هندسة الأمن

هندسة الأمن هي عملية دمج ضوابط الأمان في نظام المعلومات بحيث تصبح هذه الضوابط جزءًا لا يتجزأ من قدرات النظام التشغيلية. وهي تشبه أنشطة هندسة النظم الأخرى في أن دافعها الأساسي هو دعم تقديم حلول هندسية تلبي متطلبات وظيفية ومتطلبات المستخدم المحددة مسبقًا ، ولكنها تتميز ببعد إضافي يتمثل في منع إساءة الاستخدام والسلوكيات الخبيثة. وغالبًا ما تُصاغ هذه القيود والضوابط كسياسة أمنية .

يركز هندسة الأمن السيبراني وهندسة الخصوصية على أمن المعلومات ، وأمن الحاسوب ، وأمن الشبكات ، بما في ذلك حماية البيانات من الوصول غير المصرح به، أو الاستخدام، أو الإفصاح، أو التدمير، أو التعديل، أو تعطيل الوصول إليها. أما الأمن المادي فيتضمن ردع المهاجمين عن الوصول إلى منشأة، أو مورد، أو معلومات مخزنة على وسائط مادية. وتشمل هندسة الأمن جوانب من العلوم الاجتماعية ، وعلم النفس (مثل تصميم نظام " يفشل بشكل جيد "، بدلاً من محاولة القضاء على جميع مصادر الخطأ)، والاقتصاد (انظر اقتصاديات الأمن )، والرياضيات ، والهندسة المعمارية . بعض التقنيات المستخدمة، مثل تحليل شجرة الأعطال ، مستمدة من هندسة السلامة .

تشمل الأشكال المبكرة لهندسة الأمن مجالات صناعة الأقفال ، والطباعة الأمنية ، والتشفير . وقد تبلورت المخاوف المتعلقة بهندسة الأمن الحديثة وأنظمة الحاسوب لأول مرة في ورقة بحثية صادرة عن مؤسسة راند عام 1967 بعنوان "الأمن والخصوصية في أنظمة الحاسوب" بقلم ويليس إتش. وير. ^{[ 1 ]} وقدّمت هذه الورقة، التي تم توسيعها لاحقًا عام 1979، ^{[ 2 ]} العديد من المفاهيم الأساسية لأمن المعلومات، والتي تُعرف اليوم بالأمن السيبراني، والتي تؤثر على أنظمة الحاسوب الحديثة، بدءًا من تطبيقات الحوسبة السحابية وصولًا إلى إنترنت الأشياء المدمج. ويُعد روس أندرسون أحد رواد تأسيس هندسة الأمن كمجال دراسي رسمي .

في سبعينيات القرن العشرين، شكّل إدخال أول أنظمة التشفير بالمفتاح العام ، مثل خوارزمية RSA ، علامة فارقة، إذ مكّن من إجراء اتصالات آمنة بين أطراف لا تتشارك سرًا مُسبقًا. وخلال ثمانينيات القرن العشرين، أبرز توسع شبكات المنطقة المحلية (LAN) وظهور أنظمة التشغيل متعددة المستخدمين ، مثل UNIX ، الحاجة إلى ضوابط وصول أكثر تطورًا وعمليات تدقيق للأنظمة. ^{[ 3 ]}

في القرن الحادي والعشرين، توسع مجال هندسة الأمن السيبراني ليشمل التصدي للتهديدات المعقدة، بما في ذلك الهجمات المدعومة من دول، وبرامج الفدية ، والتصيد الاحتيالي . وقد أتاح دمج أطر عمل مثل إطار عمل الأمن السيبراني التابع للمعهد الوطني للمعايير والتكنولوجيا (NIST) اتباع نهج أكثر شمولية يتضمن الدفاع التقني، والوقاية، والاستجابة، والتعافي من الحوادث. ^{[ 4 ]}

تدعم مبادئ هندسة الأمن السيبراني إنشاء أنظمة مرنة قادرة على الصمود أمام التهديدات السيبرانية والاستجابة لها، بما في ذلك:

• إدارة المخاطر: تتضمن تحديد المخاطر المحتملة وتقييمها وترتيب أولوياتها لتوجيه القرارات الأمنية. من خلال فهم احتمالية وتأثير التهديدات المختلفة، تستطيع المؤسسات تخصيص الموارد بكفاءة، مع التركيز على نقاط الضعف الأكثر أهمية. ^{[ 5 ] [ 6 ]}
• الدفاع المتعمق : يدعو إلى اتباع نهج أمني متعدد الطبقات، حيث تُطبَّق تدابير أمنية متعددة على مستويات مختلفة من المؤسسة. وباستخدام ضوابط متداخلة - مثل جدران الحماية وأنظمة كشف التسلل وضوابط الوصول - تستطيع المؤسسة حماية نفسها بشكل أفضل من التهديدات المتنوعة. ^{[ 7 ]}
• الأمان بالتصميم : يعطي الأولوية لبناء ميزات المنتج التي تقلل المخاطر، مثل اشتراط المصادقة متعددة العوامل بشكل افتراضي، وإلغاء كلمات المرور الافتراضية، وتوفير سجلات متعلقة بالأمان دون أي تكلفة إضافية على العملاء. ^{[ 8 ]}
• البرمجة الآمنة : تؤكد على أهمية إزالة الثغرات الأمنية المحتملة خلال مرحلة التطوير. ^{[ 9 ]} تساعد تقنيات مثل التحقق من صحة المدخلات ، والمعالجة السليمة للأخطاء، واستخدام المكتبات الآمنة على تقليل الثغرات الأمنية، وبالتالي تقليل مخاطر استغلالها في بيئات الإنتاج. ^{[ 10 ]}

يركز هندسة الأمن السيبراني على عدة مجالات رئيسية. تبدأ هذه الهندسة بتصميم بنية آمنة، تشمل أنظمة وشبكات تدمج ميزات أمنية قوية منذ البداية. يساعد هذا النهج الاستباقي على التخفيف من المخاطر المرتبطة بالتهديدات السيبرانية. خلال مرحلة التصميم، يقوم المهندسون بنمذجة التهديدات لتحديد نقاط الضعف والتهديدات المحتملة، مما يسمح لهم بتطوير تدابير مضادة فعالة مصممة خصيصًا للبيئة المحددة. تضمن هذه الاستراتيجية الاستباقية دمج الأمن في البنية التحتية نفسها بدلًا من إضافته لاحقًا. ^{[ 11 ] [ 12 ]}

علاوة على ذلك، يضمن مهندسو الأمن السيبراني امتثال الأنظمة للمعايير التنظيمية والصناعية، مثل معيار ISO 27001 وإرشادات المعهد الوطني للمعايير والتكنولوجيا (NIST) . ويُعدّ الامتثال أمرًا حيويًا ليس فقط للالتزام بالمتطلبات القانونية، بل أيضًا لوضع إطار عمل لأفضل الممارسات التي تُعزز الوضع الأمني ​​العام. ^{[ 13 ] [ 14 ]}

تضع دولٌ عديدة أطرًا تشريعية تُحدد متطلبات حماية البيانات الشخصية وأمن المعلومات في مختلف القطاعات. وفي الولايات المتحدة ، تلعب لوائح محددة دورًا بالغ الأهمية في حماية المعلومات الحساسة. وينص قانون قابلية نقل التأمين الصحي والمساءلة (HIPAA) على معايير صارمة لحماية المعلومات الصحية، بما يضمن حفاظ مؤسسات الرعاية الصحية على سرية بيانات المرضى وسلامتها. ^{[ 15 ] [ 16 ]}

يحدد قانون ساربينز-أوكسلي (SOX) متطلبات الامتثال التي تهدف إلى تعزيز دقة وموثوقية التقارير المالية وحوكمة الشركات، وبالتالي تأمين بيانات الشركات. [ 17 ^{] بالإضافة إلى} ذلك، يفرض قانون إدارة أمن المعلومات الفيدرالية (FISMA) معايير أمنية شاملة للوكالات الفيدرالية ومتعاقديها، مما يضمن اتباع نهج موحد لأمن المعلومات في جميع أنحاء القطاع الحكومي. ^{[ 18 ]}

على الصعيد العالمي، تتناول العديد من اللوائح الأخرى حماية البيانات، مثل اللائحة العامة لحماية البيانات (GDPR) في الاتحاد الأوروبي ، التي تضع معيارًا عاليًا لخصوصية البيانات وتمنح الأفراد مزيدًا من التحكم في معلوماتهم الشخصية. وتساهم هذه الأطر مجتمعةً في وضع تدابير قوية للأمن السيبراني وتعزيز أفضل الممارسات في مختلف القطاعات.

يشمل المتخصصون في هندسة الأمن السيبراني كلاً من الحاصلين على تعليم رسمي في هذا المجال، والأفراد الذين اكتسبوا خبراتهم من خلال الدراسة الذاتية والخبرة العملية. ^{[ 19 ]} تشمل مسارات التعليم الرسمي الحصول على درجة البكالوريوس أو الماجستير في علوم الحاسوب ، أو هندسة الحاسوب ، أو أي مجال ذي صلة. وقد وجدت دراسة أجريت عام 2020 أن 60% من وظائف الأمن السيبراني تتطلب شهادة جامعية في مجال ذي صلة، بينما يفضل 25% منها الحصول على درجة الماجستير، ويشترط 30% منها الحصول على شهادة مهنية معتمدة. ^{[ 20 ]}

وفقًا لشبكة مطوري مايكروسوفت ، تتكون أنماط وممارسات هندسة الأمن من الأنشطة التالية: ^{[ 31 ]}

• الأهداف الأمنية
• إرشادات تصميم الأمن
• نمذجة الأمن
• مراجعة هندسة وتصميم الأمن
• مراجعة رمز الأمان
• اختبار الأمان
• ضبط الأمان
• مراجعة نشر الأمن

تم تصميم هذه الأنشطة للمساعدة في تحقيق أهداف الأمن في دورة حياة البرمجيات .

• فهم التهديدات النموذجية والمخاطر المعتادة التي تهدد الأفراد والممتلكات.
• فهم الحوافز التي تنشأ عن كل من التهديد والتدابير المضادة.
• فهم منهجية تحليل المخاطر والتهديدات وفوائد الدراسة التجريبية للأمن المادي للمنشأة.
• فهم كيفية تطبيق المنهجية على المباني والبنية التحتية الحيوية والموانئ ووسائل النقل العام وغيرها من المرافق/المجمعات.
• نظرة عامة على الأساليب المادية والتكنولوجية الشائعة للحماية وفهم أدوارها في الردع والكشف والتخفيف.
• تحديد أولويات الاحتياجات الأمنية ومواءمتها مع التهديدات المتصورة والميزانية المتاحة.

هندسة أمن المنتجات هي هندسة أمنية تُطبق تحديدًا على المنتجات التي تُنشئها المؤسسة وتوزعها و/أو تبيعها. وتختلف هندسة أمن المنتجات عن أمن الشركات/المؤسسات، ^{[ 32 ]} الذي يركز على تأمين شبكات وأنظمة الشركات التي تستخدمها المؤسسة في أعمالها.

يشمل أمن المنتج هندسة الأمن المطبقة على:

• الأجهزة المادية مثل الهواتف المحمولة وأجهزة الكمبيوتر وأجهزة إنترنت الأشياء والكاميرات.
• البرامج مثل أنظمة التشغيل والتطبيقات والبرامج الثابتة.

غالباً ما يتم توظيف مهندسي الأمن هؤلاء في فرق منفصلة عن فرق أمن الشركات ويعملون بشكل وثيق مع فرق هندسة المنتجات.

• روس أندرسون (2001). هندسة الأمن . وايلي. ISBN 0-471-38922-6.
• روس أندرسون (2008). هندسة الأمن - دليل لبناء أنظمة موزعة موثوقة . وايلي. ISBN 978-0-470-06852-6.
• روس أندرسون (2001). "لماذا يُعدّ أمن المعلومات صعبًا - منظور اقتصادي" (ملف PDF) . وقائع المؤتمر السنوي لتطبيقات أمن الحاسوب . doi : 10.1109/ACSAC.2001.991552 . مؤرشف من الأصل في 11 أكتوبر 2006.
• بروس شناير (1995). التشفير التطبيقي (  الطبعة الثانية). وايلي. ISBN 0-471-11709-9.
• بروس شناير (2000). الأسرار والأكاذيب: الأمن الرقمي في عالم الشبكات . وايلي. ISBN 0-471-25311-1.
• ديفيد أ. ويلر (2003). "دليل البرمجة الآمنة لأنظمة لينكس ويونكس" . مشروع توثيق لينكس . مؤرشف من الأصل بتاريخ 28 أبريل 2007. تم الاطلاع عليه بتاريخ 19 ديسمبر 2005 .
• رون روس، مايكل ماكفيلي، جانيت كارير أورين (2016). "هندسة أمن الأنظمة" (ملف PDF) . إنترنت الأشياء . تاريخ الاسترجاع: 22 نوفمبر 2016 .{{cite web}}: صيانة CS1: أسماء متعددة: قائمة المؤلفين ( رابط )