Nadya Bartol: Better cybersecurity starts with honesty and accountability | TED

Transcriber:

المترجم: Hani Eldalees المدقّق: omar idmassaoud

Today, I'm going to talk about a shameful topic.

سوف أتحدث اليوم عن موضوع مخجل.

This has happened to many of us, and it's embarrassing,

لقد حدث هذا للكثير منا، وهو أمر محرج،

but if we don't talk about it, nothing will ever change.

ولكن إذا لم نتحدث عنه، فلن يتغير أي شيء أبدًا.

It's about being hacked.

يتعلق الأمر بالتعرض للاختراق.

Some of us have clicked on a phishing link and downloaded a computer virus.

البعض منا قد نقر على رابط تصيد احتيالي وقام بتحميل فيروس الكمبيوتر.

Some of us have had our identities stolen.

البعض منا قد سرقت هويته.

And those of us who are software developers

والمبرمجون منا

might have written insecure code with security bugs in it

ربما قاموا بكتابة برامج غير آمنة وتحتوي على ثغرات أمنية بها

without realizing it.

دون أن يدركوا ذلك.

As a cybersecurity expert,

كوني خبيرة في الأمن السيبراني،

I have worked with countless companies on improving their cybersecurity.

لقد عملت مع العديد من الشركات لتحسين الأمن السيبراني لديهم.

Cybersecurity experts like me have advised companies

قدم خبراء الأمن السيبراني مثلي النصح للشركات

on good cybersecurity practices,

عن التصرفات السيبرانية الآمنة،

monitoring tools

كأدوات المراقبة

and proper user behaviors.

وسلوكيات المستخدم الجيدة.

ولكنني أرى مشكلة أكبر من أن تحلها أي أداة:

But I actually see a much bigger problem that no tool can fix:

the shame associated with the mistakes that we make.

الخجل الذي يرافق الأخطاء التي نرتكبها.

We like to think of ourselves as competent and tech savvy,

نميل للتفكير في أنفسنا أننا أكفاء وأننا نملك الخبرة التقنية،

and when we make these mistakes that can have a really bad impact

وعندما نقوم بارتكاب هذه الأخطاء التي يمكن أن يكون لها أثر سيء

on us and our companies --

على ذاتنا وأماكن عملنا

anything from a simple annoyance,

أي شيء من الانزعاج البسيط،

to taking a lot of time to fix,

لتمضية وقت طويل لإصلاح الخطأ،

to costing us and our employers a lot of money.

وحتى إنفاق قدر كبير من المال سواء منا أو من أماكن عملنا.

Despite billions of dollars that companies spend on cybersecurity,

بالرغم من المليارات التي تنفقها الشركات على الأمن السيبراني،

practitioners like me see the same problems over and over again.

فإننا كأخصائيين نرى ذات المشاكل تتكرر مرة تلو الأخرى.

Let me give you some examples.

دعني أعطيكم بعض الأمثلة.

The 2015 hack of Ukrainian utilities

الاختراق عام 2015 للمرافق الأوكرانية

that disconnected power for 225,000 customers

والتي تسببت بقطع الكهرباء عن 225,000 زبون

and took months to restore back to full operations

واستغرق الأمر شهورا لإرجاع الحال لطبيعته

started with a phishing link.

بدأ برابط للتصيد.

بالمناسبة، 225,000 زبون يعني أكثر بكثير من 225,000 شخص.

By the way, 225,000 customers is a lot more 225,000 people.

Customers can be anything from an apartment building

قد يكون الزبون عبارة عن عمارة سكنية

to an industrial facility

أو منشأة صناعية

to a shopping mall.

أو مجمعا للتسوق.

The 2017 data breach of Equifax

اختراق البيانات عام 2017 لشركة أيكوافاكس

that exposed personally identifiable information

التي كشفت معلومات شخصية حساسة

of 140 million people

لأكثر من 140 مليون شخص

and may ultimately cost Equifax something on the order of 1.4 billion dollars:

والتي قد تكون كلفت الشركة ما يقارب من 1,4 مليار دولار

بدأت من خلال استغلال ضعف واضح

that was caused by an exploitation of a well-known vulnerability

in the company's customer consumer complaint portal.

في البوابة الخاصة لشكاوى العملاء التي كانت تستخدمها الشركة.

Fundamentally, this is about technology and innovation.

في الأساس، الأمر يتعلق بالتكنولوجيا والابتكار.

Innovation is good; it makes our lives better.

الابتكار هو أمر جيد ويجعل حياتنا أسهل.

Most of the modern cars we drive today are fundamentally computers on wheels.

معظم السيارات الحديثة التي نقودها اليوم هي أساسًا كمبيوتر على عجلات.

They tell us where to go to avoid traffic, when to take them in for maintenance

فهي تخبرنا أين نذهب لتنجب الازدحام، متى يجب أن نأخذها للصيانة

and then give us all kinds of modern-day conveniences.

كما توفر لنا جميع وسائل الراحة الحديثة.

Many people use connected medical devices like pacemakers

كثير من الناس يستخدمون أجهزة طبية مترابطة مثل أجهزة تنظيم ضربات القلب

and glucose monitors with insulin pumps.

وأجهزة مراقبة الجلوكوز مع مضخات الأنسولين.

These devices make these people's lives better

تجعل هذه الأجهزة حياة الناس أفضل

and sometimes even extend their lives.

وأحيانًا تكون سببًا في إطالة عمرهم.

But anything that can be interconnected can be hacked when it's connected.

ولكن أي شيء يمكن أن يتصل بشيء آخر يعني أنه معرض للقرصنة عند حدوث الاتصال.

Did you know that the former US Vice President Dick Cheney

هل كنت تعلم أن نائب الرئيس الأمريكي السابق ديك تشيني

kept his pacemaker disconnected from Wi-Fi before he received a heart transplant?

أبقى جهاز تنظيم ضربات القلب الخاص به دون أن يتصل بالأنترنت إلى أن حصل على قلب آخر؟

I will let you figure out why.

سأدع اكتشاف السبب لك.

In a digitally interconnected world, cyber risks are literally everywhere.

في عالم مترابط رقميا، تنتشر المخاطر السيبرانية في كل مكان.

For years, my colleagues and I have been talking about

كنت أتحدث أنا وزملائي لسنوات

this elusive notion of cybersecurity culture.

عن هذه الفكرة المخادعة لثقافة الأمن السيبراني.

ثقافة الأمن السيبراني تحدث حين يعتقد جميع موظفي شركة ما

Cybersecurity culture is when everybody in the organization

believes that cybersecurity is their job,

أن الأمن السيبراني هو وظيفتهم.

knows what to do and what not to do

يعرف ما يمكن القيام به وما يجب تجنبه

and does the right thing.

ويقوم بالأمر الصائب.

Unfortunately, I can't tell you which companies do this well,

لا يمكنني للأسف أن أخبركم أي من الشركات تقوم بهذا بفعالية،

because by doing so, I would put a juicy target on their backs

لأنني إن قمت بهذا، سأضع علامة هدف مغرية على ظهورهم

for ambitious attackers.

للمخترقين الطموحين.

ولكن يمكن أن أجعل من الأمن السيبراني أقل غموضًا،

But what I can do is make cybersecurity less mysterious,

bring it out into the open and talk about it.

وأسلط عليه الضوء وأتحدث عنه.

There should be no mystery or secrecy within an organization.

يجب ألا يكون هناك غموض أو سرية داخل أي المنظمة.

When something is invisible and it's working,

عندما يكون هناك شيء مخفي ويعمل كما يجب،

لا نعلم بوجوده إلا عندما نفقده.

we don't know that it's there until it's not there.

Kind of like toilet paper.

كما هو الحال بمناديل المراحيض.

When the COVID-19 pandemic began,

عندما بدأت جائحة كوفيد-19،

what has been there all of a sudden became super important

أصبح ما كان موجودًا بالغ الأهمية

because we couldn't find it anywhere.

لأننا لم نجده في أي مكان آخر.

Cybersecurity is just like that:

الأمن السيبراني هو مشابه لهذا الأمر

نحن لا نعلم بوجوده حين يعمل كما يجب كما أننا لا نهتم.

when it's working, we don't know, and we don't care.

But when it's not working,

ولكن حين لا يعمل

it can be really, really bad.

يمكن أن يكون الأمر سيئًا للغاية.

Toilet paper is pretty straightforward.

مناديل المرحاض واضحة جدًا.

Cybersecurity is mysterious and complex.

الأمن السيبراني غامض ومعقد.

And I actually think it starts with the notion of psychological safety.

وأعتقد بالفعل أن الأمر يبدأ بمفهوم الأمن النفسي.

This notion was popularized by an organizational behavior scientist,

انتشر هذا المفهوم من قبل عالمة سلوك المؤسسات،

Amy Edmondson.

أيمي أيدمونسون.

Amy studied behavior of medical teams in high-stakes situations like hospitals,

تدرس أيمي طاقة عمل الطواقم الطبية في مواقف شديدة الخطورة كالمستشفيات،

where mistakes could be fatal.

حيث يمكن أن تكون الأخطاء قاتلة.

And she found out that nurses were not comfortable

ووجدت أن الممرضات لا يشعرن بالراحة

bringing up suggestions to the doctors

في اقتراح أشياء على الأطباء

because of the fear of questioning authority.

بسبب خوفهن من أن يستغل التسلسل الوظيفي ضدهن.

Amy helped improve medical teams

ساعدت أيمي في تطوير الطواقم الطبية

to make nurses more comfortable bringing up suggestions to the doctors

لجعل الممرضات أكثر راحة لتقديم مقترحات على الأطباء

for patient treatment

لمعالجة المرضى

without the fear of being scolded or demeaned.

بدون أي خوف من توبيخ أو تقليل من شأنهن.

For that to happen, doctors needed to listen and be receptive --

يجب أن يكون الأطباء أكثر تقبلَا ويتقبلوا الملاحظات لكي يحدث هذا

without judging.

دون إطلاق أي أحكام.

Psychological safety is when everybody is comfortable speaking up

يتحقق الأمن النفسي حين يكون الجميع مرتاحًا ويمكنه التعبير عن رأيه

and pointing things out.

والإشارة إلى الأشياء.

I want cybersecurity to be the same.

أرغب في أن يكون الأمن السيبراني هكذا.

And I want cybersecurity practitioners to be comfortable bringing suggestions up

وأرغب أن يكون جميع من يساهم في الأمن السيبراني مرتاحًا لتقديم مقترحات

to senior executives or software developers,

للمسؤولين المباشرين أو مطوري البرامج،

without being dismissed as those people who continue to talk about

دون أن يتم تقليل شأنهم على أنهم أناس يتكلمون غالبًا

horrors and errors,

عن الخوف والأخطاء،

and say no.

ويقولوا لا.

Not doing so is really hard

عدم القيام بهذا هو أمر صعب للغاية

for the individuals who are responsible for the creation of digital products

للأفراد المسؤولين لإنشاء المنتجات الرقمية

because fundamentally, it's about their pride and joy in their creations.

لأنه في الأساس، يتعلق الأمر فخرهم وسعادتهم بإبداعاتهم.

I once tried talking to a senior software development executive

حاولت مرة التحدث إلى أحد كبار مسؤولي تطوير البرمجيات التنفيذيين

about the need to do better security.

عن الحاجة لتوفير أمن أفضل.

You know what he said?

أتدرون ماذا قال لي؟

"Are you telling me we're developing insecure code?"

“هل تقولين لي أننا نطور برامج غير آمنة؟”

In other words, what he heard was, "Your baby is ugly."

بكلام آخر، ما سمعه هو: “طفلك هذا قبيح”

What if instead of focusing on what not to do,

ماذا لو التركيز على ماذا يجب أن لا نقوم به،

we focused on what to do?

قمت بالتركيز على ما يجب القيام به؟

Like, how do we develop better software

مثل، كيف يمكن تطوير برمجيات أفضل

and protect our customer information at the same time?

ونحمي معلومات زبائننا في نفس الوقت؟

Or how do we make sure that our organization is able to operate

أو كيف نتأكد من قدرة الشركة على العمل

in crisis, under attack or in an emergency?

في الأزمات، أثناء وقوع هجوم أو في الطوارئ؟

And what if we reward good things that people do in cybersecurity in some way

وماذا لو قدمنا مكافآت للموظفين الذين يمارسون الأمن السيبراني

and encourage them to do so,

ونشجعهم للقيام بذلك؟

like reporting security incidents,

مثل التبليغ عن حوادث أمنية،

reporting potential phishing emails,

الإبلاغ عن رسائل إلكترونية الاحتيالية المحتملة،

or finding and fixing software security bugs

أو العثور وإصلاح ثغرات أمنية في البرامج

in the software that they develop?

التي يقومون بتطويرها؟

And what if we tied these good security actions to performance evaluations

وماذا لو ربطنا هذه التصرفات الأمنية الجيدة مع تقييم الأداء

to make it really matter?

لجعل الأمر مهم حقًا؟

I would love for us to communicate these good cybersecurity things

أشجع فكرة أن يتم تعميم هذه الأشياء المفيدة للأمن السيبراني

and encourage them in some sort of company-wide communications

تشجعيه القيام بها من خلال تواصل ما على مستوى الشركة ككل

كالرسائل الإخبارية والمدونات مواقع الويب والمواقع الصغيرة

like newsletters, blogs, websites, microsites --

whatever we use to communicate to our organization.

أي كانت الطريقة التي نستخدمها للتواصل في الشركة.

What if a company announced a competition for who finds the most security bugs

ماذا لو أعلنت الشركة عن مسابقة لاكتشاف أكبر عدد من الثغرات الأمنية

and fixes them in a two-week development sprint

وإصلاحها خلال مسابقة تطوير مدتها أسبوعين

and then announces the winner of the competition for the quarter

وإعلان الفائز خلال مسابقة ربع سنوية

at a large company virtual town hall,

في حفل افتراضي على مستوى الشركة

and then rewards these people, these winners, with something meaningful,

ومن ثم منح هؤلاء الفائزين شيئا ذي معنى

like a week's vacation or a bonus.

مثل إجازة لمدة أسبوع أو علاوة.

Others will see the celebration and recognition,

سيشاهد الآخرون الاحتفال والتميز،

and they'll want to do the same.

وسيرغبون بالقيام بذات الشيء.

In the energy industry,

وفي صناعة الطاقة،

there is a really strong culture of safety.

توجد ثقافة قوية بخصوص السلامة.

People care about this culture, are proud of it,

يعتم الناس بهذه الثقافة وهم فخورون بها،

and there is a collective reinforcement of this culture

كما يوجد جهد جماعي لتعزيز هذه الثقافة

to make sure that nobody gets hurt.

للتأكد من أن أحدا لن يصيبه الأذى.

One of the ways they exhibit and keep this safety conscious culture going

إحدى الطرق التي يعرضون هذه الثقافة الواعية للسلامة ويحافظون عليها باستمرار

is by counting and visibly displaying days since the last safety incident.

عن طريق عد الأيام وعرضها بشكل مرئي منذ آخر حادثة تتعلق بالسلامة.

And then everybody works really hard not to have that count go back to zero

ويتعاون الجميع بالتالي لمنع هذا العدد من العودة للصفر مرة أخرى

because that means that somebody did get hurt.

لأن هذا سيعني أن أحد ما قد تأذى.

Cybersecurity is the same as safety.

الأمن السيبراني هو ذاته الأمن.

What if we all agree

ماذا لو اتفقنا جميعًا

to keep that count of days since the last cybersecurity incident

للحفاظ على هذا العدد من الأيام منذ حادثة الأمن السيبراني الأخيرة

going on forever

مستمر للأبد

and then work really hard not to have it reset to zero?

ومن ثم نعمل بجد لكي لا يرجع للصفر؟

And then certain things are a no-no,

ومن ثم توجد أشياء يجب عدم القيام بها بتاتًا

and we need to clearly communicate to our organizations what they are

ويجب أن نوصل هذه الأمور للشركات بكل وضوح

in an easily digestible and maybe even fun way,

بطريقة مبسطة وقد تكون ممتعة،

like gamification or simulations,

مثل التحفيز أو المحاكاة،

to make sure that people can remember this.

للتأكد من أن الناس سيتذكرون هذا.

And if somebody does something they're not supposed to do,

وفي حال قام أحدهم بشيء لا يجب القيام به

they should face some sort of consequences.

يجب أن يواجه عواقب هذا الأمر بطريقة ما.

So, for example, if an employee buys equipment on Amazon or eBay

مثلًا، لو قام أحد الموظفين بشراء معدات من أمازون أو إيباي

or uses personal Dropbox for their company business,

أو استخدموا مساحات تخزينهم السحابي الخاص لتخزين ملفات للشركة،

then they should face some sort of consequences.

فيجب أن يواجهوا عواقب هذا الأمر بطريقة أو أخرى.

And when this happens, executives should get the same treatment

ويجب أن يعامل المدراء بذات الطريقة في حال حدوث ذات الأمر

as regular employees,

كما الموظف العادي،

because if they don't, then people won't believe that it's real

لأنه إن لم يحدث هذا، لن يصدق الناس أن الأمر جدي

and will go back to their old behaviors.

وسيعودون لتصرفاتهم القديمة.

It's OK to talk about mistakes,

لا بأس من التحدث بشأن الأخطاء،

but just like a teenager who violates the rules tells us about it,

ولكن مثل المراهق الذي ينتهك القواعد ويخبرنا عن ذلك،

we appreciate that they told us about it,

حن نقدر أنهم أخبرونا بذلك،

but there should still be some sort of consequences.

ولكن يجب أن هناك نوع من العواقب.

Cybersecurity is a journey.

الأمن السيبراني هو رحلة.

It's not a destination,

وهو ليس النهاية،

and we need to keep working on it.

يجب أن نستمر بالعمل عليه.

I would love for us to celebrate cybersecurity people

أود أن نحتفل بالأشخاص القائمين على الأمن السيبراني

like the heroes that they are.

بأنهم أبطال بحق.

If we think about it, they are firefighters,

فهم كرجال الإطفاء إن فكرت بالأمر قليلًا،

emergency room doctors and nurses,

كأطباء غرف الطوارئ والممرضات،

law enforcement, risk executives and business strategists

رجال الشرطة والمسؤولين التنفيذيين للمخاطر واستراتيجيي الأعمال

all in the same persona.

جميعهم مجتمعين في شخص واحد.

And they help us protect our modern life that we like so much.

ويساعدوننا في حماية حياتنا الحديثة التي نحبها جدًا.

They protect our identities, our inventions, our intellectual property,

إنهم يحمون هوياتنا، اختراعاتنا وملكيتنا الفكرية،

our electric grid, medical devices,

شبكتنا الكهربائية والأجهزة الطبية،

connected cars and myriad other things.

السيارات المتصلة وعدد لا يحصى من الأشياء الأخرى.

And I'd like to be on that team.

أود أن أكون ضمن ذلك الفريق.

So let's agree that this thing is with us to stay,

إذن لنتفق أن هذا الأمر وُجد ليبقى،

let's create a safe environment to learn from our mistakes,

لنخلق بيئة آمنة لنتعلم من أخطائنا،

and let's commit to making things better.

ودعنا نلتزم بتحسين الأمور.

Thank you.

شكرًا لكم.