شددت الهيئة الوطنية للأمن السيبراني في الربع الأول من عام 2025 متطلبات مهلة إدارة الثغرات الضوابط الأساسية الهيئة الوطنية بشكل هادئ لكنه حاسم. التحديث الذي طرأ على الضابط 5-1-1 من الضوابط الأساسية للأمن السيبراني خفض نافذة المعالجة للثغرات الحرجة في الأنظمة المتصلة بالإنترنت من ستين يوماً إلى ثلاثين يوماً فقط. هذا التغيير يضع ضغطاً إضافياً على فرق إدارة الثغرات وعمليات تقنية المعلومات في الجهات الخاضعة للهيئة، ويتطلب إعادة تقييم فورية للعمليات والأولويات والقدرة على التوثيق.
يأتي هذا التشديد في سياق تصاعد الهجمات السيبرانية التي تستهدف الأصول المكشوفة للإنترنت، وخاصة تلك التي تحتوي على ثغرات معروفة وغير مصححة. الهيئة الوطنية للأمن السيبراني تدرك أن الفترة الممتدة بين الكشف عن الثغرة وتطبيق التصحيح تمثل نافذة خطر حرجة، وأن تقليص هذه الفترة يقلل من احتمالية الاستغلال الناجح.
فئات الأصول المشمولة بالمهلة الجديدة
المهلة الجديدة البالغة ثلاثين يوماً لا تنطبق على جميع الأصول بشكل موحد. الضابط 5-1-1 المحدّث يحدد بوضوح أن هذه المهلة المختصرة تسري على الأصول التي تستوفي معيارين متزامنين:
الأصول المتصلة بالإنترنت مباشرة: أي نظام أو خادم أو تطبيق يمكن الوصول إليه من الإنترنت العام، سواء كان ذلك عبر عنوان IP عام أو من خلال خدمات سحابية مكشوفة أو بوابات ويب أو واجهات برمجية API متاحة خارجياً. هذا يشمل خوادم الويب، وبوابات البريد الإلكتروني، وخوادم VPN، وأنظمة إدارة المحتوى، وأي خدمة تقبل اتصالات واردة من الإنترنت.
الثغرات الحرجة: تلك المصنفة بدرجة حرجة Critical وفق نظام تصنيف الثغرات الشائع CVSS أو أي نظام تصنيف معتمد من قبل الجهة، والتي تسمح بتنفيذ أوامر عن بُعد أو الوصول غير المصرح به إلى البيانات أو تعطيل الخدمات بشكل كامل.
أما الأصول الداخلية غير المتصلة بالإنترنت مباشرة، أو الثغرات المصنفة بدرجة عالية High أو متوسطة Medium، فتبقى خاضعة للمهل الزمنية السابقة: ستون يوماً للثغرات الحرجة في الأصول الداخلية، وتسعون يوماً للثغرات العالية، ومئة وثمانون يوماً للثغرات المتوسطة.
التحديات العملية التي تواجه الجهات الخاضعة
المهلة الجديدة تفرض تحديات عملية حقيقية على فرق الأمن السيبراني وتقنية المعلومات:
توفر التصحيحات: ليس كل بائع يصدر تصحيحات بالسرعة نفسها. بعض الأنظمة القديمة أو المتخصصة قد لا تحصل على تصحيحات فورية، أو قد تتطلب ترقيات كبيرة بدلاً من تصحيحات نقطية.
نوافذ الصيانة: العديد من الأنظمة الحرجة لا يمكن إيقافها أو إعادة تشغيلها إلا خلال نوافذ صيانة محددة ومجدولة مسبقاً، والتي قد لا تتوافق مع المهلة الجديدة.
الاختبار والتحقق: تطبيق التصحيحات دون اختبار كافٍ قد يؤدي إلى تعطيل الخدمات أو مشاكل في التوافقية. ثلاثون يوماً قد لا تكفي لإجراء اختبار شامل في بيئات معقدة.
التنسيق بين الفرق: معالجة الثغرات تتطلب تنسيقاً بين فرق الأمن وعمليات تقنية المعلومات وإدارة التطبيقات وأحياناً البائعين الخارجيين. تقليص المهلة يزيد من الضغط على هذا التنسيق.
الضوابط التعويضية المقبولة عند تأخر التصحيح
تدرك الهيئة الوطنية للأمن السيبراني هذه التحديات، ولذلك يسمح الضابط 5-1-1 المحدّث بتطبيق ضوابط تعويضية موثقة عندما لا يكون التصحيح الفوري ممكناً. هذه الضوابط ليست بديلاً دائماً عن التصحيح، بل هي تدابير مؤقتة لتقليل المخاطر خلال الفترة الانتقالية حتى يتم تطبيق التصحيح النهائي.
الضوابط التعويضية الثلاثة المقبولة هي:
1. تجزئة الشبكة Network Segmentation
عزل الأصل المتأثر عن الإنترنت المباشر أو وضعه خلف طبقات إضافية من الحماية. هذا يعني نقل النظام إلى شبكة فرعية منفصلة مع قواعد صارمة للوصول، بحيث لا يمكن الوصول إليه مباشرة من الإنترنت بل فقط عبر أنظمة وسيطة محمية مثل بوابات تطبيقات الويب WAF أو أنظمة الوصول الآمن.
2. قواعد جدار الحماية المقيدة Restrictive Firewall Rules
تطبيق قواعد صارمة على جدران الحماية للسماح فقط بحركة المرور الضرورية من عناوين IP محددة أو نطاقات جغرافية معينة، ومنع جميع الاتصالات الأخرى. هذا يقلل من سطح الهجوم بشكل كبير حتى لو بقيت الثغرة غير مصححة.
3. أنظمة منع التطفل IPS/IDS مع توقيعات محدثة
نشر أنظمة منع التطفل أو كشفه مع توقيعات محدثة تستهدف الثغرة المحددة، بحيث يتم حجب أو تنبيه الفريق الأمني عند محاولة استغلال الثغرة. هذا يتطلب أن تكون أنظمة IPS/IDS محدثة ومضبوطة بشكل صحيح لاكتشاف أنماط الهجوم المعروفة.
صيغة الإثبات التي ترضي مفتشي الهيئة
تطبيق الضوابط التعويضية وحده لا يكفي. الهيئة الوطنية للأمن السيبراني تتطلب توثيقاً دقيقاً وقابلاً للتحقق لكل ضابط تعويضي مطبق. خلال عمليات التفتيش أو التقييم الذاتي، يبحث المفتشون عن أدلة محددة تثبت أن الضوابط التعويضية فعالة ومطبقة بالفعل.
الأدلة المقبولة تشمل:
مخططات تجزئة الشبكة: رسوم بيانية محدثة تظهر موقع الأصل المتأثر في البنية الشبكية، والشبكات الفرعية المعزولة، ونقاط التحكم في الوصول. يجب أن تكون هذه المخططات مؤرخة وموقعة من المسؤول المختص.
صادرات قواعد جدار الحماية: لقطات شاشة أو ملفات تصدير من أنظمة جدران الحماية تظهر القواعد المحددة المطبقة على الأصل المتأثر، مع الطوابع الزمنية التي تثبت تاريخ التطبيق. يجب أن تكون القواعد واضحة ومحددة وليست عامة.
تذاكر التحكم بالتغيير: سجلات من نظام إدارة التغيير Change Management تظهر الطلب والموافقة والتنفيذ للضابط التعويضي، مع تفاصيل المسؤولين والمواعيد والمبررات. هذا يثبت أن التغيير تم وفق عمليات محكومة وليس بشكل عشوائي.
سجلات أنظمة IPS/IDS: تقارير من أنظمة منع التطفل تظهر أن التوقيعات المحدثة نشطة وأن النظام يراقب حركة المرور المتعلقة بالأصل المتأثر. يجب أن تتضمن السجلات أمثلة على الكشف أو الحجب إن وجدت.
خطة المعالجة: وثيقة تحدد الجدول الزمني لتطبيق التصحيح النهائي، والمسؤولين عن التنفيذ، والتبعيات والمخاطر. هذا يثبت أن الضوابط التعويضية مؤقتة وأن هناك خطة واضحة للمعالجة النهائية.
الخطوات العملية للامتثال الفوري
الجهات التي لم تعدل عملياتها بعد لتتوافق مع المهلة الجديدة يجب أن تتخذ خطوات فورية:
- جرد شامل للأصول المتصلة بالإنترنت: تحديد جميع الأنظمة والتطبيقات والخدمات التي يمكن الوصول إليها من الإنترنت العام، باستخدام أدوات المسح الخارجي وسجلات جدران الحماية.
- مسح الثغرات الفوري: إجراء مسح شامل للثغرات على جميع الأصول المكشوفة، مع التركيز على الثغرات الحرجة المعروفة.
- تصنيف وترتيب الأولويات: تصنيف الثغرات المكتشفة حسب الخطورة والأصل المتأثر، وترتيب الأولويات بناءً على المخاطر الفعلية للجهة.
- تقييم توفر التصحيحات: التحقق من توفر تصحيحات من البائعين لكل ثغرة حرجة، وتحديد الثغرات التي لا تتوفر لها تصحيحات فورية.
- تطبيق التصحيحات أو الضوابط التعويضية: للثغرات التي تتوفر لها تصحيحات، وضع خطة تطبيق فورية ضمن المهلة. للثغرات الأخرى، تطبيق ضابط تعويضي واحد أو أكثر من الثلاثة المقبولة.
- توثيق كل إجراء: جمع الأدلة المطلوبة لكل ضابط تعويضي مطبق، وحفظها في مستودع مركزي يمكن الوصول إليه خلال التفتيش.
- مراجعة دورية: إعادة تقييم الثغرات والضوابط التعويضية بشكل أسبوعي على الأقل، وتحديث الوثائق عند حدوث أي تغيير.
التأثير على برامج إدارة الثغرات الحالية
المهلة الجديدة تتطلب إعادة هيكلة برامج إدارة الثغرات في معظم الجهات:
تسريع دورات المسح: بدلاً من المسح الشهري أو ربع السنوي، يجب إجراء مسح أسبوعي على الأقل للأصول المتصلة بالإنترنت لضمان الكشف المبكر عن الثغرات الجديدة.
أتمتة سير العمل: الاعتماد على العمليات اليدوية لن يكون كافياً. يجب أتمتة عمليات الكشف والإخطار وتوزيع المهام والمتابعة لضمان الاستجابة السريعة.
تحديد المسؤوليات بوضوح: يجب أن يكون واضحاً من المسؤول عن كل أصل ومن يملك صلاحية تطبيق التصحيحات أو الضوابط التعويضية، مع آليات تصعيد واضحة عند التأخير.
التكامل مع إدارة التغيير: عمليات معالجة الثغرات يجب أن تتكامل بسلاسة مع عمليات إدارة التغيير، مع مسارات سريعة للثغرات الحرجة في الأصول المكشوفة.
قياس الأداء: وضع مؤشرات أداء رئيسية KPIs لقياس الامتثال للمهلة الجديدة، مثل متوسط وقت المعالجة ونسبة الثغرات المعالجة ضمن المهلة وعدد الضوابط التعويضية النشطة.
الفترة الانتقالية وتوقعات التفتيش
الهيئة الوطنية للأمن السيبراني لم تعلن عن فترة سماح رسمية، لكن الممارسة العملية تشير إلى أن المفتشين خلال النصف الأول من 2025 سيركزون على:
وجود خطة واضحة: هل لدى الجهة خطة موثقة للامتثال للمهلة الجديدة، مع جداول زمنية ومسؤولين محددين؟
الجهود المبذولة: هل بدأت الجهة فعلياً في تطبيق التصحيحات أو الضوابط التعويضية، أم أنها لا تزال في مرحلة التخطيط فقط؟
جودة التوثيق: هل الأدلة المقدمة للضوابط التعويضية محددة وقابلة للتحقق، أم أنها عامة وغير كافية؟
الثغرات الأكثر خطورة: المفتشون سيعطون الأولوية للثغرات التي تستهدفها حملات هجوم نشطة أو التي تؤثر على أنظمة حرجة.
الجهات التي تظهر جهوداً جادة وتوثيقاً دقيقاً من المرجح أن تحصل على مرونة أكبر خلال هذه الفترة، بينما الجهات التي تتجاهل التحديث أو تقدم توثيقاً ضعيفاً ستواجه ملاحظات أشد وربما عقوبات.
الجاهزية للضوابط الأساسية 2024 بشكل شامل
تحديث الضابط 5-1-1 هو جزء من مجموعة أوسع من التغييرات في الضوابط الأساسية للأمن السيبراني ECC-2:2024. الجهات التي تحتاج إلى تقييم شامل لامتثالها للإصدار الجديد، وليس فقط لضابط إدارة الثغرات، قد تحتاج إلى دعم متخصص.
تقدم سيزو للاستشارات خدمة تقييم الامتثال والمعالجة ودعم التقييم الذاتي للضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني. الخدمة تغطي الجاهزية للضوابط الأساسية ECC-2:2024 ضابطاً ضابطاً، وتشمل تقرير تقييم الامتثال، وخطة المعالجة وأداة متابعتها، ومجموعة السياسات والإجراءات، ودعم إعداد التقييم الذاتي، وملخص تنفيذي.
التقييم يوفر حالة الامتثال لكل ضابط مع أدلته، وخطة معالجة بمسؤولين ومواعيد وتقدير للجهد، وسياسات وإجراءات متوافقة مع ضوابط 2024، ودعم خلال التقييم الذاتي للهيئة، وخط أساس يمكن قياسه من جديد كل عام. مدة التقييم تتراوح من 6 إلى 10 أسابيع للتقييم، حسب حجم الجهة وتعقيد بيئتها.
