الاختراقات الأمنية الإلكترونية والمسؤولية القانونية في الشركات

مدخل

لم تعد خروقات الأمن السيبراني في الشركات مجرد مشكلة تخص الفرق التقنية أو أقسام تكنولوجيا المعلومات. فسرقة بيانات العملاء، وتسريب معلومات الموظفين، والوصول غير المصرح به إلى أنظمة الدفع، وهجمات برامج الفدية، واختراق حسابات البريد الإلكتروني للشركة، وتسريب البيانات عبر أنظمة الموردين، واختراق المواقع الإلكترونية، وحذف البيانات أو جعلها غير قابلة للوصول؛ كلها أمور لها عواقب قانونية ومالية وسمعة مباشرة.

لا يقتصر الضرر الناجم عن الهجمات الإلكترونية على أنظمة الشركة فحسب، بل يمتد ليشمل عملاءها وموظفيها وشركاءها التجاريين ومورديها ومؤسساتها العامة ومساهميها. ولا سيما في حالات انتهاك البيانات الشخصية، يجب مراعاة القانون التركي رقم 6698 بشأن حماية البيانات الشخصية، وقانون العقوبات التركي، وقانون الالتزامات التركي، وقانون التجارة التركي، وقانون العمل، وقانون حماية المستهلك، وقانون العقود مجتمعة.

وفقًا لهيئة حماية البيانات الشخصية، يلتزم مراقب البيانات باتخاذ جميع التدابير التقنية والإدارية اللازمة لضمان مستوى مناسب من الأمان لمنع المعالجة غير القانونية للبيانات الشخصية، ومنع الوصول غير القانوني إليها، وضمان حفظها. علاوة على ذلك، إذا تمت معالجة البيانات الشخصية من قبل شخص طبيعي أو اعتباري آخر نيابةً عن مراقب البيانات، فإن مراقب البيانات يكون مسؤولاً بالتضامن مع هؤلاء الأشخاص عن اتخاذ التدابير اللازمة.

لذا، عند وقوع خرق أمني إلكتروني في شركة، لا يقتصر السؤال الأول على "من ارتكب الهجوم؟". بل تكمن الأسئلة الجوهرية في: هل اتخذت الشركة التدابير التقنية والإدارية اللازمة؟ هل أثر الخرق على البيانات الشخصية؟ هل يلزم إخطار مجلس الإدارة؟ هل يجب إخطار الأفراد المعنيين؟ هل تم حفظ أدلة الحادث؟ هل يجب تقديم شكوى جنائية إلى النيابة العامة؟ هل يتحمل المورد أو الموظف المسؤولية؟ هل تواجه الشركة خطر دفع تعويضات أو غرامات إدارية؟

ما هو الاختراق الأمني ​​الإلكتروني؟

يُعرَّف اختراق الأمن السيبراني بأنه تدخل غير قانوني أو غير مصرح به أو مُضرّ بأنظمة المعلومات أو الشبكات أو البيانات أو البرامج أو حسابات المستخدمين أو الأصول الرقمية للشركة. وقد يحدث هذا الاختراق من خلال هجوم قرصنة خارجي أو داخليًا بواسطة موظف أو موظف سابق أو مورد أو مزود خدمة أو مُسيء استخدام.

تتجلى خروقات الأمن السيبراني بأشكالٍ متنوعة. فهجمات برامج الفدية قد تشفر ملفات الشركة، مما يجعلها غير قابلة للوصول. كما يمكن لهجمات التصيد الاحتيالي سرقة كلمات مرور البريد الإلكتروني للموظفين. وقد يشمل الاحتيال عبر البريد الإلكتروني للشركات سحب الأموال من الشركة من خلال تعليمات دفع مزورة. ويمكن أن تؤدي خروقات البيانات إلى وصول جهات خارجية إلى معلومات العملاء أو المرضى أو الموظفين أو الطلاب أو بيانات العضوية. كما يمكن أن تؤدي ثغرات تطبيقات الويب إلى الوصول إلى قاعدة بيانات الشركة. وقد تجعل خدمات الحوسبة السحابية المُهيأة بشكلٍ خاطئ الملفات متاحة للعامة.

لا يُعدّ كل حادث إلكتروني اختراقًا للبيانات، إلا أن أي اختراق للبيانات قد يُرتب عواقب قانونية وخيمة على الشركة. فعلى سبيل المثال، إذا تعذّر الوصول إلى موقع الشركة الإلكتروني مؤقتًا دون تأثر البيانات الشخصية، يُقيّم ذلك في المقام الأول من حيث انقطاع الخدمة والمسؤولية التعاقدية. أما إذا حصل أشخاص غير مصرح لهم على بيانات العملاء، أو رواتب الموظفين، أو المعلومات الصحية، أو معلومات الدفع، أو بيانات الهوية، فإن ذلك يُعدّ اختراقًا للبيانات الشخصية بموجب قانون حماية البيانات الشخصية التركي.

التزامات الشركات بأمن البيانات

تقع على عاتق الشركات مسؤولية حماية البيانات الشخصية التي تعالجها. ولا يقتصر هذا الالتزام على شركات التكنولوجيا الكبرى فحسب، بل يشمل أيضاً مواقع التجارة الإلكترونية، والعيادات، ومكاتب المحاماة، والمؤسسات التعليمية، والفنادق، وشركات الخدمات اللوجستية، والمصانع، وشركات البرمجيات، ومراكز الاتصال، وشركات الاستشارات، وجميع الشركات التي تعالج بيانات الموارد البشرية.

وفقًا للمادة 12 من قانون حماية البيانات الشخصية، تلتزم الشركة باتخاذ تدابير فنية وإدارية لمنع المعالجة غير القانونية للبيانات الشخصية والوصول إليها، ولضمان تخزينها بشكل آمن. وتؤكد الهيئة أنه لا يمكن وضع نموذج موحد لأمن البيانات؛ بل يجب تحديد التدابير المناسبة وفقًا لحجم الشركة ونشاطها وطبيعة البيانات التي تتم معالجتها ومستوى المخاطر.

تشمل التدابير التقنية التي يمكن اتخاذها في هذا السياق سياسة كلمات مرور قوية، ومصادقة متعددة العوامل، وتفويض الوصول، وتسجيل السجلات، وأمن الشبكة، وحلول مكافحة الفيروسات وحلول الكشف والاستجابة لنقاط النهاية الحديثة، وجدار الحماية، وأمن قواعد البيانات، والنسخ الاحتياطي، والتشفير، واختبار الاختراق، وفحص الثغرات الأمنية، وتطوير البرامج الآمنة، وإدارة التصحيحات، وأمن الحوسبة السحابية.

لا تقل أهمية التدابير الإدارية عن التدابير التقنية. ينبغي أن تمتلك الشركة سياسة لأمن المعلومات، وجردًا لمعالجة البيانات، وتدريبًا للموظفين، واتفاقيات سرية، واتفاقيات مع الموردين، وخطة استجابة لاختراق البيانات، ومصفوفة صلاحيات، وإجراءات تأديبية، وقيودًا على وصول الموظفين المغادرين، وسياسة للاحتفاظ بالبيانات وإتلافها، وآلية تدقيق دورية.

متى يجب الإبلاغ عن اختراق البيانات إلى مجلس الإدارة؟

إذا تم الحصول على البيانات الشخصية من قبل جهات أخرى بوسائل غير مشروعة، فإن مراقب البيانات ملزم بإخطار الهيئة وأصحاب البيانات بهذا الوضع. كما تنص الإعلانات العامة الأخيرة الصادرة عن الهيئة بوضوح على أنه، وفقًا لقرار الهيئة المؤرخ 24 يناير 2019، والمرقم 2019/10، يجب على مراقبي البيانات إخطار الهيئة دون تأخير وفي غضون 72 ساعة كحد أقصى من تاريخ علمهم بالخرق.

تُعدّ مرحلة "التعلم" هنا بالغة الأهمية. فعندما تشتبه شركة ما في وقوع هجوم إلكتروني، يجب عليها البدء فورًا بتحقيق فني. ومع ذلك، يُطبّق شرط الإبلاغ خلال 72 ساعة عند وجود أدلة معقولة على الحصول على بيانات شخصية بطريقة غير قانونية، أو تسريبها، أو الوصول إليها، أو حذفها، أو إتاحتها لأشخاص غير مصرح لهم.

من الخطورة بمكان أن تؤجل الشركة الإخطار لفترة طويلة بحجة "عدم الإلمام بكافة التفاصيل". عمليًا، يمكن تقديم الإخطار الأولي أولًا، ثم تقديم إخطارات أو تحديثات إضافية مع تقدم المراجعة الفنية. الأهم هو إبلاغ مجلس الإدارة والأطراف المتضررة في الوقت المناسب ليتسنى لهم التخفيف من الآثار السلبية للمخالفة.

ما الذي يجب تضمينه في الإخطار الموجه إلى الأطراف المعنية؟

إن إخطار الأفراد المتضررين من اختراق البيانات ليس مجرد إعلان رسمي. فبحسب قرار مجلس الأمن الصادر بتاريخ 18 سبتمبر/أيلول 2019، والمرقم 2019/271، يجب إعداد إخطار الاختراق الموجه إلى صاحب البيانات بلغة واضحة وبسيطة، وأن يتضمن على الأقل العناصر التالية: تاريخ وقوع الاختراق، وفئات البيانات الشخصية المتأثرة، والآثار المحتملة للاختراق، والتدابير المتخذة أو المقترحة للتخفيف من الآثار السلبية، وأشخاص الاتصال أو قنوات التواصل التي يمكن من خلالها الحصول على المعلومات.

على سبيل المثال، إذا سُرّبت بيانات عملاء شركة تجارة إلكترونية، فإنّ مجرد إخبار الشخص المتضرر بعبارة "لقد تعرضنا لحادث أمني" قد لا يكون كافيًا. يجب توضيح البيانات المتأثرة بدقة: هل هي الاسم، رقم الهاتف، البريد الإلكتروني، العنوان، سجل الطلبات، معلومات البطاقة، عنوان IP، أم كلمة المرور؟ هل يحتاج المستخدم إلى تغيير كلمة مروره؟ هل بياناته المصرفية أو بيانات بطاقته الائتمانية مُعرّضة للخطر؟ هل ينبغي عليه توخي الحذر من هجمات التصيّد الاحتيالي؟

ينبغي أن تكون لغة الإشعار بسيطة وصادقة، مع تجنب إثارة الذعر. لا ينبغي للشركة إخفاء حجم الحادث، ولا ينبغي لها الإدلاء بتصريحات قاطعة بشأن أمور لا تعرفها، وينبغي لها أن تقدم للمستخدمين تدابير وقائية ملموسة.

ما الذي يجب فعله خلال أول 24 ساعة من حدوث اختراق للأمن السيبراني؟

في حوادث الأمن السيبراني، تُعدّ الساعات الأولى حاسمة، سواءً من حيث الاستجابة التقنية أو المساءلة القانونية. لا ينبغي أن يكون رد فعل الشركة الأولي هو مجرد إيقاف النظام أو التفاوض مع المهاجم. يجب الحفاظ على أدلة الحادث، وتشكيل فريق مؤهل، والنظر في إمكانية اتخاذ إجراءات قانونية.

تتمثل الخطوة الأولى في تشكيل فريق للاستجابة للحوادث. يجب أن يضم هذا الفريق متخصصين في تكنولوجيا المعلومات، وخبراء في الأمن السيبراني، وممثلين قانونيين، ومسؤولين عن تطبيق اللائحة العامة لحماية البيانات (GDPR)، والإدارة العليا، وموظفي الاتصالات، ومستشارين خارجيين عند الضرورة. ينبغي تحديد نوع الحادث؛ وفي حال استمرار الهجوم، يجب منع انتشاره؛ كما يجب حفظ سجلات النظام، وصور النظام، وحركة مرور الشبكة، وسجلات الوصول، ورؤوس رسائل البريد الإلكتروني، وعينات البرامج الضارة.

يُعدّ الحفاظ على الأدلة أمرًا بالغ الأهمية. فالتصرفات الناجمة عن الذعر، مثل تهيئة الخوادم، وحذف السجلات، وإغلاق الحسابات عشوائيًا، أو فقدان التواصل مع المهاجم، تُلحق الضرر بالتحليل التقني والتحقيق الجنائي على حد سواء. وفي جرائم الإنترنت الخاضعة لقانون العقوبات التركي تحديدًا، قد تكون عناوين IP، والسجلات، والأجهزة، والطوابع الزمنية، وآثار الدفع، وسجلات الوصول، بالغة الأهمية في عملية الملاحقة القضائية.

الجرائم الإلكترونية بموجب قانون العقوبات التركي

قد تُشكل الهجمات الإلكترونية التي تستهدف الشركات جريمة بموجب قانون العقوبات التركي. تنص المادة 243 من قانون العقوبات التركي على تجريم الدخول غير القانوني إلى نظام معلوماتي، كليًا أو جزئيًا، والبقاء فيه. كما تُعاقب المادة 244 من قانون العقوبات التركي على أفعال عرقلة أو تعطيل أو إتلاف أو تغيير البيانات داخل النظام. وينص نص المادة على معاقبة كل من يعرقل أو يعطل عمل نظام معلوماتي، وكذلك كل من يُفسد أو يُتلف أو يُغير أو يُعطل أو يُحول البيانات إلى موقع غير قابل للوصول، أو يُدخل بيانات جديدة في النظام، أو يُرسل بيانات إلى موقع آخر داخله.

في هذا السياق، يتم تقييم الوصول غير المصرح به إلى خادم الشركة، ونسخ قاعدة البيانات، وتصدير معلومات العملاء، وقفل النظام، وحذف الملفات، وجعل البيانات غير قابلة للوصول باستخدام برامج الفدية، ووضع التعليمات البرمجية الضارة على الموقع الإلكتروني، أو تعطيل عمليات الشركة بموجب المادتين 243 و244 من قانون العقوبات التركي.

إذا أسفر الهجوم عن مطالبة الشركة بأموال، أو الحصول على وصول غير مصرح به إلى الحسابات المصرفية، أو تغيير تعليمات الدفع، أو استخدام بيانات الشركة لأغراض الابتزاز، فقد تدخل جرائم أخرى مثل الاحتيال والابتزاز والتهديدات والكشف غير القانوني عن البيانات الشخصية أو الحصول عليها في الاعتبار.

الإجراءات القانونية في هجمات برامج الفدية

في هجمات برامج الفدية، تُشفّر بيانات الشركة، ويطالب المهاجم بدفع فدية لفك تشفيرها. في بعض الحالات، لا يكتفي المهاجم بتشفير النظام، بل يستخرج البيانات ويهدد بنشرها في حال عدم الدفع. في هذه الحالة، قد يحدث كل من حجب النظام/جعل البيانات غير قابلة للوصول بموجب المادة 244 من قانون العقوبات التركي، وانتهاك للبيانات الشخصية.

ينبغي على الشركة تقييم المخاطر القانونية والمالية والتقنية قبل دفع الفدية. فالدفع لا يضمن استعادة البيانات، كما لا يمكن ضمان عدم قيام المهاجم بنسخها أو نشرها. ويجب مراعاة غسل الأموال، وقوائم العقوبات، والتفويض الداخلي، وأحكام بوليصة التأمين أثناء عملية دفع الفدية.

في هجمات برامج الفدية، تُعدّ سياسة النسخ الاحتياطي أساسية. إذ يقلّ الضرر التشغيلي إذا كانت الشركة تُجري نسخًا احتياطية منتظمة وغير متصلة بالإنترنت ومُختبَرة. مع ذلك، فإنّ وجود النسخ الاحتياطية لا يُلغي تلقائيًا الالتزام بالإبلاغ عن اختراق البيانات. فإذا تمّ الحصول على بيانات شخصية من قِبل أشخاص غير مُصرّح لهم، أو إذا تمّ تحديد مثل هذا الخطر، فيجب تقييم إخطار اللائحة العامة لحماية البيانات (GDPR) بشكل منفصل.

مسؤولية مجلس الإدارة والإدارة العليا

قد تتحمل إدارة الشركة أيضاً مسؤولية الاختراقات الأمنية الإلكترونية. فالأمن السيبراني ليس مجرد عملية تقنية، بل هو أيضاً جزء من إدارة المخاطر المؤسسية. لذا، ينبغي على مجلس الإدارة ضمان إنشاء نظام لإدارة أمن المعلومات يتناسب مع مجال نشاط الشركة وحجم معالجة البيانات ومستوى المخاطر التي تواجهها.

ينبغي معالجة أمن البيانات على مستوى مجلس الإدارة، لا سيما في الشركات العاملة في مجالات الرعاية الصحية، والمالية، والتجارة الإلكترونية، والتعليم، والخدمات اللوجستية، والبرمجيات، والموارد البشرية، والشركات التي تتعامل مع قواعد بيانات عملاء ضخمة. إن عدم تخصيص ميزانية، أو تطبيق إجراءات أمنية أساسية، أو تحديث الأنظمة، أو إجراء اختبارات الثغرات الأمنية، أو تدريب الموظفين، أو تدقيق الموردين، كلها أمور قد تؤدي إلى نقاشات حول "المخاطر المتوقعة والتي يمكن تجنبها" بعد وقوع أي اختراق.

من منظور قانون حماية البيانات الشخصية التركي، تُفرض غرامات إدارية على الشركة المسؤولة عن معالجة البيانات. مع ذلك، في حال وجود موظف أو مدير مهمل داخل الشركة، يُمكن النظر بشكل منفصل في إجراءات التظلم الداخلي، أو الإجراءات التأديبية، أو المسؤولية بموجب قانون العمل، أو مسؤولية التعويض.

دور الموظفين الحاليين والسابقين

ينجم جزء كبير من اختراقات الأمن السيبراني عن أخطاء الموظفين أو التهديدات الداخلية. فاستخدام كلمات مرور ضعيفة، والنقر على رسائل البريد الإلكتروني الاحتيالية، وتثبيت برامج غير مصرح بها، وإرسال بيانات الشركة إلى عناوين البريد الإلكتروني الشخصية، واستخدام محركات أقراص USB، وعدم إلغاء صلاحيات الوصول للموظفين السابقين، أو امتلاك صلاحيات مفرطة، كلها عوامل قد تؤدي إلى اختراقات البيانات.

يجب على أصحاب العمل توفير التدريب على أمن المعلومات للموظفين، وتوثيق التزامات السرية كتابياً، وتقييد حقوق الوصول إلى توصيفات الوظائف، وإنهاء الوصول فوراً للموظفين المغادرين، والشروع في إجراءات تأديبية في حالة حدوث خروقات للبيانات.

مع ذلك، لا يُعفي خطأ الموظف الشركة تلقائيًا من المسؤولية. فإذا لم تُقدّم الشركة التدريب اللازم، أو تتخذ الاحتياطات التقنية، أو تُحدّث سجلات الوصول، أو تُجري عمليات التحقق من الصلاحيات، فقد لا يكون التذرع بأن "الموظف أخطأ" كافيًا.

مسؤولية المورد ومزود خدمة الحوسبة السحابية

غالباً ما تخزن الشركات بياناتها في خدمات الحوسبة السحابية، وبرامج المحاسبة، وأنظمة إدارة علاقات العملاء، ومزودي خدمات البريد الإلكتروني، وبنية مراكز الاتصال، ومؤسسات الدفع، أو شركات البرمجيات الخارجية. وفي هذه الحالة، تصبح مسؤولية معالج البيانات وموردها بالغة الأهمية.

بحسب بيان المؤسسة، إذا تمت معالجة البيانات الشخصية من قبل جهات أخرى نيابةً عن مراقب البيانات، فقد يكون مراقب البيانات مسؤولاً بالتضامن مع هذه الجهات عن اتخاذ الاحتياطات اللازمة. لذا، عند اختيار مورد، لا ينبغي للشركة أن تقتصر على مراعاة السعر وجودة الخدمة فحسب، بل يجب عليها أيضاً تنظيم أمن المعلومات، وحماية البيانات، والشهادات، وحقوق الوصول، والنقل الدولي، واستخدام المقاولين من الباطن، والإبلاغ عن الحوادث، وحقوق التدقيق في العقد.

في حالة حدوث اختراق للبيانات من جانب المورّد، لا يمكن للشركة التنصل من مسؤوليتها بالكامل بمجرد الادعاء بأن "البيانات تسربت من نظام المورّد". يجب على مسؤول حماية البيانات توخي الحذر عند اختيار معالج البيانات والإشراف عليه. ينبغي أن تنص اتفاقيات الخدمة بوضوح على مهل زمنية قصيرة للإبلاغ عن الحوادث الإلكترونية، ومشاركة السجلات، والدعم الفني، والتعويض عن الأضرار، وأحكام الامتثال للائحة العامة لحماية البيانات (GDPR).

خطر الغرامات الإدارية

قد تواجه الشركات غرامات إدارية في حالات اختراق البيانات الشخصية. ينص قانون حماية البيانات الشخصية (KVKK) على غرامات إدارية لعدم الوفاء بالتزامات أمن البيانات، وعدم الامتثال لقرارات مجلس الإدارة، وانتهاك واجب الإبلاغ، وانتهاك الالتزامات المتعلقة بسجل مراقبي البيانات. وقد نشر قانون حماية البيانات الشخصية جدولًا رسميًا يوضح الزيادات في قيمة الغرامات الإدارية بموجب المادة 18 من القانون رقم 6698 للأعوام 2017-2026، استنادًا إلى معدلات إعادة التقييم.

النقطة المهمة هنا هي أن إخطار الشركة لمجلس الإدارة بالاختراق لا يُعفيها من المسؤولية. فبعد الإخطار، يجوز للمجلس فحص ما إذا كانت الشركة قد اتخذت التدابير التقنية والإدارية اللازمة، ونقاط الضعف التي تسببت في الاختراق، ونطاقه، وعدد الأفراد المتضررين، وطبيعة البيانات، وسرعة الاستجابة للاختراق، ومدى كفاية المعلومات المقدمة للأفراد المعنيين. كما ينص الإعلان العلني الصادر عن هيئة حماية البيانات (KVKK) على أنه يجوز للمجلس إجراء تحقيق بعد استيفاء شرط الإخطار.

المسؤولية عن الأضرار

إذا تكبّد الأفراد خسائر مالية أو نفسية نتيجة اختراق أمني إلكتروني، فقد يواجهون دعاوى تعويض ضد الشركة. على سبيل المثال، قد يكون الشخص الذي سُرّبت معلوماته الشخصية قد تعرّض للاحتيال؛ وقد يكون الشخص الذي كُشفت معلوماته الصحية قد عانى من ضائقة نفسية؛ وقد تكون معلومات بطاقة الائتمان أو الحساب قد أُسيء استخدامها؛ أو قد يدّعي موظف نُشرت معلوماته الشخصية انتهاك خصوصيته.

تُشكّل العقوبات الإدارية بموجب قانون حماية البيانات الشخصية (KVKK) بُعدًا من أبعاد القانون العام. إضافةً إلى ذلك، يحق للأفراد المعنيين المطالبة بتعويضات مادية ومعنوية في إطار القانون المدني التركي وأحكام الحقوق الشخصية. وتُعدّ كلٌّ من مسؤولية الشركة، والتدابير الأمنية المتخذة، وإمكانية التنبؤ بالخرق، والعلاقة السببية بين الضرر والخرق، وطريقة تدخل الشركة، عواملَ مهمة في تحديد التعويض.

يزداد خطر المطالبات بالتعويض، لا سيما في حالات اختراق البيانات الشخصية الحساسة. وقد تترتب على تسريب البيانات الصحية، أو البيانات البيومترية، أو معلومات السجل الجنائي، أو المعلومات المالية، أو البيانات المتعلقة بالأطفال، عواقب وخيمة.

البعثة الأمريكية للطب الشرعي والاستجابة للحوادث الإلكترونية

في تركيا، تُعدّ الوكالة الأمريكية للأمن السيبراني مؤسسةً محوريةً في تنسيق الاستجابة الوطنية لحوادث الأمن السيبراني. ووفقًا لهيئة تكنولوجيا المعلومات والاتصالات، فقد أُنشئ المركز الوطني للاستجابة لحوادث الأمن السيبراني لتحديد التهديدات التي تواجه الأمن السيبراني في تركيا، والتخفيف من آثار الهجمات والحوادث السيبرانية المحتملة أو القضاء عليها، كما يُجري جهود تنسيق وطنية ودولية على مدار الساعة طوال أيام الأسبوع فيما يتعلق بالاستجابة لحوادث الأمن السيبراني.

قد لا تلتزم جميع الشركات الخاصة بنفس الالتزام بالإبلاغ إلى مكتب المفتش العام الأمريكي في كل حادثة؛ ومع ذلك، قد يكون التنسيق مع مكتب المفتش العام الأمريكي والهياكل القطاعية ذات الصلة ضروريًا في الحالات التي تشمل البنية التحتية الحيوية، أو التنظيم القطاعي، أو الخدمات العامة، أو الاتصالات، أو التمويل، أو الطاقة، أو الحوادث الإلكترونية واسعة النطاق. كما ينبغي على الشركات تحليل التزاماتها المتعلقة بالإبلاغ عن الحوادث الإلكترونية والاستجابة لها وفقًا لمجال نشاطها.

قائمة التحقق من امتثال الأمن السيبراني للشركات

ينبغي على الشركات الاستعداد قبل التعرض لاختراق أمني إلكتروني. تتمثل الخطوة الأولى في حصر البيانات الشخصية التي تتم معالجتها والأنظمة الحيوية. يجب الإجابة على أسئلة مثل: ما هي البيانات التي تتم معالجتها؟ أين تُخزَّن؟ من لديه حق الوصول إليها؟ إلى أي موردين تُنقل؟ هل تُرسَل البيانات إلى الخارج؟ ما هي الأنظمة الحيوية؟ وما هي إجراءات النسخ الاحتياطي المطبقة؟.

ثانيًا، يجب وضع تدابير تقنية. المصادقة متعددة العوامل، والنسخ الاحتياطية المنتظمة، وسجلات الوصول، وإدارة التحديثات، والتشفير، وتقسيم الشبكة، وجدران الحماية، وحماية البيانات الإلكترونية (EDR)، واختبار الاختراق، وفحص الثغرات الأمنية هي طبقات أمان أساسية.

ثالثًا، يجب اتخاذ تدابير إدارية. ينبغي إعداد سياسة أمن المعلومات، وتدريب الموظفين، وخطة الاستجابة لاختراق البيانات، وعمليات تدقيق الموردين، واتفاقيات السرية، ومصفوفة التفويض، وسياسة الاحتفاظ بالبيانات وإتلافها.

رابعاً، يجب اختبار خطة الاستجابة للحوادث. ينبغي تحديد من سيتخذ القرارات في حالة حدوث اختراق للبيانات، ومن سيبلغ مجلس الإدارة، ومن سيُعدّ البيانات للأفراد المعنيين، ومن سيحفظ الأدلة التقنية، ومن سيرفع شكوى إلى النيابة العامة، ومن سيتولى إدارة العلاقات الإعلامية.

خامساً، ينبغي على الشركة مراجعة نطاق بوليصة التأمين السيبراني الخاصة بها، إن وجدت. من الضروري معرفة ما تغطيه البوليصة وما تستثنيه مسبقاً فيما يتعلق ببرامج الفدية، وانقطاع الأعمال، واستعادة البيانات، والاستشارات القانونية، ومطالبات الأطراف الثالثة، والغرامات الإدارية.

خاتمة

لا ينبغي النظر إلى اختراقات الأمن السيبراني في الشركات على أنها مجرد خلل تقني بسيط أو مشكلة في تكنولوجيا المعلومات. فالهجوم السيبراني قد تترتب عليه عواقب متعددة الأوجه، تشمل إخطارات اللائحة العامة لحماية البيانات، والغرامات الإدارية، والتحقيقات الجنائية، ومطالبات التعويض للعملاء والموظفين، وفقدان السمعة التجارية، والإخلال بالعقد، وتوقف الأعمال، ومسؤولية الإدارة.

تلتزم الشركات باتخاذ التدابير التقنية والإدارية اللازمة لمنع المعالجة غير القانونية للبيانات الشخصية والوصول إليها، ولضمان حفظ البيانات، وتوفير مستوى مناسب من الأمان. ويُقيّم هذا الالتزام تحديداً وفقاً لحجم الشركة ومجال نشاطها وطبيعة البيانات التي تتم معالجتها.

في حال حدوث اختراق للبيانات الشخصية، يجب على الشركة إخطار مجلس الإدارة فوراً، وفي موعد أقصاه 72 ساعة من تاريخ علمها بالاختراق. علاوة على ذلك، بمجرد تحديد الأفراد المتضررين، يجب إبلاغهم بإشعارات واضحة وبسيطة وغنية بالمعلومات في أسرع وقت ممكن.

قد تؤدي الهجمات الإلكترونية أيضاً إلى جرائم بموجب المادتين 243 و244 من قانون العقوبات التركي، وتحديداً الوصول غير المصرح به إلى البيانات، أو عرقلتها، أو تعطيلها، أو إتلافها، أو تغييرها، أو جعل نظام المعلومات غير قابل للوصول إليه. لذا، ينبغي على الشركات حماية الأدلة التقنية، وتخزين سجلات المعاملات، وتقديم شكوى جنائية إلى النيابة العامة عند الضرورة.

ختاماً، لا يقتصر الأمن السيبراني على كونه استثماراً تقنياً للشركات، بل هو أيضاً التزام قانوني وحوكمة مؤسسية. فوجود سياسة قوية للأمن السيبراني، والامتثال للائحة العامة لحماية البيانات (GDPR)، وخطة استجابة للحوادث، وتدريب الموظفين، ومراجعة الموردين، واختبارات اختراق منتظمة، ونسخ احتياطية آمنة، وآلية إخطار سريعة، كلها عوامل تُعزز قدرة الشركة على الصمود في وجه الهجمات وتُقلل من مسؤوليتها القانونية في حال حدوث اختراق.