أمن المعلومات لا يعني سريتها فقط

أمن المعلومات حديث ذو شجون، ولا يحتاج مزيداً من الشرح لإيضاح أهميته وأهمية المعلومات بأنواعها والحفاظ على سريتها وخصوصيتها. ولكن المنتشر لدى كثير من الناس أن أمن المعلومات يعني الحفاظ على سريتها فقط، فسرية المعلومات تعتبر عنصراً مهماً من عناصر أمن المعلومات، ولكن هي ليست كل أمن المعلومات.لتوضيح الفكرة نضرب مثلاً بسيطاً بالمعلومات الطبية لمريض في أحد المستشفيات، فيستطيع المستشفى أن يطلب من الطبيب بعد الكشف على المريض أن يضع الملف في ظرف ويشمعه ويتم حفظه في خزنة داخل غرفة خاصة، ومفتاح الخزنة لدى شخص ومفتاح الغرفة لدى شخص آخر، ولا يتم تسليم الظرف إلا بتقديم طلب ويمر بآلية معينة وعن طريق الشخصين اللذين لديهما المفاتيح، وعن طريق الطبيب المختص يتم فتح الظرف. بطبيعة الحال المعلومات في هذه الحالة لا تزال سرية ولم يطلع عليها إلا الطبيب. ولكن هل معلومات هذا المريض آمنة؟ الجواب لا، ففي حالة حضور المريض للإسعاف، قد لا نستطيع الحصول على ملفه بسبب عدم جود الأشخاص الذين لديهم المفاتيح. إن أمن المعلومات ببساطة يعني الإجراءات المتخذة لضمان وصول المعلومات للأشخاص المصرح لهم فقط (للإطلاع أو التعديل) وذلك يتطلب إجراءات معينة. فأمن المعلومات له ثلاثة أبعاد وهي: سرية المعلومة وسلامتها وتوفرها.سرية المعلومات يعني تأمينها بحيث يكون الوصول للمعلومة مقتصرا على الأشخاص المخولين بذلك فقط. ومن نماذج انتهاكات السرية التي يمكن أن تحدث للمعلومات، الوصول إلى المعلومة في الجهاز بطريقة غير مشروعة، أو إفشاء المعلومة. وبناءً على تصنيف أهمية المعلومات يمكن تصنيف درجة السرية ومن ثم أتحاذ الإجراءات اللازمة لحمايتها.أما سلامة المعلومة فيعني ضمان اعتمادية مصادر المعلومات بحيث لا تُغير المعلومة إلا من قبل الأشخاص المخولين بذلك، ويتكون عنصر السلامة من شقين: سلامة المعلومات وسلامة المصدر. ونعني بالأولى أن المعلومة لم تغير بشكل غير ملائم سواء بالصدفة أو بالعمد، أما سلامة المصدر فيعني أن المعلومات تم الحصول عليها من المصدر الأصلي. ويمكن إيجاز مفهوم سلامة المعلومات بتلك الإجراءات التي تضمن حفظ المعلومات خلال مراحل إدخالها وانتقالها بحيث نحافظ على سريتها وسلامتها.أما العنصر الأخير فهو توفر المعلومة وقت الحاجة إليها ولذا فإن عدم توفر المعلومة وقت الحاجة إليها يماثل عدم وجود المعلومة أصلا. وهناك خطران يهددان توفر المعلومات، الأول هو رفض الخدمة، ويشير إلى الأفعال التي تعطل خدمات نظم المعلومات وشبكاتها بصورة لا يمكن للأشخاص المصرح لهم بالوصول إلى المعلومات. والخطر الثاني فقدان قدرة معالجة البيانات نتيجة للكوارث الطبيعية أو أفعال الإنسان، ومثل هذه الأخطار غالبا يمكن تفاديها أو التخفيف من أضرارها بتصميم خطط للطوارئ تساعد على تقليل الوقت الذي تكون فيه المعلومات غير متوفرة.إن مستوى الحفاظ على سرية المعلومة وسلامتها وتوفرها يعتمد بشكل كبير على بيئة العمل. وفي نفس الوقت تعتمد مقاييس أمن المعلومات على طبيعة المعلومات والمنظمة واحتمالات الاختراق. ولتوضيح ذلك نطرح السؤال البسيط التالي: هل منازلنا آمنة من السرقة؟ في بعض الحالات نكتفي بالتأكد من إقفال الأبواب والنوافذ، بينما نجد أنه إذا احتوى المنزل على أشياء ثمينة أو كانت البيئة المحيطة غير آمنة، فإن الإجراءات تكون أكثر صرامة ولذا نحتاج إلى كاميرات مراقبة أو حارس ومعايير سلامة أكبر للأبواب والنوافذ. وهذا السؤال ينطبق على أمن المعلومات سواء كانت تلك المعلومات أمنية، أو عسكرية أو بنكية، أو معلومات أخرى بسيطة.وغنياً عن القول إنه لا بد من توفر العناصر الأساسية الثلاثة لأمن المعلومات في كل النظم، ولكن قد يغلب أحدها على الآخر حسب طبيعة المعلومات والمنظمة والظروف المحيطة بها. والأهم من ذلك كله التوازن بين المنع والاستخدام، ومن المعروف أن اتخاذ قرار المنع الكلي سهل جداً، ولكنه غير مناسب، وغير مفيد.