ترتيب أولويات خارطة طريق الضوابط الأساسية: المجموعات الأربع

يواجه مسؤولو أمن المعلومات في جهات البنية التحتية الحرجة السعودية تحدياً معقداً: بناء خارطة طريق متعددة السنوات تحقق الالتزام بالضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني. الخطأ الشائع هو ترتيب أولويات خارطة طريق الأمن السيبراني الضوابط الأساسية حسب رقم المجال أو السهولة المتصورة، دون مراعاة التبعيات الفنية الحقيقية. النتيجة: مشاريع متعثرة، وميزانيات مهدرة، وضوابط لا تعمل لأن القدرات الأساسية التي تعتمد عليها غير موجودة.

المشكلة ليست في الضوابط نفسها، بل في تسلسل التنفيذ. عندما تحاول جهة تطبيق ضوابط الكشف عن التهديدات قبل أن يكون لديها بنية تحتية للتسجيل، أو تنفيذ ضوابط إدارة الهوية والصلاحيات قبل أن تعرف ما هي أصولها الحرجة، فإن التنفيذ يتحول إلى سلسلة من الحلول المؤقتة التي لا تحقق الهدف الأمني ولا تفي بالمتطلبات التنظيمية.

هذا المقال يحدد المجموعات الأربع للتبعيات التي يجب أن تُبنى بالتسلسل في أي خارطة طريق للضوابط الأساسية، ويوضح كيفية تقسيم خارطة طريق ثلاث سنوات وفقاً لهذه التبعيات الفعلية.

لماذا يفشل الترتيب حسب رقم المجال

الضوابط الأساسية للأمن السيبراني منظمة في خمسة مجالات: الحوكمة، والدفاع، والمرونة، والأطراف الثالثة، والأنظمة الصناعية والتشغيلية. هذا التنظيم منطقي من منظور تصنيفي، لكنه لا يعكس التسلسل الفني للتنفيذ.

المشكلة تظهر عندما تبدأ جهة بتنفيذ ضوابط من مجالات مختلفة بالتوازي، دون أن تدرك أن بعض الضوابط تعتمد على قدرات يجب أن تكون موجودة أولاً. مثلاً:

• ضوابط الكشف عن الاختراقات تتطلب بنية تحتية للتسجيل والمراقبة تجمع السجلات من جميع الأصول الحرجة وتحللها. إذا لم يكن لديك نظام إدارة معلومات الأمن والأحداث SIEM يعمل، فإن الضابط يبقى نظرياً.

• ضوابط إدارة الصلاحيات تفترض أنك تعرف من يحتاج الوصول إلى أي أصل. إذا لم يكن لديك جرد محدّث للأصول مصنّف حسب الحرجية، فإن تحديد الصلاحيات يصبح تخميناً.

• ضوابط الاستجابة للحوادث تتطلب فريقاً وإجراءات وأدوات وقدرة على العزل والاحتواء. إذا لم تكن هذه القدرة موجودة، فإن الكشف عن التهديدات لا يؤدي إلى استجابة فعّالة.

الترتيب حسب رقم المجال يتجاهل هذه التبعيات، ويخلق ما يُسمى "الدَّين التقني" — قدرات مبنية على أساس ضعيف تحتاج إلى إعادة بناء لاحقاً.

المجموعة الأولى: جرد الأصول وتصنيفها

لا يمكنك حماية ما لا تعرفه. جرد الأصول وتصنيفها هو الأساس الذي تُبنى عليه جميع الضوابط الأخرى. هذا لا يعني قائمة بأسماء الأجهزة، بل جرد شامل يتضمن:

• الأصول التقنية: الخوادم، وأجهزة الشبكات، وأنظمة التحكم الصناعي، والتطبيقات، وقواعد البيانات.
• الأصول المعلوماتية: البيانات الحرجة ومواقع تخزينها وتدفقاتها.
• تصنيف الحرجية: ما هي الأصول التي يؤدي تعطّلها أو اختراقها إلى تأثير جوهري على العمليات أو السلامة أو الالتزام التنظيمي.
• المالكون والمسؤولون: من يملك كل أصل ومن المسؤول عن أمنه.

بدون هذا الجرد، تصبح الضوابط الأخرى عشوائية. كيف تحدد من يحتاج صلاحيات إلى نظام حرج إذا لم تكن تعرف أن النظام حرج أصلاً؟ كيف تراقب التهديدات إذا لم تكن تعرف أين توجد البيانات الحساسة؟

الضوابط الأساسية تتطلب في مجال الدفاع تحديد الأصول الحرجة وتصنيفها. هذا ليس ضابطاً واحداً، بل قدرة أساسية تمكّن عشرات الضوابط الأخرى.

في السنة الأولى من خارطة الطريق، يجب أن يكون الهدف هو إنشاء جرد شامل ومحدّث باستمرار للأصول، مع تصنيف واضح للحرجية. هذا يتضمن:

• أدوات اكتشاف الأصول الآلية لبيئات تقنية المعلومات وتقنية العمليات.
• عملية لتحديث الجرد عند إضافة أصول جديدة أو تغيير الأصول الموجودة.
• تصنيف يربط كل أصل بالعمليات الحرجة التي يدعمها.

المجموعة الثانية: الأساس للهوية والصلاحيات

بمجرد أن تعرف ما لديك، تحتاج إلى التحكم في من يصل إليه. الأساس للهوية والصلاحيات هو المجموعة الثانية من التبعيات، وتشمل:

• إدارة الهوية المركزية: دليل موحّد للمستخدمين والحسابات، مع مصدر واحد للحقيقة.
• المصادقة القوية: آليات تتجاوز كلمات المرور البسيطة، خاصة للحسابات المميزة والوصول عن بُعد.
• نموذج الصلاحيات: مبدأ أقل الصلاحيات مطبّق على الأصول المصنّفة، مع تحديد من يحتاج الوصول إلى ماذا ولماذا.

الضوابط الأساسية تتطلب إدارة الهوية والصلاحيات عبر عدة ضوابط في مجال الدفاع. لكن التنفيذ الفعّال يتطلب أكثر من سياسة — يتطلب بنية تحتية تقنية.

في بيئات البنية التحتية الحرجة، هذا التحدي مضاعف. لديك بيئات تقنية المعلومات التقليدية، وبيئات تقنية العمليات التي قد تستخدم بروتوكولات مصادقة قديمة أو غير موجودة. الأساس للهوية يجب أن يغطي الاثنين، مع مراعاة قيود الأنظمة القديمة.

الخطوة الأولى هي توحيد إدارة الهوية حيثما أمكن، مع حلول مخصصة للأنظمة التي لا يمكن دمجها. الخطوة الثانية هي تطبيق المصادقة متعددة العوامل على جميع الوصول الإداري والوصول عن بُعد. الخطوة الثالثة هي مراجعة الصلاحيات بناءً على تصنيف الأصول، وإزالة الصلاحيات الزائدة.

بدون هذا الأساس، ضوابط الوصول تبقى ضعيفة، وضوابط المراقبة لا تستطيع ربط الأحداث بالمستخدمين الفعليين.

المجموعة الثالثة: البنية التحتية للتسجيل والمراقبة

الآن لديك جرد للأصول وتحكم في الهوية. المجموعة الثالثة هي البنية التحتية للتسجيل والمراقبة — القدرة على رؤية ما يحدث في بيئتك.

هذه البنية تشمل:

• جمع السجلات: من جميع الأصول الحرجة — الخوادم، وأجهزة الشبكات، والتطبيقات، وأنظمة التحكم الصناعي، وأنظمة الأمن الفيزيائي.
• تخزين السجلات: بشكل آمن ولمدة كافية تلبي المتطلبات التنظيمية وتمكّن التحليل التاريخي.
• تحليل السجلات: نظام SIEM أو منصة مشابهة تربط الأحداث وتكتشف الأنماط المشبوهة.
• المراقبة المستمرة: فريق أو خدمة تراقب التنبيهات وتحقق فيها.

الضوابط الأساسية تتطلب في مجال الدفاع التسجيل والمراقبة للأحداث الأمنية، والكشف عن التهديدات، والتحقيق في الحوادث. كل هذه الضوابط تعتمد على بنية تحتية للتسجيل تعمل بشكل صحيح.

الخطأ الشائع هو شراء نظام SIEM وافتراض أن الضابط مُنفّذ. لكن النظام لا قيمة له إذا لم يكن يجمع السجلات من الأصول الحرجة، أو إذا كانت السجلات غير مكتملة، أو إذا لم يكن هناك من يراجع التنبيهات.

في السنة الثانية من خارطة الطريق، بعد أن يكون الجرد والهوية جاهزين، يمكن بناء البنية التحتية للتسجيل بشكل صحيح. تعرف الآن أي الأصول حرجة، فتركّز على جمع سجلاتها أولاً. لديك إدارة هوية مركزية، فيمكن ربط الأحداث بالمستخدمين الفعليين.

المجموعة الرابعة: قدرة الاستجابة للحوادث

الكشف بلا استجابة لا قيمة له. قدرة الاستجابة للحوادث هي المجموعة الرابعة، وتشمل:

• فريق الاستجابة: أشخاص مدرّبون على التحقيق في الحوادث واحتوائها، سواء كانوا داخليين أو من خلال خدمة خارجية.
• إجراءات الاستجابة: خطط موثّقة ومختبرة لسيناريوهات الحوادث المختلفة، مع أدوار ومسؤوليات واضحة.
• أدوات الاستجابة: القدرة على عزل الأصول المخترقة، وجمع الأدلة الرقمية، وإعادة البناء بعد الحادث.
• التواصل: إجراءات للإبلاغ عن الحوادث للجهات التنظيمية والأطراف المعنية وفق المتطلبات.

الضوابط الأساسية تتطلب في مجال المرونة قدرة على الاستجابة للحوادث والتعافي منها. لكن هذه القدرة لا يمكن بناؤها في فراغ — تعتمد على المجموعات الثلاث السابقة.

لا يمكنك التحقيق في حادث إذا لم يكن لديك سجلات كافية. لا يمكنك عزل أصل مخترق إذا لم تكن تعرف ما هي الأصول المتصلة به. لا يمكنك تحديد الحسابات المخترقة إذا لم يكن لديك إدارة هوية واضحة.

في السنة الثالثة من خارطة الطريق، بعد أن تكون البنية التحتية للتسجيل جاهزة، يمكن بناء قدرة الاستجابة الكاملة. تطوّر إجراءات الاستجابة بناءً على الأصول الحرجة المحددة في الجرد. تختبر الإجراءات من خلال تمارين محاكاة تستخدم السجلات الفعلية من بيئتك. تدرّب الفريق على استخدام الأدوات التي لديك.

كيف تُقسّم خارطة الطريق الثلاثية

بناءً على المجموعات الأربع، خارطة الطريق الثلاثية للضوابط الأساسية تُقسّم كالتالي:

السنة الأولى: الأساس

• إنشاء جرد شامل للأصول مع التصنيف حسب الحرجية.
• توحيد إدارة الهوية وتطبيق المصادقة القوية.
• بناء الحوكمة الأساسية: السياسات، والأدوار، والمسؤوليات، وإدارة المخاطر.
• البدء في جمع السجلات من الأصول الأكثر حرجية.

السنة الثانية: الكشف

• إكمال البنية التحتية للتسجيل والمراقبة.
• تطبيق ضوابط الكشف عن التهديدات والأنماط المشبوهة.
• تعزيز ضوابط الوصول بناءً على الجرد والتصنيف.
• بناء قدرة أولية للاستجابة للحوادث.

السنة الثالثة: المرونة والتحسين

• إكمال قدرة الاستجابة للحوادث والتعافي.
• تطبيق ضوابط الأطراف الثالثة بناءً على تصنيف المخاطر.
• تعزيز ضوابط الأنظمة الصناعية والتشغيلية.
• اختبار جميع القدرات من خلال تمارين محاكاة شاملة.

هذا التقسيم يحترم التبعيات الفنية، ويضمن أن كل ضابط يُبنى على أساس موجود. الميزانية تُوزّع وفقاً لذلك، مع استثمار أكبر في السنة الأولى لبناء الأساس.

العلامات التي تدل على الحاجة إلى إعادة ترتيب خارطة الطريق

إذا كانت خارطة الطريق الحالية لديكم تواجه أياً من هذه العلامات، فقد تحتاجون إلى إعادة ترتيبها وفق التبعيات:

• مشاريع متعثرة لأن القدرات الأساسية غير موجودة.
• ضوابط "مُنفّذة" على الورق لكنها لا تعمل في الواقع.
• ميزانيات تُنفق على أدوات لا تُستخدم بشكل فعّال.
• فجوة متزايدة بين ما تطلبه الجهات التنظيمية وما تستطيعون إثباته.
• فريق الأمن يقضي وقته في "إطفاء الحرائق" بدلاً من التنفيذ الاستراتيجي.

كيف نبني خارطة الطريق وفق التبعيات

عندما تحتاج جهة بنية تحتية حرجة إلى خارطة طريق للضوابط الأساسية تحترم التبعيات الفنية وتحقق الالتزام التنظيمي، نقدم خدمة استراتيجية الأمن السيبراني وخارطة الطريق التي تحوّل أولويات الأعمال والالتزامات التنظيمية ومشهد التهديدات إلى استراتيجية أمن سيبراني مرتبة الأولويات ومقدّرة التكلفة وخارطة طريق متعددة السنوات.

العملية تتكون من أربع مراحل على مدى ستة إلى عشرة أسابيع:

الفهم: مقابلات مع القيادة ومراجعة خطة الأعمال ومستوى المخاطر المقبول والوضع التنظيمي. نفهم أي الأصول حرجة لعملياتكم، وأي الضوابط الأساسية تنطبق عليكم، وما هي القدرات الموجودة حالياً.

التقييم: خط أساس للنضج وفق الأطر المنطبقة وصورة التهديدات الحالية. نحدد أي المجموعات الأربع موجودة وأيها مفقودة، ونقيّم الفجوات مقابل متطلبات الهيئة الوطنية للأمن السيبراني.

التصميم: الأهداف والمبادرات والتسلسل والاستثمار، مع اختبارها مع أصحاب العلاقة. نبني خارطة الطريق بناءً على التبعيات الفنية، مع تقدير التكلفة والجهد لكل مبادرة، ونختبرها مع فريقكم للتأكد من واقعيتها.

الاعتماد: استراتيجية وخارطة ومؤشرات جاهزة لمجلس الإدارة، تُعرض وتُعدّل حتى الاعتماد. نعدّ حزمة عرض توضح الأساس المنطقي للتسلسل والاستثمار المطلوب والمخاطر المتبقية.

المخرجات تشمل وثيقة استراتيجية الأمن السيبراني، وخارطة طريق لثلاث سنوات مع تقديرات الميزانية، ونموذج التشغيل المستهدف، وحزمة عرض لمجلس الإدارة، وتعريف لوحة مؤشرات الأداء والمخاطر.

الاستراتيجية تغطي الالتزام التنظيمي — تُدمج متطلبات الهيئة الوطنية للأمن السيبراني وغيرها مما ينطبق عليكم في الأهداف وخارطة الطريق، ليسير الالتزام والأمن معاً. ونوصي بمراجعة سنوية مختصرة وتحديث شامل كل ثلاث سنوات، أو قبل ذلك عند تغيّر جوهري في الأعمال أو البيئة التنظيمية.

النتيجة: توجه أمني لثلاث سنوات يعتمده مجلس الإدارة وينفذه الفريق، مبني على تسلسل منطقي يحترم التبعيات الفنية ويحقق الالتزام بالضوابط الأساسية دون إهدار الميزانية على مشاريع لن تعمل.