(العالم الرقمي) تحاور مدير مركز أمن المعلومات بشركة الاتصالات
المهندس سامي الملا: مهمتنا الأساسية الحفاظ علي بيانات الشركة وحفظ حقوق المساهمين
|
* الرياض: محمد صفوت
أكد المهندس سامي الملا مدير مركز أمن المعلومات الخاص بشركة الاتصالات قيام المركز بعملية التطوير والتدريب المستمر لكوادره السعودية التي بلغت الآن نسبة 100 % في مجال أمن المعلومات والاختراقات، وشدد في حديث لمجلة العالم الرقمي على ضرورة أن يتأكد أي مواطن من أن أمن المعلومات واجب وطني وأن دوره في الحفاظ علي أمننا الوطني أساسي في وقتنا الحاضر.
* في بداية الحوار استفسرنا من المهندس الملا حول البيانات الأساسية لبطاقته الشخصية والخبرات السابقة في مجال أمن المعلومات؟
الاسم هو سامي بن محمد جميل الملا، من مواليد المدينة المنورة 1394 هـ ، وقد كانت الدراسة حتى الثانوية بمعهد العاصمة النموذجي بالرياض، والدراسة الجامعية بجامعة الملك عبد العزيز بجدة بكلية الهندسة تخصص هندسة كهربائية حاسبات، وتخرجت عام 1416 هـ. وبعد التخرج التحقت بمؤسسة النقد العربي السعودي في قسم أمن المعلومات بإدارة التقنية البنكية، وكنت أول الموظفين في هذا المجال مع مديري، وكانت أولى مهامي مشروع الحوالات السريعة علي مستوي المملكة، ومكثت بمؤسسة النقد لمدة ثلاث سنوات.. ثم التحقت بالشركة الدولية لهندسة الشبكات لمدة سنة تقريبا وانتقلت رسميا لشركة الاتصالات في يوليو2000 كمدير إداره أنظمة أمن المعلومات. وبدأت بوضع السياسات بالاشتراك مع نائب الرئيس، وفي أكتوبر 2001 تم اختياري لأكون مديرا عاما لقسم أمن المعلومات، وهوالمركز الذي أشغله حتى الآن.
* كيف تولدت فكرة تنفيذ المركز؟
لقد وجدنا أن الشركات التي تقوم بالعمل في مجال حماية وأمن المعلومات في معظمها تنتمي إلى أماكن من خارج المملكة، وهذا بالطبع ليس أمرا جيدا، خاصة بعد أحداث الحادي عشر من سبتمبر وظروف الحرب الإلكترونية الموجودة، ولهذا قمنا بعمل خطة مبدئية تكون مهمتها الحفاظ على المعلومات الخاصة بنا داخل مجمع الاتصالات، فكانت اللبنة الأولى الاستعانة بكوادر من مراكز خارجية للاستفادة من خبراتهم والعمل علي إنشاء مراكز مماثلة لما هو موجود بالخارج، وعملنا علي استقطاب كوادر شبابية سعودية من جامعة الملك سعود خريجي الحاسب الآلي، وقمنا بتدريبهم تدريباً كاملاً وعملنا على ابتعاثهم للخارج مع نشاطنا في بالتبادل المعرفي مع الخبراء بالخارج، إلى أن وصلنا إلى مرحلة الاعتماد الكامل على كوادرنا السعودية الشبابية بنسبة 100 % وأصبحوا على أعلى درجة من الخبرة، وقادرين علي التعامل مع أي حدث.
* ما هي المسارات التي تم الأخذ بها لتنفيذ المركز؟
أولا: المسار المعماري، وهو الإنشاءات التي تعتمد علي الحوائط غير القابلة للاختراق بمواصفات عالمية أمنية.
ثانيا: المسار التقني، وهو الأنظمة التي تعمل علي سحب التنبيهات من كل الأنظمة بحيث تتجمع في نظام واحد وتعمل على منع الأخطار التي يمكن أن تحدث.
ثالثا: المسار الإجرائي: وهو أهم جزء، ويشمل سياسات التعامل مع الحدث وعدد الموظفين المطلوبين وتدريب الموظفين ودوريات العمل الدائمة وعمل التقييم السنوي للموظفين.
* ما هي أهداف المركز الرئيسية؟ يمكن تلخيص أهداف المركز في مجال حماية ومراقبة و إدارة و تشغيل أمن أنظمة وشبكة معلومات شركة الاتصالات .
* وما هو تاريخ بدء عمل المركز، وماذا عن عدد أفراد فريق العمل لدي المركز؟
تاريخ بدء عمل المركز 2003/3/8م، وحتى الآن يعمل في المركز تسعة عشر مؤهلاً سعودياً.
* ما هو دور مركز أمن المعلومات في حماية المعلومات بالنسبة لشركة الاتصالات؟
يعمل المركز على منع اختراق الأنظمة وحمايتها وجعل المعلومات متوافرة للمستهلك في أي وقت، ومن أجل ذلك نقوم بجهود قوية، ونقوم بوضع النظم الأمنية المناسبة لتكون موجودة في أماكنها، ولكن هذا ليس الهدف الأخير أو النهائي، حيث يجب أن نعمل علي مراقبتها بصفة دورية تحسبا لأي مشكلة طارئة، ويجب أن نعمل على حلها قبل المشترك أو علي الأقل تصحيحها في أقرب وقت ممكن، وهذه المراقبة يجب أن تكون على مدار ال 24 ساعة.
ويدير المركز ويراقب ما يزيد على 600 جهاز ونظام أمني موزعة في أنحاء الشبكة وهي:
جدر الحماية النارية.
أنظمة الكشف عن الاختراقات.
نظام البنية التحتية للمفاتيح العمومية (PKI)
أنظمة مكافحة الفيروسات.
أنظمة التحقق من المستخدمين أنظمة التوافق مع السياسات الأمنية للشركة. وبإذن الله سندخل المزيد من الأنظمة في المستقبل.
كما أن كل هذه الأنظمة تدار من مكان واحد على مدار 24 ساعة وطول أيام السنة.
* ما هي الخدمات الرئيسية التي يقوم مركز أمن المعلومات بتقديمها؟
تتعدد خدمات مركز أمن المعلومات، ولكن من أهمها خدمة حماية خوادم الشركة من الفيروسات والاختراقات، خدمة الاتصال الشبكي الآمن لأنظمة الشركة SCR، خدمة الاتصال الهاتفي الآمن Secure Dial Up، خدمة حماية البريد الإلكتروني (البنية التحتية للمفاتيح العمومية PKI)، وخدمة مراقبة أنظمة وشبكة معلومات الشركة على مدار الساعة.
* كيف يتم المحافظة علي أمن المركز ؟
من ناحية التحصين الأمني الجغرافي توجد ثلاثة حواجز أمنية:
1 مبنى مركز المعلومات.
2 إدارة مراقبة أمن المعلومات.
3 مركز مراقبة أمن المعلومات.
وعلى مستوى الأنظمة يوجد تقسيم أمني منطقي للشبكة، فالمنطقة 1 مثلا للأنظمة شديدة الأمان، والمنطقة 2 للأنظمة المتصلة بشبكة الاتصالات الداخلية والإنترنت. ومن المعروف أن عملية أمن المعلومات بصورة عامة هي كالسلسلة تقاس قوتها بقوة أضعف حلقة فيها، مما يجعلنا دائما نحاول أن نعالج نقاط القصور والضعف إن وجدت.
* ماذا عن التطوير الدائم في تأهيل الكوادر داخل المركز ومواجهة الاختراقات العديدة والمستمرة؟
أمن المعلومات عملية مستمرة ودائمة، فإذا كنت آمناً أمس لن تضمن أن تكون آمنا اليوم، وذلك لكثرة الاختراقات.. ونحن نحظى بالدعم من قِبَل الشركة السعودية للاتصالات في التدريب العملي والتطبيقي والنظري، ونحرص على تدريب موظفينا واحتكاكهم بخبرات من الخارج.. وحدث قبل ذلك أن استعنا بخبراء من بلجيكا لمدة 6 شهور كانوا حاضرين دائما مع خبرائنا، ونقوم بعمل الاحتياطات اللازمة والتدريب الدائم والمستمر، كما نقوم بعمل برنامج لكل موظف بمسار تدريبي معين، وبعمل تحليل للسلم التدريبي الخاص به.. ولا يتم تعيين أي موظف بالمركز إلا بشهادة خبير أمن معلومات، ويجب أن يكون ملما بكل أمور أمن المعلومات.
* إذا حدث أن أصيبت المعلومات الخاصة بالشركة، فما الذي يقوم به المركز في هذا الوقت لعمل الحد من خطورة هذه الفيروسات مثل ساسر وبلاستر وكورجو وغيرها؟
بالنسبة لفيروس ساسر فإنه كان له هالة إعلامية أكبر من خطورته الحقيقية، ولأننا نملك قدرا من الموظفين يقدر بحوالي 25000 موظف وحوالي 15000 جهاز فإذا حدثت مشكلة لعدد أجهزة لا يتجاوز خمسة عشر جهازا فإنه لا يمثل مشكلة، حيث إننا نقوم بفصلها عن الشبكة وإصلاحها عن طريق حل المشكلة بأسلوب أمني فعّال، ثم تتم أعادتها للعمل.. وقد تعطل بسببها مكتب الاشتراكات من قبل لمدة قليلة لا تتجاوز الساعة، وأعتقد أن هذا جيد جدا لأن غيرنا من الشركات وقفت عن الخدمة لمدة يوم أو يومين.
وبالنسبة لفيروس بلاستر فلم يحدث أن أصاب أجهزتنا بأي مشكلة، ونحن نأخذ أي فيروس بنفس الأهمية؛ لأن خدمة بيانات الشركة وحفظ حقوق المساهمين هو هدفنا الأول.
وتلخيصا.. فإن الحاسب آمن إذا استطعت العمل عليه كما تتوقع.
* ماذا عن كيفية عمل المركز؟
ينقسم هذا الأمر إلى شقين:
الأول: هو تقديم الخدمات، حيث يقوم المستخدم بطلب خدمة أمن المعلومات من مركز مراقبة أمن المعلومات، ليمرّ هذا الطلب علي أجهزة وأنظمة أمن المعلومات، ثم يتم دخول المستخدم لشبكة وأنظمة شركة الاتصالات، وقد يقوم المركز بإجراء عملية التنسيق والدعم للمستخدم إذا كان يفتقد هذا الأمر.
الثاني: هو الإنذارات الأمنية، حيث يقوم المركز بالتعامل مع أي تهديد لأمن المعلومات بتوجيه alarm أو إنذار يبدأ الأخصائيون بالمركز بالتعامل معه بحيث لا يؤثر علي بيانات ومعلومات الشركة التي تعد علي درجة كبيرة من الأهمية.
* ما رأيكم بالنسبة لمشكلة الاختراقات، وهل آن الأوان لإنشاء مركز وطني علي مستوى الدولة لأمن المعلومات؟
لقد قمت دائما وأبدا وفي كل الندوات التي شرفت بحضورها بتوجيه رسالة بتبني مسألة أمن المعلومات، والآمال معقودة علي شركة الاتصالات لعمل مركز وطني أوCERT لتجنب الاختراقات، وأن يتولي هذا مركز وطني وأن يحظى بدعم الإدارات في الشركات، ويجب أن تكون مسألة أمن المعلومات ذات مصداقية كبري واعتقاد داخلي لدي الإدارات، حيث إنها ليست مشكلة تحل وينتهي الأمر، ولكنها عملية مستمرة ودائمة، ويجب أن يكون لدي عامة الناس وعي بمسألة أمن المعلومات، فهي تشبه تماما أن تقوم بحماية منزلك قبل سفرك من أي سرقة، وهذا يحدث باقتناع داخلي بأهمية هذا الأمر، فيجب أن يكون نفس هذا الاعتقاد موجوداً لديك بمسألة أمن المعلومات بعمل التأمين لجهازك.. ونحن نساعد بعمل الأشياء التذكارية كمواد دعائية مكتوب عليها التنبيه علي مسألة أمن المعلومات.
* بالنسبة للمستخدم الذي يقوم بالدخول على موقع الشركة للحصول علي بعض الخدمات، فما الذي يمكن أن تنصحه به لكي لا يحدث منه أي مشكلة بدون قصد ؟
النظام الداخلي منفصل عن النظام الخارجي والموقع دائما عليه المراقبة تحسبا لأي خطأ من المستخدم بدون قصد.
* هل يمكن أن يقوم المركز بتقديم خدمات للشركات وتعليم كوادر خارجية وزيادة الوعي والتدريب للمستخدمين ؟
من الناحية الفنية فإن المركز قادر علي هذه الخطوة، أما هذا القرار فإستراتيجي ويخص مجلس إدارة الشركة خاصة في ظل قلة عدد الخبراء في هذا المجال، وبالنسبة لي شخصيا فإنني أرحب بفكرة عمل مركز وطني لأمن المعلومات لأن هذه مسألة وطنية بحتة خاصة أن مسألة أمن المعلومات أصبحت عملية داخل عملية الأمن الوطني.
وعندما نتكلم عن مسألة أمن المعلومات فيجب أن يرتبط باحتواء الكوارث وهذا الأمر سبق حدوثه للبنتاجون وشركة مايكروسوفت، وبالطبع فإننا نقوم بعملنا علي أكمل وجه ولكن بالطبع لا يوجد نظام معلوماتي آمن بنسبة 100 %.
* ما هي المقترحات أو الحلول التي تطرحها لقضية أمن المعلومات؟
أولا: بناء نظم وإدارت لأمن المعلومات بالمؤسسات الكبيرة والحكومات، ووضع خطة مستمرة ودائمة لمواجهة الأخطار غير العادية أو ما يطلق عليه احتواء الكوارث، وأخيرا التوعية الأمنية والمستمرة بالنسبة لجمهور المستخدمين.
* ما هي الرسالة الأخيرة بالنسبة للمستخدمين عن الاهتمام الفعلي بمجال أمن المعلومات؟
سأستعين بمقولة أحد استشاريي أمن المعلومات وهي أن (الإحساس الخاطئ بالأمن أسوأ من الإحساس الصحيح بعدم الأمن)، وهي تعني أن يقوم أي شخص بوضع هذه المشكلة في اعتباره، وأن تقوم الشركات بعدم التفكير في مسألة أمن المعلومات كمشكلة وقد تم حلها، بل انها عملية مستمرة وطويلة.
.....
الرجوع
.....
| |
|
|
توجه جميع المراسلات التحريرية والصحفية الى
chief@al-jazirah.com عناية رئيس التحرير
توجه جميع المراسلات الفنية الى
admin@al-jazirah.com عناية مدير وحدة الانترنت
Copyright 2002, Al-Jazirah Corporation, All rights Reserved
| 