يواجه مديرو أمن تقنية المعلومات في شركات الدفع والتجار السعوديين تحديًا متكررًا: تصدّر أدوات الفحص الأمني آلاف النتائج بعد كل دورة فحص، مرتبة حسب درجة CVSS فقط، دون مراعاة لأهمية الأصل أو توافر استغلالات نشطة أو الضوابط التعويضية القائمة. عندما تحتوي قائمة الثغرات على 2,400 ملاحظة، يصبح السؤال الحقيقي: من أين نبدأ المعالجة؟
يفرض متطلب PCI DSS v4.0 رقم 6.3.1 على المؤسسات الخاضعة لمعيار أمن بيانات صناعة بطاقات الدفع ترتيب أولويات الثغرات PCI DSS معالجة قائمة على المخاطر، وليس مجرد الترتيب حسب الخطورة التقنية. يعني هذا أن الثغرة ذات الدرجة العالية في نظام خارج نطاق بيئة بيانات حاملي البطاقات قد تكون أقل أولوية من ثغرة متوسطة في خادم قاعدة البيانات الذي يخزّن أرقام البطاقات ولديه استغلال عام منشور.
لكن معظم فرق الأمن تفتقر إلى منهجية موحدة لتحويل نتائج الفحص إلى خارطة طريق معالجة قابلة للدفاع أمام مدققي QSA وقابلة للتتبع من قبل الرعاة التنفيذيين. في هذا المقال، نوثق المنهجية التي نطبقها في برنامج إدارة الثغرات لترتيب الأولويات وتخطيط دورات المعالجة بما يستوفي متطلبات PCI DSS ويحترم قدرة فرق التقنية على التنفيذ.
لماذا تفشل درجة CVSS وحدها في ترتيب الأولويات
درجة CVSS هي مقياس تقني يقيّم خطورة الثغرة بناءً على خصائصها الذاتية: هل يمكن استغلالها عن بُعد؟ هل تتطلب مصادقة؟ ما تأثيرها على السرية والسلامة والتوافرية؟ لكنها لا تجيب عن الأسئلة التي تهم مسؤول إدارة المخاطر:
- هل هذا الأصل جزء من بيئة بيانات حاملي البطاقات أم نظام داعم أم خارج النطاق تمامًا؟
- هل توجد استغلالات نشطة في البرية، أم أن الثغرة نظرية فقط؟
- هل الضابط المفقود هو تصحيح أمني بسيط، أم أنه يكشف عن فجوة بنيوية في التجزئة أو الصلاحيات؟
- ما المدة المتبقية قبل المراجعة السنوية لـ QSA، وكم دورة معالجة متاحة؟
بدون إجابات على هذه الأسئلة، يتحول ترتيب الأولويات إلى تخمين، وتُهدر الجهود على ثغرات منخفضة المخاطر بينما تبقى نقاط الضعف الحرجة مفتوحة لأسابيع.
المنهجية: أربع مراحل لترتيب الأولويات القائم على المخاطر
نطبق منهجية من أربع مراحل تحوّل نتائج الفحص إلى مصفوفة تسجيل مخاطر قابلة للتنفيذ. كل مرحلة تضيف طبقة من السياق، وتنتهي بقائمة مرتبة حسب المخاطر الفعلية، لا الخطورة التقنية فقط.
المرحلة الأولى: تصنيف الأصول حسب النطاق والأهمية
قبل ترتيب أي ثغرة، نحتاج إلى فهم أين يقع الأصل المتأثر في البنية التقنية وعلاقته ببيئة بيانات حاملي البطاقات.
نبدأ بـ حصر الأصول ونطاق الفحص، وهي الخطوة الأولى في عملية برنامج إدارة الثغرات. نعمل مع مالكي الأنظمة وفرق البنية التحتية لتصنيف كل أصل إلى واحدة من ثلاث فئات:
بيئة بيانات حاملي البطاقات (CDE): الأنظمة التي تخزّن أو تعالج أو تنقل بيانات حاملي البطاقات—خوادم قواعد البيانات، بوابات الدفع، أنظمة نقاط البيع. أي ثغرة هنا تحمل أعلى وزن في مصفوفة المخاطر.
الأنظمة الداعمة والمتصلة: الأنظمة التي لا تخزّن بيانات حاملي البطاقات لكنها متصلة بالشبكة نفسها أو تقدم خدمات داعمة—خوادم Active Directory، أنظمة المراقبة، خوادم النسخ الاحتياطي. ثغرة هنا قد تكون نقطة دخول للتحرك الجانبي نحو CDE.
خارج النطاق: أنظمة منفصلة تمامًا عن بيئة الدفع—شبكات المكاتب، أنظمة الموارد البشرية، بيئات التطوير غير المتصلة. الثغرات هنا تُعالج وفق سياسة الأمن العامة، لا وفق مدد PCI DSS الصارمة.
في نهاية هذه المرحلة، يحمل كل أصل تصنيفًا واضحًا، ويفهم الجميع أن ثغرة في خادم CDE ليست مثل ثغرة في محطة عمل إدارية.
المرحلة الثانية: تراكب سياق التهديد
الخطورة التقنية شيء، لكن التهديد الفعلي شيء آخر. ثغرة بدرجة عالية لكن لا توجد لها استغلالات معروفة تختلف عن ثغرة متوسطة يستغلها برنامج فدية بنشاط.
نطبق ترتيب مبني على المخاطر من خلال إثراء كل ملاحظة بمعلومات استخبارات التهديدات:
- هل توجد استغلالات نشطة في البرية؟ (مثلاً، ثغرة مدرجة في قائمة CISA KEV)
- هل نُشر إثبات مفهوم عام (PoC) على GitHub أو منصات البحث الأمني؟
- هل صدرت تنبيهات من جهات مثل المركز الوطني الإرشادي للأمن السيبراني أو US-CERT؟
نضيف أيضًا تقييمًا لسهولة الاستغلال: هل يتطلب الاستغلال مهارات متقدمة ووصولاً محليًا، أم يمكن تنفيذه عن بُعد بأداة آلية؟
في نهاية هذه المرحلة، تحمل كل ثغرة وسمًا يوضح مستوى التهديد الفعلي، ويمكن لفريق الأمن التمييز بين ما هو نظري وما هو مستغل فعلاً.
المرحلة الثالثة: ترجيح فجوة الضوابط
ليست كل الثغرات متساوية من حيث الجهد المطلوب للمعالجة أو الأثر على الوضع الأمني العام. ثغرة ناتجة عن تصحيح أمني مفقود يمكن إغلاقها في ساعات، بينما ثغرة ناتجة عن غياب التجزئة الشبكية قد تتطلب إعادة تصميم بنيوية.
نصنف الثغرات حسب نوع الفجوة:
تصحيحات أمنية مفقودة: ثغرات يمكن إغلاقها بتطبيق تحديث من المصنّع. هذه تحصل على أولوية عالية إذا كانت في CDE وتوجد لها استغلالات نشطة، لأن المعالجة سريعة والأثر كبير.
تكوينات غير آمنة: إعدادات ضعيفة—بروتوكولات تشفير قديمة، صلاحيات مفرطة، خدمات غير ضرورية مفعّلة. تتطلب تغييرًا في التكوين واختبارًا، لكنها لا تحتاج إلى تصحيحات.
فجوات بنيوية: غياب التجزئة الشبكية، عدم وجود مصادقة متعددة العوامل، أنظمة قديمة لا تدعمها التحديثات. هذه تُعالج عبر مشاريع أطول أو تُدار عبر ضوابط تعويضية وتُسجّل في سجل الاستثناءات وقبول المخاطر.
في نهاية هذه المرحلة، يعرف فريق المعالجة ليس فقط ما يجب إصلاحه، بل أيضًا كيف وكم من الوقت سيستغرق.
المرحلة الرابعة: تخطيط دورات المعالجة
الآن لدينا قائمة مرتبة حسب المخاطر، لكن يبقى السؤال: كيف نوزع 2,400 ثغرة على دورات معالجة واقعية تحترم قدرة الفرق وتستوفي مدد PCI DSS؟
نطبق نموذج اثني عشر دورة معالجة، كل دورة مدتها أسبوعان، وتُخصص كل دورة لإغلاق مستوى مخاطر واحد:
الدورات 1–3 (ستة أسابيع): ثغرات حرجة في CDE مع استغلالات نشطة. هذه تُعالج فورًا وتُتابع يوميًا.
الدورات 4–6 (ستة أسابيع): ثغرات عالية في CDE أو حرجة في الأنظمة الداعمة. تُعالج وفق المدد المنصوص عليها في متطلب 6.3.1.
الدورات 7–9 (ستة أسابيع): ثغرات متوسطة في CDE وعالية في الأنظمة الداعمة. تُعالج قبل المراجعة السنوية.
الدورات 10–12 (ستة أسابيع): ثغرات منخفضة أو خارج النطاق. تُعالج ضمن دورة الصيانة العادية أو تُقبل رسميًا.
نتابع التقدم عبر متتبع المعالجة، وهو أداة مشتركة بين فريق الأمن ومالكي الأنظمة، تُحدّث أسبوعيًا وتُرفع شهريًا إلى الإدارة العليا عبر تقارير الثغرات الشهرية.
في نهاية كل دورة، نُجري فحص داخلي وخارجي بصلاحيات للتحقق من إغلاق الثغرات، ونُحدّث مصفوفة المخاطر بالنتائج الجديدة.
كيف تدعم هذه المنهجية متطلبات PCI DSS v4.0
يفرض متطلب 6.3.1 من PCI DSS v4.0 على المؤسسات تحديد أولويات الثغرات بناءً على تقييم المخاطر، وليس فقط حسب درجة CVSS. المنهجية الموثقة أعلاه تستوفي هذا المتطلب من خلال:
- تصنيف الأصول: يضمن أن الثغرات في CDE تُعطى أولوية أعلى، بما يتماشى مع مبدأ حماية بيانات حاملي البطاقات.
- سياق التهديد: يُدخل عامل الاستغلال الفعلي، وهو ما يطلبه المعيار صراحةً.
- فجوة الضوابط: يميّز بين الثغرات القابلة للمعالجة السريعة والفجوات التي تتطلب ضوابط تعويضية.
- تخطيط الدورات: يوفر مددًا واضحة وقابلة للتدقيق، ويُسجّل الاستثناءات رسميًا في سجل قبول المخاطر.
عند المراجعة السنوية، يطّلع مدقق QSA على معيار إدارة الثغرات الذي يوثق المنهجية، وتقارير التعرض الشهرية التي تُظهر التقدم، وسجل الاستثناءات الذي يوضح كيف تُدار الثغرات التي لا يمكن إغلاقها فورًا. هذه الوثائق الثلاث تُشكّل دليلاً قويًا على الامتثال.
من يشارك في هذه العملية
نجاح ترتيب الأولويات والمعالجة لا يعتمد على فريق الأمن وحده. نعمل مع:
- مديرو أمن تقنية المعلومات: يوافقون على مصفوفة المخاطر ويرفعون التقارير إلى الإدارة العليا.
- مسؤولو إدارة الثغرات: يديرون الفحص اليومي ويتابعون التذاكر في متتبع المعالجة.
- مالكو الأنظمة: يُنفذون المعالجة الفعلية—تطبيق التصحيحات، تغيير التكوينات، اختبار الأثر.
- فرق الامتثال والمخاطر: يراجعون سجل الاستثناءات ويوافقون على قبول المخاطر المتبقية.
- الرعاة التنفيذيون: يتلقون تقارير التعرض الشهرية ويتخذون القرارات بشأن الموارد والأولويات الاستراتيجية.
المخرجات التي يحصل عليها العميل
في نهاية كل دورة شهرية من برنامج إدارة الثغرات، يحصل العميل على:
- معيار إدارة الثغرات: وثيقة تصف المنهجية، ومعايير التصنيف، ومدد المعالجة، وأدوار المسؤولين.
- تقارير الثغرات الشهرية: ملخص تنفيذي يُظهر عدد الثغرات المفتوحة والمغلقة، وتوزيعها حسب مستوى المخاطر، والتقدم مقابل الخطة.
- متتبع المعالجة: جدول تفصيلي يُحدّث أسبوعيًا، يُظهر كل ثغرة، ومالك النظام المسؤول، والموعد المستهدف، والحالة الحالية.
- سجل الاستثناءات وقبول المخاطر: سجل رسمي للثغرات التي لا يمكن إغلاقها فورًا، مع الضوابط التعويضية المطبقة وتوقيعات الموافقة.
هذه المخرجات ليست مجرد وثائق امتثال؛ إنها أدوات عمل يومية تُستخدم في اجتماعات المتابعة، وتُرفع إلى مجلس الإدارة، وتُقدّم إلى مدققي QSA كدليل على الامتثال المستمر.
كيف نساعدكم في بناء برنامج إدارة ثغرات قائم على المخاطر
إذا كنتم تواجهون تحدي ترتيب آلاف الثغرات وتحويلها إلى خارطة طريق معالجة واقعية، فإن برنامج إدارة الثغرات الذي نديره يوفر لكم منهجية موحدة وأدوات متابعة ووثائق امتثال جاهزة للتدقيق. ندير البرنامج بشكل مستمر عبر دورة شهرية، أو نطوره معكم لتتولوا إدارته داخليًا.
تشمل خدماتنا مراجعة الأصول وتغطية الفحص، وفحص داخلي وخارجي بصلاحيات، وترتيب مبني على المخاطر، ومدد معالجة ومتابعتها، وتقارير التعرض الشهرية. نعمل وفق متطلبات إطار الضوابط السيبرانية الأساسية للبنك المركزي السعودي، والضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني، ومعيار PCI DSS.
تواصلوا معنا لمناقشة وضعكم الحالي وكيف يمكن أن نساعدكم في بناء برنامج إدارة ثغرات يستوفي متطلبات الامتثال ويحمي بيئة بيانات حاملي البطاقات لديكم.
