تفرض الهيئة الوطنية للأمن السيبراني في الضابط 4-2-3 من الضوابط الأساسية للأمن السيبراني على الجهات الخاضعة لها الإبلاغ عن حوادث الأمن السيبراني خلال 72 ساعة من اكتشافها. هذا الموعد النهائي واضح على الورق، لكن الواقع العملي أكثر تعقيداً: معظم الحوادث لا تُكتشف في لحظة واحدة محددة، بل تظهر تدريجياً عبر سلسلة من التنبيهات والفرز والتحقيقات الأولية قبل أن يتأكد الفريق من وجود حادثة فعلية تستوجب الإبلاغ. يواجه مدراء الاستجابة للحوادث ومدراء أمن المعلومات والمستشارون القانونيون سؤالاً حرجاً: متى بالضبط يبدأ العد التنازلي للـ 72 ساعة عندما يكون الاكتشاف عملية وليس حدثاً؟
يتناول هذا المقال كيفية تعريف لحظة الاكتشاف في دليل الاستجابة للحوادث، والأدلة التي يجب توثيق توقيتها في كل مرحلة، وكيفية إعداد الإبلاغ الأولي عبر بوابة X التابعة للهيئة الوطنية للأمن السيبراني عندما تكون المعلومات جزئية، حتى تتمكن الفرق من الوفاء بمتطلبات الإبلاغ خلال 72 ساعة الهيئة الوطنية للأمن السيبراني دون انتظار اليقين الجنائي الكامل.
فهم متطلبات الإبلاغ في الضابط 4-2-3
يتطلب الضابط 4-2-3 من الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني من الجهات الخاضعة الإبلاغ عن حوادث الأمن السيبراني خلال 72 ساعة من اكتشافها. يشمل ذلك الحوادث التي تؤثر على سرية البيانات أو سلامتها أو توافرها، أو تلك التي قد تؤثر على استمرارية الأعمال أو الخدمات الحرجة.
النص التنظيمي يستخدم مصطلح الاكتشاف دون تحديد دقيق لما يشكل هذه اللحظة. هل هو أول تنبيه من نظام SIEM؟ أم لحظة تأكيد محلل الأمن أن التنبيه ليس إيجابياً كاذباً؟ أم عندما يحدد الفريق أن الحادثة تستوفي عتبة الإبلاغ التنظيمي؟ هذا الغموض يخلق مخاطر امتثال حقيقية، خاصة عندما تمتد عملية الاكتشاف على مدى أيام.
مراحل الاكتشاف التدريجي للحوادث
في الممارسة العملية، تمر معظم الحوادث بأربع مراحل قبل أن تصبح واضحة:
المرحلة الأولى: التنبيه الأولي — ينتج نظام المراقبة (SIEM أو EDR أو IDS) تنبيهاً تلقائياً. قد يكون هذا التنبيه واحداً من مئات التنبيهات اليومية، وكثير منها إيجابيات كاذبة. في هذه المرحلة، لا يوجد يقين بوجود حادثة.
المرحلة الثانية: الفرز والتحقق — يراجع محلل الأمن التنبيه، ويفحص السياق، ويحدد ما إذا كان يستحق التصعيد. قد يستغرق هذا ساعات أو أيام، حسب حجم قائمة التنبيهات وتوافر الموارد.
المرحلة الثالثة: تحديد النطاق الأولي — بعد التأكد من أن التنبيه حقيقي، يبدأ الفريق في تحديد نطاق الحادثة: ما الأنظمة المتأثرة؟ هل هناك بيانات مكشوفة؟ هل النشاط مستمر؟ هذه المرحلة قد تكشف أن ما بدا حادثة بسيطة هو في الواقع جزء من خرق أوسع.
المرحلة الرابعة: التأكيد والتصنيف — يؤكد الفريق أن الحادثة تستوفي معايير الإبلاغ التنظيمي، ويصنفها حسب الخطورة والأثر، ويحدد ما إذا كانت تتطلب إبلاغ الهيئة الوطنية للأمن السيبراني.
السؤال الحرج: أي من هذه المراحل تشكل الاكتشاف الذي يبدأ منه العد التنازلي للـ 72 ساعة؟
تعريف الاكتشاف في دليل الاستجابة للحوادث
لتجنب الغموض والمخاطر القانونية، يجب أن يتضمن دليل الاستجابة للحوادث تعريفاً واضحاً وقابلاً للتطبيق لـ لحظة الاكتشاف لأغراض الإبلاغ التنظيمي. نوصي بالنهج التالي:
تُعتبر الحادثة مكتشفة عندما يتوفر لدى الجهة معلومات كافية لتحديد أن حدثاً أمنياً قد وقع ويحتمل أن يستوفي معايير الإبلاغ التنظيمي، حتى لو لم يكتمل التحقيق الكامل في النطاق والأثر.
هذا التعريف يعترف بأن الاكتشاف ليس لحظة اليقين الكامل، بل لحظة الاحتمال المعقول. بمجرد أن يتمكن الفريق من القول "نعتقد أن لدينا خرقاً للبيانات" أو "يبدو أن هناك وصولاً غير مصرح به إلى النظام الحرج"، يبدأ العد التنازلي.
في الممارسة العملية، هذا يعني عادة نهاية المرحلة الثالثة (تحديد النطاق الأولي) أو بداية المرحلة الرابعة (التأكيد)، وليس التنبيه الأولي أو الفرز.
توثيق الطوابع الزمنية في كل مرحلة
لحماية الجهة في حالة مراجعة الهيئة الوطنية للأمن السيبراني أو تدقيق لاحق، يجب توثيق الطوابع الزمنية لكل مرحلة من مراحل الاكتشاف والاستجابة. هذا يثبت أن الجهة تصرفت بحسن نية وبذلت جهداً معقولاً لتحديد الحادثة والإبلاغ عنها في الوقت المناسب.
يجب توثيق ما يلي:
- وقت التنبيه الأولي: الطابع الزمني من نظام المراقبة (SIEM، EDR، IDS، جدار الحماية).
- وقت بدء الفرز: متى راجع محلل الأمن التنبيه لأول مرة.
- وقت التصعيد: متى تم تصعيد التنبيه إلى فريق الاستجابة للحوادث أو مدير أمن المعلومات.
- وقت تحديد النطاق الأولي: متى تم تحديد الأنظمة أو البيانات المتأثرة بشكل أولي.
- وقت التأكيد: متى تم تأكيد أن الحادثة تستوفي معايير الإبلاغ التنظيمي.
- وقت الإبلاغ: متى تم تقديم الإبلاغ الأولي عبر بوابة X.
يجب حفظ هذه الطوابع الزمنية في سجل الحادثة (incident log) أو نظام إدارة الحوادث، مع ملاحظات موجزة حول ما تم تحديده في كل مرحلة. هذا السجل يصبح الدليل الأساسي على الامتثال.
إعداد الإبلاغ الأولي عبر بوابة X
أحد أكبر التحديات التي تواجه الفرق هو أن الإبلاغ مطلوب خلال 72 ساعة من الاكتشاف، لكن التحقيق الكامل قد يستغرق أياماً أو أسابيع. كيف تُبلغ عن حادثة عندما لا تزال تحدد نطاقها وأثرها؟
الحل هو الإبلاغ الأولي الذي يتضمن المعلومات المتاحة في وقت الإبلاغ، مع الإشارة الواضحة إلى أن التحقيق مستمر. يجب أن يتضمن الإبلاغ الأولي:
وصف الحادثة: ما الذي حدث، بناءً على المعلومات المتاحة حالياً؟ (مثال: "تم اكتشاف وصول غير مصرح به إلى نظام إدارة علاقات العملاء" أو "تنبيه بتسرب محتمل لبيانات العملاء").
تاريخ ووقت الاكتشاف: استخدم التعريف الواضح من دليل الاستجابة للحوادث.
الأنظمة أو البيانات المتأثرة: ما تم تحديده حتى الآن، مع الإشارة إلى أن التحقيق مستمر.
الإجراءات المتخذة: ما الخطوات التي اتخذتها الجهة للاحتواء والتحقيق؟
التحديثات المتوقعة: متى ستقدم الجهة تحديثاً لاحقاً بمعلومات أكثر اكتمالاً؟
استخدام عبارات مثل "التحقيق مستمر" و"سيتم تقديم تحديث خلال X أيام" يوضح للهيئة أن الجهة تتصرف بشفافية وأن المعلومات الكاملة ستتوفر لاحقاً. هذا النهج يفي بمتطلبات الإبلاغ خلال 72 ساعة دون انتظار اليقين الجنائي الكامل.
السيناريوهات الشائعة وكيفية حساب النافذة
لتوضيح كيفية تطبيق هذا النهج، إليك ثلاثة سيناريوهات شائعة:
السيناريو الأول: تنبيه فدية
- اليوم 1، الساعة 09:00: نظام EDR ينتج تنبيهاً بنشاط تشفير غير عادي.
- اليوم 1، الساعة 10:30: محلل الأمن يراجع التنبيه ويؤكد أنه ليس إيجابياً كاذباً.
- اليوم 1، الساعة 14:00: الفريق يحدد أن ملفات على خادم ملفات واحد تم تشفيرها، ويعثر على مذكرة فدية.
لحظة الاكتشاف: اليوم 1، الساعة 14:00 (عندما تم تأكيد وجود هجوم فدية). الموعد النهائي للإبلاغ: اليوم 4، الساعة 14:00.
السيناريو الثاني: تسرب بيانات محتمل
- اليوم 1، الساعة 16:00: نظام DLP ينتج تنبيهاً بتحميل كبير لبيانات إلى خدمة تخزين سحابية شخصية.
- اليوم 2، الساعة 10:00: محلل الأمن يراجع التنبيه ويصعده إلى فريق الاستجابة.
- اليوم 3، الساعة 15:00: الفريق يحدد أن الموظف قام بتحميل ملفات تحتوي على بيانات عملاء حساسة قبل استقالته.
لحظة الاكتشاف: اليوم 3، الساعة 15:00 (عندما تم تأكيد أن البيانات المحملة حساسة وتشكل تسرباً). الموعد النهائي للإبلاغ: اليوم 6، الساعة 15:00.
السيناريو الثالث: وصول غير مصرح به
- اليوم 1، الساعة 22:00: نظام SIEM ينتج تنبيهاً بمحاولات تسجيل دخول فاشلة متعددة.
- اليوم 2، الساعة 08:00: محلل الأمن يراجع التنبيه ويحدد أنه نشاط اعتيادي (موظف نسي كلمة المرور).
- اليوم 4، الساعة 11:00: تنبيه جديد بتسجيل دخول ناجح من نفس الحساب من موقع جغرافي غير معتاد.
- اليوم 4، الساعة 14:00: الفريق يؤكد أن الحساب تم اختراقه وأن المهاجم وصل إلى نظام داخلي.
لحظة الاكتشاف: اليوم 4، الساعة 14:00 (عندما تم تأكيد الوصول غير المصرح به). الموعد النهائي للإبلاغ: اليوم 7، الساعة 14:00.
لاحظ أن التنبيهات الأولية أو الفرز لا تبدأ العد التنازلي — فقط اللحظة التي يتوفر فيها احتمال معقول بوجود حادثة تستوجب الإبلاغ.
دمج التعريف في دليل الاستجابة للحوادث
لضمان الاتساق والامتثال، يجب أن يتضمن دليل الاستجابة للحوادث قسماً واضحاً حول تحديد لحظة الاكتشاف والإبلاغ التنظيمي. يجب أن يشمل هذا القسم:
- التعريف الواضح للاكتشاف: متى يبدأ العد التنازلي للـ 72 ساعة.
- معايير الإبلاغ: ما الحوادث التي تتطلب الإبلاغ للهيئة الوطنية للأمن السيبراني (وأي جهات تنظيمية أخرى ذات صلة).
- إجراء الإبلاغ: من المسؤول عن إعداد الإبلاغ وتقديمه، وما المعلومات المطلوبة، وكيفية الوصول إلى بوابة X.
- متطلبات التوثيق: ما الطوابع الزمنية والأدلة التي يجب حفظها في سجل الحادثة.
- التنسيق بين الفرق: كيف يتواصل فريق الاستجابة التقنية مع الفريق القانوني وفريق الامتثال لضمان الإبلاغ في الوقت المناسب.
يجب أن يكون هذا القسم جزءاً من التدريب الدوري لفريق الاستجابة للحوادث، وأن يُختبر في تمارين المحاكاة.
اختبار الإجراء في تمارين المحاكاة
أفضل طريقة لضمان أن الفريق يفهم كيفية حساب نافذة الـ 72 ساعة وإعداد الإبلاغ الأولي هي اختبار الإجراء في تمارين محاكاة واقعية. يجب أن تتضمن التمارين سيناريوهات يكون فيها الاكتشاف تدريجياً، وأن تطلب من الفريق:
- تحديد لحظة الاكتشاف بناءً على المعلومات المتاحة في كل مرحلة.
- توثيق الطوابع الزمنية والأدلة في سجل الحادثة.
- إعداد إبلاغ أولي عبر بوابة X بمعلومات جزئية.
- التنسيق بين الفريق التقني والفريق القانوني لضمان الامتثال للموعد النهائي.
التمارين تكشف الثغرات في الإجراءات والفهم، وتمنح الفريق الثقة في التعامل مع حادثة حقيقية تحت ضغط الوقت.
الجاهزية للاستجابة للحوادث وتمارين المحاكاة
نجهّز منشأتكم للاستجابة من خلال خدمة الجاهزية للاستجابة للحوادث وتمارين المحاكاة. تشمل الخدمة بناء خطة الاستجابة للحوادث وأدلتها، وتحديد الأدوار والتصعيد، وإجراءات الإبلاغ للجهات التنظيمية، وتمارين محاكاة للفرق التقنية والتنفيذيين.
نبدأ بتقييم القدرة الحالية والحوادث السابقة، ثم نبني الخطة والأدوار والأدلة، ونجري تمريناً مع الفرق التقنية والتنفيذيين، ونحسّن الخطط بناءً على الدروس المستفادة. تشمل المخرجات خطة وسياسة الاستجابة للحوادث، ومجموعة الأدلة، ومصفوفة الاتصال والتصعيد، وتقرير التمرين مع التحسينات.
تتضمن الخدمة أدلة سيناريوهات محددة (الفدية، تسرب البيانات، الاحتيال)، وإجراءات واضحة للإبلاغ للجهات التنظيمية بما في ذلك كيفية تحديد لحظة الاكتشاف وحساب نافذة الـ 72 ساعة. المدة من 4 إلى 8 أسابيع، وتغطي متطلبات الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني وإطار الأمن السيبراني للبنك المركزي السعودي.
اعرفوا بدقة من يفعل ماذا في الساعات الأولى من الحادثة — وكيف تفون بمتطلبات الإبلاغ دون انتظار اليقين الكامل.
