يُنهي كثير من المؤسسات تمرينه المكتبي السنوي وقد أثبت أن الفريق التقني يعرف كيف يحتوي الحادثة، ثم يتبيّن في حادثة حقيقية أن أصعب ما واجهه هو الإجابة عن سؤال آخر: من يقرر أن الحادثة تستوجب الإبلاغ، وبأي صياغة، وخلال كم من الوقت؟ ولهذا فإن تمرين مكتبي للاستجابة للحوادث إطار ساما للأمن السيبراني ينبغي ألا يتوقف عند الاحتواء، بل يمتد إلى مسار الإخطار التنظيمي كاملًا.
يتناول هذا المقال أربع خطوات في دليل الاستجابة للحوادث ضمن مجال المرونة السيبرانية في إطار الأمن السيبراني للبنك المركزي السعودي (ساما)، ويقترح كيف تُحاكى تحت ضغط الوقت، ثم يقدّم بطاقة ملاحظة لقياس ما إذا كان الفريق قادرًا على إنتاج تقرير مقبول خلال نافذة التمرين البالغة ساعتين.
لماذا يجب أن يشمل التمرين الإخطار التنظيمي
المؤسسات الخاضعة لرقابة البنك المركزي السعودي مطالبة بإطار للاستجابة للحوادث يتضمن التصنيف والتصعيد والإبلاغ. وعند وقوع حادثة مؤثرة تصبح مواعيد الإبلاغ جزءًا من الاستجابة نفسها لا مرحلة لاحقة لها. وقبل التمرين، راجعوا النصوص والتعاميم السارية لدى ساما لتحديد ما يُعدّ حادثة قابلة للإبلاغ وما المدة والقناة والمحتوى المطلوب، ولا تعتمدوا على الذاكرة في ذلك.
تهيئة التمرين
قبل الخطوات الأربع، حدّدوا ما يلي:
- سيناريو واحد واضح، مثل برنامج فدية أو تسرب بيانات أو احتيال، مع حقن معلومات جديدة على مراحل.
- نافذة التمرين: ساعتان، يُقسَّم زمنها بين الخطوات الأربع وتُعلن للمشاركين.
- المشاركون: الفريق التقني، ومسؤول الأمن، وممثلو القانون والامتثال والاتصال، وعضو من الإدارة التنفيذية.
- مراقب يدوّن الأوقات والقرارات ولا يتدخل في الإجابات.
الخطوة الأولى: التصنيف الأولي
يبدأ التمرين بتنبيه غير مكتمل المعلومات. المطلوب من الفريق أن يقرر خلال دقائق: هل هذه حادثة، وما شدتها، وما الأصول والخدمات المتأثرة، وهل يُحتمل أن تستوجب إبلاغًا تنظيميًا؟
ما يجب اختباره:
- استخدام معايير تصنيف مكتوبة لا تقديرات شخصية.
- تسجيل وقت الاكتشاف ووقت التصنيف، لأن كثيرًا من المواعيد يُحسب من لحظة العلم بالحادثة.
- توثيق الافتراضات حين تكون المعلومات ناقصة، وتحديثها لاحقًا.
الخطوة الثانية: التصعيد للمعنيين
بعد التصنيف، تُختبر سلسلة التصعيد: من يُبلَّغ داخل المؤسسة، وبأي ترتيب، ومن يملك صلاحية قرار الإبلاغ الخارجي. اطلبوا من المشاركين استخدام مصفوفة الاتصال والتصعيد الفعلية لا قائمة مرتجلة، وسجّلوا كم استغرق الوصول إلى صاحب القرار.
ومن الاختبارات المفيدة أن يكون أحد أصحاب الأدوار غير متاح في السيناريو، لترون هل يوجد بديل مسمّى ومفوَّض، وهل تعرف الإدارة التنفيذية ما المطلوب منها في الساعات الأولى.
الخطوة الثالثة: جمع الأدلة
أثناء الاحتواء تتعرض الأدلة للضياع بسهولة. يجب أن يُظهر التمرين ما إذا كان الفريق يحفظ السجلات ونسخ الأنظمة المتأثرة، ويوثق سلسلة الحيازة، وينسّق قرارات العزل والإيقاف مع الحاجة إلى الحفاظ على الأثر الرقمي. وفي الحوادث المعقدة قد يُستعان بتحقيق جنائي رقمي، ويمكن أن يتضمن التمرين قرار الاستعانة به ومتى.
والأهم هنا الربط بالتقرير: أي واقعة ستُذكر في الإخطار يجب أن يكون لها مصدر موثّق. اطلبوا من الفريق أن يضع بجانب كل معلومة في المسودة مرجعها.
الخطوة الرابعة: صياغة التقرير
هذه الخطوة التي تُهمل غالبًا. في الدقائق الأخيرة من النافذة يُطلب من الفريق إنتاج مسودة إخطار جاهزة للمراجعة النهائية. ينبغي أن تتضمن المسودة عادةً:
- وصفًا موجزًا للحادثة ووقت اكتشافها.
- الأنظمة والخدمات والبيانات المتأثرة وما هو معروف وما هو غير معروف.
- الإجراءات المتخذة والمخطط لها.
- الأثر على العملاء والخدمات الحرجة.
- جهة الاتصال المسؤولة وموعد التحديث التالي.
وتأكدوا من أن المسودة تفصل بين الحقائق المؤكدة والتقديرات، ولا تتضمن استنتاجات لم تثبت بعد. وراجعوا عند التحضير الأنموذج الذي تطلبه ساما حتى يكون القالب المعتمد لديكم مطابقًا له.
بطاقة الملاحظة
يملأ المراقب البطاقة أثناء التمرين، ويمنح كل بند تقديرًا من ثلاث درجات: متحقق، متحقق جزئيًا، غير متحقق، مع تدوين الزمن والملاحظة.
التصنيف الأولي
- هل صُنّفت الحادثة بالاستناد إلى معايير مكتوبة؟
- هل سُجّل وقت الاكتشاف ووقت التصنيف؟
- هل حُدّد احتمال الإبلاغ التنظيمي في هذه المرحلة؟
التصعيد
- هل استُخدمت مصفوفة التصعيد المعتمدة؟
- كم استغرق الوصول إلى صاحب قرار الإبلاغ؟
- هل عمل البديل المفوَّض عند غياب صاحب الدور؟
الأدلة
- هل حُفظت الأدلة قبل إجراءات الاحتواء المؤثرة عليها؟
- هل وُثّقت سلسلة الحيازة؟
- هل رُبطت كل واقعة في المسودة بمصدرها؟
التقرير
- هل اكتملت عناصر المسودة خلال النافذة؟
- هل فُصلت الحقائق عن التقديرات؟
- هل اعتُمدت المسودة من الجهة المخوّلة بالمراجعة القانونية والامتثال؟
- هل حُدّد موعد التحديث اللاحق؟
ما بعد التمرين
لا تكتمل قيمة التمرين دون تقرير يوثّق الفجوات ويحوّلها إلى إجراءات بمسؤولين ومواعيد. ابدؤوا بالفجوات المتعلقة بالتصعيد والتقرير، فهي أسرع ما يمكن إصلاحه: قالب إخطار جاهز، وبدلاء مسمّون، ومعايير تصنيف محدّثة. ثم أعيدوا التمرين بسيناريو مختلف بعد تطبيق التحسينات.
كيف نساعدكم في سيزو
نقدّم في خدمة الجاهزية للاستجابة للحوادث وتمارين المحاكاة تجهيز المنشأة للاستجابة: خطة الاستجابة للحوادث وأدلتها، والأدوار والتصعيد، والإبلاغ للجهات التنظيمية، وتمارين محاكاة للفرق التقنية والتنفيذيين. ويمتد المشروع من 4 إلى 8 أسابيع عبر أربع مراحل: التقييم، والتخطيط، والتمرين، والتحسين. وتشمل المخرجات خطة وسياسة الاستجابة للحوادث، ومجموعة الأدلة، ومصفوفة الاتصال والتصعيد، وتقرير التمرين مع التحسينات. وإن رغبتم في تمرين يشمل مسار الإخطار التنظيمي كاملًا، فيسعدنا أن نناقش نطاقه معكم.
