يطلب النطاق الثامن من إطار مؤسسة النقد العربي السعودي للأمن السيبراني (SAMA CSF) من المؤسسات المالية إجراء اختبارات أمنية متقدمة تحاكي الهجمات الواقعية، وتشمل محاكاة الفريق الأحمر. لكن محاكاة فريق أحمر دون تسليمات موثقة قبل التنفيذ تخلق مخاطر قانونية — من تفعيل بنود التأمين السيبراني عن طريق الخطأ إلى تجاوز حدود التفويض — وتعطيلاً تشغيلياً لا يمكن التحكم فيه، ونتائج لا يمكن معالجتها لأن النطاق لم يُحدد بدقة منذ البداية. تقدم قائمة مراجعة محاكاة الفريق الأحمر هذه تسعة تسليمات يجب التوقيع عليها قبل بدء المحاكاة، بالإضافة إلى ثلاث بوابات موافقة تثبّت النطاق وتمنع مفاجآت منتصف المحاكاة.
لماذا التوثيق قبل التنفيذ ليس اختيارياً
محاكاة الفريق الأحمر ليست اختبار اختراق تقليدياً. إنها محاكاة مهاجم مصمم يسعى لتحقيق أهداف متفق عليها — من الوصول الأولي حتى الأثر على الأعمال — لاختبار قدرة الأفراد والعمليات والتقنيات على رصد الهجوم والاستجابة له من البداية إلى النهاية. هذا يعني أن الفريق الأحمر قد يستخدم الهندسة الاجتماعية، ويتحرك جانبياً عبر الشبكة، ويصل إلى أنظمة حساسة — كل ذلك ضمن نطاق محدد.
دون توثيق واضح، تظهر ثلاثة مخاطر:
المخاطر القانونية: قد يتجاوز الفريق الأحمر حدود التفويض دون قصد، مما يُعرّض المؤسسة والاستشاري لمسؤولية قانونية. قد تُفعّل بوليصة التأمين السيبراني إذا اعتبرت شركة التأمين الحادث هجوماً حقيقياً وليس محاكاة.
التعطيل التشغيلي: قد يؤدي نشاط المحاكاة إلى تعطيل خدمات حرجة أو تفعيل استجابة طوارئ كاملة من فريق الأمن، مما يستنزف الموارد ويخلق ارتباكاً.
نتائج لا يمكن معالجتها: إذا لم يُحدد النطاق والأهداف بوضوح، ستكون النتائج عامة جداً أو واسعة جداً لتحديد أولويات المعالجة، وقد يرفض مجلس الإدارة التوصيات لأنها لا تتماشى مع شهية المخاطر المؤسسية.
التسليمات التسعة قبل التنفيذ
1. قواعد الاشتباك (Rules of Engagement)
وثيقة تحدد ما يُسمح به وما لا يُسمح به أثناء المحاكاة: الأنظمة المستهدفة، والأساليب المسموحة (مثل الهندسة الاجتماعية، واستغلال الثغرات، والحركة الجانبية)، والأوقات المسموحة للنشاط، والأنظمة المستثناة تماماً.
لماذا مهمة: تحمي المؤسسة والاستشاري من تجاوز الحدود القانونية والتنظيمية، وتضمن أن المحاكاة تختبر ما تريد المؤسسة اختباره فعلاً.
2. جرد الأصول المستهدفة
قائمة محددة بالأنظمة والتطبيقات والشبكات والبيانات التي ستكون ضمن نطاق المحاكاة، مع تصنيف كل أصل (حرج، مهم، غير حرج) وتحديد الأهداف المحتملة (مثل الوصول إلى قاعدة بيانات العملاء، أو السيطرة على نظام الدفع).
لماذا مهمة: تمنع توسع النطاق غير المخطط له، وتضمن أن الفريق الأحمر يركز على الأصول التي تهم المؤسسة حقاً، وتسهّل تقييم الأثر بعد المحاكاة.
3. قائمة الاستثناءات الصريحة
قائمة بالأنظمة والشبكات والأفراد والأساليب المستثناة تماماً من المحاكاة، مع السبب (مثل نظام إنتاج حرج لا يتحمل أي تعطيل، أو بيئة تخضع لتدقيق خارجي في نفس الفترة، أو موظفين في إجازة).
لماذا مهمة: تحمي الأنظمة الحرجة من التعطيل غير المقصود، وتتجنب تعارض المحاكاة مع عمليات أخرى، وتوضح الحدود بشكل لا لبس فيه.
4. بروتوكول الاتصال والتنسيق
خطة تحدد من يتواصل مع من، ومتى، وكيف — قبل المحاكاة وأثناءها وبعدها. تشمل جهات الاتصال الرئيسية من الطرفين، وقنوات الاتصال الآمنة (مثل تطبيق مشفر أو خط هاتفي مخصص)، وجدول التحديثات اليومية أو الأسبوعية.
لماذا مهمة: تضمن أن الطرفين يبقيان على اتصال، وأن أي مشكلة تُحل فوراً، وأن المحاكاة لا تتحول إلى صندوق أسود.
5. عتبات تصعيد الحوادث
تحديد الظروف التي تستدعي إيقاف المحاكاة فوراً أو تصعيدها إلى الإدارة العليا — مثل اكتشاف ثغرة حرجة غير متوقعة، أو تعطيل خدمة حرجة، أو اكتشاف نشاط ضار حقيقي (ليس من الفريق الأحمر) أثناء المحاكاة.
لماذا مهمة: تحمي المؤسسة من الأضرار غير المقصودة، وتضمن أن المحاكاة تبقى تحت السيطرة، وتوفر آلية واضحة للتعامل مع المفاجآت.
6. إجراء الكلمة الآمنة (Safe Word)
كلمة أو عبارة متفق عليها مسبقاً يمكن لأي طرف استخدامها لإيقاف المحاكاة فوراً دون الحاجة إلى تفسير أو تبرير. بمجرد استخدام الكلمة الآمنة، يتوقف كل نشاط فوراً ويجتمع الطرفان لتقييم الوضع.
لماذا مهمة: توفر آلية طوارئ بسيطة وسريعة لإيقاف المحاكاة إذا خرجت عن السيطرة أو ظهرت مخاطر غير متوقعة.
7. اتفاقية التعامل مع الأدلة
بروتوكول يحدد كيف سيجمع الفريق الأحمر الأدلة (لقطات شاشة، سجلات، ملفات)، وكيف سيخزنها بشكل آمن، ومتى سيسلمها للمؤسسة، وكيف سيحذفها بعد انتهاء المحاكاة. يشمل أيضاً التزامات السرية والحفاظ على البيانات الحساسة.
لماذا مهمة: تحمي بيانات المؤسسة من التسرب، وتضمن أن الأدلة قابلة للاستخدام في المعالجة، وتلتزم بمتطلبات حماية البيانات التنظيمية.
8. تنازل عن إخطار التأمين السيبراني
وثيقة موقعة من المسؤول المالي أو المسؤول القانوني تؤكد أن شركة التأمين السيبراني قد أُخطرت بالمحاكاة المخططة، وأن البوليصة لن تُفعّل نتيجة لنشاط المحاكاة. إذا كانت البوليصة تتطلب إخطاراً مسبقاً، يجب الحصول على موافقة كتابية من شركة التأمين.
لماذا مهمة: تتجنب تفعيل البوليصة عن طريق الخطأ، مما قد يؤدي إلى تحقيقات مكلفة أو إلغاء التغطية أو زيادة الأقساط.
9. جدول جلسة المراجعة بعد التنفيذ
موعد محدد ومشاركون محددون لجلسة مراجعة مشتركة بين الفريق الأحمر وفريق الدفاع بعد انتهاء المحاكاة مباشرة — عادة خلال أسبوع واحد. تشمل الجلسة إعادة تشغيل سلسلة الهجوم، ومناقشة ما نجح وما لم ينجح، وتحديد الفجوات في الرصد والاستجابة.
لماذا مهمة: تحول المحاكاة من تمرين تقني إلى فرصة تعلم مؤسسية، وتضمن أن فريق الدفاع يفهم كيف تم الهجوم ولماذا لم يُكتشف، وتسرّع المعالجة.
البوابات الثلاث للموافقة
حتى مع التسليمات التسعة، لا تبدأ المحاكاة حتى تمر عبر ثلاث بوابات موافقة — كل منها يمثل وجهة نظر مختلفة ويمنع مخاطر مختلفة.
البوابة الأولى: الموافقة القانونية
يراجع المستشار القانوني أو مدير الامتثال قواعد الاشتباك والاستثناءات والتنازل عن التأمين، ويؤكد أن المحاكاة لا تنتهك أي قوانين أو عقود أو التزامات تنظيمية. يوقع على موافقة كتابية تفيد بأن المحاكاة ضمن الحدود القانونية.
لماذا مهمة: تحمي المؤسسة من المسؤولية القانونية، وتضمن الامتثال للوائح مؤسسة النقد العربي السعودي وهيئة الاتصالات والفضاء والتقنية وغيرها.
البوابة الثانية: الموافقة التشغيلية
يراجع مدير العمليات أو مدير تقنية المعلومات جرد الأصول وقائمة الاستثناءات وعتبات التصعيد، ويؤكد أن المحاكاة لن تعطل الخدمات الحرجة أو تتعارض مع عمليات مخططة (مثل ترقيات أنظمة أو صيانة). يوقع على موافقة كتابية تفيد بأن التوقيت والنطاق مقبولان تشغيلياً.
لماذا مهمة: تتجنب التعطيل التشغيلي، وتضمن أن المحاكاة تُجرى في وقت يمكن فيه للمؤسسة تحمل أي أثر غير متوقع.
البوابة الثالثة: الموافقة التنفيذية
يراجع راعٍ تنفيذي — عادة المدير المالي أو مدير المخاطر أو عضو مجلس الإدارة — الأهداف والنطاق والتكلفة والمخاطر المتبقية، ويؤكد أن المحاكاة تتماشى مع استراتيجية المخاطر المؤسسية وشهية المخاطر. يوقع على موافقة كتابية تفوّض بدء المحاكاة.
لماذا مهمة: تضمن أن المحاكاة تخدم أهداف العمل، وأن مجلس الإدارة يدعم التمرين، وأن النتائج ستكون قابلة للتنفيذ على المستوى التنفيذي.
كيف تمنع البوابات توسع النطاق
توسع النطاق — عندما تتوسع المحاكاة لتشمل أنظمة أو أساليب لم تكن في الخطة الأصلية — هو السبب الأكثر شيوعاً لفشل محاكاة الفريق الأحمر في تحقيق قيمة. يحدث توسع النطاق عندما:
- يكتشف الفريق الأحمر ثغرة مثيرة في نظام خارج النطاق ويقرر استكشافها.
- يطلب فريق الدفاع إضافة أنظمة جديدة بعد بدء المحاكاة.
- يطلب مجلس الإدارة نتائج إضافية لم تكن في الأهداف الأصلية.
البوابات الثلاث تمنع توسع النطاق بطريقتين:
التوثيق الصريح: كل بوابة تتطلب موافقة كتابية على نطاق محدد. أي تغيير يتطلب إعادة فتح البوابات الثلاث — مما يجعل توسع النطاق مرئياً ومكلفاً.
المساءلة متعددة الأطراف: لأن ثلاثة أطراف مختلفة (قانوني، عمليات، تنفيذي) قد وافقوا على النطاق، لا يمكن لطرف واحد تغييره من جانب واحد. أي تغيير يتطلب إجماعاً جديداً.
متى تُحدّث التسليمات
التسليمات التسعة ليست ثابتة. يجب تحديثها في ثلاث حالات:
اكتشاف خطر حرج: إذا اكتشف الفريق الأحمر ثغرة حرجة أو نشاطاً ضاراً حقيقياً، يتوقف العمل فوراً ويُحدّث بروتوكول التصعيد.
تغيير في البيئة: إذا حدث تغيير كبير في البيئة أثناء المحاكاة (مثل إطلاق نظام جديد أو حادثة أمنية حقيقية)، تُراجع قائمة الاستثناءات وقواعد الاشتباك.
طلب من مجلس الإدارة: إذا طلب مجلس الإدارة توسيع النطاق أو تغيير الأهداف، تُعاد فتح البوابات الثلاث ويُوثّق النطاق الجديد قبل المتابعة.
كيف نساعد
نحاكي مهاجماً مصمماً يسعى لأهداف متفق عليها — من الوصول الأولي حتى الأثر — لاختبار أفرادكم وعملياتكم وتقنياتكم من البداية إلى النهاية.
تشمل عمليتنا أربع مراحل: التخطيط حيث نحدد الأهداف والنطاق وقواعد الاشتباك، الاستطلاع حيث نجمع المعلومات عن سطح الهجوم، التنفيذ حيث ننفذ هجوماً مضبوطاً نحو الأهداف، والمراجعة حيث نجري مراجعة مشتركة مع فريق الدفاع ونقدم التقرير.
تشمل التسليمات ملخصاً تنفيذياً لمجلس الإدارة، وسرداً تقنياً للهجوم، وتحليل فجوات الرصد والاستجابة، وخارطة التحسين.
تشمل الخدمة سيناريوهات مبنية على التهديدات، وسلسلة هجوم موجهة بالأهداف، والهندسة الاجتماعية (اختيارياً)، وقواعد اشتباك صارمة، وإعادة تشغيل مشتركة مع فريق الدفاع. تستغرق المحاكاة من 4 إلى 8 أسابيع، وتتماشى مع إطار مؤسسة النقد العربي السعودي للأمن السيبراني.
إذا كنتم تستعدون لمحاكاة فريق أحمر وفق النطاق الثامن من إطار ساما، أو كان مجلس الإدارة يطلب محاكاة لاختبار الجاهزية، تواصلوا معنا لمناقشة الأهداف والنطاق وقواعد الاشتباك — قبل بدء أي نشاط.
