كيف تبني مصر نموذجًا أمنيًّا يناسب واقعها بدل أن تستنسخ تجارب الآخرين؟
اقرأ أيضا: ترامب : اتفاقية مكة تظهر كيفية دفاع الدول المشاركة عن نفسها بطريقة أكثر فاعلية
في الجزأين السابقين، تتبعنا التحول من نموذج «القلعة الرقمية»، الذي يفترض وجود مساحة داخلية آمنة تحيط بها حدود دفاعية، إلى فلسفة الثقة الصفرية (Zero Trust) التي تنطلق من فرضية مختلفة تمامًا: لا توجد ثقة دائمة، وكل طلب للوصول يجب أن يخضع للتحقق.
لكن شرح الفلسفة شيء، وتطبيقها في العالم الحقيقي شيء آخر.
فقد يكون من السهل أن تقول مؤسسة ما: سنطبق «Zero Trust»، وأن تشتري أدوات للتحقق من الهوية، ومراقبة الأجهزة، وتقسيم الشبكات.
لكن السؤال الأصعب هو:
هل تستطيع المؤسسة فعلًا أن تطبق هذه الفلسفة داخل بنيتها الحالية؟
وهنا تبدأ المشكلة الحقيقية.
لأن الأمن السيبراني لا يعمل في فراغ تقني، إنه يعمل داخل مؤسسات لها تاريخ، وميزانيات، وموظفون، وأنظمة قديمة، وقوانين، وثقافة إدارية، وبيانات متفاوتة الجودة.
لهذا فإن نجاح Zero Trust في مصر والعالم العربي لن يتوقف على قدرتنا على شراء أحدث الحلول، وإنما على قدرتنا على إعادة تنظيم البيئة الرقمية نفسها حول مبدأ التحقق المستمر.
● ليست المشكلة في شراء التكنولوجيا
أحد أكثر الأخطاء شيوعًا في التحول الرقمي هو التعامل مع الأمن باعتباره منتجًا يمكن شراؤه.
تشتري المؤسسة جدارًا ناريًّا، أو منصة للمراقبة، أو نظامًا لإدارة الهوية، ثم تفترض أن المشكلة أصبحت تحت السيطرة.
لكن Zero Trust تقلب هذه المعادلة.
فالفلسفة لا تبدأ من السؤال:
ما الأداة التي نحتاج إلى شرائها؟
بل من أسئلة أكثر جوهرية:
من يستطيع الوصول إلى ماذا؟ ولماذا؟ ومتى؟ ومن يراقب هذا الوصول؟ وماذا يحدث إذا تغيرت الظروف؟
وهذه الأسئلة تكشف أن التحول إلى Zero Trust هو في جوهره مشروع مؤسسي قبل أن يكون مشروعًا تقنيًّا.
فإذا كانت المؤسسة لا تعرف بدقة أين توجد بياناتها الحساسة، أو مَن يملك صلاحية الوصول إليها، أو ما الأجهزة المتصلة بأنظمتها، فإن شراء أدوات أمنية إضافية لن يحل المشكلة.
قد يصبح لدينا عدد أكبر من الأنظمة الأمنية، لكن ليس بالضرورة مستوى أعلى من الأمان.
وهنا تظهر قاعدة تستحق أن تتذكرها مجالس الإدارة:
زيادة أدوات الأمن لا تعني بالضرورة زيادة الأمن.
أحيانًا تكون المشكلة في غياب الرؤية، لا في غياب الأدوات.
● من أين تبدأ مصر؟
لا أعتقد أن الطريق الواقعي لمصر، أو لأي دولة عربية، هو محاولة تطبيق Zero Trust على كل الأنظمة دفعة واحدة.
ذلك قد يكون مكلفًا وبطيئًا، وربما يؤدي إلى تعطيل عمليات قائمة بدلًا من حمايتها.
الأفضل هو البدء من الأصول الأكثر قيمة والأكثر تعرضًا للخطر.
الهوية الرقمية أولًا.
ثم البيانات الحساسة.
ثم الأنظمة ذات التأثير المباشر في الاقتصاد والخدمات العامة.
ثم التوسع تدريجيًّا إلى بقية البيئة الرقمية.
فالبنك، مثلًا، لن يبدأ بالضرورة من كل أجهزة المؤسسة، وإنما من الأنظمة التي تتعامل مع الحسابات والمعاملات والبيانات المالية.
والمستشفى قد يبدأ من الأنظمة التي تحتوي على بيانات المرضى، بينما تبدأ المنشأة الصناعية من أنظمة التحكم التي يمكن أن يؤدي اختراقها إلى توقف الإنتاج أو إحداث خسائر مادية مباشرة.
إنها فلسفة إدارة المخاطر قبل إدارة التكنولوجيا.
وهذا المبدأ مهم بصفة خاصة في الاقتصادات التي لا تستطيع توزيع استثماراتها الأمنية بالتساوي على كل شيء.
● المعضلة المصرية: أنظمة جديدة فوق أنظمة قديمة
هناك تحدٍّ آخر لا يمكن تجاهله.
فكثير من المؤسسات في مصر والعالم العربي لا تبدأ من الصفر.
لدينا بنية رقمية حديثة تعمل إلى جانب أنظمة قديمة (Systems (Legacy تم تطويرها منذ سنوات طويلة، وربما قبل أن تصبح مفاهيم الحوسبة السحابية والهوية الرقمية جزءًا من الحياة اليومية.
ولا يمكن ببساطة التخلص من هذه الأنظمة واستبدالها بين ليلة وضحاها.
وهنا يجب أن تكون Zero Trust مرنة.
يمكن إنشاء طبقات تحقق ومراقبة حول الأنظمة القديمة، بدلًا من انتظار إعادة بناء المؤسسة بالكامل.
وهذا يقود إلى مبدأ مهم:
التحول الأمني الناجح لا يعني هدم البنية القائمة، وإنما تقليل مساحات الثقة داخلها تدريجيًّا.
وهذه نقطة شديدة الأهمية للدول التي تعمل في بيئات رقمية غير متجانسة؛ فالموارد ليست بلا حدود، والاقتصاد لا يستطيع تحمل توقف الخدمات أثناء عملية إعادة بناء رقمية شاملة.
● لكن ماذا عن التكلفة؟
هنا نصل إلى السؤال الذي يهم أي مؤسسة:
كم ستكلفنا Zero Trust؟
والإجابة ليست رقمًا واحدًا.
هناك تكلفة مباشرة تتعلق بالبنية التحتية، وأنظمة إدارة الهوية، والمراقبة، والتدريب، وإعادة هندسة بعض الأنظمة.
لكن هناك تكلفة أخرى غالبًا ما يتم تجاهلها:
تكلفة عدم تطبيقها.
ماذا يعني توقف بنك لساعات؟
ماذا يعني اختراق قاعدة بيانات صحية؟
ماذا يحدث إذا تعطلت منظومة دفع إلكتروني؟
كم تخسر منشأة صناعية إذا توقفت خطوط إنتاجها بسبب هجوم سيبراني؟
وكم تبلغ تكلفة استعادة الأنظمة، والتحقيق، والإجراءات القانونية، وفقدان ثقة العملاء؟
عند النظر إلى الصورة بهذه الطريقة، يصبح الاستثمار في الأمن السيبراني ليس بندًا استهلاكيًّا، بل استثمار في استمرارية النشاط الاقتصادي.
وهنا يجب أن تتغير لغة مجالس الإدارة، بدلًا من سؤال:
«كم سيدفع الأمن من ميزانيتنا؟»
يجب أن يصبح السؤال:
«كم من اقتصادنا يعتمد على أنظمة لا نستطيع تحمل توقفها؟»
وهذا التحول في طريقة التفكير قد يكون أهم من شراء أي منتج أمني.
● Zero Trust والاقتصاد المصري
تصبح هذه المسألة أكثر أهمية مع توسع الاقتصاد المصري في الرقمنة.
فكلما انتقلت الخدمات المالية والحكومية والصناعية والتجارية إلى البيئة الرقمية، أصبحت الهوية والبيانات والأنظمة الرقمية جزءًا من البنية الأساسية للاقتصاد نفسه.
وهذا يعني أن الأمن السيبراني لم يعد شأنًا يخص إدارات تكنولوجيا المعلومات وحدها.
إنه أصبح قضية اقتصادية.
فالشركة التي لا تستطيع حماية بياناتها قد تخسر عملاءها.
والمؤسسة التي لا تستطيع ضمان استمرارية أنظمتها قد تخسر إنتاجها.
والقطاع الذي يعتمد على بنية رقمية غير مرنة قد يتحول إلى نقطة ضعف في الاقتصاد كله.
ومن هنا يمكن النظر إلى Zero Trust باعتبارها إحدى أدوات المرونة الاقتصادية، وليس مجرد تقنية للحماية.
فالمؤسسة الرقمية المرنة ليست المؤسسة التي تمنع كل حادث، فهذا هدف غير واقعي، وإنما التي تستطيع تقليل احتمالات الاختراق، واحتواء أثره، واستعادة نشاطها بسرعة عندما يحدث.
● لكن ينبغي ألا نستورد النموذج كما هو
وهنا نصل إلى النقطة التي أراها الأكثر أهمية.
مصر لا تحتاج إلى نسخة عربية من نموذج أجنبي لمجرد أنه نجح في دولة أخرى.
الدول تختلف في حجم مؤسساتها، وطبيعة بنيتها التحتية، وتشريعاتها، ومستوى نضجها الرقمي، وتوزيع مواردها، وطبيعة المخاطر التي تواجهها.
والأهم أن Zero Trust نفسها ليست منتجًا له شكل واحد.
إنها فلسفة.
والفلسفة يمكن أن تتكيف مع البيئة التي تُطبق فيها.
لذلك قد تحتاج مصر إلى نموذج يبدأ من القطاعات الحيوية، ويعطي الهوية والبيانات الأولوية، ويستخدم الأتمتة حيث تكون مفيدة، ويحافظ في الوقت نفسه على دور الإنسان في القرارات الحساسة.
كما تحتاج المؤسسات العربية إلى تطوير قدراتها المحلية في الأمن السيبراني، لا الاكتفاء بشراء المنتجات الأجنبية.
فامتلاك أداة أمنية شيء، وامتلاك القدرة على فهمها ومراقبتها وتقييمها والاستجابة عندما تفشل شيء آخر تمامًا.
وهنا ننتقل من سؤال امتلاك التكنولوجيا إلى سؤال أكثر عمقًا:
هل نمتلك القدرة على التحكم في التكنولوجيا؟
● السيادة الرقمية لا تعني أن نصنع كل شيء
من الخطأ فهم السيادة الرقمية باعتبارها عزلة تكنولوجية.
لا تستطيع دولة حديثة أن تصنع وحدها كل معالج، وكل نظام تشغيل، وكل منصة سحابية، وكل برنامج أمني.
وليس هذا هو الهدف أصلًا.
السيادة الرقمية تعني امتلاك القدرة على الاختيار والفهم والإدارة والمساءلة وتقليل نقاط الاعتماد الحرجة.
أن تعرف الدولة أين توجد بياناتها.
ومن يستطيع الوصول إليها.
وكيف تعمل الأنظمة التي تدير خدماتها الحيوية.
ومن يملك القدرة على تغييرها أو إيقافها.
وأن تمتلك في النهاية الكفاءات التي تمكّنها من الانتقال من الاعتماد الكامل إلى الاعتماد الواعي والمُدار.
فالاستقلال الرقمي الكامل قد يكون هدفًا غير واقعي، وربما غير ضروري.
أما الاستقلال في القرار الرقمي فهو هدف أكثر واقعية وأهمية.
وهنا يصبح Zero Trust جزءًا من مشروع أكبر بكثير من الأمن السيبراني.
إنه جزء من بناء القدرة على إدارة الاقتصاد الرقمي نفسه.
● من الثقة في الإنسان إلى الثقة في الآلة
لكن التكنولوجيا لا تتوقف.
فبينما نعيد بناء أنظمتنا على أساس ألا نثق بالهوية أو الجهاز أو الطلب بصورة دائمة، يحدث تحول آخر داخل عالم الذكاء الاصطناعي.
فالأنظمة الذكية لم تعد تكتفي بالإجابة عن الأسئلة.
بدأت تظهر أنظمة تستطيع التخطيط، واستخدام الأدوات، والوصول إلى قواعد البيانات، وتنفيذ سلسلة من المهام نيابة عن الإنسان.
وهنا يظهر سؤال جديد:
إذا كنا لا نمنح الإنسان صلاحية دائمة دون تحقق، فهل سنمنح الآلة صلاحية دائمة لمجرد أنها ذكية؟
قد يكون هذا السؤال هو الخطوة التالية في تطور فلسفة الأمن.
لأن الذكاء الاصطناعي عندما ينتقل من نظام يجيب إلى نظام يتصرف، فإن طبيعة المخاطر نفسها تتغير.
وحينها لن يكون كافيًا أن نتحقق من هوية المستخدم.
سنحتاج إلى التحقق من:
ما الذي يفعله النظام؟
ولماذا يفعله؟
وما الصلاحيات التي يحتاج إليها؟
وهل يستطيع التراجع عن قراره؟
وهنا قد تنتقل فلسفة Zero Trust إلى مجال جديد تمامًا:
الثقة الصفرية في الوكلاء الأذكياء
فإذا كان الموظف الرقمي قادرًا على قراءة البيانات، واتخاذ القرارات، واستخدام التطبيقات وتنفيذ المعاملات، فإن السؤال لن يكون فحسب:
هل نستطيع بناء وكيل ذكي؟
بل:
هل نستطيع بناء وكيل ذكي يمكن الوثوق بأفعاله دون أن نمنحه ثقة مطلقة؟
وهنا تبدأ المرحلة التالية من الثورة الرقمية.
من أمن الشبكات إلى أمن القرار.
ومن التحقق من هوية المستخدم إلى التحقق من أفعال الآلة.
وربما يكون هذا هو السؤال الذي سيحدد شكل الاقتصاد الرقمي في السنوات المقبلة.
* مخترع الواى فاي السريع وخبير تكنولوجيا المعلومات والأمن السيبراني.
