تسعى مايكروسوفت إلى تعزيز قناعتها بأن المؤسسات لا تحتاج بالضرورة إلى طبقات كثيرة من أدوات أمن البريد الإلكتروني، بعد أن عرضت بيانات قياس جديدة تشير إلى أن Defender for Office 365 ينجح في اعتراض الغالبية العظمى من الرسائل الضارة قبل وصولها إلى المستخدمين، ويزيل تقريباً كل ما ينجح في العبور إلى صندوق الوارد. لكن خبراء أمن المعلومات يقولون إن الصورة أكثر تعقيداً من مجرد نسب مئوية تبدو مطمئنة.
الفكرة الأساسية في التقرير الجديد هي أن القيمة الإضافية من إضافة أدوات طرف ثالث مدمجة، سواء قبل التسليم أو بعده، تبدو محدودة للغاية عند مقارنتها بما يقدمه Defender وحده. ووفقاً للبيانات التي قدمتها الشركة، فإن تحسينات الشركاء المتكاملين في معدل اكتشاف الرسائل الخبيثة والرسائل المزعجة لا تتجاوز أجزاء صغيرة جداً من الواحد في المئة، وهو ما تستخدمه مايكروسوفت لتأكيد أن اعتماداً أوضح على منصة واحدة قد يكون خياراً عملياً لبعض المؤسسات.
غير أن محللين في أمن المعلومات يحذرون من أن التركيز على نسبة الالتقاط وحدها قد يخفي السؤال الأهم: ما نوع الرسائل التي ما زالت تتجاوز الفلاتر، وما أثرها المحتمل إذا وصلت إلى الهدف الصحيح؟ في بيئة الهجمات الموجهة، قد تكون رسالة واحدة كافية لبدء حادثة أمنية أو اختراق داخلي أو عملية احتيال مالي، ولذلك يرى هؤلاء أن قياس النجاح يجب ألا يقتصر على الكم، بل يجب أن يشمل مستوى الخطورة ونوع التهديد.
أرقام مايكروسوفت تدعم دفاعاً مركزياً حول البريد
بحسب ما عرضته الشركة، فإن Defender يحقق أداء قوياً في مرحلة ما قبل التسليم، مع تفوق ملحوظ على عدد من منافسيه في فئة بوابات البريد الآمنة. كما تقول مايكروسوفت إنه يتعامل بكفاءة مع الرسائل الخبيثة التي تصل إلى صندوق الوارد، ما يجعل منه، بحسب وصف الشركة، خط دفاع أساسي حتى عندما تكون طبقات أخرى من الحماية موجودة داخل المؤسسة.
وأظهرت القياسات التي نشرتها الشركة أن فرق الأداء بين Defender والحلول التكاملية الأخرى لم يكن كبيراً بما يكفي لتبرير الاعتماد على مجموعة واسعة من البائعين في كل الحالات. كما قدمت مايكروسوفت معياراً جديداً يقيس معدل الرسائل الضارة التي تفلت من الفلاتر لكل ألف موظف، في محاولة لمنح مسؤولي الأمن مقياساً أكثر قرباً من واقع المؤسسات.
لكن حتى مع هذه الأرقام، يبقى السؤال حول الفائدة العملية من تقليص عدد الأدوات قائماً. فبعض المؤسسات قد ترى في توحيد المنظومة الأمنية تقليلاً للتعقيد وخفضاً للتكاليف وتسهيلاً للإدارة، بينما ترى أخرى أن تعدد الأدوات يمنحها فرصة لرصد التهديدات من زوايا مختلفة، خصوصاً إذا كانت البيئة التشغيلية معقدة أو عالية الحساسية.
خبراء الأمن: نسبة صغيرة قد تساوي حادثة كبيرة
الاعتراض الرئيسي لدى خبراء الأمن لا يتعلق فقط بمصداقية الأرقام، بل بسياق استخدامها. فقول إن أداة ما تحجب 99% أو 96% من الرسائل لا يوضح بالضرورة ما إذا كانت الرسائل المتبقية عبارة عن محاولات عامة يسهل كشفها أم هجمات دقيقة شديدة الاستهداف. وفي عالم التصيد الاحتيالي، قد تكون الرسائل النادرة هي الأخطر، لا الأكثر عدداً.
ويرى محللون أن تقديم نتائج الاختبار من دون تفاصيل كافية حول شدة التهديدات المفقودة أو أثرها المحتمل قد يدفع بعض المؤسسات إلى استنتاجات متسرعة. فبدلاً من السؤال: هل يكفي Defender؟ يصبح السؤال الأدق: أي نوع من المخاطر تريد المؤسسة أن تقبل به، وما مقدار القدرة الإضافية التي يمكن شراؤها مقابل تكلفة أعلى وتعقيد تشغيلي أكبر؟
كما يشير بعض الخبراء إلى أن إعدادات الفلترة نفسها تؤثر بشدة في النتائج. فالمؤسسات التي تختار إعدادات صارمة جداً ستحصل غالباً على معدلات أعلى في منع الرسائل، لكنها قد تدفع ثمناً في شكل إنذارات كاذبة، وعرقلة رسائل عمل مهمة، وإرهاق فرق تقنية المعلومات. أما الإعدادات الأكثر مرونة فتعني تجربة استخدام أفضل أحياناً، لكنها قد تسمح بمرور رسائل أكثر خطورة.
الذكاء الاصطناعي يرفع مستوى التحدي في البريد الإلكتروني
أحد الجوانب التي تجعل أمن البريد أكثر تعقيداً اليوم هو دخول الذكاء الاصطناعي على خط الهجوم والدفاع معاً. فالمهاجمون باتوا قادرين على إنتاج رسائل تصيد أكثر إقناعاً، وصياغة نصوص تحاكي لغة الشركات والجهات الداخلية، وتخصيص الهجمات بدرجة أعلى بكثير من السابق. وهذا يعني أن أدوات الفلترة التقليدية، مهما تطورت، ستواجه تهديدات أكثر مرونة وتنوعاً.
في المقابل، بدأت منصات الحماية نفسها توظف نماذج تحليل ذكية لرصد الأنماط الشاذة وفهم السياق واكتشاف الرسائل المشبوهة بعدة طبقات. لكن هذا المسار لا يخلو من مخاطر جديدة، لأن الأدوات المعتمدة على النماذج اللغوية أو التحليل الذكي قد تتعرض للتضليل أو التسميم عبر محتوى مخفي أو صيغ مصممة لإرباك النظام. وهنا تصبح فكرة الاعتماد على نوع واحد من الفحص أكثر إثارة للجدل.
لهذا السبب، يتمسك كثير من المتخصصين بمبدأ الدفاع متعدد الطبقات. فحتى إذا كانت منصة واحدة توفر حماية قوية، فإن وجود أدوات إضافية قد يساعد في سد الثغرات، أو كشف الهجمات التي تمر عبر طبقة معينة لكنها تتعثر عند أخرى. وفي بيئات العمل التي تتعامل مع بيانات حساسة أو ملفات مالية أو سلاسل توريد معقدة، يمكن لهذه الزيادات الصغيرة في الدقة أن تكون ذات قيمة ملموسة.
قرار البنية الأمنية يعتمد على المخاطر لا على الدعاية
الرسالة العملية التي يخرج بها هذا الجدل ليست أن على المؤسسات التخلص من مزوديها الآخرين، ولا أن عليها الاحتفاظ بكل أداة متاحة. بل إن القرار، كما يراه الخبراء، يجب أن يُبنى على اختبار بيئة العمل الفعلية، ومقارنة نتائج الالتقاط، وقياس أثر الإنذارات الكاذبة، وتقييم التكلفة الإجمالية، ثم ربط ذلك كله بحجم المخاطر التي تتحملها المؤسسة.
بعض الشركات قد تجد أن Defender يوفر لها مستوى كافياً من الحماية مع إدارة أبسط ومصروف أقل، خصوصاً إذا كان جزء من حزمة مايكروسوفت الأوسع بالفعل. شركات أخرى قد تكتشف أن إضافة أداة ثانية تمنحها تحسناً مهماً في رصد بعض التهديدات أو في تقليل احتمالات التسرب، خاصة إذا كانت تعمل في قطاعات عالية التعرض للهجمات.
في المحصلة، تعكس هذه الأرقام اتجاهاً تسويقياً معروفاً في سوق الأمن السيبراني: كل بائع يريد إقناع العملاء بأن منصته أكثر كفاءة وأقل حاجة إلى المكونات الخارجية. لكن خبراء الأمن يذكّرون بأن البريد الإلكتروني لا يُقاس فقط بنسبة النجاح المعلنة، بل أيضاً بما يفلت من الفلترة، وبمدى سرعة اكتشافه بعد الوصول، وبقدرة الموظفين أنفسهم على التمييز بين الرسالة المشروعة والعملية الاحتيالية.
ولهذا تبقى الخلاصة الأكثر اتزاناً أن تحسين أمن البريد الإلكتروني لا يتحقق بشعار واحد، بل بمزيج من التكنولوجيا والسياسات والتوعية، مع مراجعة مستمرة للتهديدات الجديدة وقدرة المنظومة الدفاعية على مواكبتها.