بناء مؤسسة جاهزة للحوادث

تكتشف معظم المؤسسات مدى جاهزيتها في أسوأ لحظة ممكنة. فالقرارات المهمة أثناء الحادثة، مثل من يملك الصلاحية ومن يتحدث إلى العملاء وأي الأنظمة تأتي أولًا، أسهل بكثير في اتخاذها بهدوء مسبقًا مما هي تحت الضغط.

لذلك فإن الجاهزية للحوادث تتعلق بالوضوح والممارسة والتعلّم أكثر مما تتعلق بالأدوات. يعرض هذا المقال خطوات عملية يمكن لأي مؤسسة اتخاذها، مهما كان حجمها.

أبرز النقاط

• الجاهزية برنامج متكامل من الأدوار والقرارات والتدريبات والتعلّم، وليست وثيقة مركونة على رف.
• حدد الصلاحيات ومسارات التصعيد والتواصل قبل وقوع الحادثة.
• اعرف أصولك الحيوية وأبقِ بيانات الاتصال والنسخ الاحتياطية في متناول اليد حتى عند تعطل الأنظمة.
• تدرّب عبر تمارين المحاكاة النظرية وحدّث الخطط بناءً على ما تتعلمه.
• افهم مسبقًا التزامات الإبلاغ النظامية والتعاقدية.

لماذا تأتي الاستعدادات أولًا

تضع المراجعة 3 من المنشور الخاص 800-61 الصادر عن NIST في أبريل 2025 الاستجابة للحوادث ضمن إطار أوسع لإدارة مخاطر الأمن السيبراني، بما يتوافق مع إطار NIST للأمن السيبراني 2.0، ويهدف إلى مساعدة المؤسسات على الاستعداد للاستجابة للحوادث وتقليل عددها وأثرها ^[1]. ويصف المعيار ISO/IEC 27035-1:2023 بالمثل عملية تشمل الاستعداد للحوادث واكتشافها والإبلاغ عنها وتقييمها والاستجابة لها وتطبيق الدروس المستفادة ^[2]. أما إرشادات CISA حول أساسيات خطة الاستجابة للحوادث فتنظّم الإجراءات قبل الحدث الأمني وأثناءه وبعده ^[3].

الرسالة المشتركة هي أن الاستعداد مرحلة قائمة بذاتها وليس أمرًا ثانويًا.

لبنات الجاهزية

1. عرّف ما هي الحادثة

اكتب تعريفًا موجزًا وواضحًا ومقياسًا بسيطًا لدرجات الخطورة. ينبغي أن يعرف الموظفون ما يجب الإبلاغ عنه ولمن، دون الحاجة إلى تقدير ما إذا كان الأمر خطيرًا بما يكفي. يجب أن يكون لرسالة بريد مشبوهة وجهاز محمول مفقود ونشاط حساب غير معتاد مسار واضح إلى قناة الإبلاغ نفسها.

2. حدد الأدوار والصلاحيات

سمِّ قائدًا للحادثة ونائبًا له. حدد من يستطيع اعتماد عزل نظام ما، ومن يتولى الأسئلة القانونية والتنظيمية، ومن يتواصل مع الموظفين والعملاء، ومن يحتفظ بسجل القرارات. أشرك مالكي الأعمال وليس تقنية المعلومات وحدها. سجّل بدلاء لكل دور، لأن الأشخاص يكونون في إجازة أو يتعذر الوصول إليهم أكثر مما تفترض الخطط.

3. اعرف ما هو الأهم

أدرج خدماتك الحيوية والأنظمة والبيانات التي تقوم عليها ومالكيها. عندما تتعطل عدة أمور في وقت واحد، تخبر هذه القائمة فرق الاستجابة بما يجب استعادته أولًا. اجعلها موجزة بما يكفي لتكون قابلة للاستخدام.

4. استعد للعمل أثناء تعطل الأنظمة

خطط الحوادث المخزنة على الشبكة المتأثرة فقط لا تفيد كثيرًا. احتفظ بنسخة غير متصلة أو مستضافة بشكل مستقل من الخطة وقوائم الاتصال والإجراءات الرئيسية. توصي إرشادات CISA بشأن برامج الفدية بالاحتفاظ بنسخ احتياطية مشفرة وغير متصلة للبيانات الحيوية واختبارها بانتظام، والحفاظ على خطط الاستجابة للحوادث والاتصالات مع التدرب عليها بصورة منتظمة ^[4].

5. اتفق على الاتصالات مسبقًا

اتفقوا على من يتحدث باسم المؤسسة، وما القنوات المستخدمة إذا تعذر البريد الإلكتروني، وكيف يُطلَع القادة. أعدّ بيانات مبدئية وقوالب إشعار للموظفين والعملاء والشركاء، ثم اعرضها على الجهة القانونية لمراجعتها.

6. افهم التزامات الإبلاغ

قد تشترط الجهات التنظيمية والعملاء وشركات التأمين الإخطار خلال مدد محددة. حدد هذه الالتزامات الآن. في المملكة العربية السعودية، توفر الهيئة الوطنية للأمن السيبراني قناة للإبلاغ عن الحوادث على موقعها الإلكتروني ^[5]، وقد تترتب على المؤسسات الخاضعة لجهات تنظيمية قطاعية أو عقود التزامات إضافية. تأكد من المتطلبات التي تنطبق على مؤسستك مع مستشارين مؤهلين بدلًا من الافتراض.

7. رتّب المساعدة الخارجية مسبقًا

قرر هل ستعتمد على الموظفين الداخليين أم على مزود خارجي متعاقد معه أم على كليهما. اتفق على نقاط الاتصال والنطاق وترتيبات الوصول بينما الأوضاع هادئة. لا تَعِد نفسك بتغطية لم تتعاقد عليها فعليًا.

تمرين الخطة

الخطة التي لم تُختبر قط تحتوي عادةً على ثغرات. تمارين المحاكاة النظرية منخفضة التكلفة: يعرض الميسّر سيناريو وتناقش المجموعة القرارات.

مثال افتراضي

هذا سيناريو توضيحي. يفيد فريق المالية في شركة توزيع بأن ملفات الفواتير لا تُفتح، وأن ملاحظة على محرك مشترك تطلب دفع مبلغ. في تمرين المحاكاة، يواجه المشاركون بسرعة أسئلة مثل:

1. من يقرر فصل خوادم الملفات، علمًا بأن موظفي المستودع يعتمدون عليها؟
2. أين توجد قائمة الاتصال إذا تعطل البريد الإلكتروني ودليل المستخدمين؟
3. أي العملاء لديهم بنود إخطار تعاقدية، ومن يتصل بهم؟
4. هل النسخ الاحتياطية الأحدث سليمة، وهل اختبر أحد استعادتها؟

كشف التمرين أن قائمة الاتصال كانت مخزنة على خادم الملفات المتأثر، وأن أحدًا لم يكن يعرف زمن استعادة نظام الطلبات. جرى إصلاح الأمرين خلال أسابيع، دون تكلفة تتجاوز بضع ساعات من النقاش.

أجرِ التمارين مرة سنويًا على الأقل وبعد التغييرات الكبرى. نوّع السيناريو: انكشاف بيانات، أو اختراق مورّد، أو الاستحواذ على حساب، أو إساءة استخدام من الداخل. أشرك التنفيذيين، لأن كثيرًا من القرارات الصعبة هي قرارات أعمال.

التعامل مع الحادثة نفسها بانضباط

عند وقوع حدث ما، تفيد بضع عادات بغض النظر عن نوعه:

• افتح سجلًا فورًا وسجّل الأوقات والإجراءات والقرارات.
• احفظ الأدلة قبل مسح الأنظمة أو إعادة بنائها، متى كان ذلك آمنًا.
• ابدأ بالاحتواء، بأصغر إجراء يوقف الانتشار، ثم حقّق.
• احتفظ بمصدر واحد للحقيقة بشأن الحالة وصوت واحد للرسائل الخارجية.
• أشرك جهات الاتصال القانونية والتنظيمية مبكرًا.

التعلّم لاحقًا

بعد التعافي، أجرِ مراجعة بلا لوم في وقت قريب بينما الذكريات حاضرة. اسأل عمّا حدث، وما الذي نجح، وما الذي أبطأ الفريق، وما الذي سيتغير. حوّل النتائج إلى إجراءات لها مالكون وتواريخ، وتابعها حتى اكتمالها. يشمل ISO/IEC 27035-1 الدروس المستفادة صراحةً ضمن العملية ^[2]. وهنا تتراكم الجاهزية: ينبغي أن تترك كل حادثة أو تمرين المؤسسة أفضل استعدادًا بصورة قابلة للقياس.

مؤشرات التقدم

يمكنك تتبع الجاهزية دون ابتكار مقاييس دقيقة. تشمل المؤشرات المفيدة: هل روجعت الخطة خلال الأشهر الاثني عشر الماضية، وهل لكل دور نائب مسمى، وهل اكتمل اختبار الاستعادة للأنظمة الحيوية، وهل أسفر آخر تمرين عن إجراءات مسندة، وهل أُغلقت تلك الإجراءات.

من أين تبدأ

إذا لم يكن لديك شيء اليوم، فابدأ بصفحة واحدة: قناة إبلاغ، وقائد للحوادث، وقائمة اتصال محفوظة دون اتصال، وقائمة بالخدمات الحيوية. ثم حدد موعد أول تمرين محاكاة نظرية. وللفرق التي ترغب في منظور خارجي حول الثغرات، يمكنها استكشاف قدرات Valtrenix في الحوكمة والمخاطر والامتثال واستخبارات التهديدات، التي يمكن أن تغذي عملية التخطيط بسيناريوهات وأولويات واقعية.

المصادر

1. Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile (NIST SP 800-61 Rev. 3), المعهد الوطني للمعايير والتقنية (NIST). csrc.nist.gov/pubs/sp/800/61/r3/final
2. ISO/IEC 27035-1:2023 Information security incident management, Part 1: Principles and process, المنظمة الدولية للتوحيد القياسي (ISO). iso.org/standard/78973.html
3. Incident Response Plan (IRP) Basics, وكالة الأمن السيبراني وأمن البنية التحتية (CISA). cisa.gov/resources-tools/resources/incident-response-plan-irp-basics
4. #StopRansomware Guide, وكالة الأمن السيبراني وأمن البنية التحتية (CISA) ومركز MS-ISAC. cisa.gov/stopransomware/ransomware-guide
5. الإبلاغ عن حادثة، الهيئة الوطنية للأمن السيبراني (المملكة العربية السعودية). nca.gov.sa/en/report-incident