بشأن استخدام الموظفين للأجهزة الشخصية أو حسابات البريد الإلكتروني الشخصية أو التخزين السحابي الشخصي في عمل يتضمن بيانات العملاء، وهل تُفرض هذه السياسة تقنيًا بدلًا من الاعتماد على امتثال الموظفين وحده؟»

«هل وقعت لديكم أي حادثة تسريب بيانات خلال العامين الماضيين، بما في ذلك التسريب بدافع الراحة من موظفين لم يتصرفوا بنية خبيثة، وما القناة المعنية وما الضابط الذي أخفق أو نجح؟»

ما تتوقعه دليلًا

• تأكيد تغطية DLP لإعادة التوجيه إلى البريد الإلكتروني الشخصي: ضابط تقني أو إقرار صريح بالثغرة
• توثيق سياسة الأجهزة والحسابات الشخصية: حظر صريح وآلية إنفاذ
• سجل حوادث التسريب: الحوادث الأخيرة، والقناة المعنية، ونتيجة الضابط
• تأكيد ضوابط USB والوسائط القابلة للإزالة على نقاط النهاية المُدارة

ينبغي سؤال المورّد الذي يجيب عن سؤال إعادة التوجيه إلى Gmail بعبارة «DLP لدينا يغطي البريد الإلكتروني» عمّا إذا كانت هذه التغطية تنطبق عندما يفتح الموظف Gmail في متصفح على حاسوبه المحمول المؤسسي ويرفق ملفًا. فـ DLP للبريد الإلكتروني المؤسسي وDLP للبريد الشخصي عبر الويب يتطلبان تطبيقين مختلفين للضوابط. وتأكيد الأول لا يؤكد الثاني.

كيف تُثبت ذلك

يُعالج منع تسريب البيانات في المتطلب 12 من PCI-DSS (سياسات أمن المعلومات)، وفي ضمانات تدريب القوى العاملة وإدارة الوصول في HIPAA، وفي NIST SP 800-53 SI-12 (إدارة المعلومات والاحتفاظ بها). ويتطلب إثبات العناية الواجبة أدلة على أن تغطية مسارات التسريب قد قُيّمت عبر مشهد القنوات بأكمله، لا في أنظمة DLP الرئيسية فحسب.

• سجلات تقييم الموردين التي توثق أسئلة تغطية DLP للقنوات الشخصية وسياسة الأجهزة الشخصية
• توثيق نطاق تغطية DLP: القنوات المشمولة مقابل القنوات غير المشمولة
• أدلة سياسة الأجهزة والحسابات الشخصية
• سجلات حوادث التسريب ونتائج الضوابط

الخلاصة الرئيسية

تسريب البيانات في الغالب ليس هجومًا متطورًا. إنه في الغالب موظف احتاج إلى إنهاء أمر ما، فسلك أسهل طريق متاح، وأرسل جدول بيانات إلى Gmail. الهجوم المتطور يتطلب التغلب على الضوابط المتطورة، أما التسريب بدافع الراحة فلا يتطلب إلا وجود مسار الراحة وعدم تغطية الضوابط له. فـ DLP على البريد الإلكتروني المؤسسي لا يغطي Gmail في المتصفح، وحظر USB على نقاط النهاية لا يغطي الرفع إلى Dropbox. جرد مسارات التسريب هو خريطة كل الطرق التي يمكن أن تغادر بها البيانات، وخريطة تغطية DLP هي خريطة المسارات التي تعالجها الضوابط. والفجوة بين الخريطتين هي مخاطر التسريب. اسأل عن القنوات المشمولة، واسأل عن القنوات غير المشمولة. فجدول البيانات الذي أُرسل إلى Gmail سلك مسارًا لم يرسمه أحد.