أي ضوابط ساما يتم اختبارها فعلياً في هجوم الفدية؟

أي ضوابط ساما يتم اختبارها فعلياً في هجوم الفدية؟

تقييمات الامتثال تفحص السياسات والإجراءات والوثائق. تُراجع الأدلة، وتُجرى المقابلات، وتُقيّم النضج. لكن هجوم الفدية يختبر شيئاً مختلفاً تماماً: هل ضوابط ساما هجمات الفدية التي وضعتموها على الورق تعمل فعلياً تحت الضغط؟ هل النسخ الاحتياطي قابل للاستعادة؟ هل خطة الاستجابة للحوادث واضحة بما يكفي لتُنفّذ في الساعة الثالثة فجراً؟ هل يعرف فريق الاتصالات من يُبلّغ ومتى؟

الفرق بين التقييم والحادث الفعلي هو الفرق بين قراءة الإجراء ومحاولة تنفيذه بينما الأنظمة معطّلة والهواتف تُرنّ والإدارة العليا تطلب إجابات. هذا المقال يستعرض أحد عشر ضابطاً من إطار البنك المركزي السعودي للأمن السيبراني—SAMA Cybersecurity Framework—التي تُختبر حقاً في كل حادث فدية، ويوضح الثغرات التي تظهر فقط عند وقوع الهجوم.

لماذا تختلف الحوادث الفعلية عن التقييمات

التقييم يسأل: هل لديكم سياسة نسخ احتياطي؟ هل تُختبر؟ هل هناك سجلات؟ الإجابة قد تكون نعم على الثلاثة. لكن الحادث يسأل: هل يمكنكم استعادة قاعدة البيانات الرئيسية الآن، من نسخة لم تُصب بالتشفير، خلال أربع ساعات، بينما فريق التقنية منهك والمهاجم ما زال داخل الشبكة؟

الفرق ليس في الامتثال الشكلي، بل في الفعالية التشغيلية. إطار البنك المركزي السعودي للأمن السيبراني يتطلب ضوابط محددة في مجالات مثل إدارة الأصول، وحماية البيانات، والاستجابة للحوادث، واستمرارية الأعمال. كل ضابط يبدو واضحاً في التقييم، لكن تحت ضغط الحادث تظهر التفاصيل: هل الأدوار محددة بوضوح؟ هل الإجراءات محدّثة؟ هل الفرق مدرّبة؟ هل الأدوات متاحة؟

الضوابط الأحد عشر التي يختبرها هجوم الفدية

1. سلامة النسخ الاحتياطي وقابليته للاستعادة

إطار ساما يتطلب نسخاً احتياطياً منتظماً واختباراً دورياً للاستعادة. الحادث يختبر: هل النسخ الاحتياطية معزولة عن الشبكة الإنتاجية؟ هل هي غير قابلة للتعديل—immutable؟ هل يمكن استعادتها خلال الإطار الزمني المحدد في خطة استمرارية الأعمال؟

الثغرات التي تظهر: نسخ احتياطية مخزّنة على أقراص شبكية يصل إليها المهاجم، أو عمليات استعادة لم تُختبر منذ أشهر، أو وثائق الاستعادة غير محدّثة، أو فريق لا يعرف كيفية استخدام أدوات الاستعادة تحت الضغط.

2. التجزئة والعزل الشبكي

الإطار يتطلب تقسيم الشبكة إلى مناطق—segmentation—والتحكم في الحركة بينها. الحادث يختبر: هل التجزئة تمنع انتشار الفدية من محطة عمل واحدة إلى الخوادم الحرجة؟ هل الضوابط على الحدود—firewalls وقوائم التحكم بالوصول—تعمل كما صُمّمت؟

الثغرات: شبكات مسطّحة حيث كل جهاز يرى كل جهاز، أو قواعد جدران نار واسعة جداً، أو حسابات خدمة لها وصول عبر كل المناطق، أو بروتوكولات إدارة—مثل RDP وSMB—مفتوحة على نطاق واسع.

3. إدارة الوصول المميز والحسابات الإدارية

ضوابط ساما تتطلب حماية الحسابات ذات الصلاحيات العالية، والمصادقة متعددة العوامل، ومراجعة الصلاحيات. الحادث يختبر: هل حسابات المسؤولين محمية بمصادقة ثنائية؟ هل يمكن للمهاجم الحصول على بيانات اعتماد إدارية من محطة عمل مصابة؟

الثغرات: حسابات إدارية مستخدمة للمهام اليومية، أو كلمات مرور مشتركة بين عدة مسؤولين، أو عدم تفعيل المصادقة الثنائية على حسابات الخدمة، أو عدم مراجعة من يملك صلاحيات Domain Admin.

4. الكشف والمراقبة المستمرة

الإطار يتطلب أدوات كشف التسلل ومراقبة السجلات والتنبيهات. الحادث يختبر: هل فريق العمليات الأمنية—SOC—رأى المؤشرات المبكرة؟ هل السجلات محفوظة ومركزية؟ هل التنبيهات واضحة وقابلة للتنفيذ؟

الثغرات: سجلات غير مفعّلة على أنظمة حرجة، أو تنبيهات كثيرة جداً بحيث تُهمل الحرجة منها، أو عدم وجود قواعد كشف لسلوكيات الفدية—مثل التشفير الجماعي أو حذف نسخ الظل، أو فريق لا يراجع التنبيهات خارج ساعات العمل.

5. خطة الاستجابة للحوادث ووضوح الأدوار

البنك المركزي السعودي يتطلب خطة موثّقة للاستجابة للحوادث، وأدوار محددة، وإجراءات تصعيد. الحادث يختبر: هل الخطة محدّثة؟ هل الأدوار واضحة—من يقرر العزل، من يتصل بالجهات التنظيمية، من يُبلّغ الإدارة؟ هل الفريق يعرف أين يجد الخطة؟

الثغرات: خطط قديمة تشير إلى موظفين لم يعودوا في المؤسسة، أو أدوار غامضة تؤدي إلى تأخير القرارات، أو إجراءات لم تُختبر في تمرين، أو عدم وجود قوائم اتصال محدّثة.

6. العزل السريع واحتواء الانتشار

الإطار يتطلب قدرة على احتواء الحوادث. الحادث يختبر: هل يمكنكم عزل الأجهزة المصابة بسرعة؟ هل لديكم صلاحيات تعطيل منافذ الشبكة أو حظر عناوين IP؟ هل الإجراءات واضحة لمن يُنفّذ العزل؟

الثغرات: تأخير في اتخاذ قرار العزل خوفاً من تعطيل العمليات، أو عدم وجود أدوات عزل مركزية—مثل NAC أو EDR، أو فريق شبكات غير متاح خارج ساعات العمل، أو عدم وجود إجراء واضح لعزل فرع كامل.

7. التواصل الداخلي والخارجي في الأزمات

ضوابط ساما تتطلب خطة اتصالات للأزمات. الحادث يختبر: من يُبلّغ الإدارة العليا؟ متى تُبلّغون البنك المركزي السعودي؟ كيف تتواصلون مع الموظفين والعملاء؟ هل قنوات الاتصال آمنة—لا تعتمد على البريد الإلكتروني المعطّل؟

الثغرات: عدم وجود قنوات بديلة—مثل هواتف أو تطبيقات مراسلة، أو عدم وضوح متى يجب الإبلاغ التنظيمي، أو رسائل متضاربة للموظفين، أو تأخير إبلاغ العملاء المتأثرين بما يخالف متطلبات نظام حماية البيانات الشخصية.

8. إدارة الأدلة الجنائية والسجلات

الإطار يتطلب حفظ الأدلة للتحقيق. الحادث يختبر: هل السجلات محمية من التلاعب؟ هل يمكنكم جمع صور جنائية—forensic images—من الأجهزة المصابة؟ هل الفريق يعرف كيف يحفظ الأدلة دون تلويثها؟

الثغرات: سجلات محذوفة أو مكتوبة فوقها، أو عدم وجود أدوات جنائية جاهزة، أو فريق يعيد تشغيل الأجهزة قبل جمع الأدلة، أو عدم توثيق سلسلة الحفظ—chain of custody.

9. خطة استمرارية الأعمال والتعافي من الكوارث

البنك المركزي السعودي يتطلب خططاً لاستمرارية الأعمال—BCP—والتعافي من الكوارث—DRP. الحادث يختبر: هل يمكنكم تشغيل العمليات الحرجة بدون الأنظمة المشفّرة؟ هل لديكم إجراءات بديلة؟ ما هو الإطار الزمني للتعافي—RTO وRPO—وهل هو واقعي؟

الثغرات: خطط لم تُختبر منذ سنوات، أو أهداف تعافٍ غير واقعية، أو عدم وجود إجراءات يدوية بديلة، أو اعتماد على أنظمة احتياطية تبيّن أنها غير جاهزة.

10. إدارة الموردين والأطراف الثالثة

الإطار يتطلب تقييم مخاطر الموردين ومراقبة وصولهم. الحادث يختبر: هل الفدية دخلت عبر مورّد؟ هل لديكم قائمة بكل الموردين الذين لهم وصول للشبكة؟ هل يمكنكم تعطيل وصولهم بسرعة؟

الثغرات: وصول موردين غير مراقب، أو حسابات موردين قديمة لم تُلغَ، أو عدم وجود عقود تتطلب من الموردين الإبلاغ عن حوادثهم، أو عدم معرفة أي مورّد يدير أي نظام.

11. الحوكمة ورفع التقارير لمجلس الإدارة

ضوابط ساما تتطلب حوكمة واضحة ورفع تقارير للإدارة العليا ومجلس الإدارة. الحادث يختبر: من يقرر دفع الفدية أو رفضها؟ كيف تُرفع المعلومات لمجلس الإدارة؟ هل الإدارة العليا تفهم المخاطر والخيارات؟

الثغرات: عدم وضوح من يملك صلاحية القرار، أو تقارير تقنية معقدة لا تساعد الإدارة على اتخاذ القرار، أو تأخير إبلاغ مجلس الإدارة، أو عدم وجود لجنة أزمات محددة مسبقاً.

الثغرات التي لا تظهر إلا تحت الضغط

بعض الثغرات لا يكشفها التقييم لأنها ليست في السياسة أو الإجراء، بل في التنفيذ تحت الضغط:

• الإجراءات المعقدة جداً: إجراء استعادة من عشر صفحات قد يبدو شاملاً في التقييم، لكنه غير قابل للتنفيذ في الساعة الثالثة فجراً بواسطة فريق منهك.

• الاعتماد على أفراد محددين: الخطة تفترض أن مسؤول النسخ الاحتياطي متاح، لكنه في إجازة أو مريض أو غادر المؤسسة.

• الافتراضات غير المختبرة: افتراض أن الشبكة الاحتياطية تعمل، أو أن المورّد سيرد خلال ساعة، أو أن السجلات كافية للتحقيق—كلها تنكشف عند الحادث.

• التنسيق بين الفرق: الأمن السيبراني يعرف ما يجب فعله، لكن فريق الشبكات أو التطبيقات لا يستجيب بالسرعة المطلوبة لأن الأدوار غير واضحة.

متى تحتاجون تقييم امتثال يركّز على الفعالية التشغيلية

تحتاجون تقييماً شاملاً عندما:

• أكملتم تقييماً سابقاً لكنكم تريدون معرفة ما إذا كانت الضوابط ستعمل فعلياً تحت الضغط.
• مرّت أكثر من سنة على آخر تقييم وتغيّرت الأنظمة أو الفرق أو البيئة التنظيمية.
• تستعدون لفحص من البنك المركزي السعودي أو الهيئة الوطنية للأمن السيبراني وتريدون معرفة الفجوات مسبقاً.
• واجهتم حادثاً—أو كادت مؤسسة مماثلة تواجهه—وتريدون معرفة أين أنتم ضعفاء.
• تريدون ربط الامتثال لإطار ساما بأطر أخرى—مثل الضوابط الأساسية للهيئة الوطنية للأمن السيبراني أو نظام حماية البيانات الشخصية—في تقييم واحد.

النتيجة الجيدة ليست مجرد قائمة بالفجوات، بل فهم واضح لأي ضوابط جاهزة للاختبار الفعلي وأيها ستفشل تحت الضغط، وخارطة طريق مرتبة الأولويات لإصلاح الأهم أولاً.

كيف يُجرى تقييم الامتثال الشامل

التقييم يمر بأربع مراحل واضحة: النطاق، والجمع، والتقييم، والتقرير.

النطاق يحدد الأطر والجهات والأنظمة المشمولة. قد يكون التقييم لإطار ساما فقط، أو يشمل أيضاً الضوابط الأساسية للهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية وISO 27001، مع ربط النتائج بين الأطر.

الجمع يتضمن الاستبيان والمقابلات والأدلة. يُرسل استبيان مفصّل لكل مجال—إدارة الأصول، حماية البيانات، الاستجابة للحوادث، إلخ. تُجرى مقابلات مع الفرق المعنية—الأمن السيبراني، التقنية، المخاطر، الامتثال، العمليات. تُجمع الأدلة: السياسات، الإجراءات، السجلات، لقطات شاشة من الأدوات، نتائج الاختبارات.

التقييم يشمل تقييم ضابطاً ضابطاً واختبار الأدلة والعينات وتقييم النضج لكل مجال. كل ضابط يُفحص: هل موجود؟ هل موثّق؟ هل مُطبّق؟ هل فعّال؟ تُختبر العينات—مثل مراجعة عينة من سجلات النسخ الاحتياطي أو اختبارات الاستعادة، أو فحص قواعد الجدار الناري، أو مراجعة سجلات التنبيهات الأمنية. يُقيّم النضج لكل مجال—من المستوى الأولي إلى المُحسّن—ليس فقط الامتثال الشكلي.

التقرير يُسلّم أربعة مخرجات رئيسية: تقرير التقييم ودرجات النضج، وسجل الفجوات مع الأدلة، وخارطة المعالجة، وملخص لمجلس الإدارة والإدارة. التقرير يوضح حالة كل ضابط، والأدلة المراجعة، ودرجة النضج. سجل الفجوات يسرد كل ملاحظة مع الدليل والمخاطر المرتبطة. خارطة المعالجة مرتبة الأولويات—ما يجب إصلاحه أولاً بناءً على المخاطر والمتطلبات التنظيمية. الملخص التنفيذي مكتوب لمجلس الإدارة والإدارة العليا، يوضح الوضع العام والمخاطر الرئيسية والتوصيات دون التفاصيل التقنية.

المدة النموذجية من أربعة إلى ثمانية أسابيع، حسب نطاق المؤسسة وعدد الأطر المشمولة وتوفّر الفرق والأدلة.

من التقييم إلى المعالجة

التقييم يكشف الفجوات، لكن المعالجة تتطلب أكثر من قائمة مهام. بعض الفجوات تُحل بتحديث سياسة أو إجراء—وهنا تساعد خدمة إعداد السياسات والمعايير والإجراءات. بعضها يتطلب إعادة تصميم الحوكمة أو الأدوار—وهنا تساعد خدمة حوكمة الأمن السيبراني والهيكل التنظيمي. وبعضها يتطلب تحسين الأدوات أو العمليات أو التدريب.

الأهم هو الأولويات: ما الذي يُصلح أولاً؟ الضوابط التي تُختبر في هجوم الفدية—النسخ الاحتياطي، العزل، الاستجابة، الاتصالات—يجب أن تكون في مقدمة خارطة المعالجة، لأنها الفرق بين التعافي خلال أيام والتوقف لأسابيع.

الخلاصة: الامتثال على الورق والفعالية تحت الضغط

إطار البنك المركزي السعودي للأمن السيبراني يضع ضوابط واضحة، وتقييمات الامتثال تفحص ما إذا كانت موجودة وموثّقة. لكن هجوم الفدية يختبر شيئاً أعمق: هل تلك الضوابط تعمل تحت الضغط؟ هل الفرق تعرف ماذا تفعل؟ هل الأدوات جاهزة؟ هل الإجراءات واضحة بما يكفي لتُنفّذ في أزمة؟

إذا كنتم تريدون معرفة موقعكم بدقة مقابل متطلبات البنك المركزي السعودي والهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية—وما يجب إصلاحه أولاً—تقييم شامل يمنحكم الوضوح والأولويات وخارطة الطريق.