الفرق بين التهديد والثغرة والمخاطرة

التعريفات الثلاثة في جدول

كيف ترتبط المفاهيم الثلاثة؟

لا تعتمد المخاطرة على وجود التهديد وحده ولا على وجود الثغرة وحدها، بل على وجودهما معًا: شخص يريد الاختراق، ونظام فيه ثغرة. ولهذا لا تُدرَس هذه المفاهيم بمعزل عن بعضها.

لماذا تُقيِّم المؤسسات المخاطر؟

لا تستطيع أي مؤسسة حماية جميع أنظمتها بالمستوى نفسه، ولا معالجة جميع الثغرات في الوقت نفسه. يشبّه أحمد ذلك بحراسة شركة: الخزنة أهم فتُوضع عليها ثلاثة حراس، أما باب الشركة فيكفيه حارس واحد. لذلك تبدأ المؤسسة بعملية تقييم المخاطر (Risk Assessment) التي تجيب عن أربعة أسئلة:

1. ما الأصول التي نريد حمايتها؟
2. ما التهديدات التي قد تستهدفها؟
3. ما الثغرات الموجودة حاليًا؟
4. أي المخاطر يجب معالجتها أولًا؟

مثال: أي ثغرة نغلق أولًا؟

في الدرس المصوّر يعرض أحمد مثالًا بالأرقام: خادم عليه ثغرة، وإغلاقها يكلّف 10,000 دينار، بينما أقصى خسارة متوقعة إذا اختُرق الخادم 1,000 دينار. في هذه الحالة لا تغلق المؤسسة هذه الثغرة. أما ثغرة أخرى كلفة إغلاقها مماثلة لكن خسارتها المتوقعة 100,000 دينار، فهذه هي التي تُغلَق أولًا. القرار يقوم على مقارنة كلفة المعالجة بحجم الأثر، وليس على مجرد وجود الثغرة.

ترتيب التفكير في أي تقرير أمني

عند إعداد تقرير أمني لا يبدأ الخبير باختيار برنامج مكافحة الفيروسات أو جدار الحماية، بل بهذا التسلسل:

1. ما الذي نحاول حمايته؟
2. من قد يهاجمه؟
3. كيف يمكن أن يصل إليه؟
4. ما الإجراء الأمني المناسب؟

لتعرف من هم أصحاب التهديدات انظر أنواع الهاكرز ودوافعهم، ولتعرف ماذا يحدث عند نجاح الاستغلال انظر ماذا يستطيع المهاجم أن يفعل. وتعريف المخاطرة في إدارة المشاريع مختلف بعض الشيء: الفرق بين الخطر والمشكلة.