وسائـل التحـقيق في جـرائم نظـم المعلومات

وسائـل التحـقيق في جـرائم نظـم المعلومات
سليمان مهجع العنزي، ماجستير
أكاديمية نايف العربية للعلوم الأمنية، 1424هـ / 2003م

تهدف هذه الدراسة إلى تحديد وسائل التحقيق في مجال جرائم نظم المعلومات وذلك بالكشف عن الجوانب المختلفة المحيطة بجريمة نظم المعلومات بتحديدها، ومعرفة دوافعها وإبراز أضرارها، وحصر الأساليب والأدوات المستخدمة من قبل مجرمي نظم المعلومات، وعن كيفية الحصول على تلك الأدوات المستخدمة في ارتكاب جرائم نظم من قبل مجرمي نظم المعلومات بالمملكة، والمنافذ المستخدمة من داخل المؤسسة أو من خارجها لارتكابها، وأدوات ضبط الجريمة والتحقيق فيها، وبيان العوائق التي تحول دون استخدام تلك الوسائل، وتحديد أنواع الأدلة المثبتة لارتكاب تلك الجرائم، وتحديد الإجراءات الأمنية سواء كانت فنية أو إدارية لتحقيق أمن نظم المعلومات، ومعرفة أسس صياغة إطار عام للسياسة الأمنية الشاملة لحماية نظم المعلومات.
يبلغ مجموع عينة الدراسة بشكلها النهائي (141) فرداً، وتتكون من (36) محققاً، ومن (68) عاملاً بمجال نظم المعلومات، ومن (37) متخصصاُ في المؤسسات الموفرة لتقنيات أمن نظم المعلومات. وتتكون مؤسسات عينة العاملين بالنظم من الشركات المتخصصة في مجال تقنية المعلومات تمثل (50.0?) من مجموع مؤسسات العاملين، والقطاع الحكومي ويمثل(16.2?)، والقطاع المصرفي ويمثل (16.2?)، والشركات غير المتخصصة في مجال تقنية المعلومات وتمثل (17.6?)، وتوفر ما نسبته (98.5?) من تلك المؤسسات الإنترنت لموظفيها، كما يرتبط (86.8?) منها بالإنترنت عن طريق الشبكة المحلية المربوطة بمزود الخدمة، وما نسبته (79.4?) منها يوجد بها سياسات أمنية، وما نسبته (51.5?) منها تصرف أكثر من (30?) على تقنية المعلومات من أجمالي ميزانيتها، وما نسبته (45.6?) منها تمتلك أكثر من (1000) جهاز حاسب الآلي، وما نسبته (73.5?) منها يتوفر بها قسم متخصص في أمن المعلومات.
تم استخدام أداة الدراسة (الإستبانة) لجمع البيانات اللازمة للدراسة وتكونت من البيانات العامة التي تناولت خصائص عينة الدراسة وتكونت من (9) فقرات، أما البيانات التفصيلية فشملت مكونات السياسة الأمنية الشاملة لحماية نظم المعلومات وتكونت من (12) فقرة الإجراءات الفنية ولإدارية لأمن نظم المعلومات وتكونت من (32) فقرة، وجرائم نظم المعلومات وتكونت من (81) فقرة، ووسائل التحقيق في جرائم نظم المعلومات وتكونت من (34) فقرة، والعوائق التي تحول دون استخدام تلك الوسائل وتكونت من (22) فقرة، وأنواع الأدلة المثبتة لارتكاب جرائم نظم المعلومات وتكونت من (4) فقرة. وقد تبين أن الأداة ذات ثبات Reliability عالي بلغ (0.7803).
أظهرت نتائج الدراسة في مجال السياسة الأمنية إن أقل العناصر وضوحاً في مكوناتها بالمؤسسات على الترتيب الاحترازات الشخصية (22.7?)، والتشارك في الخدمات (22.7?)، والعلاقة بالمنافسين والشركاء (24.1?)، والوثائق ووسائط الحفظ (27.0?)، والبرامج المطورة داخلياً (29.1?)، والجانب البشري (43.3?)، وفي مجال الاجراءات الأمنية لحماية نظم المعلومات أظهرت نتائج الدراسة إن أقل الإجراءات أتباعاً (على الترتيب) توفير أجهزة بدون محركات أقراص مرنة لعدم إتاحة استخدامها (2.20)، ومنح الحوافز للالتزام بالإجراءات الأمنية (2.25)، والتأكد من مزامنة ساعات الأجهزة باستمرار (2.44)، وربط الترقية والدورات (والحوافز الأخرى) بمدى التقيد بأمن المعلومات (2.66)، وتحديد مدة صلاحية كلمات المرور وتغييرها (2.75)، والتقدم بشكوى حول جرائم نظم المعلومات (2.95)، وتحديث النسخ الاحتياطي المركزي (3.07). وهذا يدل على أن هناك قصور أمني بأتباع تلك الإجراءات.
وفي مجال جرائم نظم المعلومات أظهرت نتائج الدراسة أن أفراد عينة الدراسة (المحققين، والعاملين بمجال نظم المعلومات) يوعون ويدركون بدرجة قوية خطورة جرائم نظم المعلومات (4.58)، كما أظهرت ارتفاع معدل جرائم نظم المعلومات بعد ظهور الإنترنت (4.48). كما أظهر نتائجها أن هناك جرائم نظم معلومات حجم حدوثها عالي وهي على الترتيب؛ إرسال وزراعة الفيروسات (4.06)، ونسخ البرامج والاستخدام غير المصرح به (3.89)، والتلاعب بإدخال البيانات (3.88)، وتغيير البرامج والإعدادات (3.86)، وإرسال أحصنة طروادة (3.83)، والاستيلاء على ما سوى المعلومات (3.40)، وتغيير البيانات بعد إدخالها (3.32)، وتدمير الملفات وقواعد البيانات (3.26)، كما هناك أساليب حجم استخدامها عالي نحو المؤسسات (سواء من الداخل المؤسسة أو خارجها) وهي على الترتيب؛ إرسال الفيروسات بالبريد الإلكتروني أو برامج المحادثة وما شابهها (4.52)، إرفاق أحصنة طروادة بالبرامج (4.21)، والنفاذ عبر الشبكة إلى الأجهزة المربوطة بها ومحاولة العثور على ملفات مشاركة غير محمية (3.87)، واستغلال الثغرات التي تكتشف في نظم التشغيل والتطبيقات العاملة معه (3.74)، ومحاولة اكتشاف المنافذ المفتوحة والدخول منها (3.74)، Spoofing IP (3.65)، واستغلال الثغرات الأمنية في مزودات web مثل مزود IIS (3.59)، واستخدام برامج حديثة تقوم باستغلال نقاط الضعف في برامج الحماية واستغلال الثغرات التي تكتشف في برامج الحماية للنفاذ للأجهزة (3.50). واستغلال الثغرات التي تكتشف في برامج الحماية للنفاذ للأجهزة (3.47)، كما أظهرت أن حجم استخدام منفذ شبكة الإنترنت وبرامج الاختراق الموجودة بها (4.25) كمنفذ خارجي أعلى من المنافذ الداخلية والخارجية الأخرى كإفشاء الرقم السري من قبل الموظفين (4.16)، أو المحاولة المتكررة (3.95)، أو عن طريق الأجهزة ومحركات الأقراص المرنة والليزر (3.95)، أو عن طريق الشبكة المحلية LAN وبرامج التشارك في الموارد (3.91)، أو الشبكة الواسعة WAN والبرامج المرتبطة (3.88)، كما أظهرت هناك أدوات حجم استخدامها عالي نحو المؤسسات (سواء من الداخل المؤسسة أو خارجها)، وهي على الترتيب؛ الفيروسات وديدان الإنترنت (4.53)، وCookies (4.51)، والبريد الإلكتروني (4.18)، والمشاركة في الملفات على الشبكة (4.08)، برامج التنصت على الشبكات (3.89)، برنامجNet Bus (3.80)، وبرنامج Sub Seven (3.75)، وبرنامج ICQ (3.51)، وبرنامج Password Recovery Toolkit (3.46)، وبرنامج Tribe Flood Network (3.29). وأن هناك طرق حجم سلوكها للحصول على أدوات ارتكاب الجرائم عالي، وهي؛ الحصول عليها كبرامج مجانية من مواقع على شبكة الإنترنت (4.96)، الحصول عليها من أماكن البيع غير قانونية للبرامج (4.71)، الحصول عليها كبرامج غير مجانية تشترى من مواقع على شبكة الإنترنت (3.66)، وأما من ناحية عدد تحدث جرائم نظم المعلومات بمؤسسات عيينة الدراسة بشكل يومي على الأقل بما نسبته (23.5?) منها، كما تحدث جرائم نظم المعلومات بشكل غير منتظم على الأقل بما نسبته (47.1?) من مؤسسات عيينة الدراسة، وتتعرض ما نسبته (12.8?) من مؤسسات عيينة الدراسة إلى إنذارات بوجود جريمة عن طريق الإنترنت تصل إلى أكثر من (1000) إنذار في الأسبوع.، وأظهرت النتائج أن هناك اعتماداً كبيراً على ضمانات موردي الأجهزة والبرامج بدلاً من تتبع الجرائم (3.38)، وأن جرائم نظم المعلومات تسببت لما نسبته (20.6?) من مؤسسات عينة الدراسة بخسائر مادية تبلغ أكثر من (10?) من نسبة أجمالي مصروفات المؤسسة في عام 2001م. كما ارتفاع حجم بعض دوافع جرائم نظم المعلومات، وهي على الترتيب دافع التسلية وحب الاستطلاع (4.19)، ودافع الوصول إلى معلومات شخصية (4.06)، ودافع إبراز قدرات (4.02)، ودافع الانتقام (3.98)، ودافع الاقتصادي والتجاري (3.25). كما أظهرت أن هناك فروق جوهر بين حجم بين بعض الجرائم في المؤسسات وأعداد الحاسبات الآلية التي تمتلكها، وتوفر الإنترنت، وأسلوب الدخول لها، كما يوجد فرق جوهري ذي دلالة إحصائية بين نوع المؤسسة في عدد مرات حدوث جرائم نظم المعلومات بالمؤسسات، ويوجد فرق جوهري ذي دلالة إحصائية بين متوسط حجم استخدام أدوات ارتكاب الجرائم من قبل مجرمي نظم المعلومات نحو المؤسسات.
وفي مجال وسائل التحقيق في جرائم نظم المعلومات أظهرت النتائج أن برامج الحماية تساعد بما نسبته (94.2?) في تحديد نوع الجريمة، وما نسبته (95.1?) في تحديد توقيت ارتكاب الجريمة وما نسبته (75?) في تحديد مصدر الجريمة، وما نسبته (94.2?) في الإعلام بوجود جريمة مرتكبة، كما أنه بالإمكان الاعتماد على عنوان IP) (94.2?)، وبرامج الحماية (91.4?)، وبرامج تتبع المخترقين (74.9?)، وبرامج تتبع مصدر الرسائل الإلكترونية (59.6?)، ووسائل أمن البيانات (88.5?)، وتعقب إجراءات أمن العاملين (79.8?) بتحديد شخصية مرتكب جريمة نظم المعلومات في المؤسسات، وأظهرت نتائج الدراسة أهمية الأدوات التالية التي يمكن تساعد بضبط الجريمة (مرتبة حسب أهميتها) سجل الصلاحيات للمستخدمين (4.94)، والتقارير التي تنتجها نظم أمن البيانات (4.86)، وبرامج النسخ الاحتياطي والتسجيل Logging (4.76)، وبرامج كشف الفيروسات (4.74)، وأدوات المراجعة Auditing (4.69)، وتقارير الجدران النارية (4.53)، وأدوات مراقبة المستخدمين للشبكة (4.52)، وبرامج تتبع المخترقين (4.11)، ومراجعة قاعدة البيانات (4.07)، برامج تتبع مصدر الرسائل (4.06). كما أظهرت نتائج الدراسة أهمية الأدوات التالية والمساعدة بالتحقيق (مرتبة حسب أهميتها) أداة فك التشفير (3.95)، وبرامج كسر كلمة المرور (3.93)، وأدوات استرجاع المعلومات من الأقراص التالفة مثل View disk (3.92)، وبرامج مقارنة النسخ (3.78)، وبرامج تشغيل الحاسب مثل Bootable diskette (3.29). كما أظهرت نتائج الدراسة أهمية أنواع الأدلة المادية المثبتة لارتكاب جرائم نظم المعلومات التالية، (مرتبة حسب أهميتها) دليل تسجيل الوقائع (4.50)، ودليل التغير الظاهر على البرامج (3.86)، ودليل وجود أحصنة طروادة (3.56)، ودليل وجود فيروسات (3.53).
أما في مجال معوقات استخدام وسائل التحقيق في جرائم نظم المعلومات، تعتبر عينة الدراسة أن هناك معوقات عدم وجود تشريعات واضحة خاصة بجرائم نظم المعلومات في البلد (4.63)، ومعوقات متعلقة بالجريمة هو عدم المعرفة بمكونات عناصر جريمة نظم المعلومات من قبل الأطراف المعنية بالجريمة (3.56)، ومعوقا ت تتعلق بالجهات المتضررة من جرائم نظم المعلومات، وتشمل؛ عدم تقدم معظم المؤسسات المتضررة من جرائم نظم المعلومات بشكوى للجهات الرسمية (4.09)، وعدم التدريب على استخدام التقنية المساعدة في كشف المجرمين (3.85)، ومقاومة الموظفين للوسائل الأمنية للإبقاء على قدر من الحرية (3.83)، وعدم قناعة العاملين بمجال نظم المعلومات في تدخل المحققين من رجال القانون بدعوى عدم المعرفة التخصصية الفنية (3.83)، وعدم استخدام أدوات تقنية متطورة تناسب برامج وأدوات التحقيق (3.48)، وعدم التنسيق بين الأجهزة الأمنية والمؤسسات المستخدمة لنظم المعلومات (93.3?). أما معوق الأحجام عن الإبلاغ عن جرائم نظم المعلومات فهي بسبب الحفاظ على السمعة (4.75)، وبسبب عدم الرغبة في الظهور بمظهر الضحية (4.38)، وبسبب الخوف من المسؤولية (4.27)، وبسبب محدودية الآثار المترتبة على الجريمة (4.09)، بسبب عدم اكتشاف الجريمة رغم القناعة بإمكانية وجودها في الواقع (3.61)، أما المعوقات المتعلقة بجهات التحقيق فهي؛ عدم توفير الأجهزة والبرامج المناسبة للتحقيق (86.1?)، وعدم توفير المتخصصين والخبراء في الحاسب الآلي (69.4?) وعدم التدريب في معاهد متخصصة بالتحقيق في جرائم نظم المعلومات (86.1?)، أما معوق عدم توفر الكفاءة البشرية القادرة على التحقيق في جرائم نظم المعلومات فيشمل عدم توفر المهارة العالية لاستخدام الحاسب الآلي والإنترنت لدى حوالي نصف العينة (47.9?)، ومعوق عدم المعرفة بمتطلبات أمن المعلومات لدى أكثر من ثلثي العينة (66.7?)، ومعوق عدم المقدرة على إتباع السياسة الأمنية للتعامل مع الجرائم لدى أكثر من ربع العينة (19.5?)، ومعوق عدم المعرفة بأساليب ارتكاب جرائم نظم المعلومات لدى أكثر من ثلثي العينة (72.2?)، ومعوق عدم المقدرة على الإثبات الجنائي لجرائم نظم المعلومات لدى أكثر من نصف العينة (52.2?). كما أظهرت الدراسة وجود فرق جوهري ذات دلالة إحصائية بين متوسط أراء المحققين والعاملين في مجال نظم المعلومات وموفري تقنيات أمن نظم المعلومات حول أهمية وسائل التحقيق والمعوقات التي تحول دون استخدامها