يخطئ كثيرون حين يعاملون دليل الاستجابة للحوادث كوثيقة تُكتب لإرضاء المقيّم. الاختبار الحقيقي أن يفتحه قائد حادثة في الثالثة فجراً فيعرف ماذا يفعل دون أن يسأل أحداً. يعرض هذا المقال هيكلاً عملياً لدليل الاستجابة للحوادث بما يتوافق مع الضوابط الأساسية للأمن السيبراني (NCA ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني، مع التركيز على حادثتين شائعتين: الفدية وتسريب البيانات.
ما الذي تتوقعه الضوابط الأساسية فعلاً؟
تتناول الضوابط الأساسية الصادرة عن الهيئة الوطنية للأمن السيبراني إدارة حوادث وتهديدات الأمن السيبراني بوصفها مجالاً مستقلاً. وتتوقع، في مضمونها، وجود خطط موثقة للاستجابة، وأدواراً محددة، وقنوات تصعيد، وآلية للإبلاغ عن الحوادث للجهات المختصة، وتحسيناً مستمراً مبنياً على ما يُستفاد من الحوادث. لن نذكر هنا أرقام ضوابط بعينها، فالأهم أن يترجم الدليل هذه التوقعات إلى خطوات يمكن تنفيذها.
القاعدة التي نوصي بها عند الصياغة: كل توقع تنظيمي يقابله قسم في الدليل، وكل قسم يجيب عن سؤال واحد: من يفعل ماذا، ومتى، وبأي صلاحية؟
الهيكل المقترح للدليل
1. الغرض والنطاق والتعريفات
حددوا الأنظمة والجهات المشمولة، وعرّفوا الحدث والحادثة والحادثة الجسيمة. غياب هذا التمييز يجعل الفرق تتجادل حول التفعيل بدل أن تتحرك.
2. معايير التفعيل والتصنيف
اكتبوا شروطاً قابلة للفحص لا أوصافاً عامة. مثلاً:
- ظهور رسالة فدية أو تشفير جماعي للملفات على أكثر من خادم.
- رصد نقل غير مصرح به لبيانات شخصية أو سرية إلى جهة خارجية.
- بلاغ من جهة خارجية بأن بيانات المنظمة معروضة للتداول.
- تعطل خدمة حرجة مع مؤشرات على فعل متعمد.
ولكل مستوى تصنيف، حددوا من يملك قرار رفعه أو خفضه، ومهلة اتخاذ هذا القرار.
3. الأدوار وصلاحيات القرار
سمّوا الأدوار لا الأشخاص، وأضيفوا بديلاً لكل دور: قائد الحادثة، والقائد التقني، ومسؤول الأدلة، ومسؤول الاتصال، والممثل القانوني، وممثل الإدارة التنفيذية. وحددوا صراحة من يملك صلاحية عزل الأنظمة الحرجة، وإيقاف خدمة للعملاء، والتواصل مع المهاجم إن وُجد قرار بذلك، وإبلاغ الجهات الخارجية. القرارات التي تحتاج موافقة عليا يجب أن يُعرف مسبقاً من يوافق عليها وكيف يُوصَل إليه خارج أوقات الدوام.
4. خطوات الاحتواء لكل سيناريو
هنا يفقد كثير من الأدلة قيمته لأنه يكتفي بعبارة «عزل الجهاز المصاب». اكتبوا الخطوات بالتسلسل.
حادثة الفدية:
- تحديد الأنظمة المتأثرة وعزلها عن الشبكة دون إطفائها، حفاظاً على الذاكرة المتطايرة.
- تعطيل الحسابات المشتبه في اختراقها وتدوير بيانات الاعتماد الإدارية.
- حماية النسخ الاحتياطية وفصلها والتحقق من سلامتها قبل أي استعادة.
- تحديد نقطة الدخول الأولى قبل بدء التعافي، حتى لا يعود المهاجم.
- اتخاذ قرار الاستعادة وفق أولوية الخدمات الحرجة.
حادثة تسريب البيانات:
- تحديد نوع البيانات وحجمها وأصحابها المحتملين.
- إيقاف قناة التسريب: حساب، أو مفتاح، أو مسار نقل، أو جهة ثالثة.
- تقييم الأثر على الأفراد وعلى الالتزامات التعاقدية والنظامية.
- تحديد من يلزم إخطاره، ومتى، وبأي صيغة.
5. التعامل مع الأدلة
أي إجراء احتواء قد يتلف أثراً رقمياً. لذلك يحتاج الدليل إلى قسم يحدد ما يُجمع قبل العزل، وكيف تُوثَّق سلسلة الحيازة، وأين تُخزَّن النسخ، ومن يملك صلاحية الوصول إليها. وإذا كان الحادث قد يفضي إلى إجراء قانوني أو تحقيق جهة رسمية، فالأولى الاستعانة بمختصين في التحقيق الجنائي الرقمي مبكراً.
6. التصعيد والاتصال
ضعوا مصفوفة تربط مستوى الحادثة بمن يُبلَّغ ومهلة الإبلاغ والقناة، مع قناة بديلة إن كانت أنظمة البريد أو الاتصال الداخلي متأثرة بالحادثة نفسها. وفرّقوا بين الاتصال الداخلي والاتصال بالعملاء والاتصال الإعلامي، ولكل منها معتمد واحد للصياغة.
7. الإبلاغ للجهات التنظيمية
حددوا الجهات التي يلزم إبلاغها بحسب طبيعة المنظمة وقطاعها: الهيئة الوطنية للأمن السيبراني، والبنك المركزي السعودي للجهات الخاضعة لإشرافه، والجهة المختصة بحماية البيانات الشخصية عند تسريبها. ولا تكتفوا بذكر الجهة؛ أضيفوا نموذج البلاغ، وما يُشترط فيه من معلومات، ومن يوقّعه، والمهلة الزمنية المقررة في اللوائح السارية على منظمتكم. راجعوا هذه المهل مع الشؤون القانونية قبل اعتماد الدليل.
8. التعافي والدروس المستفادة
يشمل التحقق من سلامة الأنظمة قبل إعادتها للإنتاج، ومعايير إعلان إغلاق الحادثة، واجتماع مراجعة خلال مدة محددة، وتحويل نتائجه إلى إجراءات مسندة بمواعيد. ويرتبط هذا القسم باستمرارية الأعمال، إذ يجب أن تتسق أهداف التعافي في الدليل مع ما أقرّته المنظمة في تحليل الأثر.
كيف يكشف التمرين ما لا يمكن اتباعه؟
الدليل الذي لم يُختبر يبدو سليماً دائماً. وعند أول تمرين محاكاة تظهر عادة الثغرات نفسها:
- معايير تفعيل لا يستطيع المناوب تطبيقها لأنها تعتمد على معلومة غير متاحة له.
- دور مسمّى في الدليل لا يعرف صاحبه أنه مكلف به.
- قرار عزل معلّق بانتظار شخص لا يمكن الوصول إليه.
- بيانات اتصال قديمة أو قنوات تعتمد على أنظمة معطلة.
- خطوات استعادة تفترض سلامة نسخ احتياطية لم يتحقق منها أحد.
اجعلوا كل تمرين يختبر قسماً محدداً، ودوّنوا الموضع الذي توقف فيه المشاركون أو اختلفوا في التفسير. كل توقف هو بند تعديل على الدليل، وكل تباين في التفسير يعني أن الصياغة تحتاج إلى وضوح أكبر. ويفيد أن يُجرى تمرين تقني للفرق، وآخر تنفيذي لأصحاب القرار، لأن الإخفاق في كل منهما يختلف.
قائمة تدقيق سريعة
- هل لكل معيار تفعيل شرط قابل للفحص؟
- هل لكل دور بديل، وهل يعلم صاحبه بتكليفه؟
- هل صلاحية العزل والإيقاف مكتوبة باسم الدور؟
- هل خطوات الاحتواء متسلسلة لكل سيناريو؟
- هل يحدد الدليل ما يُحفظ من أدلة قبل أي إجراء؟
- هل مهل الإبلاغ مراجَعة قانونياً؟
- هل جرى اختبار كل قسم في تمرين خلال دورة المراجعة الأخيرة؟
كيف نساعدكم في سيزو
نعمل في خدمة الجاهزية للاستجابة للحوادث وتمارين المحاكاة على تجهيز المنشأة للاستجابة: خطة الاستجابة للحوادث وأدلتها، والأدوار والتصعيد، والإبلاغ للجهات التنظيمية. يمر العمل بأربع مراحل: التقييم للقدرة الحالية والحوادث السابقة، ثم التخطيط للخطة والأدوار والأدلة، ثم التمرين بمحاكاة مع الفرق التقنية والتنفيذيين، ثم التحسين بالدروس المستفادة وتحديث الخطط. وتشمل مخرجاتنا خطة وسياسة الاستجابة للحوادث، ومجموعة الأدلة، ومصفوفة الاتصال والتصعيد، وتقرير التمرين مع التحسينات. وتغطي أدلة السيناريوهات الفدية وتسرب البيانات والاحتيال، وتستغرق الخدمة من 4 إلى 8 أسابيع، وفق إطاري SAMA CSF وNCA ECC.
إن كنتم تكتبون دليلكم أو تعيدون كتابته، فابدؤوا بمطابقته على الهيكل أعلاه، ثم اختبروه قبل أن يختبره حادث حقيقي.
