يقع كثير من المنشآت في فجوة واحدة: خطة استجابة مكتملة على الورق، لكنها لم تُختبر بالسرعة والأشخاص الفعليين. ولذلك فإن تمرين الاستجابة للحوادث الضوابط الأساسية هو المكان الذي يظهر فيه ما إذا كانت الخطوات قابلة للتنفيذ ضمن الوقت المتاح. يوضح هذا المقال خمس خطوات من دليل الاستجابة للحوادث المرتبط بالمجال الرابع من الضوابط الأساسية للأمن السيبراني (NCA ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني، وكيف تُختبر وتُوثَّق قبل التقييم التنظيمي.
لماذا لا تكفي مراجعة الوثائق
مراجعة الوثائق تجيب عن سؤال: هل الخطة موجودة ومعتمدة؟ أما التمرين فيجيب عن سؤال مختلف: هل يعرف الأشخاص أدوارهم، وهل تعمل قنوات الاتصال، وهل يمكن إنجاز كل خطوة في الوقت المطلوب؟ المقيّم الذي يطلب دليلًا على التنفيذ لن يكتفي بنسخة معتمدة من الخطة.
ننصح بأن يضم التمرين مشاركين فعليين يشغلون الأدوار المسمّاة في الخطة، لا ممثلين عنهم، وأن يُسجَّل الوقت عند كل خطوة بدقة.
الخطوات الخمس التي يجب اختبارها
1. الكشف والتصنيف
اختبروا الانتقال من أول إشارة إلى قرار التصنيف. ما الذي يُعدّ حادثة؟ ومن يملك صلاحية تصنيفها وبأي معايير؟ سجّلوا الزمن بين استلام التنبيه وتحديد مستوى الخطورة. الخلل الشائع هنا أن المعايير مكتوبة بصيغة عامة لا تُحسم بها الحالات الحدّية.
2. التصعيد والاتصال
اختبروا الوصول الفعلي إلى أصحاب الأدوار، لا وجود أسمائهم في قائمة. اتصلوا بهم عبر القنوات المعتمدة، ودوّنوا من ردّ ومتى، وهل وصل البديل عند غياب الأصل. تشمل أدواتنا في هذا الباب مصفوفة الاتصال والتصعيد التي تحدد من يُبلَّغ ومتى.
3. الاحتواء
اختبروا القرارات التي تحتاج موافقة، مثل عزل نظام أو إيقاف خدمة. كثيرًا ما يتأخر الاحتواء لأن الفريق التقني يعرف الإجراء بينما صلاحية اتخاذه لدى طرف آخر. اجعلوا التمرين يطرح هذا القرار على التنفيذيين وقت التمرين، وقيسوا زمن اتخاذه.
4. الإبلاغ للجهات التنظيمية
هذه الخطوة هي الأكثر ارتباطًا بالتقييم. اختبروا من يقرر الإبلاغ، ومن يصوغ البلاغ، ومن يعتمده، وما المعلومات المتاحة فعليًا في كل مرحلة من الحادثة. وإذا كانت المنشأة خاضعة لمتطلبات جهة قطاعية مثل البنك المركزي السعودي، فيجب أن يغطي الإجراء مسارات الإبلاغ لكل جهة. وللتأكد من نوافذ الإبلاغ الدقيقة، ارجعوا إلى النص المعتمد من الجهة المعنية وإلى تعليماتها الحالية، وابنوا عليها مؤقّتات التمرين.
5. التعافي والدروس المستفادة
اختبروا العودة إلى التشغيل الطبيعي وإغلاق الحادثة وتسجيل الدروس. كثير من التمارين تنتهي عند الاحتواء، فلا يتبيّن أن التعافي يعتمد على نسخ احتياطية لم تُجرَّب أو على قرارات لم تُسنَد لأحد. ويرتبط هذا بخطط استمرارية الأعمال، التي نبنيها ونختبرها وفق إطار البنك المركزي لاستمرارية الأعمال ومتطلبات المرونة السيبرانية.
صيغة الأدلة الموثقة بالوقت
التمرين الجيد ينتج أدلة يمكن عرضها على المقيّم. نقترح سجلًا واحدًا لكل خطوة يتضمن:
- رقم الخطوة واسمها كما وردت في الدليل.
- السيناريو المستخدم ووقت حقن كل حدث.
- وقت بدء الخطوة ووقت إنجازها بالدقيقة.
- اسم صاحب الدور المنفّذ وصفته، ومن حلّ محله إن لزم.
- القرار المتخذ ومن اعتمده.
- المخرج المحفوظ، مثل نص البلاغ أو سجل المكالمات أو لقطة من النظام.
- الانحراف عن الزمن المستهدف وسببه.
ثم يُقارن زمن كل خطوة بالنافذة المطلوبة. وبهذا تتحول عبارة «نلتزم بنوافذ الإبلاغ» إلى سجل يُظهر أنكم فعلتم ذلك في ظروف التمرين، وأين تأخرتم، وما الذي صُحّح بعدها.
كيف تبنون تمرينًا يخدم التقييم
- اختاروا سيناريو واقعيًا لقطاعكم، مثل الفدية أو تسرب البيانات أو الاحتيال.
- حددوا المشاركين الفعليين لكل دور، وأبلغوا الجميع بالموعد دون كشف تفاصيل السيناريو.
- عيّنوا مسجّلًا للوقت مستقلًا عن المشاركين.
- شغّلوا التمرين بجلسة تقنية وأخرى تنفيذية، لأن القرارات في كل منهما تختلف.
- اكتبوا تقرير التمرين مع قائمة تحسينات لها مسؤول وتاريخ.
- أعيدوا اختبار الخطوات التي فشلت قبل موعد التقييم.
كيف نعمل مع المنشآت في هذا الباب
نقدّم خدمة الجاهزية للاستجابة للحوادث وتمارين المحاكاة، وتمتد من 4 إلى 8 أسابيع كمشروع. نعمل عبر أربع مراحل: التقييم للقدرة الحالية والحوادث السابقة، ثم التخطيط للخطة والأدوار والأدلة، ثم التمرين بمحاكاة مع الفرق التقنية والتنفيذيين، ثم التحسين بالدروس المستفادة وتحديث الخطط. وتتضمن المخرجات خطة وسياسة الاستجابة للحوادث، ومجموعة الأدلة، ومصفوفة الاتصال والتصعيد، وتقرير التمرين مع التحسينات. وتغطي أدلة السيناريوهات الفدية وتسرب البيانات والاحتيال، وفق إطاري SAMA CSF وNCA ECC.
الخلاصة
ليست الغاية أن يمرّ التمرين بلا أخطاء، بل أن تظهر الأخطاء قبل المقيّم وقبل الحادثة الحقيقية. إذا أردتم اختبار هذه الخطوات الخمس بمشاركين فعليين وتوقيت موثق، فيسعد فريقنا بمناقشة نطاق التمرين المناسب لمنشأتكم عبر خدمة الجاهزية للاستجابة للحوادث وتمارين المحاكاة.
