اعتبارًا من 11 سبتمبر 2026، يمنح قانون المرونة السيبرانية (CRA) التابع للاتحاد الأوروبي الشركات المصنعة مهلة 24 ساعة للإبلاغ عن أي ثغرة أمنية يتم استغلالها فعليًّا. وفي بيئات التكنولوجيا التشغيلية (OT)، غالبًا ما تكون الحوادث التي تؤدي إلى بدء سريان هذه المهلة هي تلك التي تصل عبر محرك أقراص محمول ( USB )، ولا يزال معظم المشغلين غير قادرين على تحديد الوجهة التالية لهذا المحرك.
الساعة ذات الـ24 ساعة هي في الحقيقة اختبار للرؤية.
اعتبارًا من 11 سبتمبر 2026، يتعين على الشركات المصنعة للمنتجات التي تحتوي على عناصر رقمية وتُباع في الاتحاد الأوروبي الإبلاغ عن الثغرات الأمنية التي يتم استغلالها فعليًّا والحوادث الأمنية الخطيرة. والجدول الزمني صارم: إصدار إنذار مبكر في غضون 24 ساعة من علم الشركة بالمسألة، وإرسال إخطار كامل في غضون 72 ساعة، وتقديم تقرير نهائي في غضون 14 يومًا من توفر الإجراء التصحيحي للثغرات الأمنية التي يتم استغلالها فعليًّا، أو في غضون شهر واحد بالنسبة للحوادث الخطيرة.
لاحظ ما الذي ترتكز عليه هذه الآلية الزمنية: الوعي. فكل موعد نهائي منصوص عليه في اللائحة يفترض قدرتك على رصد الحدث، وإعادة بناء كيفية وقوعه، ووصف الإجراء التصحيحي. وهذه مشكلة تتعلق بالتوثيق والقياس عن بُعد قبل أن تصبح مشكلة قانونية بوقت طويل. كما أن هذا الالتزام يمتد إلى الماضي والمستقبل على حد سواء، لأنه يشمل المنتجات التي تم طرحها بالفعل في سوق الاتحاد الأوروبي، وليس فقط تلك التي يتم شحنها بعد أن تصبح لائحة CRA سارية المفعول بالكامل في ديسمبر 2027.
بالنسبة لأي جهة تدير أو تزود بيئات صناعية وبيئات تكنولوجيا التشغيل (OT)، فإن هذا يكشف عن فجوة مقلقة. فالمسار الأكثر احتمالاً لحدوث حادثة تستوجب الإبلاغ في بيئة تكنولوجيا التشغيل (OT) هو أيضاً المسار الذي يحتوي على أقل قدر من الأجهزة المراقبة: الوسائط القابلة للإزالة. والخبر السار هو أن هذه مشكلة هندسية قابلة للحل، وتوجد لها ثلاثة إجراءات تحكم مفهومة جيداً: نقطة تفتيش إلزامية عند الحدود الخارجية، ونقل أحادي الاتجاه مفروض بواسطة الأجهزة بين المناطق، ونقل مُدار يتم فيه تسجيل كل حركة. وهذه الإجراءات الثلاثة ضرورية، كما أن ترتيبها مهم.
المشكلة الأولى: التهديد الذي يدخل ببساطة عبر البوابة
كشفت أبحاث شركة «هانيويل» في مجال الأمن السيبراني الصناعي أن 51% من البرمجيات الخبيثة التي حللتها كانت مصممة للانتشار عبر أجهزة « USB »، بزيادة عن نسبة 9% المسجلة قبل خمس سنوات. وأظهر تقرير التهديدات لعام 2025 الصادر عن الشركة أن واحدة من كل أربع حوادث تعامل معها فريق الاستجابة التابع لها كانت تتضمن حدث «التوصيل والتشغيل» ( USB ) عبر وسائط قابلة للإزالة، وعادةً ما يكون ذلك عندما يقوم شخص ما بتوصيل محرك أقراص، مما يؤدي إلى انتشار البرمجيات الخبيثة في البيئة. أصبحت الوسائط القابلة للإزالة واحدة من أكثر نواقل الوصول الأولي موثوقيةً إلى بيئات أنظمة التحكم الصناعية (ICS) (Industrial )، وذلك تحديدًا لأنها تتجاوز كل ضوابط الشبكة التي استثمر فيها المشغل.
وقد لفتت هيئات المعايير الانتباه إلى هذه المسألة منذ سنوات. فوثيقة NIST SP 800-82 Rev. 3، «دليل أمن التكنولوجيا التشغيلية (OT)»، تعامل حماية الوسائط كفئة رقابة مستقلة لهذا السبب بالذات، كما تفترض نماذج المناطق والقنوات الواردة في المعيار IEC 62443 أن الوسائط التي تدخل المنطقة قد خضعت للفحص. نادرًا ما تكون السياسة هي الثغرة. فمعظم المنشآت لديها سياسة خاصة بالوسائط القابلة للإزالة موضوعة في ملف ما في مكان ما. لكن المشكلة تكمن في التنفيذ: فالسياسة التي تعتمد على أن يتوجه المقاول طواعيةً إلى محطة المسح الضوئي لا تولد أي دليل في اليوم الذي يمر فيه بجانبها بدلاً من ذلك.
إذن، فإن الإجراء الأول هو نقطة تفتيش إلزامية عند الحدود المادية: محطة مسح يجب أن يمر عبرها كل كمبيوتر محمول تابع للموردين، ومحرك أقراص الفنيين، وتحديثات البرامج الثابتة، حيث يتم فحص الملفات باستخدام محركات متعددة، وإعادة بنائها لإزالة التهديدات المضمنة، وتسجيلها. وهناك نتيجتان مهمتان بنفس القدر: عدم دخول أي وسائط مصابة أبدًا، وتسجيل كل وسائط دخلت بالفعل. والنتيجة الثانية هي الأساس الذي يُبنى عليه الإخطار خلال 72 ساعة.
المشكلة الثانية: ماذا يحدث بعد البوابة؟
تُجيب وسائط التنقية الموجودة عند المدخل على سؤال واحد: ما الذي يُسمح بدخوله. أما المسار الذي تسلكه البيانات بعد ذلك، فهذه مسألة أخرى.
وبمجرد أن يصبح الملف خالياً من التهديدات، لا يزال يتعين نقله من جانب المؤسسة إلى شبكة التحكم، وفي معظم المنشآت يمثل هذا المسار قاعدة في جدار الحماية. وجدران الحماية هي برامج؛ وهي ثنائية الاتجاه بحكم تصميمها وقابلة للتكوين، مما يعني أنها قابلة أيضاً للتكوين الخاطئ. وجدار الحماية الذي يسمح بنقل الملفات الواردة هو، بحكم تصميمه، مسار عودة يمكن للمهاجم أن يحاول استخدامه.
وتكمن الحلول المعمارية في إزالة مسار العودة ماديًّا وليس منطقيًّا. حيث تُفرض البوابات أحادية الاتجاه وثنائيات البيانات تدفق البيانات في اتجاه واحد على مستوى الأجهزة: يمكن للبيانات أن تنتقل من الجانب ذي الثقة المنخفضة إلى الجانب ذي الثقة العالية (أو إلى خارج المؤسسة لحالات الاستخدام المتعلقة بسجلات البيانات والتحليلات)، ولا يمكن لأي بروتوكول أو تغيير في القواعد أو بيانات اعتماد مخترقة عكس هذا الاتجاه. لا يوجد ما يمكن أن يُساء تكوينه لأنه لا يوجد ما يُكوّن في المقام الأول.
وهذا الأمر مهم بالنسبة للموقف التنظيمي بقدر أهميته بالنسبة للأمن. ينص الملحق الأول من معيار CRA على ضرورة أن تحمي المنتجات سرية وسلامة البيانات أثناء نقلها، وأن تقاوم التلاعب غير المصرح به بالأوامر والبرامج والإعدادات. وتعد «الاتجاهية المُفروضة» ( Hardware) إحدى المطالبات القليلة التي يمكن للمورد إثباتها عمليًّا على منصة الاختبار بدلاً من الاكتفاء بذكرها في ورقة البيانات، وهو ما يُعد عاملاً مهمًا عند تجميع ملف تقني أو عند مقابلة مدقق.
المشكلة الثالثة: جعلها شيئًا يمكن للناس فعلاً تشغيله
وهنا يتعثر معظم مشاريع النقل الآمن. فنقطة التفتيش التعقيمية والبوابة أحادية الاتجاه تصفان حدودًا. لكنهما لا تصفان سير العمل، ولذلك تطرح فرق المشتريات السؤال العملي في مرحلة مبكرة: «حسنًا، لكن كيف يمكن لمهندس في روتردام أن يرسل تكوينًا معتمدًا لوحدة التحكم المنطقية القابلة للبرمجة (PLC) إلى مصنع في بولندا في أي يوم عشوائي؟»
إذا كانت الإجابة تنطوي على قيام شخص ما بالسير عبر محرك أقراص USB وصولاً إلى كشك، فإن هذه البنية قد أعادت في الواقع إثارة المشكلة التي تم تصميمها لحلها.
يتجنب نظام نقل الملفات المُدار هذه المشكلة. فالآليات القياسية، مثل SFTP وواجهات برمجة التطبيقات REST وسير العمل المُتوسط، تتيح نقل الملفات بين المناطق دون الحاجة إلى تدخل بشري، ويخضع كل نقل لنفس عملية المسح المتعدد وتقنية Deep CDR™ التي كان الملف سيتلقاها عند الكشك. كما ينتج عن كل عملية نقل سجل للجلسة: من بدأها، وما الذي تم إرساله، وما كانت نتيجة الفحص، وأين وصل الملف، ومتى. ويُعد سجل التدقيق هذا هو الحل التشغيلي للجدول الزمني لإعداد التقارير الذي تحدده هيئة CRA. وعندما يحدث خطأ ما، فإن الفرق بين تقديم الإنذار المبكر في غضون 24 ساعة وتفويت هذه المهلة يكمن عادةً في ما إذا كان السجل موجودًا بالفعل أم أنه يتعين إعادة بنائه من خلال المقابلات.
ثلاث مشكلات، خط أنابيب واحد
تقوم الشركات الموردة ببيع «نقطة التفتيش» و«البوابة» و«طبقة النقل» كثلاث عمليات شراء منفصلة. وهي تشغل ثلاث نقاط على مسار واحد:
المرحلة | السؤال الذي يجيب عليه | التحكم |
المدخل | هل من الآمن إدخال هذه الوسائط؟ | نقطة تفتيش إلزامية للمسح الضوئي وتطهير الملفات |
العبور | هل يمكن لأي شيء أن يعود إلى الخارج؟ | Hardware-النقل أحادي الاتجاه المفروض |
العملية | كيف نستخدم هذا في حياتنا اليومية، مع تقديم أدلة؟ | نقل الملفات المُدار والمسجل والقائم على البروتوكولات |
إذا عالجت مسألة «الدخول» بمفردها، فستحصل على ملف نظيف لا يوجد فيه مسار آمن للدخول إليه. وإذا عالجت مسألة «العبور» بمفردها، فستحصل على حدود محصنة يضطر الناس إلى الالتفاف حولها. وإذا عالجت مسألة «العمليات» بمفردها، فستحصل على سجلات ممتازة لنقل الملفات غير المُتحقق منها. وتكمن القيمة في التسلسل الكامل.
ملاحظة واحدة بشأن نطاق البحث
من الجدير التوضيح بدقة ما يشمله الموعد النهائي المحدد في سبتمبر وما لا يشمله. فقانون CRA هو تشريع خاص بالمنتجات: حيث تقع التزامات الإبلاغ المنصوص عليها فيه على عاتق مصنعي ومستوردي وموزعي المنتجات التي تحتوي على عناصر رقمية، وليس على مشغلي المنشآت بحد ذاتها. أما مشغلو البنية التحتية الحيوية في الاتحاد الأوروبي، فيخضعون بشكل مباشر أكثر لتوجيهات NIS2، التي تنص على واجبات خاصة بها فيما يتعلق بالإبلاغ عن الحوادث.
لكن في الممارسة العملية، يتلاقى الاثنان في نفس القدرة. وسواء كان الالتزام يقع عليك بصفتك مصنعًا بموجب قانون الاستجابة للإنترنت (CRA) أو ككيان أساسي بموجب لائحة NIS2، فإن المطلوب منك هو الكشف عن أي حادث بسرعة، وشرح كيفية انتقال البيانات، وإظهار الضوابط التي كانت مطبقة. ويستجيب خط نقل البيانات المزود بأدوات الرصد لهذه المتطلبات الثلاثة جميعها. أما وثيقة السياسة، مهما كانت دقة صياغتها، فلا تستجيب لأي منها.
من أين أبدأ؟
إذا كان يوم 11 سبتمبر مدرجًا في جدول أعمالك، فتجاهل تقييم الفجوات مقارنةً بنص اللائحة وقم بدلاً من ذلك بإجراء استعراض تفصيلي: اختر ملفًا حقيقيًّا واحدًا، مثل تحديث للبرمجيات الثابتة، أو تصحيح من المورد، أو وصفة دفعية محدثة، وتتبّع مساره الكامل من الكمبيوتر المحمول الخاص بالمورد وصولاً إلى وحدة التحكم. سجّل كل نقطة يتم فيها اتخاذ قرار بشري بدلاً من تطبيق إجراء رقابي، وكل نقطة يتوقف فيها المسار.
تواجه معظم المؤسسات نفس الثغرات الثلاث، بنفس الترتيب.
OPSWAT تتعاون مع مشغلي البنية التحتية الحيوية ومصنعي المعدات الأصلية (OEM) في هذا المشروع بالتحديد: MetaDefender Kiosk™ لتأمين الوسائط القابلة للإزالة على مستوى الحدود الخارجية، و MetaDefender Unidirectional Security Gateway للنقل أحادي الاتجاه المفروض على مستوى الأجهزة بين المناطق، و MetaDefender Managed File Transfer لإدارة حركة البيانات مع تدقيق كامل للجلسات. للتعرف على مسار بياناتك الخاص في ضوء متطلبات إعداد التقارير وفقًا لـ CRA وNIS2، يرجى التواصل مع فريقنا.
