عملت مريم في شركة "كريسنت سوليوشنز" لأحد عشر عاماً. كانت تعرف أين تُحفظ فلاتر ماكينة القهوة، وتتذكر أعياد ميلاد الجميع، وكان بإمكانها الوصول إلى كل مجلد مشترك تقريباً تمتلكه الشركة. لم يكن أحد يشكك في مريم. كانت، كما يحب مديرها أن يقول، "جزءاً من أثاث المكتب."

في أحد أيام الثلاثاء بعد الظهر، أطلت زميلتها لينا من قسم التسويق من فوق الحاجز الفاصل بين مكتبيهما.

"مريم، أحتاج تقرير إيرادات العملاء للربع الثالث لعرض مجلس الإدارة غداً. لقد أُلغيت صلاحيات وصولي عندما نُقلت إلى القسم الجديد الشهر الماضي، وفريق تقنية المعلومات يستغرق وقتاً طويلاً. هل يمكنك إرساله إلى بريدي الإلكتروني الشخصي على Gmail؟ هذا أسرع."

ترددت مريم للحظة واحدة فقط. كانت تعرف لينا. لينا كانت طيبة. لينا كانت تحضر المعجنات كل جمعة. والموعد النهائي كان حقيقياً — كانت ترى التوتر واضحاً على وجه زميلتها.

فأرسلت الملف.

ما لم تفكر فيه مريم هو أن حساب Gmail الشخصي للينا لا يخضع لأي معايير تشفير، ولا يحتوي على أدوات منع تسرب البيانات، ولا يخضع لأي رقابة مؤسسية. بات الملف — الذي يحتوي على أرقام الإيرادات وأسماء العملاء وقيم العقود لأكثر من 200 حساب — يعيش الآن على خادم بريد إلكتروني شخصي خارج سيطرة الشركة. لم تقصد لينا أي أذى قط. أرادت فقط إنجاز عملها. هذا ما يسميه خبراء الأمن التهديد الداخلي غير المقصود: لا نية خبيثة، لكن ضرر حقيقي ودائم على سلامة البيانات والامتثال.

أما القصة الثانية التي كانت تتكشف في شركة "كريسنت سوليوشنز"، فكانت متعمدة بشكل أكبر.

كان طارق قد خُطئ في ترقيته ثلاث مرات خلال عامين. كان يبتسم في الاجتماعات، ويتطوع للمشاريع، ولا يقول شيئاً في العلن — لكنه في سره كان قد قبل بالفعل عرض عمل من شركة منافسة مباشرة. كان آخر يوم عمل له بعد ثلاثة أسابيع، ولم يكن أحد يعلم.

خلال الأسبوعين التاليين، بدأ طارق فيما أقنع نفسه بأنه مجرد "الاحتفاظ بنسخ من عمله الخاص." قام بتنزيل قاعدة بيانات جهات اتصال العملاء الكاملة. وصدّر وثائق استراتيجية التسعير التي ساعد في بنائها. وأعاد توجيه رسائل البريد الإلكتروني الداخلية التي تتضمن خارطة طريق المنتج إلى حسابه الشخصي. كل إجراء بحد ذاته ربما يبدو بسيطاً. لكنها مجتمعةً مثّلت سرقة منهجية لحقوق الملكية الفكرية.

"لقد بنيت نصف هذا"، قال طارق لنفسه ذات مساء، وذراع USB مدسوسة في حاسوبه المحمول. "هم مدينون لي بهذا."

ما لم يُدركه طارق — أو ربما لم يكترث به — هو أن نظام منع تسرب البيانات في الشركة كان قد رصد ارتفاعاً غير معتاد في نشاط تنزيل الملفات لديه. ظل التقرير في صندوق بريد فريق أمن المعلومات، دون أن يُقرأ، لأربعة أيام. وبحلول الوقت الذي راجعه فيه الفريق الأمني وصعّده إلى الموارد البشرية، كان طارق قد قدّم استقالته بالفعل.

كان التحقيق الذي أعقب ذلك مكلفاً، ومعقداً من الناحية القانونية، وضاراً جداً بالروح المعنوية. استطاعت الشركة إثبات وقوع عملية تسريب للبيانات، لكن استرداد تلك البيانات أو منع استخدامها في شركة المنافس كان شبه مستحيل.

على صعيد مريم، تكشّف الأمر بعد شهرين خلال تدقيق امتثال روتيني. اكتشف المدقق أن تقرير الربع الثالث قد أُرسل إلى عنوان بريد إلكتروني خارجي غير خاضع للرقابة. لم تُفصل مريم — لكنها تلقت إنذاراً رسمياً، وأُلزمت بإعادة تدريب التعامل مع البيانات، وسُجّل الحادث باعتباره مخالفة للسياسات. كان عرض لينا قد تم تقديمه منذ أمد. الضرر كان غير مرئي لكنه حقيقي: وصلت غرامة تنظيمية بسبب سوء التعامل مع البيانات المالية للعملاء بعد ستة أسابيع.

لم تعتبر مريم ولا طارق نفسيهما تهديداً. هذا بالضبط ما يجعل التهديدات الداخلية بالغة الخطورة. فهي تأتي بوجوه مألوفة، وتحمل بطاقات هوية رسمية، وتسجل الدخول ببيانات اعتماد شرعية. يجلسون بجانبك في غداءات الفريق. يعرفون كلمة مرور الواي فاي واسم مديرك.

الدرس الذي تعلمته "كريسنت سوليوشنز" — بثمن باهظ — هو أن الثقة ليست أداة أمنية. صلاحيات الوصول، ومراقبة السلوك، وسياسات البيانات الواضحة، وثقافة تُشجع الموظفين على السؤال بأمان: "هل من المقبول أن أرسل هذا؟" — هذه هي الضوابط الحقيقية التي تحمي المؤسسة. اختصار صغير واحد، اتخذه شخص أراد فقط المساعدة، قد يكلف أكثر بكثير مما تصوره أي أحد.