جهاز تسجيل في قاعة اجتماعات OpenAI: درس في الأمن الذي ننساه

كل مرة أجلس فيها مع مدير شركة لنتحدث عن الأمن السيبراني، أسمع الجملة نفسها تقريبًا: «عندنا جدار ناري ونسخ احتياطي وكلمات مرور قوية». وهذا جيد، لكنني أسأل بعدها: وماذا عن قاعة الاجتماعات؟ وخبر اليوم الذي استوقفني يجيب عن السؤال أفضل مما أستطيع أنا.

ماذا حدث؟

بحسب The Hacker News، اعتُقل موظف في OpenAI، وهو مواطن سعودي يبلغ 35 عامًا ويُدعى عبد الرحمن الفوزان، للاشتباه في أنه زرع جهاز تسجيل خفيًا في قاعة اجتماعات تنفيذية بمقر الشركة في سان فرانسيسكو لتسجيل محادثات حساسة دون علم أصحابها. والتهمة الموجهة إليه هي استخدام جهاز إلكتروني أو ميكانيكي أو غيره لاعتراض اتصالات شفهية، أو محاولة ذلك.

أما البوابة العربية للأخبار التقنية فتصفه بأنه مهندس سابق في الشركة، وتذكر أن وزارة العدل الأمريكية هي التي حددت هويته في بيان رسمي. ويبدو لي أن المصدرين يختلفان في وصف صفته الوظيفية، وهذا يجعلني أنتظر التفاصيل الرسمية قبل الجزم بأي شيء. وتبقى هذه كلها اتهامات لم يُحكم فيها بعد، والمتهم بريء حتى تثبت إدانته.

قضية قريبة: الأسرار التجارية والتوظيف

في الأخبار نفسها، ذكر موقع TechCrunch أن قاضيًا فيدراليًا قضى بأن يطّلع تطبيق Apple على مواد المقابلات التي أجرتها OpenAI مع موظفين سابقين في Apple، إضافة إلى رسائل خاصة وشهادات شخصيات رئيسية في قضية أسرار تجارية. القضيتان مختلفتان ولا أربط بينهما قانونيًا، لكن الخيط المشترك واضح: المعلومات السرّية تتسرب من الداخل، عبر الناس والاجتماعات وسجلات التوظيف، لا من الاختراق الخارجي وحده.

لماذا يهمنا في الخليج؟

شركاتنا تكبر بسرعة وتستقطب كفاءات من كل أنحاء العالم، وتعقد اجتماعات حساسة في الاستحواذات والمناقصات والتسعير والخطط الحكومية. وفي كثير من الشركات التي أعرفها تُصرف الميزانية على الحماية الرقمية، بينما قاعة الاجتماعات مفتوحة لمن يدخل، ولا أحد يعرف ما وُضع تحت الطاولة أو خلف الشاشة. وجهاز تسجيل صغير قد يكشف في ساعة ما تحميه عشرات الأنظمة.

وأريد أن أقول بوضوح إن جنسية المتهم ليست درس القصة. الدرس أن الخطر الداخلي موجود في كل شركة وكل بلد، وأن الثقة وحدها ليست ضابطًا أمنيًا.

ماذا أنصح به؟

• صنّف الاجتماعات: حدد أي اجتماعات حساسة فعلًا، وخصص لها قاعات محددة ومراقبة الدخول إليها.
• افحص القاعات دوريًا: فحص بصري بسيط قبل الاجتماعات المهمة، ومن الممكن الاستعانة بجهة متخصصة في الفحص الأمني للاجتماعات الأعلى حساسية.
• ضبط سجلات الدخول: اعرف من دخل القاعة ومتى، وراجع صلاحيات البطاقات والمفاتيح.
• سياسة واضحة للأجهزة: ما الذي يُسمح بإدخاله إلى القاعات الحساسة، وما الذي يُمنع، مكتوبة ومعلنة للجميع.
• إجراءات الخروج: عند انتهاء خدمة موظف أو انتقاله، اسحب الصلاحيات الفعلية والرقمية في اليوم نفسه.
• نظّف عمليات التوظيف: درّب فرق الموارد البشرية على ألا تطلب من المرشحين معلومات سرية تخص أصحاب عملهم السابقين، واحتفظ بسجلات المقابلات على افتراض أنها قد تُطلب يومًا أمام القضاء.
• استشر محاميًا: قوانين التسجيل والخصوصية تختلف بين الدول، فاسأل مستشارًا قانونيًا قبل أي إجراء مراقبة داخل شركتك.

رأيي الصريح

أعترف بأنني أُحب الحديث عن الذكاء الاصطناعي والسحابة والأمن السيبراني، لكن هذا الخبر يذكّرني بأن أقدم أشكال التجسس ما زالت تعمل: جهاز صغير وغرفة مغلقة وشخص يملك صلاحية الدخول. وإذا صحت الاتهامات، فقد حدث ذلك في شركة من أكثر الشركات اهتمامًا بالأمن في العالم، وهذا يعني أن شركتنا الصغيرة والمتوسطة ليست محصنة بالتأكيد.

نصيحتي لكل صاحب عمل: خصص هذا الأسبوع ساعة واحدة لتمشي في مكتبك كما لو كنت غريبًا، وانظر أين تُقال الأسرار وكم شخصًا يستطيع الوصول إليها. غالبًا ستجد ثغرة لا يظهرها أي برنامج فحص، وإصلاحها أرخص بكثير من ثمن تسريبها.