ماذا يمكن أن تعلمك إدارة شرطة نيويورك حول الأمن؟

بينما كنت أنقّل ناظري بين عناوين الجلسات في مؤتمر RSA 2020، استرعى انتباهي حديث بعنوان التصدي للجرائم السيبرانية على نطاق واسع: التحرك قدمًا في إنفاذ القانون. وبصفتي شخصًا مهووسًا بـ القانون والنظام وضليعًا أيضًا في الأمن السيبراني، ظننت أن الجلسة لن تكون سوى نسخة حقيقية لأحد البرامج التلفزيونية الرديئة التي تُعنى بمواضيع القرصنة، مع وجود فرق وحيد، وهو أن مكان هذا الحديث هو إدارة شرطة نيويورك.

كان لدى المتحدث، نيك سيلبي، قصة لافتة ليرويها على مسامع الحضور. فكما ترى، تعاني مدينة نيويورك من مشكلة الجريمة الإلكترونية على نطاق واسع، فهناك آلاف الملايين من الحالات المتصلة بهذه الجرائم. ويبدو أن الجميع، سواء المتقدمين في السن أو الصغار الذين اعتادوا على استعمال الأجهزة في سن مبكرة، لم يسلموا من شرور المجرمين السيبرانيين، بدءًا من المحتالين عبر الهاتف إلى مروجي برامج طلب الفدية. ولعلّ كثيرين تلقوا رسالة من ذلك العم النيجيري الذي يستجدي إرسال حوالة مالية إليه، وهذا غيض من فيض.

في معظم الأحيان، يتصل الضحايا بإدارة شرطة نيويورك لطلب النجدة في هذه الحالات. ولكن، بمجرد أن يسمع ضابط الشرطة الذي يرد على المكالمة كلمات تقنية مثل بيتكوين، كان الرد الأول الذي يدلي به شيئًا من قبيل “هذا ليس اختصاصنا” لأن القضية قضية سيبرانية . ولا غرابة في ذلك، ففي الخريطة الذهنية لضباط الشرطة والمحققين، القضايا السيبرانية شأن تتعامل معه جهات أخرى. فقد اعتادوا أن يشيروا للضحايا بضرورة الاتصال بمكتب التحقيقات الفدرالي، وهذا كل شيء.

ولكن، بالنسبة لمدينة بحجم نيويورك، كانت تلك مشكلة حقيقية. كان سيلبي يعرف جيدًا ذلك، وكذلك رئيسه في إدارة شرطة نيويورك، والذي أوكل إليه مهمّة المساعدة في تغيير الثقافة السائدة في الإدارة وتدريب الضباط على إيلاء عناية للأمن السيبراني.

لقد أذهلني هذا العرض حيث ناقش جميع التدابير التي اتخذها الفريق فيما يتعلق بإيقاف الجرائم السيبرانية ومساعدة الناس في استعادة أموالهم التي اكتسبوها بشق الأنفس. القصة ليست قصتي حتى أعيد سردها هنا، ولكني أوصي بشدة بمتابعة الحديث كاملاً على الرابط التالي:

ولكن، وردت في العرض التقديمي عبارة لا يسعني إلا التطرق إليها، وهي: كان على سيلبي المساعدة في تغيير هذه الثقافة وتدريب الضباط على إيلاء عناية للأمن السيبراني.

لعلّ كل من سبق له الإشراف على تدريبات أمنية قد تلقى أسئلة أو تعليقات ساخرة مثل:

أعمل في قسم المالية، فلمَ على الاهتمام بذلك؟
أعمل في مكتب الاستقبال، فلمَ يجدر بي أن أكترث حيال هذا؟
أعمل في مكتب الخدمات يا صاح، ولدي فكرة وافية عن الأمن!

أما عبارة التذمر التي تستهويني أكثر من غيرها في مكتب فهي:

أفٍ، تدريب أمني مجددًا؟

والآن، كلنا مررنا بمواقف من هذا القبيل، فجميعنا اضطرّ لفعل شيء كان يراه غير ضروري لعمله. ولكن المشكلة أن الأمن السيبراني يمسّ كل جانب من جوانب عملنا. وأنا جاد في هذا تمامًا. وإليك بعض الأمثلة التي يمكن أن نصادفها في أي مكان عمل:

• قسم المالية — يدير العاملون هنا الشؤون المالية. كم عدد عمليات الاحتيال التي ناقشناها والتي تنطوي على إرسال أموال إلى حسابات خاطئة؟

• الاستقبال — الوجه الأول الذي نصادفه هو وجه الشخص الذي يسمح للجميع بالدخول إلى المبنى. كما أن موظفي الاستقبال يعطون عادةً بيانات الدخول إلى شبكة واي فاي للضيوف. أليس حريًا بنا أن نفكر في الدور الكبير الذي يؤديه مكتب الاستقبال في حماية الشركات من أولئك المحتالين الذين يربطون أجهزتهم الضارة بشبكات الشركات؟

• مكتب الخدمات — يصلح العاملون في مكتب الخدمات أجهزةَ الحاسوب ويديرون الأجهزة. من يمكنه إعطاؤك قرص USB لتنقل ملف باور بوينت بين حاسوبين؟ بدون قسم تكنولوجيا المعلومات، ربما نجد الموظفين يبحثون عن محركات أقراص متروكة في أرجاء المكتب.

هل فهمت مقصدي؟ من الناحية التقنية، يُعدّ جميع الموظفين ثغرات محتملة يمكن أن يستغلها المخترقون لبث برامجهم الخبيثة، ولكنهم لا يفكرون عادةً على النحو الذي ذكرناه آنفًا.

ماذا يمكن أن نتعلم من إدارة شرطة نيويورك؟

على عكس مدربي الأمن السيبراني للشركات، كانت شرطة نيويورك تدرب ضباط الشرطة، ولكن المهام والتحديات في كلتا الحالتين متشابهة للغاية، وكذلك المبادئ التوجيهية التي تتلخص بالتالي:

الحفاظ على البساطة. لعلّ العامل الأكبر الذي ساعد في نجاح فريق إدارة شرطة نيويورك هو الحفاظ على التدريب واضحًا ومباشرًا. وأعتقد أنهم أبقوا عدد الشرائح في جلساتهم التدريبية أقل من 20. عند تخطيط مواد تدريب موظفيك، تأكد من أن احتوائها على أهدافٍ واضحة لتبيّن للمتدربين السبب في ضرورة الاهتمام بهذا الشأن وكيفية تحقيق النجاح.

تمكين الموظفين. من الطرق الجذابة الأخرى التي لجأ إليها سيلبي وفريقه توفير تطبيق يساعد أفراد الشرطة في ترميز الهجمات السيبرانية لا أقصد بذلك أن عليك إنشاء تطبيق خاص بشركتك. بل عليك بدلاً من ذلك العثور على طرق لتمكين الموظفين من تطبيق التدريب الذي تقدّمه عمليًا. فإذا رؤوا شيئًا مثيرًا للشبهات، فكيف يمكنهم الإبلاغ عنه. وإذا تلقوا رسالة إلكترونية تنطوي على الخداع، فكيف يمكنهم حظرها عن الشركة بأكملها، أو إلى من يجب أن يرسلوها؟

عرض النتائج. تقيس إدارة شرطة نيويورك كل ما يمكنها قياسه، وباستخدام هذا البرنامج، بدأت الإدارة في قياس “الفضاء السيبراني” أيضًا، حتى يتمكن رجال الشرطة من إدراك أن عملهم كان يساعد في الواقع على إجراء التحقيقات في المزيد من الجرائم في مناطقهم. وكان بإمكانهم أيضًا الاطلاع على حجم المشكلة وكيف ساعدت أدوارهم في مكافحة الجرائم السيبرانية. قد لا يكون موظفوك يحاربون الجرائم، ولكن يمكنك أن تبين لهم كيف أن وعيهم بذلك يساعدهم كثيرًا. فعلى سبيل المثال، من المفيد أن تروي على مسامع عامليك بعض الإحصاءات المفيدة خلال جلسات الحديث عن آخر المستجدات، ومن أمثلة ذلك: تم إحباط تسع هجمات فدية أو تفادي 200 رسالة تصيّد إلكترونية.

لا يحتاج التدريب إلى أن يكون عالي التقنية أو باهظ التكاليف. بل يمكن أن تؤدي مشاركة خبرتك الداخلية إلى تغيّرات كبرى في مؤسستك.

وحتى إذا لم تكن صياغة خطة تدريب على الأمن السيبراني في قائمة أنشطتك لهذا العام، فلدينا ما يفي بالغرض. تقدم Kaspersky سلسلة دورة مجانية في التعليم الأمني التي يمكنك مشاركتها مع موظفيك لمساعدتك في البدء.