إن التحديات التي تواجه أمن لأجهزة المحمولة في المؤسسة تستحق المزيد من الاهتمام. في حين أن العديد من المخاوف الأمنية الأساسية لأنظمة تكنولوجيا المعلومات في المؤسسة تشترك فيها الأجهزة المحمولة والحواسب، إلا أن هناك تحديات فريدة تميز تلك الأجهزة. على سبيل المثال، تخرج الأجهزة المحمولة من الحدود المادية والمنطقية المتحكم بها من المؤسسة. كما أن الحجم الصغير نسبياً للجهاز المحمول يجعل الفقدان أو السرقة مصدر قلق حقيقي، خاصة عندما تخزن هذه الأجهزة معلومات مؤسسية خاصة وحساسة. لا تعد الهواتف المحمولة النوع الوحيد من الأجهزة التي تغادر حدود شبكة المؤسسة التقليدية (على سبيل المثال، أجهزة اللابتوب). كذلك، غالباً ما يتصل المستخدمون عبر هواتفهم والأجهزة اللوحية بشبكات غير آمنة لأداء مهام العمل.كما يمتلك المستخدمون القدرة على تثبيت تطبيقات الهاتف المحمول مما يعرض أمن الأجهزة المحمولة للخطر.
مخاطر الأجهزة المحمولة
تضاعفت وتيرة الهجمات الإلكترونية على العمل عن بُعد تقريبًا منذ بداية الوباء. أُلقي بالموظفين في عالم العمل عن بُعد على الفور، مستخدمين مجموعة متنوعة من البرامج والتطبيقات المستندة إلى السحابة. ومع الحاجة إلى التكيف بسرعة كبيرة، تُركت العديد من الشركات غير مستعدة من حيث حماية الأمن السيبراني. قد لا تدرك الشركات أنه في كثير من الحالات تكون أضعف حلقاتها هي أمان الهاتف المحمول. للحصول على إمكانية الوصول إلى شبكة الشركة بأكملها، يحتاج مجرم الانترنت لاختراق جهاز محمول واحد فقط (هاتف، جهاز لوحي).
يمكن أن تكون العواقب وخيمة مع تأثير مالي وتعطل في الأعمال وتعريض أصول البيانات الحيوية للخطر، وإلحاق الضرر بالعلاقات مع العملاء. يقضي مستخدمو الأجهزة المحمولة، في المتوسط، حوالي 80٪ من وقتهم خارج شبكة الأعمال المحمية، ويصلون إلى الانترنت من أماكن أخرى غير المكتب أو مواقع الشركة. مع هذا التنقل المتزايد، تُترك العديد من الأجهزة عرضة لتقنيات القرصنة وخاصة عندما تفشل أقسام تكنولوجيا المعلومات في المؤسسة في نشر إصلاحات وترقيات أمان الأجهزة المحمولة.
طرق اختراق الهواتف المحمولة
إن حوالي نصف جميع الهجمات الإلكترونية على المؤسسات تهدف إلى جمع معلومات الشركة والبيانات الخاصة من العملاء، مثل بيانات الهاتف المحمول الشخصية وأرقام بطاقات الائتمان. قد يتمكن المتسلل ببساطة من أخذ جهاز محمول يستخدمه أحد الموظفين للبريد الإلكتروني أوالوصول إلى بيانات الشركة. يعرف المتسللون بالضبط أين يبحثون عن البيانات وينزلونها على الأجهزة المحمولة لأن جميع رسائل البريد الإلكتروني والمرفقات مخزنة في مجلد واحد. كما يمكن استخدام هاتفك المحمول للتجسس عليك إذا استطاعوا خداعك لتنزيل برنامج تجسس على هاتفك قد يسمح لهم بمعرفة الكثير عنك. ومع تزايد عدد العاملين الذين يعملون من المنزل، هناك كمية أكبر من الاتصالات المتعلقة بالأعمال التي يتم تبادلها مما يزيد الخطر في حال لم تتم حمايتها.
إضافة لما سبق، يمكن للمخترق الاستفادة من وصول الجهاز المحمول إلى شبكة Wi-Fi الخاصة بالشركة عندما يعود المستخدم إلى المكتب ويعيد الاتصال. يمكن للمخترق استغلال شبكة الضيوف في بهو الشركة المستهدفة. قد يلاحظون ما إذا كان هناك عدد أكبر من الأشخاص المتصلين أكثر من عدد الأشخاص المنتظرين بالفعل في الردهة بمجرد تسجيل الدخول إلى الشبكة. وهذا مؤشر على أن الموظفين يصلون إلى شبكة الضيوف للوصول إلى التطبيقات والمواقع التي تحظرها شبكة الشركة. يمكن للمخترق بعد ذلك خداع المستخدم ببساطة لتنزيل ما يبدو أنه لعبة، والسيطرة على جهازه، ومنح نفسه قدرات المشرف ، مما يسمح له بالوصول إلى الشبكة بأكملها لأغراض خبيثة.
هجمات البرامج الضارة
يمكن أن تمنح برامج الفدية والفيروسات المخترق دخلاً مالياً كبيراً. كانت هذه هي الحال مع هجوم WannaCry ransomware في عام 2017، والذي أخطر الضحايا بأن أجهزتهم قد تم تشفيرها وطالبهم بالدفع بعملة البيتكوين لاستعادتها. استهدف قراصنة WannaCry أجهزة Android على وجه التحديد واخترقوا شبكة Wi-Fi ومسحوا
جميع الهواتف الذكية التي تعمل بنظام Android لمعرفة أيها معرضة لبرامج الفدية الخاصة بهم. كان يكفي المتسللون اختراق هاتف واحد عبر إصابته بالــ WannaCry ثم يستخدموه لإغلاق شركات ودفع فدية بمجرد عودة المستخدم إلى المكتب الرئيس للشركة واتصاله بشبكة الشركة.
ومثال آخر على ذلك هو استخدام برنامج ضار يسمى “Pegasus” لاستهداف مستخدمي WhatsApp من خلال خلل
في التطبيق. وفقاً لوصف المنتج المقدم كملحق في دعوى WhatsApp لعام 2019، تم تصميم برنامج Pegasus
“لجمع المعلومات سراً حول علاقات هدفك وموقعه ومحادثاته الهاتفية وخططه وأنشطته – متى وأينما كان. وفقاً لهذا الوصف، تتبع البرنامج أيضاً مكان المستخدم عبر نظام تحديد المواقع العالمي (GPS)، ومراقبة الاتصالات الصوتية واتصالات VoIP، وجمع بيانات أخرى – دون ترك أي أثر على الجهاز.
تخفيف المخاطر على الأجهزة المحمولة
من المهم تطبيق الثقة الصفرية ويتطلب ذلك استراتيجية استباقية لإدارة التهديدات، بالإضافة إلى كيفية مراقبة الأشخاص والأنظمة والخدمات التي تتصل بشبكتك. وهناك عدد من الطرق التي يمكن لمؤسستك من خلالها حماية نفسها من خلال استراتيجيات بسيطة. يمكن للمؤسسات تنفيذ إدارة نقطة نهاية موحدة (UEM) والتي تسمح لتكنولوجيا المعلومات بإدارة وتأمين ونشر موارد وتطبيقات الشركة على أي جهاز من وحدة تحكم واحدة.
وهناك طريقة أخرى تتمثل في توفير تدريب منتظم على أفضل ممارسات التوعية بالأمن السيبراني. يجب أن يساعد برنامج التوعية الموظفين في اكتساب المهارات والمعرفة اللازمة للعمل، فضلاً عن التعرف على الوقت المناسب للتعبير عن أي مشكلات. لا أحد محصن ضد ارتكاب الأخطاء أو الوقوع ضحية لعملية احتيال. ونظراً لأن كبار الموظفين هم أهداف ذات قيمة أعلى، فإن المحتالين يسعون خلفهم عبر اختراق البريد الخاص بالأعمال BEC حيث تعتبر المعلومات التي يشاركونها هي الأكثر قيمة.
كما تعمل أنظمة إدارة الأجهزة المحمولة (MDM) على الاستفادة من التقنيات المضمنة في الأجهزة المحمولة وفرض مستوى التحكم الذين يريدون أن يتمتعوا به للمستخدمين على هذه الأجهزة. وكذلك، فإن تطبيق سياسة BYOD بطريقة محكمة يساعد في حماية أصول المؤسسة.
بعض ضوابط CIS للأجهزة المحمولة
- جرد ومراقبة الأجهزة : معرفة الأجهزة المحمولة والمتنقلة المتصلة بالشبكة، سواء بشكل فعلي أو افتراضي أو عن بُعد لمعرفة إجمالي الأصول التي تحتاج إلى المراقبة والحماية داخل المؤسسة بدقة وكذلك تحديد الأصول غير المصرح بها لإزالتها أو إصلاحها.
- جرد ومراقبة البرمجيات: إدارة كافة البرامج (أنظمة التشغيل والتطبيقات) على الشبكة بشكل نشط بحيث يتم تثبيت البرامج المصرح بها فقط ويمكن تنفيذها، والعثور على البرامج غير المصرح بها ومنعها من التثبيت أو التنفيذ.
- حماية البيانات: تطوير العمليات والضوابط الفنية لتحديد البيانات وتصنيفها والتعامل معها بشكل آمن والاحتفاظ بها والتخلص منها.
- إدارة الثغرات الأمنية : تطوير خطة لتقييم وتتبع نقاط الضعف بشكل مستمر داخل البنية الأساسية للمؤسسة، وذلك من أجل معالجة وتقليل فرصة المهاجمين.
- الدفاع ضد البرمجيات الخبيثة: منع أو التحكم في تثبيت ونشر وتنفيذ التطبيقات أو التعليمات البرمجية أو البرامج الضارة على الأجهزة المحمولة.
- التوعية الأمنية: إنشاء برنامج للتوعية الأمنية لمساعدة الموظفين على امتلاك وعي ومهارات مناسبة لتقليل مخاطر الأمن السيبراني على المؤسسة.
كلمة أخيرة
تواجه الأجهزة المحمولة والتطبيقات هجمات ومخاوف أمنية فريدة، وتختلف عن بيئات تكنولوجيا المعلومات التقليدية. وبالتالي من المهم إدارة الأجهزة والتحكم بمستوى اتصالها مع شبكة المؤسسة وتوعية المستخدمين.
