ICRC جعلت حماية البيانات الإنسانية مشكلة للسلامة والمساءلة

ملخص

• كشفت اللجنة الدولية للصليب الأحمر (ICRC) أن هجومًا إلكترونيًا اخترق البيانات الشخصية والمعلومات السرية لأكثر من 515,000 شخص من الفئات شديدة الضعف، بمن فيهم أشخاص منفصلون عن عائلاتهم، ومفقودون وعائلاتهم، وأشخاص محتجزون.
• أدى الحادث إلى تعطيل الأنظمة التي تدعم عمل إعادة الروابط الأسرية، مما يعني أن الاختراق أثر على كل من السرية والاستمرارية الإنسانية.
• تحديث ICRC اللاحق "ما نعرفه" هو محوري لأنه يفصل بين الشفافية المسؤولة والإفصاح التقني غير الآمن: أوضحت المنظمة الفئات المتضررة، ومخاطر السلامة، وإعادة تشغيل النظام، والتحسينات الأمنية دون نشر التفاصيل الحساسة للبنية التحتية.
• لا يمكن اختزال المساءلة في تسريب البيانات علنًا. يمكن للبيانات الإنسانية أن تخلق مخاطر الإكراه، والانتقام، والوصم، والموقع، والاتصال، والاحتيال، والثقة حتى عندما يكون التعرض صعب الملاحظة.
• يجب أن يُظهر سجل الإصلاح الموثوق به تقليل البيانات، والاستضافة المجزأة، والإشراف على الموردين، والتحكم في الوصول، والمراقبة، واختبار الاختراق، وإخطار المتضررين، والحلول البديلة للاستمرارية، والحماية المستدامة للأنظمة الرقمية الإنسانية.

البيانات الإنسانية تغير حساب الاختراق

الإفصاح الأولي لـ ICRC، هجوم إلكتروني متطور يستهدف بيانات الصليب الأحمر والهلال الأحمر لـ 500,000 شخص، قال إن الهجوم اخترق البيانات الشخصية والمعلومات السرية لأكثر من 515,000 شخص من الفئات شديدة الضعف. شملت الفئات المتضررة أشخاصًا انفصلوا عن عائلاتهم بسبب النزاع والهجرة والكوارث، والمفقودين وعائلاتهم، والأشخاص المحتجزين. جاءت البيانات من 60 جمعية وطنية على الأقل من جمعيات الصليب الأحمر والهلال الأحمر. هذه ليست فئة اختراق استهلاكي. إنه فشل في الحماية يؤثر على أشخاص قد تكون ظروفهم تنطوي بالفعل على خطر أو إكراه أو نزوح أو احتجاز أو انفصال عائلي أو صدمة.

صفحة المتابعة لـ ICRC، الهجوم الإلكتروني على ICRC: ما نعرفه، تعطي سجلاً عامًا أكثر نضجًا. تشرح ما عرفه ICRC، ولماذا تم حجب بعض التفاصيل التقنية، وكيف عادت الأنظمة للعمل عبر الإنترنت، ولماذا أبرز الاختراق الحاجة إلى حماية المنظمات الإنسانية عبر الإنترنت. هذه الوثيقة مهمة لأنها تظهر توازنًا صعبًا: يحتاج الجمهور إلى تفاصيل كافية للثقة في الاستجابة، بينما يجب ألا يحصل المهاجمون على معلومات عن البنية التحتية أو الأمان تزيد من المخاطر المستقبلية.

يبدأ سؤال المساءلة بطبيعة البيانات. في العديد من الاختراقات، نموذج الضرر السائد هو سرقة الهوية والاحتيال والبريد العشوائي والاستيلاء على الحسابات أو الإحراج. هذه الأضرار مهمة، لكن البيانات الإنسانية يمكن أن تحمل مخاطر مختلفة. الموقع، والعلاقة الأسرية، وحالة الاحتجاز، وطريق الهجرة، والاستفسار عن المفقودين، وتفاصيل الاتصال، أو سجل خدمة الحماية يمكن أن يخلق عواقب على السلامة. قد لا يكون لدى الشخص المتضرر الموارد أو الدعم القانوني أو السكن المستقر أو الاتصالات الآمنة أو الحرية لتغيير وضع المخاطر الخاص به.

أثر الاختراق أيضًا على الثقة في الأنظمة الإنسانية. تطلب حركة الصليب الأحمر والهلال الأحمر من الأشخاص في الأزمات مشاركة حقائق حساسة لأن ذلك قد يساعد في جمع شمل العائلات، وتتبع الأقارب المفقودين، والحفاظ على الكرامة، أو تقديم الحماية. إذا اعتقد الأشخاص أن تلك الحقائق يمكن كشفها، فقد يترددون في طلب المساعدة. هذا التردد يمكن أن يتحول إلى ضرر. لذلك فإن أمن البيانات هو جزء من الوصول الإنساني.

يجب قراءة الحادث كمشكلة مساءلة تتعلق بالسلامة، وليس فقط مشكلة أمن معلومات. سيطرت ICRC وشركاؤها في الحركة على سياق الخدمة، وجمع البيانات، والاحتفاظ بها، وترتيبات الاستضافة، وضوابط الوصول، والاستجابة، والإخطار. سيطر المهاجمون على الاقتحام. لم يسيطر المتضررون إلا على القليل. هذا الخلل يخلق واجب تقليل جمع البيانات حيثما أمكن، وحماية ما يجب جمعه، ودعم المتضررين بعد التعرض.

إعادة الروابط الأسرية كانت اعتمادًا على الاستمرارية

قال الإفصاح الأولي لـ ICRC إن المنظمة اضطرت إلى إيقاف تشغيل الأنظمة التي تدعم عمل إعادة الروابط الأسرية بعد الهجوم. هذه النقطة مهمة لأن الحادث أثر على كل من السرية والاستمرارية. الأنظمة المتضررة لم تخزن البيانات فقط؛ بل دعمت خدمات للأشخاص الذين يحاولون العثور على أقارب أو معرفة ما حدث لأحبائهم المفقودين. وبالتالي تداخل الهجوم الإلكتروني مع العمل الإنساني في نفس الوقت الذي كشف فيه سجلات حساسة.

سياق إعادة الروابط الأسرية لـ ICRC يشرح أهمية البرنامج. يدعم الأشخاص المنفصلين بسبب النزاع والكوارث والهجرة والأزمات الأخرى. يمكن أن تشمل البيانات المستخدمة في هذا العمل الأسماء والعلاقات الأسرية والمواقع وتفاصيل الاتصال ومعلومات القضية. المعلومات قيمة لأنها يمكن أن تعيد ربط العائلات. إنها حساسة لنفس السبب: فهي تصف العلاقات البشرية ونقاط الضعف.

بيان الصليب الأحمر الأمريكي، الهجوم الإلكتروني على اللجنة الدولية للصليب الأحمر، وبيان الصليب الأحمر البريطاني، بيان الهجوم الإلكتروني على ICRC، يظهران أن الحادث لم يكن مجرد قضية مقر ICRC. كانت الجمعيات الوطنية وشركاء الحركة جزءًا من الاستجابة والاتصال العام. هذا مهم لأن البيانات نشأت من شبكة إنسانية عالمية، وقد يكون المتضررون قد تفاعلوا محليًا وليس مع جنيف.

الحلول البديلة للاستمرارية هي جزء من سجل المساءلة. إذا تم إيقاف تشغيل الأنظمة الرقمية لاحتواء المخاطر، فكيف تواصل الحركة عمل جمع شمل العائلات العاجل؟ ما الحالات التي يمكن معالجتها يدويًا؟ ما السجلات الآمنة للاستخدام؟ أي الموظفين يمكنهم الوصول إلى العمليات البديلة؟ كيف يتم إبلاغ المتضررين بما يجب فعله؟ كيف تتجنب المنظمة جمع بيانات بديلة في قنوات غير آمنة؟ هذه ليست أسئلة هامشية. إنها تحدد ما إذا كانت الاستجابة تحمي البيانات والخدمة معًا.

يكشف تحدي الاستمرارية أيضًا مشكلة تكنولوجية إنسانية أوسع. يمكن للأنظمة الرقمية تحسين السرعة والتنسيق والوصول، ولكنها يمكن أيضًا أن تركز المخاطر. قاعدة بيانات عالمية تدعم العديد من الجمعيات الوطنية يمكن أن تخلق نطاقًا. إذا تعرضت للاختراق، يمكنها أيضًا خلق ضرر مركز. يجب أن يزن تصميم التكنولوجيا المسؤول كليهما.

نموذج الضرر يشمل الإكراه والوصم ومخاطر الموقع

ركزت اللغة العامة لـ ICRC على الأشخاص الضعفاء والعواقب الوخيمة المحتملة. هذا التأطير مناسب لأن الخطر لا يقتصر على الجرائم المالية. قد يكشف الاستفسار عن المفقودين عن علاقات أسرية. البيانات المتعلقة بالاحتجاز قد تكشف عن الحالة أو الموقع. البيانات المتعلقة بالهجرة قد تكشف عن الطرق أو الاتصالات أو نقاط الضعف. بيانات تتبع العائلة قد تحدد الأشخاص في سياقات النزاع. يمكن أن تكون معلومات الحالة الإنسانية حساسة حتى لو لم تحتوي على أرقام بنوك أو كلمات مرور.

ذكرت Geneva Solutions أن الاختراق شمل بيانات من 60 جمعية وطنية على الأقل وأن قلق ICRC كان الحفاظ على سرية المعلومات في الهجوم الإلكتروني على ICRC يخترق بيانات 500,000 شخص. تقرير CyberScoop، هجوم إلكتروني واسع النطاق يوقف عمل الصليب الأحمر في جمع شمل العائلات ويكشف بيانات سرية، أكد على انقطاع عمل جمع شمل العائلات وكشف البيانات السرية. حساب The Guardian العام وضع أيضًا الأشخاص الضعفاء في مركز القصة.

الخطر لا يتطلب تأكيد تسريب علني ليكون خطيرًا. يمكن نسخ البيانات أو الاستعلام عنها أو بيعها أو مشاركتها بشكل خاص أو استخدامها للاستهداف أو الاحتفاظ بها للإساءة لاحقًا دون الظهور في تسريب عام واضح. قد لا يعرف المتضررون أبدًا ما إذا كان اتصال لاحق أو تهديد أو احتيال أو محاولة إكراه ناتجًا عن بيانات إنسانية مكشوفة. هذا الغموض بحد ذاته عبء.

هذا الغموض يغير الإخطار والدعم. في اختراق استهلاكي، قد تشمل النصيحة مراقبة الائتمان أو تغيير كلمات المرور. بالنسبة للبيانات الإنسانية، قد تحتاج النصيحة إلى أن تكون أكثر تحديدًا للسياق. قد يحتاج الشخص المعرض للخطر إلى معرفة ما إذا كان يجب تغيير قنوات الاتصال أو تنبيه أفراد الأسرة أو استخدام قنوات الصليب الأحمر المحلية أو تجنب التواصل المشبوه. قد يختلف الدعم المناسب حسب البلد ونوع القضية والسياق الأمني والعلاقة مع السلطات أو الجهات الفاعلة المسلحة.

قرار ICRC بعدم نشر التفاصيل التقنية الدقيقة للبنية التحتية هو أيضًا جزء من تقليل الضرر. بعض الشفافية يمكن أن تمكّن المتضررين والمنظمات الشريكة. الكثير من التفاصيل التقنية يمكن أن تمكّن المهاجمين. يجب ألا يطلب معيار المساءلة إفصاحًا متهورًا. يجب أن يطلب إفصاحًا مفيدًا: الفئات المتضررة، ومنطق المخاطر، وخطوات التخفيف، واستمرارية الخدمة، وقنوات الاتصال، وفئات الحماية المستقبلية.

تقليل البيانات هو عنصر تحكم في السلامة الإنسانية

غالبًا ما يُعامل تقليل البيانات كمبدأ امتثال للخصوصية. في البيئات الإنسانية، هو عنصر تحكم في السلامة. البيانات الأكثر أمانًا التي تم اختراقها هي البيانات التي لم يتم جمعها أبدًا، أو لم يتم مركزتها أبدًا، أو لم يعد يتم الاحتفاظ بها. هذا لا يعني أن المنظمات الإنسانية يجب أن تتوقف عن جمع المعلومات الحيوية. يعني أن كل حقل بيانات يجب أن يبرر مخاطره. إذا كان الحقل مطلوبًا لجمع شمل عائلة، أو حماية محتجز، أو التحقق من حالة، فقد يكون من المفيد جمعه. إذا تم الاحتفاظ به من باب العادة، فإنه يخلق تعرضًا غير ضروري.

وثيقة الخلفية السياسية للصليب الأحمر والهلال الأحمر، حماية البيانات الإنسانية، ذات صلة لأنها تضع الاختراق ضمن محادثة أوسع في الحركة حول حماية البيانات الإنسانية. يتعين على المنظمات الإنسانية جمع المعلومات الحساسة للقيام بعملها، لكنها تحتاج أيضًا إلى الحوكمة، وتحديد الغرض، والتحكم في الوصول، وانضباط الاحتفاظ، والوعي بالتهديدات الرقمية.

يجب أن يكون تقليل البيانات عمليًا، وليس بلاغيًا. يجب أن تعرف المنظمة البيانات المطلوبة لكل خدمة، وأيها يمكن أن يكون مستعارًا، وأيها يمكن تخزينه محليًا، وأيها يجب مشاركته عالميًا، وأيها يتطلب وصولًا صارمًا قائمًا على الأدوار، وأيها يجب أن تنتهي صلاحيته، وأيها لا يجب تصديره أبدًا إلى بيئات حماية أقل. كما يجب أن تعرف كيفية التعامل مع الاستثناءات الطارئة. غالبًا ما يخلق العمل في الأزمات ضغطًا لجمع المزيد من البيانات بسرعة. هذا الضغط يحتاج إلى حواجز حماية.

قرارات الموردين والاستضافة هي جزء من التقليل. إذا كان طرف ثالث أو ترتيب استضافة خارجي يخزن بيانات إنسانية حساسة، فلا يزال يتعين على مراقب البيانات فهم ما يتم تخزينه، ولماذا، وكيف يتم حمايته، ومن يمكنه الوصول إليه، وكيف تتم إدارة الثغرات الأمنية، وكيف تتم مراقبة السجلات. تضمن السجل العام حول اختراق ICRC مناقشة الاستضافة والخوادم وسياق المقاول. مبدأ المساءلة هو أن الاستعانة بمصادر خارجية للبنية التحتية لا يعني الاستعانة بمصادر خارجية للواجب الإنساني.

التقليل يدعم أيضًا الاستمرارية. قد يكون من الأسهل عزل مجموعة بيانات أصغر وأكثر تجزئة واستعادتها والتواصل بشأنها. مجموعة بيانات واسعة ذات ملكية غير واضحة يصعب حمايتها ويصعب شرحها بعد الاختراق. في الأنظمة الإنسانية، يمكن أن يوفر الوضوح بشأن الغرض من البيانات الوقت عندما يحتاج الأشخاص إلى إجابات بسرعة.

إعادة تشغيل النظام يحتاج إلى أدلة على الأمان والثقة

قال تحديث "ما نعرفه" لـ ICRC إن الأنظمة عادت إلى العمل عبر الإنترنت مع تحسينات أمنية، بما في ذلك المصادقة الثنائية، والكشف المتقدم عن التهديدات، واختبار الاختراق قبل إعادة التشغيل، والمراقبة المستمرة. هذه الفئات مهمة لأنها تظهر إصلاحًا يتجاوز مجرد الاستعادة البسيطة. النظام الذي يعود دون ضوابط أقوى قد يعيد الخدمة مع الحفاظ على نفس المخاطر. النظام الذي يعود بعد الاختبار والتحسينات المراقبة لديه قصة مساءلة أقوى.

يوفر NIST SP 800-61 Revision 2، دليل التعامل مع حوادث أمن الكمبيوتر، دورة حياة عامة للحوادث: التحضير، والكشف، والاحتواء، والاستئصال، والاسترداد، والنشاط بعد الحادث. NIST SP 800-184، دليل التعافي من أحداث الأمن السيبراني، يؤكد على التحقق من صحة الاسترداد والدروس المستفادة. هذه وثائق إرشادية عامة، وليست نتائج ICRC، لكنها توفر مفردات مفيدة لتقييم أدلة إعادة التشغيل.

يجب أن تشمل أدلة إعادة التشغيل الضوابط التقنية وضوابط الخدمة. تشمل الضوابط التقنية الأنظمة المصححة، والهوية المحصنة، والمصادقة الثنائية، والمراقبة، والكشف عن التهديدات، واختبار الاختراق، والتجزئة، وإدارة الثغرات الأمنية. تشمل ضوابط الخدمة عمليات الاتصال بالمتضررين، والتواصل مع الشركاء، والحلول البديلة الآمنة، وتدريب الموظفين، ومراجعة الاحتفاظ بالبيانات. لا يتم إصلاح المنصة الإنسانية إلا إذا تحسنت كلتا الفئتين.

لا ينبغي للجمهور أن يتوقع من ICRC الكشف عن مسارات الاستغلال الدقيقة أو السجلات التفصيلية أو بنية النظام. هذا سيخلق مخاطر إضافية. لكن يمكن للجمهور أن يتوقع فئات التغيير. قدم تحديث ICRC بعضًا من تلك الفئات. يجب أن تتبع حوادث البيانات الإنسانية المستقبلية هذا النموذج: شرح كافٍ لإظهار إصلاح جاد مع رفض نشر خريطة للمهاجم التالي.

يجب أيضًا الحفاظ على أدلة الثقة. اختبار الاختراق قبل إعادة التشغيل مفيد. وكذلك المراقبة المستمرة. لكن سؤال المساءلة يستمر بعد دورة الصحافة. هل يتم إعادة اختبار الضوابط؟ هل تتم مراجعة حقوق وصول الشركاء؟ هل يتم تطبيق قواعد الاحتفاظ بالبيانات؟ هل يتم تدريب الموظفين؟ هل يتم إعادة تقييم الموردين؟ هل يتم دعم المتضررين؟ لا يتم إعادة بناء الثقة بصفحة حالة واحدة. يتم إعادة بنائها بأدلة متكررة.

عدم اليقين بشأن الإسناد لا ينبغي أن يؤخر الحماية

وصفت بعض التعليقات العامة الهجوم بأنه متطور أو مشابه للدول. ذكرت Devex رأي ICRC بأن الهجوم الإلكتروني كان مشابهًا للدول في طبيعته في تغطية حصرية. تجنبت ICRC نفسها اليقين العام بشأن المسؤول في الإفصاح الأولي. هذا الحذر مناسب. يمكن أن يكون الإسناد صعبًا وحساسًا سياسيًا وأبطأ من حماية الضحايا.

لا ينبغي أن يعتمد معيار المساءلة على الإسناد. إذا كان جهة فاعلة مرتبطة بدولة متورطة، فإن الآثار الإنسانية والقانونية خطيرة. إذا كان مجرم أو جهة فاعلة غير حكومية متورطة، فإن آثار السلامة تظل خطيرة. يحتاج المتضررون إلى الحماية في كلتا الحالتين. تحتاج الأنظمة إلى الإصلاح في كلتا الحالتين. تقليل البيانات والمراقبة مهمان في كلتا الحالتين.

صفحة السياسة الأوسع لـ ICRC حول العمليات الإلكترونية والمعلومات الضارة تشرح القلق الإنساني بشأن العمليات الإلكترونية في النزاع والضرر المدني. هذا السياق السياسي ذو صلة لأن المنظمات الإنسانية تعمل في بيئات حيث يمكن أن يتقاطع التعرض الرقمي مع النزاع المسلح والنزوح والاحتجاز وعمل الحماية. الهجوم الإلكتروني على البيانات الإنسانية ليس مجرد جريمة ضد الخوادم. يمكن أن يؤثر على الأشخاص المحميين بالفعل بموجب القواعد الإنسانية.

عدم اليقين بشأن الإسناد يؤثر أيضًا على الاتصال. يجب على المنظمات تجنب المبالغة في تقدير الدافع أو هوية الفاعل قبل أن تدعمه الأدلة. لكنها لا يزال بإمكانها وصف المخاطر للمتضررين، والخدمات المتضررة، والخطوات الوقائية المتخذة. عدم اليقين الدقيق أفضل من التكهنات.

بالنسبة للدول والجهات الفاعلة الأخرى، يعزز الحادث الحاجة إلى حماية المنظمات الإنسانية عبر الإنترنت. استغاثة ICRC العامة بعد الاختراق طلبت عدم استخدام أو بيع أو تسريب أو مشاركة المعلومات الإنسانية. قد يبدو هذا النداء أخلاقيًا وليس تقنيًا، لكن العمل الإنساني يعتمد على القواعد وكذلك الضوابط. يجب التعامل مع بعض البيانات على أنها محظورة لأن استخدامها يضر بالأشخاص في الأزمات.

يجب أن يتناسب الإشراف على الموردين مع الحساسية الإنسانية

غالبًا ما تعتمد المنظمات الإنسانية على مقدمي التكنولوجيا الخارجيين، وخدمات الاستضافة، والاستشاريين، وبائعي البرامج، والشركاء المحليين. هذا الاعتماد طبيعي. قضية المساءلة هي ما إذا كان الإشراف يتناسب مع حساسية البيانات والمهمة. المورد الذي يتعامل مع بيانات إدارية عادية يمثل خطرًا واحدًا. المورد أو المنصة التي تتعامل مع بيانات المفقودين والاحتجاز تمثل خطرًا آخر.

يجب أن يشمل الإشراف على الموردين إدارة الثغرات الأمنية، والإخطار بالحوادث، وضوابط الوصول، والتسجيل، والتشفير، والنسخ الاحتياطي، والتجزئة، وقرارات موقع البيانات، وضوابط المقاولين من الباطن، والتخطيط للخروج. كما يجب أن يشمل متطلبات محددة إنسانيًا: تقليل البيانات، والحذف الآمن، وتقييد الوصول التشغيلي، وإجراءات الحالات عالية المخاطر. من غير المحتمل أن تكون استبيانات الأمان العامة كافية.

تحليلات الأمان مثل كيف تم اختراق الصليب الأحمر؟ من UpGuard و مناقشة اختراق بيانات الصليب الأحمر من Twingate تناقش المسارات التقنية المحتملة والدروس. هذه تحليلات بائعة وليست نتائج رسمية لـ ICRC، لذا يجب التعامل معها بحذر. إنها مفيدة لنقطة عامة: الثغرات الأمنية الحرجة غير المصححة، والوصول الإداري، والتجزئة غير الكافية يمكن أن تحول ضعف البنية التحتية إلى تعرض إنساني.

سؤال المورد يمتد أيضًا إلى وصول الشركاء. قد تحتوي الشبكة الإنسانية العالمية على العديد من المستخدمين عبر البلدان والجمعيات والبرامج والأدوار. لا يمكن أن يكون التحكم في الوصول مجرد سياسة مركزية. إنه يحتاج إلى مراجعة تشغيلية. من يستطيع رؤية أي الحالات؟ ما الأدوار التي تتطلب بيانات كاملة؟ أيها يمكن أن يعمل بحقول محدودة؟ كيف تتم إزالة الحسابات غير النشطة؟ كيف يتم تسجيل حالات الوصول الطارئ؟ كيف يتم دعم الجمعيات الوطنية عندما تختلف قدراتها المحلية؟

يجب أن يتضمن سجل المساءلة بعد اختراق ICRC بالتالي حوكمة الموردين والوصول. لا يكفي تحصين النظام المخترق. يجب على المنظمة معرفة ما إذا كان نموذج مشاركة البيانات الأوسع لا يزال متناسبًا مع الحاجة الإنسانية.

دعم المتضررين صعب ولكنه أساسي

دعم المتضررين بعد اختراق البيانات الإنسانية أصعب من دعم المستهلكين بعد اختراق التجزئة. بعض المتضررين قد يكونون نازحين أو محتجزين أو مفقودين أو في بيئات غير آمنة أو غير متصلين بالإنترنت أو لا يمكن الوصول إليهم إلا من خلال وسطاء محليين. قد يتعرض بعضهم للضرر من الاتصال المباشر إذا كانت قنوات الاتصال مراقبة. قد لا يفهم بعضهم الطبيعة الرقمية للخطر. قد يحتاج بعضهم إلى نصائح باللغات المحلية والسياقات الأمنية المحلية.

ناقشت صفحة "ما نعرفه" لـ ICRC إبلاغ الأشخاص والعمل مع الجمعيات الوطنية. هذه الشراكة المحلية مهمة. قد يثق المتضررون بمكتب الصليب الأحمر أو الهلال الأحمر المحلي أكثر من موقع ويب. قد يحتاجون أيضًا إلى إرشادات محددة السياق. قد لا يكون البريد الإلكتروني العام آمنًا أو فعالاً.

تعليق Privacy108 على اختراق بيانات الصليب الأحمر وتحليل Sovereign Sky للتهديدات الرقمية الإنسانية هي تعليقات ثانوية، لكنها تشير إلى نفس القضية: يجب أن يأخذ استجابة الاختراق الإنساني في الاعتبار كرامة المتضررين وسلامتهم وقدرتهم على التصرف. الإخطار ليس مجرد مربع قانوني. إنه جزء من الحماية.

يجب أن يشمل دعم المتضررين قنوات اتصال واضحة، وعلامات تحذير للتواصل المشبوه، وشرح لفئات البيانات التي قد تكون متورطة، وإرشادات واقعية حول ما يمكن للأشخاص فعله. كما يجب أن يشمل دعمًا للموظفين والمتطوعين الذين قد يضطرون لشرح الاختراق للأشخاص في محنة. يحتاج هؤلاء العاملون في الخطوط الأمامية إلى نصوص، وقنوات تصعيد، وإرشادات أمان.

يجب على المنظمة أيضًا تجنب تحويل الكثير من العبء على المتضررين. لا ينبغي أن يُطلب من عائلة مفقود حل مشكلة أمن رقمي ناتجة عن اختراق الأنظمة الإنسانية. المؤسسة التي جمعت وخزنت البيانات يجب أن تتحمل عبء الإصلاح الأكبر.

يحتاج القطاع الإنساني الأوسع إلى معيار حماية مشترك

لا ينبغي التعامل مع حادث ICRC كفشل منظمة واحدة فقط. المنظمات الإنسانية كقطاع تواجه خطرًا رقميًا متزايدًا. تجمع بيانات حساسة، وتعمل في بيئات النزاع والأزمات، وتنسق عبر الحدود، وتعتمد على الثقة. لذلك يجب أن يبلغ الاختراق معيار حماية مشترك للبيانات الإنسانية.

يجب أن يشمل ذلك المعيار رسم خرائط البيانات، وتحديد الغرض، وحدود الاحتفاظ، والوصول القائم على الأدوار، وضمان الموردين، والاستضافة الآمنة، وإدارة الثغرات الأمنية، والتشفير، والتسجيل، والاستجابة للحوادث، وإخطار المتضررين، والتخطيط للاستمرارية. كما يجب أن يشمل مبدأ ثقافيًا: يجب التعامل مع البيانات الإنسانية كمادة حماية، وليس مجرد مادة إدارية.

يجب أن يكون المعيار عمليًا. قد تفتقر المنظمات الإنسانية الصغيرة إلى موارد المؤسسات الكبيرة. يمكن للأدوات المشتركة والقوالب والتدريب والمنصات الآمنة ودعم المانحين المساعدة. يجب ألا يمول المانحون التوسع الرقمي دون تمويل الأمان والحوكمة. مشروع يجمع بيانات حساسة لكنه لا يمول الحماية يخلق خطرًا خفيًا.

يحتاج القطاع أيضًا إلى قواعد موجهة للمهاجمين والدول. لا ينبغي استهداف المنظمات الإنسانية، ولا ينبغي استخدام البيانات عن الفئات الضعيفة كورقة ضغط. استغاثة ICRC بعد الاختراق كانت تذكيرًا بأن الأمان التقني والقواعد الإنسانية ضروريان معًا. الضوابط تقلل الفرصة. القواعد تقلل القبول.

المقياس النهائي هو ما إذا كان المتضررون يمكنهم طلب المساعدة بأمان. إذا أصبحت أنظمة البيانات محفوفة بالمخاطر لدرجة أن الفئات الضعيفة تتجنب الخدمات الإنسانية، فإن التحول الرقمي للمساعدات قد فشل. يجب أن يكون الأمان جزءًا من الوصول.

المجهولات المتبقية وسؤال المساءلة

لا يزال السجل العام يحتوي على فجوات. لا يكشف عن البنية التحتية التقنية الكاملة، أو سجلات الطب الشرعي الكاملة، أو هوية المهاجم الكاملة، أو كل حقل متأثر، أو كل نظام شريك، أو كل تحكم مورد، أو كل نتيجة مراقبة طويلة الأجل. هذه الفجوات ليست تلقائيًا إخفاقات؛ بعض التفاصيل يجب أن تظل سرية. السؤال هو ما إذا كان هناك أدلة كافية للثقة في الإصلاح.

ما هو معروف كبير. كشفت ICRC عن اختراق كبير أثر على أكثر من 515,000 شخص من الفئات الضعيفة. تضمن الاختراق بيانات من 60 جمعية وطنية على الأقل وعطل أنظمة إعادة الروابط الأسرية. وصفت ICRC علنًا الفئات المتضررة، والأضرار المحتملة، وإيقاف تشغيل النظام، وإعادة التشغيل، والتحسينات الأمنية، والقلق المستمر بشأن التهديدات الرقمية الإنسانية. قام شركاء الحركة ووسائل الإعلام بتضخيم النطاق والأهمية العامة.

سؤال المساءلة هو ما إذا كانت بيئة البيانات الإنسانية أصبحت أكثر أمانًا بعد الاختراق. هل تم تقليل البيانات؟ هل تم تشديد ضوابط الوصول؟ هل تم تجزئة الأنظمة ومراقبتها؟ هل تم إعادة تقييم الموردين؟ هل تم تصحيح الثغرات الأمنية واختبارها؟ هل تم الاتصال بالمتضررين بطرق آمنة؟ هل تمت استعادة خدمات جمع شمل العائلات بضوابط أقوى؟ هل تم تعزيز القواعد القطاعية وتوقعات المانحين؟

بالنسبة لـ ICRC وشركاء الحركة، واجب الإصلاح مستمر. لا يمكن لصفحة حادثة واحدة إغلاق الخطر. تتطلب حماية البيانات الإنسانية أدلة متكررة: عمليات تدقيق، وتمارين، ومراجعات وصول، وإنفاذ الاحتفاظ، وتدريب الشركاء، وضمان الموردين، واتصال آمن بالمتضررين. بالنسبة للدول والجهات الفاعلة الأخرى، الواجب هو احترام البيانات الإنسانية وتجنب السلوك الإلكتروني الذي يعرض الفئات الضعيفة للخطر. بالنسبة للمانحين، الواجب هو تمويل الحماية، وليس فقط جمع البيانات.

يجب تذكر اختراق ICRC لأنه جعل المخاطر واضحة. يمكن للبيانات الإنسانية أن تساعد في جمع شمل العائلات وحماية الأشخاص. نفس البيانات، إذا تم كشفها، يمكن أن تزيد الخوف والمخاطر. تبدأ المساءلة بالتمسك بكلا الحقيقتين معًا.

فصل ملفات القضايا هو خيار تصميم

درس عملي واحد هو أنه لا ينبغي أن تعيش كل قضية إنسانية في نفس مستوى المخاطر. استفسار تتبع لشخص في سياق آمن نسبيًا، وسجل متعلق بالاحتجاز، وملف مفقود في نزاع نشط، وقضية هجرة تنطوي على خطر الحماية قد تدعم جميعها العمل الإنساني، لكنها لا تحمل عواقب تعرض متطابقة. يجب على النظام الناضج فصل أنواع القضايا حسب الحساسية والوصول حسب الحاجة إلى المعرفة.

يمكن أن يكون هذا الفصل تقنيًا وإجرائيًا. قد يشمل الفصل التقني قواعد بيانات مجزأة، ومصادقة أقوى للحالات عالية المخاطر، وموافقة إضافية للصادرات، وتسجيل أكثر صرامة، واحتفاظ أقصر. قد يشمل الفصل الإجرائي تدريب الموظفين، وقواعد وضع العلامات على القضايا، والتصعيد للفئات الحساسة، والمراجعة الدورية للوصول. النقطة الرئيسية هي أن "البيانات الإنسانية" ليست مجموعة واحدة غير متمايزة.

يساعد فصل ملفات القضايا أيضًا أثناء الاستجابة للحوادث. إذا تمكنت المنظمة من تحديد الأنظمة والبرامج ومستويات الحساسية المتأثرة، يمكنها التواصل بشكل أكثر دقة ودعم المتضررين بشكل أكثر فعالية. إذا تم خلط جميع السجلات، يصبح الإخطار أوسع ولكنه أقل فائدة. قد يسمع الجمهور رقمًا كبيرًا، بينما قد لا يتلقى الأشخاص الأكثر عرضة للخطر إرشادات مخصصة بسرعة.

تضمن حادث ICRC بيانات مرتبطة بإعادة الروابط الأسرية وعمل حساس آخر. السجل العام لا يسمح للغرباء بالحكم على نموذج الحساسية الداخلي بالتفصيل. لكن الحادث يجعل سؤال التصميم لا مفر منه. كلما كانت فئة القضية أكثر حساسية، زادت قدرة المنظمة على شرح، على الأقل داخليًا وللمشرفين الموثوق بهم، لماذا يتم جمع البيانات، ومدة الاحتفاظ بها، ومن يمكنه الوصول إليها، وما هي الضوابط الإضافية المطبقة.

هذه ليست مجرد تفضيل لهندسة الخصوصية. إنها حماية بالتصميم. غالبًا ما تعمل المنظمات الإنسانية في بيئات حيث لا يمكن للأشخاص الاعتماد على علاجات قانونية قوية إذا أسيء استخدام البيانات. يصبح التصميم جزءًا من دفاعهم.

أمن الموظفين والمتطوعين هو جزء من حماية المتضررين

يثير الاختراق أيضًا سؤال الموظفين والمتطوعين. تُستخدم أنظمة البيانات الإنسانية من قبل أشخاص عبر البلدان والأدوار ومستويات التدريب التقني. يمكن إضعاف نظام مركزي قوي من خلال إعادة استخدام بيانات الاعتماد، والتصيد، والصلاحيات المفرطة، والحسابات المشتركة، والأجهزة غير المُدارة، أو عدم وضوح إنهاء الوصول. يجب أن يدعم برنامج حماية البيانات البشر الذين يستخدمون النظام، وليس فقط تحصين الخوادم.

المصادقة الثنائية، التي ذكرتها ICRC كجزء من أمان إعادة التشغيل، هي خطوة مهمة. تقلل من قيمة كلمات المرور المسروقة وتساعد في حماية الوصول عبر المستخدمين الموزعين. لكن المصادقة هي طبقة واحدة فقط. يحتاج الموظفون إلى تدريب عملي على الروابط المشبوهة، والتعامل الآمن مع القضايا، وأمان الأجهزة، والتواصل الآمن، والتصعيد. قد يحتاج المتطوعون والموظفون المحليون إلى أدوات أبسط ودعم أوضح لأنهم غالبًا ما يعملون تحت ضغط وبموارد غير متكافئة.

يجب أن تكون مراجعة الوصول لطيفة ولكن صارمة. تعتمد المنظمات الإنسانية على الثقة، لكن الثقة لا تتطلب وصولًا واسعًا. متطوع يساعد في نشاط محلي واحد قد لا يحتاج إلى بحث عالمي عن القضايا. موظف انتقل إلى دور جديد قد لا يحتاج إلى الوصول بعد الآن. حساب شريك تم إنشاؤه لحالة طارئة قد يحتاج إلى انتهاء صلاحية. كل إذن زائد هو مضخم اختراق مستقبلي.

يجب على المنظمة أيضًا حماية الموظفين من التوقعات المستحيلة بعد الحادث. قد يضطر العاملون في الخطوط الأمامية للإجابة على أسئلة المتضررين بينما هم أنفسهم يعرفون القليل عن الحدث التقني. يحتاجون إلى تفسيرات معتمدة، وقنوات تصعيد، وإرشادات سلامة. إذا تُرك الموظفون للارتجال، فقد يبالغون في الوعد، أو يقللون من المخاطر، أو يكشفون معلومات إضافية عن طريق الخطأ.

لذا فإن حماية البيانات الإنسانية تشمل دعم القوى العاملة. الأشخاص الذين تثق بهم المجتمعات المتضررة يجب أن يكونوا مجهزين لشرح ما حدث وما تفعله المنظمة. الثقة علائقية. يمكن أن يفشل الإصلاح التقني القوي إذا كان التفسير البشري المحلي مشوشًا.

يجب على المانحين ومجالس الإدارة تمويل الضوابط المملة

غالبًا ما تتنافس المرونة الإلكترونية في العمل الإنساني مع تقديم البرامج العاجلة. يريد المانحون تقديم الخدمات. تريد المنظمات مساعدة المزيد من الناس. تَعِد المنصات الرقمية بالكفاءة. يمكن أن تبدو ضوابط الأمان وعمليات التدقيق ومراجعات الوصول ومشاريع الاحتفاظ وتقييمات الموردين بطيئة أو إدارية. يوضح حادث ICRC لماذا تلك الضوابط "المملة" هي جزء من المهمة.

يجب على المانحين طرح أسئلة مختلفة. إذا كان المشروع يجمع بيانات حساسة، هل يتم تمويل الأمان؟ هل يتم تمويل تقليل البيانات؟ هل يتم تمويل تدريب الموظفين المحليين؟ هل يتم تمويل صيانة النظام بعد الإطلاق الأولي؟ هل يتم تقييم الموردين؟ هل يتم تمويل تمارين الاستجابة للحوادث؟ هل تم التخطيط لإخطار المتضررين وموارد الترجمة؟ مشروع البيانات الإنسانية بدون ميزانية حماية غير مكتمل.

يجب على مجالس الإدارة والقادة التنفيذيين أيضًا طلب الأدلة بدلاً من الطمأنة. كم عدد الأنظمة الحساسة التي تحتوي على خرائط بيانات حالية؟ كم عدد مجموعات البيانات عالية المخاطر التي تحتوي على قواعد احتفاظ؟ كم مرة تتم مراجعة حقوق الوصول؟ كم عدد عقود الموردين التي تتضمن إخطار الحوادث وحقوق التدقيق؟ كم مرة يتم إجراء تمارين الاسترداد؟ ما مدى سرعة تحديد فئات القضايا المتأثرة بعد الاختراق؟ هذه الأسئلة تشغيلية بما يكفي لدفع التحسين.

يؤثر التمويل أيضًا على المساواة بين المقر الرئيسي والشركاء المحليين. قد يكون لدى المنظمة المركزية فريق أمان قوي، بينما قد يكون لدى الشركاء المحليين أو الجمعيات الوطنية موارد أقل. إذا تدفقت البيانات عبر الشبكة، يجب ألا يفترض معيار الحماية قدرة متساوية في كل مكان. الأدوات المشتركة والتدريب والمنصات الآمنة افتراضيًا وتمويل التنفيذ المحلي هي جزء من حوكمة البيانات المسؤولة.

اختبار المساءلة على مستوى مجلس الإدارة هو ما إذا كانت القيادة تتعامل مع الحماية الرقمية كجودة برنامج. خدمة جمع شمل العائلات التي لا تستطيع حماية بيانات جمع شمل العائلات ليست عالية الجودة، حتى لو وصلت إلى العديد من الأشخاص. النطاق بدون حماية يمكن أن يزيد الضرر.

الصمت العام يمكن أن يحمي الأنظمة لكنه يضر بالثقة

تواجه المنظمات الإنسانية مشكلة شفافية صعبة. إذا نشرت الكثير من التفاصيل التقنية، فقد تساعد المهاجمين. إذا نشرت القليل، فقد يفقد المتضررون والشركاء الثقة. استجابة ICRC ملحوظة لأنها قدمت تحديثات عامة مع حجب التفاصيل التقنية الحساسة. هذا هو الاتجاه الصحيح بشكل عام، لكن يجب فهمه كنموذج شفافية منظم وليس استثناء.

الشفافية المنظمة تبدأ بالجمهور. يحتاج المتضررون إلى معلومات عملية عن المخاطر والدعم. تحتاج الجمعيات الوطنية إلى إرشادات تشغيلية. يحتاج المانحون ومجالس الإدارة إلى أدلة الحوكمة. قد يحتاج أقران الأمان إلى مؤشرات أو دروس عبر قنوات موثوقة. تحتاج الجماهير العامة إلى سياق كافٍ لفهم الخطورة. لا تحتاج كل هذه الجماهير إلى نفس التفاصيل.

الشفافية المنظمة تتغير أيضًا بمرور الوقت. يمكن للبيانات المبكرة الاعتراف بعدم اليقين والخطوات الفورية. يمكن للتحديثات اللاحقة إضافة الفئات المتضررة، وحالة استعادة النظام، والتحسينات الأمنية، والدروس القطاعية. في وقت لاحق، يمكن لتقارير سنوية أو تحديثات حوكمة إظهار كيفية تنفيذ التوصيات. إشعار اختراق لمرة واحدة لا يكفي لحالة تشمل أشخاصًا ضعفاء على نطاق عالمي.

تتضرر الثقة عندما تتحدث المنظمات فقط عندما يكون ذلك مطلوبًا قانونيًا أو فقط بلغة غامضة. تتعزز عندما تشرح ما تعرفه، وما لا تعرفه، وما تفعله، ولماذا لا يمكن مشاركة بعض التفاصيل. تنسيق "ما نعرفه" لـ ICRC مفيد لأنه يسمي عدم اليقين كجزء من السجل. يجب على المنظمات الإنسانية الأخرى اعتماد انضباط مماثل قبل أن تحتاجه.

يجب أن يفهم الجمهور أيضًا أن السرية والمساءلة يمكن أن تتعايشا. يمكن للمنظمة أن تقول إنها حسنت المراقبة والمصادقة واختبار الاختراق ومراجعة الوصول والإشراف على الموردين وتقليل البيانات دون نشر تفاصيل الاستغلال. يمكنها الإبلاغ عن إغلاق التوصيات دون الكشف عن معلومات الهدف الحساسة. مشكلة الشفافية صعبة، لكنها قابلة للإدارة.

الحياد الإنساني يعتمد على حياد البيانات

تفويض ICRC ورسالتها، الموصوفان على صفحة التفويض والرسالة، يعتمدان على الحياد والاستقلال والثقة. يمكن للأنظمة الرقمية دعم هذه الرسالة، لكنها يمكن أيضًا أن تخلق أسئلة حول من يمكنه رؤية البيانات الإنسانية وما إذا كان يمكن استخدام البيانات من قبل أطراف النزاع أو المجرمين أو الجهات الفاعلة المعادية. حياد البيانات هو بالتالي امتداد عملي للحياد الإنساني.

حياد البيانات يعني أن البيانات الإنسانية لا ينبغي أن تصبح أداة للمراقبة أو الإكراه أو الاستهداف أو الدعاية أو الاستغلال التجاري. تساعد ضوابط الأمان في فرض هذا المبدأ. كذلك تفعل الاتفاقيات القانونية وسياسات الوصول والتقليل والتشفير وقواعد الموظفين. بعد الاختراق، يجب على المنظمة إظهار أنها لا تزال تستحق الثقة كوصي محايد على البيانات.

هذا المبدأ يتجاوز ICRC. تستخدم المنظمات الإنسانية بشكل متزايد أدوات الهوية الرقمية، والقياسات الحيوية، وأنظمة تحويل الأموال، وتطبيقات الهاتف المحمول، وتحديد المواقع الجغرافية، ومنصات المراسلة، وأنظمة إدارة الحالات المشتركة. يمكن لكل أداة تحسين الخدمة. يمكن لكل منها أيضًا إنشاء آثار بيانات. يحتاج القطاع إلى لغة مشتركة حول متى يكون الجمع الرقمي مبررًا، ومتى يكون مفرطًا، وكيف يمكن للأشخاص تلقي المساعدة دون التخلي عن معلومات غير ضرورية.

يتطلب حياد البيانات أيضًا مقاومة الضغط من الجهات الفاعلة القوية. قد ترغب الحكومات أو الجماعات المسلحة أو المانحون أو الشركاء في الوصول إلى البيانات الإنسانية لأسباب خارج الغرض الإنساني الأصلي. يجب أن يحدد نموذج حوكمة البيانات القوي الرفض والتصعيد والمراجعة القانونية. الاختراق هو شكل واحد من أشكال الوصول غير المصرح به؛ يمكن أن يكون الوصول القسري أو المنحرف عن المهمة شكلاً آخر.

جعل اختراق ICRC الوصول غير المصرح به مرئيًا. درس المساءلة الأوسع هو أن البيانات الإنسانية يجب أن تظل محمية من جميع أشكال سوء الاستخدام، التقنية والمؤسسية.

يجب أن تقيس المقاييس الحماية، وليس فقط الامتثال

بعد الاختراق، غالبًا ما تبلغ المنظمات عن معالم الامتثال: تحديث السياسات، وتقديم التدريب، وتنفيذ الضوابط. هذه مفيدة لكنها غير كاملة. تحتاج حماية البيانات الإنسانية إلى مقاييس تقيس ما إذا كان المتضررون والبرامج الحساسة أكثر أمانًا بالفعل. يجب أن تربط المقاييس الضوابط بمخاطر المهمة.

قد تشمل المقاييس المفيدة النسبة المئوية لمجموعات البيانات عالية المخاطر التي تحتوي على خرائط بيانات حالية، والنسبة المئوية للحسابات التي تمت مراجعتها خلال الربع الأخير، وعدد الحالات عالية المخاطر تحت ضوابط الوصول المعززة، وعمر السجلات المحتفظ بها، وعدد استثناءات أمان الموردين، والوقت لاكتشاف الوصول المشبوه، والوقت لعزل الأنظمة المتضررة، والوقت لتقديم إرشادات المتضررين باللغات ذات الصلة. لا يحتاج أي من هذه المقاييس إلى الكشف عن تفاصيل القضية علنًا.

يجب على المنظمة أيضًا قياس الحذف والتقليل. ما مقدار البيانات التي تمت إزالتها بأمان لأنها لم تعد مطلوبة؟ كم عدد الحقول التي تم إلغاؤها من النماذج؟ كم عدد فئات القضايا التي تم نقلها إلى احتفاظ أكثر صرامة؟ كم عدد الصادرات التي تم تعطيلها أو تقييدها؟ في العمل الإنساني، يمكن أن يكون تقليل البيانات وقائيًا مثل إضافة أداة أمان.

يجب أن تشمل المقاييس التمارين. هل تدربت المنظمة على اختراق نظام جمع شمل العائلات؟ هل تدربت على إخطار الجمعيات الوطنية؟ هل تدربت على الاتصال الآمن بالمتضررين؟ هل اختبرت الاستمرارية اليدوية للحالات العاجلة؟ هل تدربت على تصعيد الموردين؟ تكشف التمارين عن ثغرات لا تكشفها لوحات المعلومات.

أخيرًا، يجب حوكمة المقاييس. إذا رأت القيادة فقط إكمال الامتثال، قد تعتقد أن الخطر مغلق. إذا رأت القيادة مجموعات بيانات عالية المخاطر غير محلولة، أو وصولًا قديمًا، أو تصحيحًا متأخرًا، أو استمرارية غير مختبرة، فيمكنها تمويل التحكم التالي. تحتاج المساءلة إلى المقاييس غير المريحة، وليس فقط المطمئنة.