أدى قانون "أمن البنية التحتية الحيوية" (SOCI) الأسترالي إلى إعادة صياغة الطريقة التي تدير بها الكيانات المسؤولة المخاطر السيبرانية والتشغيلية. ويحول القانون التركيز من مجرد مواءمة السياسات على المستوى الرفيع إلى تحقيق مرونة تشغيلية ملموسة مدعومة بممارسات إدارة مخاطر مثبتة.
وتعزز التعديلات الأخيرة توقعات الحكومة الأسترالية بأن يتجاوز مالكو البنية التحتية الحيوية الأطر الثابتة ليتجهوا نحو ضوابط عملية وتشغيلية، لا سيما في مجال الأمن السيبراني وأمن المعلومات.
بموجب الجزء 2A من قانون SOCI، يتعين على الكيانات المسؤولة وضع «برنامج إدارة مخاطر البنية التحتية الحيوية» (CIRMP) والحفاظ عليه والالتزام به. وينطبق هذا الشرط على مختلف القطاعات، بما في ذلك:
|
|
|
يُطلب من معظم هذه القطاعات اتباع نهج أكثر نضجًا وشفافيةً وتطورًا مستمرًا لإدارة المخاطر على مستوى الأفراد والعمليات والتكنولوجيا.
تُعزز التعديلات التي أُدخلت بين عامي 2021 و2024 ثلاثة توقعات رئيسية:
- ضوابط أمنية محددة بوضوح ومطبقة في مجال الأمن السيبراني وأمن المعلومات
- التقييم والمراجعة المستمران للمخاطر، وليس مجرد توثيق ثابت
- الرقابة والمساءلة على مستوى مجلس الإدارة
تتوقع الجهات التنظيمية الآن من المؤسسات أن تثبت فعالية الضوابط التي تطبقها، مدعومة بأدوات الرصد والتسجيل والحوكمة، فضلاً عن فعاليتها التشغيلية. لم يعد الامتثال مجرد إجراء شكلي يتعلق بالوثائق، بل أصبح مسؤولية تشغيلية وتنفيذية ترتبط ارتباطاً مباشراً بالقدرة الوطنية على الصمود.
قانون SOCI وخطة CIRMP
يجب على الكيانات المسؤولة وضع خطة إدارة المخاطر والمخاطر الحرجة (CIRMP) والحفاظ عليها والالتزام بها، على أن تكون هذه الخطة متناسبة مع درجة أهمية الأصول وبيئة التهديدات. ويجب أن تتجاوز خطة CIRMP مجرد البيانات السياساتية، وأن تضم ضوابط عملية قائمة على المخاطر تتصدى للمخاطر الواقعية.
وفقًا لمتطلبات CIRMP، يتعين على المؤسسات:
- تحديد المخاطر التي قد تؤثر بشكل جوهري على أصول البنية التحتية الحيوية
- تقليل أو إزالة المخاطر الجوهرية الناشئة عن تلك الأخطار
- مراجعة الضوابط وتحديثها بانتظام لتعكس التغيرات في أنشطة التهديدات
- الاحتفاظ بالسجلات والأدلة لدعم عمليات الضمان التنظيمي والتفاعل
- التعامل مع المخاطر عبر أربعة عوامل خطر محددة:
- مخاطر الأمن السيبراني وأمن المعلومات
- الأمن المادي والمخاطر الطبيعية
- المخاطر المتعلقة بالموظفين
- مخاطر سلسلة التوريد
على الرغم من أن CIRMP لا تزال قائمة على المبادئ، إلا أن الهيئات التنظيمية تتوقع بلوغ مرحلة النضج التشغيلي. ويجب على المؤسسات أن تثبت أن الضوابط يتم تنفيذها ومراقبتها وتحسينها باستمرار. ولا يكفي الاكتفاء بالتوثيق وحده، بل يلزم تقديم أدلة على الرقابة الإدارية وعمليات تقييم المخاطر وآليات التنفيذ الفنية.
المخاطر السيبرانية باعتبارها Core لبرنامج CIRMP
تمثل المخاطر السيبرانية ومخاطر أمن المعلومات أحد أهم المخاطر التي تتطور بسرعة والتي تهدد البنية التحتية الحيوية. ويؤكد برنامج CIRMP على أهمية المخاطر السيبرانية باعتبارها ركيزة أساسية في التخطيط للمرونة، مما يعكس التزايد المتواصل في وتيرة هجمات برامج الفدية، واختراق سلاسل التوريد، والهجمات التي تستهدف بيئات التكنولوجيا التشغيلية.
يجب على الكيانات المسؤولة أن تثبت فهمها الواضح للطريقة التي يمكن أن تؤثر بها التهديدات السيبرانية بشكل جوهري على توافر أصول البنية التحتية الحيوية أو سلامتها أو موثوقيتها.
ويشمل ذلك القدرة على تحديد:
- كيف تدخل البيانات والملفات والبرامج إلى بيئات تكنولوجيا المعلومات (IT) وتكنولوجيا التشغيل (OT) وأنظمة التحكم الصناعية (ICS) وكيف تنتقل عبرها
- عندما توجد حدود ثقة بين شبكات تكنولوجيا المعلومات (IT) وتكنولوجيا التشغيل (OT) وشبكات الأطراف الثالثة
- كيف يمكن للبرامج الضارة أو الوصول غير المصرح به أن ينتشر في الأنظمة التشغيلية
- سواء كان ذلك من جانب الموردين أو المقاولين أو الوسائط المحمولة، فإن ذلك ينطوي على مخاطر غير خاضعة للرقابة
توضح تعديلات قانون SOCI أن الأنظمة القديمة والشبكات المعزولة عن الإنترنت وبيئات التكنولوجيا التشغيلية (OT) المقيدة ليست مستثناة من الالتزامات المتعلقة بالمخاطر السيبرانية. ويجب على المؤسسات تكييف الضوابط لتتناسب مع هذه البيئات بدلاً من تجنب تطبيقها.
وعمليًا، يتطلب ذلك توفير الرؤية والقدرة على فرض الرقابة في نقاط الدخول التي غالبًا ما يتم استغلالها، بما في ذلك:
- تحميل الملفات وتنزيلها
- مرفقات البريد الإلكتروني
- النقاط الطرفية الخاضعة للإدارة وغير الخاضعة للإدارة
- الوسائط القابلة للإزالة
- طرق الوصول عن بُعد
- مناطق التقاء تكنولوجيا المعلومات وتكنولوجيا التشغيل
تعتمد الإدارة الفعالة للمخاطر السيبرانية في إطار برنامج CIRMP على الضوابط الوقائية التي تقلل من التعرض للمخاطر قبل وصول التهديدات إلى الأنظمة الحيوية. ويُعد التسجيل والمراقبة وتوفير الأدلة أمورًا أساسية لإثبات أن هذه الضوابط تعمل بالشكل المقصود.
مواءمة فئات المخاطر في برنامج CIRMP مع التطبيق العملي لإجراءات المكافحة
يتطلب برنامج CIRMP من المؤسسات معالجة المخاطر عبر أربعة محاور للمخاطر. ويتطلب كل محور ضوابط قابلة للتنفيذ والتدقيق تقلل من المخاطر الجوهرية التي تهدد أصول البنية التحتية الحيوية.
تشمل عوامل الخطر ما يلي:
- الأمن السيبراني وأمن المعلومات
- الموظفون
- سلسلة التوريد
- الأمن المادي
توضح الأقسام التالية كيفية ترجمة فئات المخاطر هذه إلى ضوابط أمنية تشغيلية في بيئات البنية التحتية الحيوية.
1. مخاطر الأمن السيبراني وأمن المعلومات
تُلزم مبادرة CIRMP المؤسسات بتطبيق ضوابط تقلل إلى أدنى حد من المخاطر السيبرانية الجسيمة التي قد تؤدي إلى تعطيل توفر أصول البنية التحتية الحيوية أو سلامتها أو موثوقيتها. وتشمل التهديدات السيبرانية الشائعة التصيد الاحتيالي والبرامج الضارة وبرامج الفدية وهجمات رفض الخدمة.
لا تزال التهديدات المرتبطة بالملفات تُعدّ من أكثر طرق الوصول الأولية شيوعًا. ويجب على المؤسسات تأمين عمليات تحميل الملفات وتنزيلها ونقلها وإدخالها إلى بيئات تكنولوجيا المعلومات وتكنولوجيا التشغيل على حد سواء.
تم تصميم MetaDefender OPSWAT لمنع التهديدات التي تنتقل عبر الملفات قبل وصولها إلى المستخدمين أو الأنظمة الحيوية. ويتكامل هذا النظام مع البنية التحتية الحالية لفحص عمليات التحميل والتنزيل ومرفقات البريد الإلكتروني وعمليات نقل الملفات دون تعطيل سير العمل التشغيلي.
Core MetaDefender Core تقنيات كشف متعددة لدعم الفحص الدفاعي المتعمق، بما في ذلك:
- تقنية المسح المتعدد Metascan™ التي تضم أكثر من 30 محركًا لمكافحة البرامج الضارة
- الكشف القائم على التوقيعات، والكشف الاستدلالي، والكشف القائم على التعلم الآلي
- الكشف عن الثغرات الأمنية في يومها الأول قبل التنفيذ، مدعوم بالذكاء الاصطناعي وقائم على التعلم الآلي
- تحليل سمعة الملفات والتجزئة
فيما يتعلق بالتهديدات المجهولة وتلك التي تظهر لأول مرة، تقوم تقنية Deep CDR™ بتنظيف الملفات بشكل عميق لإزالة التهديدات المضمنة بشكل متكرر، مثل البرامج النصية والماكرو والمحتوى المخالف للسياسة، ثم تعيد إنشاء ملفات آمنة وقابلة للاستخدام مع الحفاظ على وظائف الأعمال.
يتيح تحليل Adaptive مراقبة السلوك في بيئة خاضعة للرقابة. أما تقنية Proactive DLP™ فتقوم بفحص محتوى الملفات للكشف عن المعلومات الحساسة وفرض إجراءات تستند إلى السياسات، مثل حذف المحتوى أو حجب أجزاء منه أو وضع علامة مائية عليه قبل إتاحة الملفات للمستخدمين أو الأنظمة.
وتشمل قدرات التفتيش الإضافية ما يلي:
- التحقق الحقيقي من نوع الملف
- استخراج الأرشيف والمسح التكراري
- File-based vulnerability assessment
- منع فقدان البيانات وفحص المحتوى
وتدعم هذه القدرات أهداف برنامج CIRMP من خلال:
- تقليل الاعتماد على تقنية كشف واحدة
- الكشف عن هجمات فورية والوقاية منها
- توفير أدلة قابلة للتدقيق تثبت بذل العناية الواجبة في مجال كشف التهديدات
2. المخاطر المتعلقة بالموظفين
بموجب خطة CIRMP، تشمل المخاطر المتعلقة بالأفراد المخاطر التي قد يتسبب فيها الموظفون والمقاولون والمقاولون من الباطن والمتدربون وغيرهم من الأفراد الذين يتمتعون بإمكانية الوصول إلى أصول البنية التحتية الحيوية. ويجب على المؤسسات تقييم من يُعتبر عاملاً حيوياً، ومستوى صلاحيات الوصول التي يتمتع بها، وما إذا كان هذا الوصول قد ينطوي على مخاطر جوهرية.
لا تزال الوسائط القابلة للإزالة والأجهزة المحمولة من أكثر الطرق شيوعًا لإدخال البرامج الضارة إلى بيئات التكنولوجيا التشغيلية، لا سيما في الشبكات المعزولة أو المقسمة. وبدون ضوابط قابلة للتنفيذ، يمكن لهذه الطرق أن تتجاوز دفاعات المحيط الخارجي.
تم تصميم MetaDefender MetaDefender Media لتطبيق الضوابط الأمنية عند نقاط دخول الوسائط وعلى مستوى واجهة التفاعل بين الإنسان والآلة (HMI).
Kiosk MetaDefender Kiosk عملية الفحص والتطهير للوسائط القابلة للإزالة قبل السماح بدخول الملفات إلى البيئات الآمنة. كما يطبق سياسات أمنية محددة مسبقًا ويقوم بإنشاء سجلات لدعم متطلبات التدقيق.
Firewall MetaDefender Media Firewall الفحص المباشر وتطبيق السياسات على عمليات نقل البيانات بين الشبكات، بما في ذلك شرائح شبكات التكنولوجيا التشغيلية (OT). كما يمنع الملفات غير المصرح بها أو غير الآمنة من الوصول إلى الأنظمة الحيوية.
تدعم هذه الضوابط متطلبات السلامة الخاصة بموظفي برنامج CIRMP من خلال:
- الحد من مخاطر الأنشطة الداخلية الخبيثة أو الناجمة عن الإهمال
- تطبيق إجراءات التعامل الآمن مع الوسائط القابلة للإزالة داخل شبكات التكنولوجيا التشغيلية
- تقييد استخدام الأجهزة غير المعتمدة
- تحسين الرؤية بشأن من يقوم بإدخال الملفات ومتى
3.Supply Chain
يحدد قانون SOCI صراحةً مخاطر سلسلة التوريد باعتبارها فئة من فئات المخاطر الجوهرية في إطار برنامج إدارة المخاطر المؤسسية (CIRMP). ويجب على الكيانات المسؤولة معالجة المخاطر التي ينطوي عليها التعامل مع الموردين والمقاولين ومصنعي المعدات الأصلية (OEM) ومقدمي الخدمات من الأطراف الثالثة.
يمكن أن تنشأ المخاطر المتعلقة بسلسلة التوريد من خلال:
- نقاط النهاية التابعة لجهات خارجية المتصلة بشبكات حساسة
- طرق الوصول عن بُعد إلى بيئات العلاج الوظيفي
- الأجهزة المحمولة التي يجلبها المقاولون إلى موقع العمل
- Software وأنشطة الصيانة
يعتمد العديد من مشغلي البنى التحتية الحيوية على الاتصال عن بُعد لمراقبة الأصول وإجراء التشخيصات وتنفيذ عمليات التحديث عبر المواقع المتفرقة أو الإقليمية. وبدون ضوابط مناسبة، قد تؤدي قنوات الوصول هذه إلى إدخال تهديدات إلكترونية إلى البيئات الحساسة، بما في ذلك شبكات التكنولوجيا التشغيلية (OT) المعزولة تمامًا أو شبه المتصلة.
تم تصميم كل من OPSWAT MetaDefender و MetaDefender Access™ للحد من المخاطر الناجمة عن تفاعل الأطراف الخارجية مع الأنظمة الحيوية.
MetaDefender Drive MetaDefender Drive وتقييم أجهزة الكمبيوتر المحمولة والمكتبية والخوادم المؤقتة خارج نطاق نظام التشغيل المضيف قبل اتصالها بالبيئات الآمنة. كما يكتشف البرامج الضارة، ويحدد نقاط الضعف، ويتحقق من سلامة الجهاز لضمان السماح فقط للأنظمة الموثوقة بالدخول إلى الشبكات الخاضعة للرقابة أو المعزولة.
OT Access MetaDefender OT Access حلاً آمناً للوصول عن بُعد مصمم خصيصاً لبيئات تكنولوجيا التشغيل (OT) والأنظمة السيبرانية-المادية (CPS). وهو يتيح اتصالاً خاضعاً للرقابة للأطراف الخارجية والموظفين العاملين عن بُعد، مع تطبيق ضوابط وصول دقيقة وسياسات لإدارة الجلسات.
تدعم هذه القدرات متطلبات CIRMP المتعلقة بالمخاطر في سلسلة التوريد من خلال:
- حماية الأنظمة الحيوية من التداخل أو التعطيل الناجم عن أصول الجهات الخارجية
- تقييد الوصول إلى الأنظمة والوظائف المصرح بها
- تعزيز الرؤية فيما يتعلق بتفاعلات الموردين والمقاولين مع البنية التحتية الحيوية
4. مخاطر الأمن المادي وتقسيم الشبكة
لا تزال المخاطر المادية والبيئية تشكل عنصراً أساسياً في خطة إدارة المخاطر الخاصة بالبنية التحتية الحيوية (CIRMP). وفي بيئات البنية التحتية الحيوية الحديثة، يتداخل الأمن المادي بشكل متزايد مع المخاطر السيبرانية، لا سيما عندما تعتمد أنظمة التكنولوجيا التشغيلية (OT) على تدفقات البيانات الخاضعة للرقابة بين شبكات تكنولوجيا المعلومات (IT) وشبكات التكنولوجيا التشغيلية (OT).
تستخدم العديد من بيئات البنية التحتية الحيوية أنظمة تكنولوجيا التشغيل (OT) قديمة أدوات فيها نشر أدوات أمن النقاط الطرفية التقليدية. ونتيجة لذلك، يجب تطبيق الضوابط الأمنية على حدود الشبكة ونقاط نقل البيانات.
توصي الإرشادات التنظيمية والمعايير الصناعية عادةً باستخدام بوابات أحادية الاتجاه، والمعروفة أيضًا باسم «ثنائيات البيانات»، لحماية شبكات التكنولوجيا التشغيلية (OT) الحساسة. وتفرض هذه الضوابط تدفق البيانات في اتجاه واحد لمنع الوصول غير المصرح به، أو إدخال الأوامر، أو تسريب البيانات من الأنظمة الحيوية.
يفرض MetaDefender نقل البيانات أحادي الاتجاه القائم على الأجهزة. ومن خلال منع حركة المرور العكسية ماديًا، فإنه يقضي على مخاطر الهجمات الواردة عبر الشبكة في البيئات المقسمة.
عند تطبيقه ضمن بنية المنطقة المنزوعة السلاح (DMZ) ودمجه مع ضوابط جدار الحماية متعددة الطبقات، يدعم هذا النهج ما يلي:
- تقليل مخاطر انتشار البرامج الضارة بين شبكات تكنولوجيا المعلومات (IT) وتكنولوجيا التشغيل (OT)
- الحماية من الوصول عن بُعد غير المصرح به إلى الأنظمة الحيوية
- الحفاظ على استمرارية العمليات
- تصميم شبكة يراعي المخاطر بشكل واضح ويتوافق مع مبادئ CIRMP
من خلال التحكم في كيفية انتقال البيانات بين مناطق الثقة، يمكن للمؤسسات تعزيز المرونة المادية والسيبرانية في البيئات التي تكتسب فيها التوافرية والأمان أهمية بالغة.
من الامتثال التنظيمي إلى المرونة التشغيلية
يمثل قانون SOCI الأسترالي وخطة CIRMP تحولاً ملموساً في التوقعات التنظيمية. ويجب على الكيانات المسؤولة أن تتجاوز مجرد النوايا الموثقة، وأن تثبت أن ضوابط المخاطر تُنفَّذ وتُحسَّن باستمرار في الممارسة العملية.
تتوقع الجهات التنظيمية من المؤسسات أن تثبت أن الضوابط:
- مناسب لدرجة أهمية الأصل وخصائص التهديد
- مُدمجة في سير العمل التشغيلي
- مدعومة بعمليات التسجيل والرصد والإشراف الإداري
- قادرة على تحمل التدقيق من قبل مجلس الإدارة والجهات التنظيمية
لا يُعد CIRMP إطار عمل ثابتًا للامتثال. فهو يتطلب ضوابط وقائية وقابلة للتنفيذ والتدقيق تشمل المجالات الإلكترونية والموارد البشرية وسلسلة التوريد والمخاطر المادية.
يلعب الأمن الوقائي دورًا محوريًا في تلبية هذه التوقعات. يجب أن تعمل الضوابط في نقاط الدخول المشتركة، وعبر حدود تكنولوجيا المعلومات (IT) وتكنولوجيا التشغيل (OT) وأنظمة التحكم الصناعية (ICS)، وكذلك ضمن مسارات التفاعل مع الأطراف الخارجية. كما يجب أن توفر هذه الضوابط الرؤية والأدلة اللازمة لدعم الحوكمة والضمانات والالتزام باللوائح التنظيمية.
إن تركيز OPSWATعلى حماية البنية التحتية الحيوية يدعم بشكل مباشر المتطلبات التشغيلية والتنظيمية لقانون SOCI الأسترالي. ويؤدي تطبيق ضوابط تقنية قابلة للتنفيذ في إطار خطة CIRMP إلى تعزيز كل من مستوى الامتثال والقدرة على الصمود في الواقع العملي.
في بيئات البنية التحتية الحيوية، لا يُعد الأمن الوقائي أمراً اختيارياً، بل هو أمر أساسي للحفاظ على توافر الخدمات وسلامتها وثقة الجمهور. لمعرفة كيفية مواءمة استراتيجية CIRMP الخاصة بك مع الضوابط الوقائية القابلة للتنفيذ، تواصل مع أحد خبراء OPSWAT .
الأسئلة الشائعة
ما هو الغرض من برنامج CIRMP؟
يتطلب برنامج CIRMP من الكيانات المسؤولة بموجب قانون SOCI الأسترالي تحديد وتقييم وإدارة المخاطر التي قد تؤثر بشكل جوهري على أصول البنية التحتية الحيوية. ويضمن البرنامج قيام المؤسسات بتطبيق ضوابط متناسبة في مجالات المخاطر السيبرانية والمخاطر المتعلقة بالموظفين وسلسلة التوريد والمخاطر المادية.
هل ينطبق برنامج CIRMP على بيئات العلاج الوظيفي؟
نعم. تنطبق متطلبات CIRMP على كل من بيئات تكنولوجيا المعلومات (IT) وتكنولوجيا التشغيل (OT). ولا تُستثنى من ذلك الأنظمة القديمة أو المعزولة شبكياً. ويجب على المؤسسات تكييف إجراءات الرقابة لتتناسب مع واقع أنظمة تكنولوجيا التشغيل التي تعاني من قيود.
ما هي أنواع التهديدات السيبرانية الأكثر صلة بالبنية التحتية الحيوية؟
تشمل التهديدات الإلكترونية الشائعة برامج الفدية والتصيد الاحتيالي والبرامج الضارة التي تنتقل عبر الملفات واختراق سلسلة التوريد والوصول عن بُعد غير المصرح به. وتعد عمليات نقل الملفات والوسائط القابلة للإزالة والاتصالات مع أطراف ثالثة من نقاط الدخول الشائعة.
كيف يمكن للمؤسسات إثبات امتثالها للمتطلبات السيبرانية الواردة في CIRMP؟
يجب على المؤسسات أن تثبت أن الضوابط مطبقة وفعالة. ويشمل ذلك الاحتفاظ بسجلات، ومراقبة الأنشطة، وتطبيق السياسات التقنية، وتوفير عمليات موثقة للإشراف والمراجعة في مجال الحوكمة.
لماذا يتم التركيز على الأمن الوقائي بموجب قانون SOCI؟
يؤكد قانون SOCI على ضرورة تقليل المخاطر الجوهرية التي تهدد أصول البنية التحتية الحيوية إلى أدنى حد ممكن. وتساهم الضوابط الوقائية في تقليل احتمالية وصول التهديدات السيبرانية أو المخاطر الداخلية أو المخاطر المتعلقة بسلسلة التوريد إلى الأنظمة الحيوية، مما يدعم استمرارية العمليات ويضمن الامتثال للوائح التنظيمية.
