المشكلة: تقارير تهديدات لا تترجم إلى قرارات
في كل شهر، تصل إلى مكاتب مدراء أمن المعلومات في المؤسسات المالية السعودية تقارير استخبارات تهديدات من مصادر متعددة. تحتوي هذه التقارير على قوائم بالجهات المهاجمة، وتكتيكات MITRE ATT&CK المستخدمة، ومؤشرات الاختراق، وتحليلات للحملات الإلكترونية الجارية. المعلومات دقيقة، والتحليل محترف، لكن السؤال الذي يطرحه مجلس الإدارة يبقى بلا إجابة واضحة: أي من أنظمتنا معرض لهذه التهديدات؟
النمط الذي نلاحظه في المؤسسات المالية وشركات التأمين والمؤسسات الخاضعة للرقابة في المملكة متشابه. تصل التقارير إلى فريق الأمن، يقرأها المحللون، يستخرجون المؤشرات ويضيفونها إلى أدوات الحماية، ثم يحفظون التقرير. عندما يُطلب من مدير أمن المعلومات تقديم عرض لمجلس الإدارة أو لجنة المخاطر، يجد نفسه يحاول ترجمة تكتيكات مثل "Initial Access" أو "Credential Dumping" إلى لغة المخاطر المؤسسية. النتيجة: عروض عامة، وأسئلة محددة من مجلس الإدارة، وصعوبة في تبرير استثمارات الضوابط الأمنية.
ثلاث شركات في جدة — اثنتان من القطاع المالي وواحدة من قطاع التأمين — واجهت هذه المشكلة بوضوح. كانت تتلقى تقارير تهديدات منتظمة، لكنها لم تتمكن من ربط التهديدات بالأصول السعودية الخاصة بها بطريقة تجعل القيادة قادرة على اتخاذ قرارات استثمار واضحة. قررت هذه الشركات تغيير المنهجية بالكامل.
لماذا لا يكفي إطار MITRE ATT&CK وحده
إطار MITRE ATT&CK أداة قيمة لتصنيف سلوك الجهات المهاجمة وفهم التكتيكات والتقنيات التي تستخدمها. لكن المشكلة تكمن في أن هذا الإطار يصف ماذا يفعل المهاجم، لا أي من أصولك معرض للخطر.
عندما يقرأ محلل التهديدات أن جهة مهاجمة تستخدم تقنية "T1078 - Valid Accounts"، فهو يعرف أن المهاجم يستغل حسابات صحيحة. لكن هذه المعلومة لا تخبره بشيء عن:
- أي من الأنظمة الحرجة في مؤسسته تعتمد على مصادقة قد تكون عرضة لهذا الأسلوب؟
- هل أنظمة الحوالات المالية أو منصات الخدمات المصرفية الرقمية أو قواعد بيانات العملاء هي الأكثر عرضة؟
- ما هي الضوابط المحددة التي يجب تعزيزها، وما هو ترتيب الأولوية؟
الشركات الثلاث في جدة لاحظت أن فرق الأمن لديها كانت تقضي وقتاً طويلاً في تحليل التكتيكات، لكن القيادة لم تكن قادرة على ترجمة هذا التحليل إلى قرارات ميزانية أو استثمار في ضوابط محددة. كانت الفجوة واضحة: المعلومات موجودة، لكن الربط بالأصول الحرجة غائب.
المنهجية الجديدة: ربط الجهات المهاجمة بالأصول الحرجة
المنهجية التي تبنتها هذه الشركات تتكون من ثلاث خطوات واضحة، وهي منهجية نراها تنتشر الآن في مؤسسات أخرى في الرياض والدمام.
الخطوة الأولى: جرد الأصول الحرجة وتصنيفها
قبل أن تبدأ أي مؤسسة في ربط التهديدات بالأصول، يجب أن تعرف بدقة ما هي أصولها الحرجة. هذه ليست مجرد قائمة بالخوادم أو التطبيقات، بل تصنيف يربط كل أصل بالعمليات المؤسسية التي يدعمها.
في المؤسسات المالية، تشمل الأصول الحرجة عادة:
- أنظمة المدفوعات والحوالات (SWIFT، SADAD، مدى)
- منصات الخدمات المصرفية الرقمية والتطبيقات
- قواعد بيانات العملاء ومعلومات الحسابات
- أنظمة إدارة الهوية والوصول
- بوابات الموردين والأطراف الثالثة
- أنظمة إعداد التقارير الرقابية المرتبطة بالبنك المركزي السعودي (ساما)
كل أصل يُصنَّف حسب:
- الأهمية المؤسسية: هل توقفه يعطل خدمة حرجة؟
- الحساسية التنظيمية: هل يحتوي على بيانات خاضعة لمتطلبات ساما أو الهيئة الوطنية للأمن السيبراني؟
- التعرض: هل هو متاح عبر الإنترنت، أم داخلي فقط، أم يتصل بأطراف ثالثة؟
الشركات الثلاث أنشأت سجلاً واحداً يجمع هذه المعلومات، وهو سجل يُحدَّث كل ربع سنة.
الخطوة الثانية: تحديد الجهات المهاجمة ذات الصلة بالقطاع والمنطقة
بدلاً من قراءة كل تقرير تهديدات عام، ركزت هذه الشركات على الجهات المهاجمة التي تستهدف القطاع المالي في المنطقة بشكل خاص. هذا يشمل:
- الجهات المهاجمة التي استهدفت مؤسسات مالية في الخليج خلال السنوات الثلاث الماضية
- الحملات التي تستهدف أنظمة الدفع أو سلاسل التوريد المالية
- الجهات التي تستخدم أساليب هندسة اجتماعية باللغة العربية
- الحملات التي تستغل ثغرات في الأنظمة والتطبيقات الشائعة في المؤسسات السعودية
لكل جهة مهاجمة ذات صلة، أنشأت الشركات ملف تعريف يتضمن:
- الأهداف المعتادة (أنواع الأصول التي تستهدفها)
- الأساليب المفضلة (البريد الإلكتروني، استغلال الثغرات، سلسلة التوريد)
- المؤشرات الفنية الحديثة
- الأطر الزمنية المعتادة للحملات
هذا التركيز يقلل الضجيج بشكل كبير. بدلاً من متابعة مئات الجهات المهاجمة، تركز المؤسسة على العشرين أو الثلاثين الأكثر صلة.
الخطوة الثالثة: بناء مصفوفة ربط بين الجهات المهاجمة والأصول
هذه هي الخطوة التي تحول المعلومات إلى قرارات. لكل جهة مهاجمة ذات صلة، تسأل المؤسسة:
إذا نجحت هذه الجهة في اختراقنا، أي من أصولنا الحرجة سيكون هدفها الأول؟
الإجابة تُبنى على:
- التعرض: هل الأصل متاح للجهة المهاجمة؟
- الجاذبية: هل هذا الأصل يحقق أهداف الجهة المهاجمة (سرقة بيانات، تعطيل خدمة، احتيال مالي)؟
- سهولة الاستغلال: هل الضوابط الحالية على هذا الأصل كافية لمنع الأساليب المعتادة لهذه الجهة؟
النتيجة: مصفوفة واضحة تربط كل جهة مهاجمة بالأصول الأكثر عرضة لها، مع تقييم لمستوى الخطر الحالي.
من المصفوفة إلى قرارات الاستثمار
المصفوفة تجعل المحادثة مع مجلس الإدارة مختلفة تماماً. بدلاً من القول: "هناك جهة مهاجمة تستخدم تقنيات Initial Access وCredential Dumping"، يستطيع مدير أمن المعلومات أن يقول:
"الجهة المهاجمة X، التي استهدفت ثلاثة بنوك في المنطقة هذا العام، تستهدف تحديداً أنظمة الحوالات المالية وبوابات الموردين. أصولنا الأكثر عرضة هي نظام SWIFT وبوابة الموردين الخارجية. الضوابط الحالية تغطي 60% من الأساليب المعتادة لهذه الجهة. نحتاج استثمار في مصادقة متعددة العوامل للموردين ومراقبة سلوكية لحسابات SWIFT."
هذا النوع من العرض يحصل على موافقة فورية، لأن القيادة ترى:
- الأصل المعرض للخطر (واضح ومحدد)
- الجهة المهاجمة ذات الصلة (ليست تهديداً نظرياً)
- الفجوة في الضوابط (قابلة للقياس)
- الاستثمار المطلوب (محدد ومبرر)
التحديات العملية في التطبيق
المنهجية واضحة، لكن تطبيقها يواجه تحديات عملية رأيناها في أكثر من مؤسسة:
التحدي الأول: جودة جرد الأصول
كثير من المؤسسات تمتلك قوائم أصول، لكنها غير محدثة أو غير مرتبطة بالعمليات المؤسسية. بناء سجل أصول حرجة دقيق يتطلب تعاوناً بين فرق الأمن والعمليات وتقنية المعلومات والأعمال. في إحدى الشركات، استغرق بناء السجل الأول شهرين، لأن الفريق اكتشف أصولاً حرجة لم تكن مدرجة في أي وثيقة سابقة.
التحدي الثاني: الحصول على معلومات تهديدات ذات صلة
التقارير العامة المتاحة تركز على تهديدات عالمية، لا على الأنماط الإقليمية أو القطاعية. المؤسسات التي نجحت في تطبيق هذه المنهجية اعتمدت على مصادر متعددة:
- تقارير من مراكز تبادل المعلومات القطاعية (Financial ISACs)
- معلومات من الهيئة الوطنية للأمن السيبراني
- تقارير من موردي الأمن الذين يرصدون الحملات الإقليمية
- تحليل داخلي لمحاولات الاختراق السابقة
الجمع بين هذه المصادر يتطلب جهداً مستمراً، وهو ما دفع الشركات الثلاث إلى تخصيص محلل واحد على الأقل لهذه المهمة بدوام كامل.
التحدي الثالث: تحديث المصفوفة بانتظام
التهديدات تتغير، والأصول تتغير، والضوابط تتحسن. المصفوفة ليست وثيقة ثابتة. الشركات التي نجحت في الاستفادة منها وضعت جدولاً زمنياً واضحاً:
- مراجعة شهرية لملفات الجهات المهاجمة (إضافة حملات جديدة، تحديث المؤشرات)
- مراجعة ربع سنوية لسجل الأصول (إضافة أصول جديدة، تحديث التصنيف)
- مراجعة ربع سنوية للمصفوفة (إعادة تقييم مستوى الخطر بناءً على الضوابط الجديدة)
بدون هذا الانضباط، تفقد المصفوفة قيمتها بسرعة.
الأثر على العلاقة بين الأمن والقيادة
التحول من تقارير التكتيكات إلى ربط التهديدات بالأصول غيّر طبيعة المحادثات بين فرق الأمن والقيادة في هذه الشركات. أصبحت اجتماعات لجنة المخاطر أقصر وأكثر تركيزاً. بدلاً من شرح تقنيات الهجوم، يعرض مدير أمن المعلومات الأصول المعرضة للخطر والاستثمارات المطلوبة.
في إحدى الشركات، أدى هذا التحول إلى موافقة سريعة على مشروع لتعزيز ضوابط الوصول لنظام المدفوعات، بعد أن أظهرت المصفوفة أن هذا النظام هو الهدف الأول لثلاث جهات مهاجمة ذات صلة. في شركة أخرى، ساعدت المصفوفة القيادة على ترتيب أولويات الاستثمار بين أربعة مشاريع أمنية مقترحة، بناءً على الأصول الأكثر عرضة.
الأهم من ذلك، أصبحت القيادة تنظر إلى فريق الأمن كشريك استراتيجي في حماية الأصول الحرجة، لا كفريق تقني يقدم تقارير معقدة.
متطلبات البنك المركزي السعودي والهيئة الوطنية للأمن السيبراني
البنك المركزي السعودي (ساما) يتطلب من المؤسسات المالية تطبيق ضوابط الأمن السيبراني وإدارة المخاطر بما يتناسب مع طبيعة أعمالها وحجم تعرضها للمخاطر. الهيئة الوطنية للأمن السيبراني تتطلب من الجهات الخاضعة لها تطبيق الضوابط الأساسية للأمن السيبراني، والتي تشمل إدارة الأصول وإدارة التهديدات.
المنهجية التي نصفها هنا تدعم الامتثال لهذه المتطلبات بطريقة عملية. عندما تربط المؤسسة التهديدات بأصولها الحرجة، فهي تستطيع أن تثبت للجهات الرقابية أنها:
- تعرف أصولها الحرجة وتصنفها بدقة
- تراقب التهديدات ذات الصلة بقطاعها ومنطقتها
- تقيّم مستوى تعرض أصولها لهذه التهديدات
- تتخذ قرارات استثمار مبنية على المخاطر الفعلية
هذا النهج يتجاوز مجرد الامتثال الشكلي، ويبني قدرة حقيقية على إدارة المخاطر السيبرانية.
الخطوات العملية للبدء
إذا كانت مؤسستك تواجه نفس التحدي — تقارير تهديدات كثيرة لكن صعوبة في ترجمتها إلى قرارات — فالخطوات العملية للبدء واضحة:
- ابدأ بجرد محدود: لا تحاول جرد كل الأصول دفعة واحدة. ابدأ بالأصول الحرجة العشرة أو العشرين الأولى — الأنظمة التي لو توقفت أو اخترقت لأثرت على العمليات أو السمعة أو الامتثال.
- حدد خمس جهات مهاجمة ذات صلة: راجع تقارير التهديدات التي تلقيتها خلال الأشهر الستة الماضية، واختر الجهات التي استهدفت مؤسسات مشابهة لمؤسستك في المنطقة. ابدأ بخمس جهات فقط.
- اسأل السؤال البسيط: لكل جهة من الخمس، اسأل: إذا نجحت في اختراقنا، أي من أصولنا العشرة سيكون هدفها الأول؟ اكتب الإجابة في جدول بسيط.
- اعرض النتيجة على القيادة: خذ الجدول إلى اجتماع لجنة المخاطر أو الإدارة العليا. اشرح الربط بين الجهات المهاجمة والأصول، واطلب رأيهم في ترتيب الأولويات.
- وسّع تدريجياً: بعد أن تثبت قيمة المنهجية بمثال محدود، وسّع الجرد والتحليل ليشمل المزيد من الأصول والجهات المهاجمة.
هذا النهج التدريجي يقلل المقاومة ويبني الثقة في المنهجية الجديدة.
استخبارات تهديدات مرتبطة بأصولكم
المنهجية التي وصفناها تتطلب جهداً مستمراً في جمع المعلومات وتحليلها وربطها بالأصول. كثير من المؤسسات لا تمتلك الموارد الكافية لتخصيص محللين بدوام كامل لهذه المهمة، أو تفتقر إلى المصادر الإقليمية والقطاعية اللازمة.
خدمة استخبارات التهديدات السيبرانية التي نقدمها تركز على الجهات والحملات والثغرات التي تستهدف المؤسسات المالية والخاضعة للرقابة في المملكة، وتُقدَّم على شكل إجراءات مرتّبة حسب الأولوية لفرق الأمن والمخاطر والقيادة.
العملية تبدأ بـالتحديد: نتفق معكم على متطلبات الاستخبارات وأولوياتها، بناءً على أصولكم الحرجة وقطاعكم. ثم الجمع: نستخدم مصادر قطاعية وإقليمية وتقنية لرصد التهديدات ذات الصلة. بعد ذلك التحليل: نقيّم مدى صلة كل تهديد بأصولكم ومورديكم. ثم التنفيذ: نقدم تنبيهات وتقارير ومؤشرات لفرقكم. وأخيراً المراجعة: نجري ضبطاً ربع سنوي مع قياداتكم لتحديث الأولويات.
المخرجات تشمل وثيقة متطلبات الاستخبارات في البداية، ثم تنبيهات التهديدات العاجلة عند ظهور تهديد ذي صلة مباشرة، وتقرير استخبارات شهري للإدارة يربط التهديدات بأصولكم، وتغذية بالمؤشرات لأدواتكم الأمنية، وملفات تعريف للجهات المهاجِمة والحملات ذات الصلة بقطاعكم، وإحاطة ربع سنوية بمشهد التهديدات لقياداتكم.
الخدمة متاحة على شكل اشتراك شهري، وتتضمن متطلبات استخبارات متفق عليها مع قياداتكم، ورصد تهديدات قطاعية وإقليمية، وتنبيهات للتهديدات العاجلة ذات الصلة، ومؤشرات مهيأة لأدواتكم الأمنية، وملفات تعريف للجهات المهاجِمة والحملات، ومراجعة ربع سنوية للمتطلبات.
إذا كنتم تتلقون تقارير تهديدات لكن تجدون صعوبة في ترجمتها إلى قرارات واضحة لمجلس الإدارة، تواصلوا معنا لمناقشة كيف يمكن ربط التهديدات بأصولكم الحرجة بشكل عملي ومستمر.
