لماذا يُعد استخدام الإدارة العليا لـ “واتساب” كارثة أمنية وحوكمية؟

في بيئة الأعمال المتسارعة، يلجأ العديد من المدراء التنفيذيين وأصحاب الوظائف العليا إلى تطبيقات المراسلة الفورية مثل “واتساب” لتسيير الأعمال اليومية واتخاذ القرارات السريعة. ورغم سهولة الاستخدام البالغة، إلا أن دمج هذا التطبيق الشخصي في البنية التحتية لتبادل البيانات الحساسة يُمثل كابوساً لفرق أمن المعلومات وتحدياً صارخاً لأطر حوكمة تقنية المعلومات (IT Governance).

فيما يلي تحليل تقني وتشغيلي لأبرز المخاطر المترتبة على هذه الممارسة:

1. اختراق الحسابات وسرقة الأجهزة (SPOF) السرقة المادية للأجهزة: في حال سرقة أو ضياع هاتف احد المشاركين، تقع أرشيفات كاملة من القرارات الاستراتيجية، العقود، والبيانات المالية في أيدي مجهولين.

في غياب أنظمة إدارة أجهزة الجوال (MDM) التي تعزل البيانات المؤسسية عن الشخصية، يصبح محتوى واتساب مكشوفاً، ولا يمكن لقسم الدعم الفني التدخل لمسح بيانات العمل حصرياً عن بُعد (Remote Wipe).

هجمات تبديل الشريحة (SIM Swapping) واختطاف الجلسات: يمكن للمهاجمين الاستيلاء على رقم الهاتف وتفعيل الحساب على جهاز آخر، مما يمنحهم وصولاً فورياً للمجموعات والمراسلات. الأخطر من ذلك هو إمكانية انتحال صفة المدير لإصدار أوامر مالية أو إدارية كارثية (Social Engineering/CEO Fraud) للموظفين الذين يثقون في مصدر الرسالة.

2. غياب السيطرة المركزية والظل التقني (Shadow IT)بيانات المؤسسة المتداولة عبر حسابات واتساب تقع تماماً خارج نطاق سيطرة البنية التحتية للمؤسسة حيث لا يمكن تطبيق سياسات منع فقدان البيانات (DLP)، ولا يمكن تتبع دورة حياة المعلومة، مما ينسف أي جهود للتدقيق الداخلي (IS Audit) وتتبع سجلات الامتثال في حال وقوع تسريب.

3. ثغرات النسخ الاحتياطي السحابي غير الخاضع للرقابةحتى مع وجود التشفير من طرف إلى طرف (E2EE) في المراسلات الحية، يتم غالباً تخزين النسخ الاحتياطية للمحادثات على الحسابات الشخصية للمدراء (مثل Google Drive أو iCloud). هذه الحسابات الشخصية لا تخضع لمعايير الأمان المؤسسية (مثل فرض المصادقة الثنائية المعقدة)، مما يجعلها نقطة ضعف سهلة للاختراق، ومنفذاً خلفياً لسحب بيانات المؤسسة.

4. فقدان البيانات عند انتهاء الخدمةعند انتهاء خدمة المسؤول أو استقالته، تظل البيانات المؤسسية والملفات الحساسة حبيسة جهازه الشخصي وحسابه الخاص. نظراً لأن التطبيق غير مرتبط بأنظمة الدليل النشط (Active Directory) الخاصة بالشركة، لا توجد طريقة تقنية لإلغاء وصوله الفوري لمجموعات العمل أو سحب أرشيف المؤسسة منه.

البدائل والحلول العملية لضمان سيادة البيانات (Data Sovereignty) واستمرارية العمل، يجب على المؤسسات إيجاد بدائل عملية تتوافق مع قيود الميزانية، ومحدودية النطاق الترددي (Bandwidth)، والواقع التشغيلي:

الحلول المستضافة داخلياً (Self-Hosted):خاصة في البيئات التي تواجه قيوداً تشغيلية أو عقوبات تقنية، أو تلك التي تتطلب ميزانيات اقتصادية. يمكن نشر منصات مفتوحة المصدر مثل Matrix (Element) أو Mattermost أو Nextcloud Talk على خوادم المؤسسة (On-Premises). هذه الحلول توفر بيئة تواصل وتشفير عالية وتعمل بكفاءة، مع ضمان بقاء البيانات فعلياً وقانونياً داخل شبكة المؤسسة.

تطبيق أنظمة إدارة الأجهزة (MDM / MAM): في حال الاضطرار لاستخدام أجهزة شخصية (BYOD)، يجب إلزام الإدارة العليا بتسجيل أجهزتهم في نظام إدارة مركزي يعزل مساحة وتطبيقات العمل عن المساحة الشخصية، لضمان القدرة على مسح البيانات الحساسة فوراً عند الإبلاغ عن فقدان الهاتف.

تصنيف البيانات (Data Classification): تفعيل سياسة حوكمة صارمة تمنع قطعياً تداول فئات محددة من المعلومات (مثل البيانات المالية والمسودات الاستراتيجية) عبر قنوات غير مصرح بها، مدعومة بوعي أمني مستمر للطبقة الإدارية العليا.