أساسيات أمن المعلومات (Information Security Fundamentals)

مجموعة بطاقات تعليمية للمفردات والمصطلحات الأساسية في أمن المعلومات، تشمل أركان الأمان، وتصنيفات الهجمات والتهديدات، وأهم القوانين والمعايير الدولية مثل PCI DSS وHIPAA وSOX وGDPR.

أمن المعلومات (Information Security)

ممارسة حماية البيانات والأنظمة من الوصول غير المصرح به، أو التعديل، أو السرقة، أو التلف عبر ضوابط وتدابير مناسبة، للحفاظ على حالة سلامة البنية التحتية وتخفيض احتمالية التهديدات إلى حد مقبول.

السرية (Confidentiality)

ضمان أن المعلومات لا يمكن الوصول إليها والاطلاع عليها إلا من قبل الأشخاص أو الكيانات المصرح لهم فقط.

السلامة والنزاهة (Integrity)

موثوقية البيانات والموارد ودقتها من خلال منع أي تعديلات غير مصرح بها أو غير ملائمة.

التوافرية (Availability)

التأكيد والضمان بأن الأنظمة المسؤولة عن تسليم وتخزين ومعالجة المعلومات متاحة وتعمل عندما يطلبها المستخدمون المصرح لهم.

الموثوقية والأصالة (Authenticity)

خاصية في الاتصالات أو المستندات أو البيانات تضمن جودة وصحة كون الشيء حقيقياً وأصلياً وغير مزيف.

عدم الإنكار (Non-Repudiation)

ضمان أمني يمنع المرسل من إنكار إرساله لرسالة معينة، ويمنع المستلم من إنكار استلامها.

مثلث الأمان والوظائف وقابلية الاستخدام (The Security, Functionality, and Usability Triangle)

نموذج يوضح أن مستوى أمان أي نظام يتحدد بقوة ثلاثة عناصر: الأمان، والوظائف، وسهولة الاستخدام؛ حيث يؤدي التحرك نحو زيادة الأمان والقيود إلى تقليل الوظائف وسهولة الاستخدام.

معادلة الهجوم (Attack Equation)

صيغة توضح تكوين الهجوم السيبراني: $\text{Attacks} = \text{Motive} + \text{Method} + \text{Vulnerability}$، حيث ينشأ الدافع من وجود قيمة في النظام المستهدف ويستغل المهاجم الثغرات عبر أساليب محددة.

الهجمات الخاملة (Passive Attacks)

هجمات لا تتلاعب بالبيانات بل تقتصر على اعتراض ومراقبة حركة مرور الشبكة وتدفق البيانات؛ ومن أمثلتها التنصت (Eavesdropping) والتقاط الحزم (Sniffing).

الهجمات النشطة (Active Attacks)

هجمات تعبث بالبيانات أثناء النقل أو تعطل الاتصالات والخدمات بين الأنظمة لتجاوز آليات الأمان واختراقها؛ ومن أمثلتها هجمات حجب الخدمة (DoS)، وحقن SQL، وهجوم رجل في المنتصف (MitM).

الهجمات المقربة (Close-in Attacks)

هجمات ينفذها المهاجم عندما يكون على مقربة مادية وجسدية من النظام أو الشبكة المستهدفة؛ ومن أمثلتها التلصص بالنظر (Shoulder surfing) ونبش النفايات (Dumpster diving).

الهجمات الداخلية (Insider Attacks)

هجمات يقوم بها شخص موثوق ومصرح له بالوصول إلى شبكة المؤسسة، مستغلاً صلاحياته لانتهاك القواعد أو سرقة الأجهزة وزرع برمجيات التجسس والثغرات الخلفية.

هجمات التوزيع (Distribution Attacks)

هجمات يعبث فيها المهاجمون بالأجهزة أو البرمجيات قبل تثبيتها، سواء في مصدر تصنيعها أو أثناء شحنها ونقلها.

التهديدات المتقدمة المستمرة (APT - Advanced Persistent Threats)

هجمات معقدة ومستمرة تركز على سرقة معلومات حساسة من الجهاز أو النظام الضحية لفترة طويلة دون أن يدرك المستخدم وجودها.

برمجيات الفدية (Ransomware)

برمجيات خبيثة تقيّد الوصول إلى ملفات ومجلدات النظام وتطالب الضحية بدفع فدية مالية عبر الإنترنت للمهاجمين مقابل استعادة إمكانية الوصول.

شبكة الروبوتات (Botnet)

شبكة ضخمة من الأجهزة والأنظمة المخترقة التي يتحكم بها المهاجم عن بُعد لتنفيذ هجمات سيبرانية منسقة على نطاق واسع.

التصيد الاحتيالي (Phishing)

ممارسة إرسال رسائل بريد إلكتروني احتيالية تبدو وكأنها من جهات موثوقة ومواقع شرعية لخداع المستخدمين وسرقة بياناتهم الشخصية أو حساباتهم.

معيار أمان بيانات صناعة بطاقات الدفع (PCI DSS)

معيار أمان خاص بالجهات والمنظمات التي تتعامل مع بيانات حاملي بطاقات الدفع والائتمان والخصم، ويفرض متطلبات صارمة لبناء شبكات آمنة وحماية البيانات الحساسة.

معيار ISO/IEC 27001:2013

معيار دولي يحدد المتطلبات اللازمة لإنشاء وتطبيق وصيانة وتحسين نظام إدارة أمن المعلومات (ISMS) باستمرار داخل المؤسسة.

قانون التأمين الصحي وقابلية النقل والمساءلة (HIPAA)

تشريع اتحادي أمريكي يتضمن قواعد التبسيط الإداري، ويوفر تدابير لحماية سرية وسلامة وتوافر السجلات والمعلومات الصحية الإلكترونية (ePHI).

قانون ساربينز-أوكسلي لعام 2002 (Sarbanes Oxley Act - SOX)

قانون أمريكي سُن في عام 2002 بهدف حماية المستثمرين والجمهور عن طريق زيادة دقة وموثوقية الإفصاحات المالية للشركات، وينقسم إلى 11 باباً تنظيمياً.

قانون الألفية للملكية الرقمية (DMCA)

قانون أمريكي يطبق معاهدتي منظمة الويبو (WIPO) لعام 1996، ويحظر تجاوز تدابير الحماية التكنولوجية المفروضة على الأعمال الرقمية المحمية بحقوق النشر.

قانون إدارة أمن المعلومات الفيدرالية (FISMA)

إطار شامل يوفر معايير وإرشادات لضمان فاعلية ضوابط أمن المعلومات للأنظمة والموارد التي تدعم العمليات والأصول الحكومية الفيدرالية في الولايات المتحدة.

اللائحة العامة لحماية البيانات (GDPR)

لائحة أوروبية صارمة طُبقت في 25 مايو 2018 لتنظيم حماية البيانات والخصوصية عالمياً، وتفرض عقوبات مالية قاسية تصل إلى عشرات الملايين من اليورو للمخالفين.

قانون حماية البيانات 2018 (DPA 2018)

قانون صادر في المملكة المتحدة ينظم معالجة البيانات الشخصية للأفراد، ويحدد حقوق أصحاب البيانات ومهام مفوض المعلومات في مراقبة وإنفاذ هذه القواعد.