مفهوم الصورة المميزة المقترح: مرئي نظيف ومقسّم الشاشة أو مركب يعرض محطة تصفية مياه حديثة مع خريطة بنية شبكة تقنية للغاية ولكنها نظيفة (خطوط نموذج بيردو، وجدران الحماية، وبوابات الوصول عن بُعد الآمنة)، والانتقال من الأنابيب المادية القياسية إلى البتات الرقمية، مما يؤكد على الاتصال الآمن.

أدى التحول الرقمي لقطاع أنظمة المياه والصرف الصحي (WWS) إلى تلاشي العزل التقليدي المعزول بالهواء لشبكات التكنولوجيا التشغيلية (OT). في حين أن أجهزة الاستشعار المتصلة بالإنترنت، وأنظمة التحكم الإشرافي وتحصيل البيانات (SCADA)، والعمليات عن بعد قد حسنت الكفاءة البلدية، إلا أنها وسعت أيضًا بشكل كبير مساحة الهجمات السيبرانية في هذا القطاع.

وكما أظهر حادث كولورادو ووتر الأخير، فإن الجهات الفاعلة في مجال التهديد تضع البنية التحتية الحيوية في مرماها وتعمل على استهداف واختراق شبكات تكنولوجيا المعلومات وتكنولوجيا العمليات المرتبطة بها.

يوفر منشور معهد NIST الخاص (SP) 1800-45 الذي تم إصداره مؤخرًا، والأمن السيبراني لقطاع المياه والصرف الصحي: بنية البناء، مخططًا حيويًا لمواجهة هذه الأزمة. يقدم هذا التحليل تقييمًا تنفيذيًا وهندسيًا لـ SP 1800-45، واستكشاف هياكلها المرجعية الأساسية، وتحديات التنفيذ العملية، والمواءمة الاستراتيجية مع ISA/IEC 62443 وNIST SP 800-82 Rev. 3.

السيولة الضعيفة للبنية التحتية الحيوية

يواجه قطاع أنظمة المياه والصرف الصحي (WWS) تحديات أمن سيبراني غير مسبوقة. بعد أن كانت معزولة تاريخيًا بسبب الغموض والبروتوكولات التسلسلية الاحتكارية، اعتمدت مرافق المياه بسرعة المكونات التجارية الجاهزة (COTS)، والتحليلات السحابية، وقنوات الصيانة عن بعد. لقد أدى تقارب تكنولوجيا المعلومات/تكنولوجيا العمليات هذا إلى كشف القطاع بشكل أساسي. وتستهدف الجهات الفاعلة في مجال التهديدات التي ترعاها الدول وعصابات الجرائم السيبرانية بنشاط مرافق معالجة المياه، مستغلة آليات الوصول الضعيفة عن بعد لتغيير الجرعات الكيميائية، وتعطيل التوزيع، واحتجاز البنية التحتية العامة الحيوية كرهائن.

ينبع ضعف قطاع المياه والصرف الصحي من ملف تعريف المخاطر غير المتماثل: فالمرافق كثيفة الأصول ولكنها تعاني من نقص مزمن في الموارد. وفي حين يتميز موفر الطاقة من المستوى الأول بمركز عمليات أمنية مخصص (SOC)، فإن سلطة مياه بلدية متوسطة الحجم قد تعتمد على مدير محطة واحد يتعامل مع كل من التوازن الكيميائي واستكشاف أخطاء تكنولوجيا المعلومات وإصلاحها. تدرك الجهات الفاعلة الخبيثة هذا التفاوت. لقد أصبحت آليات الوصول عن بعد - التي تم نشرها على عجل لتسهيل دعم البائعين أو المراقبة في عطلة نهاية الأسبوع - نقطة الدخول الرئيسية لهجمات البنية التحتية الحيوية الحديثة.

على هذه الخلفية، أصدر المركز الوطني للتميز في الأمن السيبراني (NCCoE) التابع للمعهد الوطني للمعايير والتكنولوجيا (NIST) وثيقة NIST SP 1800-45. ويتناول دليل الممارسة هذا مباشرة الثغرة الأمنية الأكثر إلحاحًا في القطاع: الوصول عن بُعد لتكنولوجيا العمليات.

فك تشفير NIST SP 1800-45: لماذا يهم دليل الممارسة هذا

على عكس وثائق الإطار المجردة، فإن NIST SP 1800-45 هو دليل ممارسة هندسية تم بناؤه في بيئة معملية تعاونية جنبًا إلى جنب مع بائعي التكنولوجيا وخبراء الصناعة. إنه ينتقل من "ماذا" في إطار الأمن السيبراني NIST (CSF) 2.0 إلى "كيف" ملموسة.

تكمن الأهمية الأساسية لـ SP 1800-45 في تركيزها على التقنيات المجربة والمتاحة تجاريًا. إنها تقر بأن مرافق المياه لا يمكنها ببساطة استبدال وحدات التحكم المنطقية القابلة للبرمجة (PLCs) القديمة أو واجهات الآلة البشرية (HMIs) لتحقيق الأمان الحديث. وبدلاً من ذلك، توضح كيفية بناء طبقة معمارية واقية حول الأنظمة القائمة.

المبادئ المعمارية الأساسية

تحدد الوثيقة المبادئ الأساسية المطلوبة لتحقيق عمليات مرنة لمرافق المياه:

• الوصول بالحد الأدنى من الامتيازات: تقييد الاتصالات التفاعلية ومن نظام إلى نظام بدقة بالحد الأدنى من الأصول المطلوبة لدور تشغيلي أو وظيفة تشغيلية محددة.

• التجزئة المشفرة: ضمان إنهاء أي جلسة وصول عن بعد في منطقة منزوعة السلاح آمنة (DMZ) بدلاً من الارتباط مباشرة بشبكة التحكم في العمليات.

• الرؤية المستمرة وقابلية التدقيق: تسجيل جميع الجلسات عن بُعد على مستوى دقيق، وتسجيل كل أمر يتم إرساله إلى محطة عمل هندسية أو وحدة تحكم SCADA.

تفكيك البنيات المرجعية الثلاث

يضع NIST SP 1800-45 ثلاث عمليات تنفيذ مرجعية متميزة تعرض كيف يمكن للمرافق تمكين الوصول عن بُعد بشكل آمن عبر مجموعات تقنية مختلفة. يعالج كل تصميم قيودًا تشغيلية محددة وملفات تعريف المخاطر.

ضوابط الوصول القائمة على الأدوار والتي تركز على وحدة التحكم

تركز هذه البنية على إدارة الجلسات التفاعلية من قبل الموظفين والمقاولين ومصنعي المعدات الأصلية (OEMs). وبدلاً من منح المستخدم اتصال شبكة افتراضية خاصة (VPN) واسع النطاق في طبقة الشبكة، يستخدم هذا التصميم أنظمة متخصصة لإدارة وحدة التحكم (مثل TDI ConsoleWorks) لعزل نشاط المستخدم.

يقوم المستخدمون بالمصادقة من خلال بوابة وصول مركزية، حيث ترتبط أذوناتهم بملفات تعريف تشغيلية محددة. يمكن للبائع الخارجي فقط عرض واجهة HMI المحددة أو حلقة PLC المتعاقد على صيانتها. يراقب النظام الجلسة التفاعلية في الوقت الفعلي، مما يوفر مسار تدقيق واضحًا لجميع تغييرات التكوين وضربات المفاتيح.

منصة إدارة الوصول القائم على ثقة صفرية

تبتعد هذه البنية عن الدفاعات المحيطية التقليدية الكثيفة من خلال تنفيذ بنية الثقة الصفرية (ZTA) للأطراف النهائية عن بُعد. وهي تدمج منصات المصادقة متعددة العوامل (MFA) المتقدمة جنبًا إلى جنب مع الوصول الموحد

لا يتم منح الوصول أبدًا بناءً على موقع الشبكة. سواء كان المهندس يتصل من المنزل أو من كمبيوتر محمول داخل المحطة، يجب أن يستوفي بروتوكولات المصادقة المشفرة الصارمة. تعمل بوابة الثقة الصفرية كـ نقطة فرض سياسة صارمة (PEP)، حيث تتحقق من صحة الجهاز وهوية المستخدم والسياق في الوقت الفعلي قبل التوسط في اتصال وكيل مشفر مؤقت مباشرة بأصل تكنولوجيا العمليات المستهدف.

تشفير الشبكة القائم على الأجهزة

إدراكًا منها لأن الأصول الموزعة القديمة - مثل محطات الضخ البعيدة ومحطات الرفع وخزانات تخزين المياه - غالبًا ما تعتمد على شبكات لاسلكية أو خلوية ضعيفة، تقدم هذه البنية حدودًا مشفرة تفرضها الأجهزة.

باستخدام أجهزة تشفير مخصصة (مثل منتجات Q-Net Security)، ينشئ هذا التصميم جيوبًا مشفرة غير قابلة للتغيير للاتصالات بعيدة المدى ومن نظام إلى نظام. وحتى في حالة اختراق قناة اتصال مادية أو برج خلوي، فإن بيانات القياس عن بعد وأوامر التحكم التي تتدفق بين محطة المعالجة الرئيسية والأصول البعيدة تظل مشفرة ومحمية تمامًا من هجمات الحقن أو التلاعب.

المصفوفة الاستراتيجية: مقارنة الأطر المرجعية

لمساعدة التنفيذيين في المرافق ومهندسي الأمن على اختيار المسار الصحيح، يسلط الجدول أدناه الضوء على السمات المميزة لكل تصميم مرجعي:

التنسيق بين الأطر: منظومة أمن تكنولوجيا العمليات الموحدة

لا يحل NIST SP 1800-45 محل المعايير الحالية؛ بل إنه يمثل آلية التنفيذ العملية لها. للحصول على وضع أمني شامل، يجب على المؤسسات فهم كيفية مواءمة هذا الدليل مع أطر العمل الأوسع نطاقًا في الصناعة.

التوافق مع ISA/IEC 62443

إن المفهوم التأسيسي لـ "المناطق والقنوات" ضمن معيار ISA/IEC 62443 يتحقق بشكل مباشر من خلال البنى المرجعية لـ SP 1800-45. ومن خلال تنفيذ بوابات الوصول عن بُعد هذه، تنجح المرافق في إنشاء قنوات آمنة تنظم وتراقب تدفقات البيانات عبر مناطق أمنية مختلفة، مما يمنع الحركة الجانبية غير المصرح بها.

تكامل NIST SP 800-82 Rev. 3

يوفر دليل NIST SP 800-82 Rev. 3 إرشادات أمنية شاملة لأنظمة التحكم الصناعية. ويأخذ SP 1800-45 ضوابط الوصول عن بُعد المحددة الموضحة في SP 800-82 (مثل أجهزة القفز، والمصادقة متعددة العوامل، ومستويات البيانات المنفصلة) ويترجمها إلى عمليات تنفيذ منتجات معتمدة ومتعددة البائعين.

رسم خرائط NIST CSF 2.0

يرتبط SP 1800-45 مباشرة بوظائف الحماية (PR) والكشف (DE) الخاصة بإطار العمل السيبراني NIST 2.0. على وجه التحديد، فإنه يوفر مخططات ملموسة لإدارة الهوية والتحكم في الوصول (PR.AA)، وأمن الشبكات (PR.IR)، والمراقبة الأمنية المستمرة (DE.CM).

التنفيذ العملي: نهج مخصص لكل مرفق خدمي

لا يوجد حل واحد يناسب الجميع في مجال أمن المياه والصرف الصحي. يجب على المرافق تقييم واقعها التشغيلي وقيود حجمها عند تنفيذ نشر SP 1800-45.

المرافق الصغيرة (تخدم أقل من 10,000 عميل)

• الواقع: ميزانية محدودة؛ لا يوجد موظفون مخصصون للأمن السيبراني؛ اعتماد كبير على شركاء التكامل الخارجيين.

• النهج: التركيز على نموذج وكيل الثقة الصفرية. تجنب صيانة البنية التحتية المعقدة للهوية في الموقع. استفد من أدوات المصادقة متعددة العوامل المدارة سحابيًا وحافة خدمة الوصول الآمن (SASE) لحماية النقاط النهائية القديمة دون المبالغة في تعقيد التكوينات المحلية.

المرافق المتوسطة (تخدم من 10,000 إلى 100,000 عميل)

• الواقع: بيئات مختلطة تحتوي على بنية تحتية تجارية حديثة مقترنة بوحدات تحكم PLC قديمة تعود لعقود مضت؛ فريق تكنولوجيا معلومات داخلي ولكن خبرة محدودة في أمن تكنولوجيا العمليات.

• النهج: إعطاء الأولوية لتجزئة الشبكة وإدارة الجلسات التي تركز على وحدة التحكم. تأكد من أن جميع اتصالات البائعين الخارجيين تنتهي بدقة داخل مضيف قفز DMZ، وإلغاء جميع أجهزة المودم الخلوية المتصلة مباشرة بوحدة تحكم PLC.

المرافق الكبيرة (تخدم أكثر من 100,000 عميل)

• الواقع: بنيات معقدة للغاية وموزعة جغرافيًا؛ محطات معالجة متعددة، وعشرات محطات الرفع البعيدة؛ هيكل رسمي لتكنولوجيا المعلومات في الشركة.

• النهج: تنفيذ إستراتيجية هجينة تجمع بين جيوب التشفير المفروضة على الأجهزة للقياس عن بعد الموزع من نظام إلى نظام إلى جانب منصة وصول قوية قائمة على الثقة الصفرية للموظفين الداخليين والخارجيين. دمج سجلات الجلسات مباشرة في نظام إدارة معلومات الأمن والأحداث (SIEM) المركزي.

الأخطاء التي يجب تجنبها: التغلب على العقبات التشغيلية في العالم الحقيقي

يتطلب تنفيذ SP 1800-45 التغلب على عقبات ثقافية وتشغيلية متميزة في قطاع المياه:

• صراع "السلامة مقابل الأمن": تعطي فرق تكنولوجيا العمليات الأولوية لتوفر العملية وسلامتها قبل كل شيء. إذا كانت آلية المصادقة متعددة العوامل أو عملية تسجيل الدخول المعقدة تؤخر مشغل المحطة عن معالجة خلل كيميائي عاجل أو تمزق في الأنابيب، فسيبحث الموظفون حتمًا عن طريقة لتجاوز هذا التحكم الأمني. يجب أن تكون بنيات الأمن سلسة وبديهية لضمان الامتثال.

• معضلة شبكة VPN الخفية: غالبًا ما يقوم مدمجو الأنظمة والبائعون الخارجيون بتثبيت أجهزة مودم خلوية غير خاضعة للمراقبة أو برامج سطح المكتب البعيد المخصصة للمستهلكين مباشرة في أرض المصنع لتبسيط استكشاف الأخطاء وإصلاحها. يجب أن تقوم فرق الأمن باكتشاف الأصول بشكل مستمر للعثور على مسارات الوصول غير المصرح بها هذه وإلغائها.

• تجاهل أسس جرد الأصول: لا تكون بوابة الوصول عن بُعد الآمنة فعالة إلا إذا كنت تعرف بالضبط الأصول الموجودة في بيئتك. إن محاولة تقييد الوصول إلى شبكة دون جرد دقيق وفي الوقت الفعلي لكل وحدة تحكم PLC وHMI وأداة ذكية هي وصفة للاضطراب التشغيلي.

عناصر العمل الاستراتيجية لمديري أمن المعلومات وقادة الأمن

لدمج مبادئ NIST SP 1800-45 بنجاح في مؤسستك، يجب على القيادة التنفيذية تنفيذ الخطوات الخمس التالية:

• إجراء تدقيق فوري للوصول عن بعد: تحديد كل اتصال تفاعلي ومن نظام إلى نظام عن بعد في بيئة تكنولوجيا العمليات الخاصة بك. فرض حظر فوري على جميع مسارات المصادقة أحادية العامل.

• فرض إنهاء DMZ لجميع الجلسات: تأكد من عدم انتهاء أي اتصال عن بُعد مباشرة على أحد أصول شبكة التحكم. يجب أن تهبط كل جلسة في مضيف قفز DMZ معزول أو بوابة وكيل.

• فرض تسجيل دقيق للجلسات: تنفيذ آليات تسجيل تلتقط سلاسل أوامر وتعديلات تكوين محددة، بدلاً من مجرد طوابع زمنية بسيطة للاتصال.

• دمج الأمن في خطط تحسين رأس المال: التعامل مع الأمن السيبراني كمكون أساسي لهندسة البنية التحتية للمياه بدلاً من كونه مصاريف تكنولوجيا معلومات معزولة. دمج التصاميم المرجعية لـ SP 1800-45 مباشرة في ترقيات المرافق القادمة.

• تعزيز التعاون الحقيقي بين تكنولوجيا المعلومات وتكنولوجيا العمليات: إنشاء فرق عمل مشتركة تجمع بين مهندسي تكنولوجيا المعلومات في الشركة ومشغلي المحطات المخضرمين. وهذا يضمن توافق البنيات الأمنية مع العمليات المادية في العالم الحقيقي.

بناء مرونة سيبرانية طويلة الأجل

توفر الأطر التنظيمية وتفويضات الامتثال خطًا أساسيًا، ولكن المرونة الحقيقية تتطلب نهجًا معماريًا استباقيًا. تقدم وثيقة NIST SP 1800-45 مسارًا واضحًا للمضي قدمًا لقطاع المياه والصرف الصحي، وتحول الأمن السيبراني من هدف نظري إلى تخصص هندسي عملي وقابل للتنفيذ.

من خلال الابتعاد عن نموذج أمن الشبكات القديم المعتمد على المحيط واعتماد البنيات الآمنة والقائمة على الأدوار والثقة الصفرية المعتمدة من قبل معهد NIST، يمكن لمرافق المياه التنقل بثقة في تحولاتها الرقمية. إن تأمين مياه مجتمعاتنا يعني حماية الأنظمة الرقمية التي تحافظ على تدفقها بأمان.

شريك مع Shieldworkz لتأمين بنيتك التحتية الحيوية

هل أنت مستعد لنقل مرفقك الخدمي من الثغرات الأمنية القديمة إلى بنية متوافقة مع معيار SP 1800-45؟ يتخصص خبراء البنية التحتية الحيوية في Shieldworkz في تنفيذ تصاميم الوصول عن بعد القائمة على الثقة الصفرية والمستقلة عن البائعين والمصممة خصيصًا للمتطلبات التشغيلية لقطاع المياه والصرف الصحي. حدد موعدًا لاستشارة مجانية مع خبراء أمن تكنولوجيا العمليات للمرافق لدينا هنا.   

استكشف مواردنا الهندسية المتخصصة في Shieldworkz Regulatory Playbooks لبدء عملية النشر الخاصة بك.

الأسئلة الشائعة

ما هو التركيز الأساسي لـ NIST SP 1800-45؟

NIST SP 1800-45 هو دليل ممارسة هندسية صممه المركز الوطني للتميز في الأمن السيبراني (NCCoE). وهو يعرض بنيات مرجعية عملية متعددة البائعين لتأمين الوصول عن بعد التفاعلي ومن نظام إلى نظام داخل قطاع أنظمة المياه والصرف الصحي (WWS).

كيف تختلف وثيقة NIST SP 1800-45 عن NIST SP 800-82؟

توفر وثيقة NIST SP 800-82 إرشادات أمنية مفاهيمية واسعة وتوصيات للتحكم في أنظمة التحكم الصناعية. في المقابل، فإن NIST SP 1800-45 هو دليل عملي يركز على البناء ويقدم تفاصيل تنفيذ محددة باستخدام المنتجات المتاحة تجاريًا لتلبية تلك الأهداف الأمنية.

هل يمكن لمرافق المياه البلدية الصغيرة ذات الميزانيات المحدودة تنفيذ هذه البنيات؟

نعم. يتميز الدليل بتصميمات قابلة للتطوير، بما في ذلك بنيات الثقة الصفرية القائمة على الوكيل. تسمح هذه النماذج للمرافق الأصغر بنشر وصول آمن عن بعد باستخدام أدوات مدارة سحابيًا، مما يقلل من الحاجة إلى بنية تحتية أمنية مكلفة في الموقع.

لماذا لم يعد يوصى بالوصول التقليدي عبر VPN لبيئات تكنولوجيا العمليات عن بُعد؟

توفر شبكات VPN التقليدية عمومًا وصولاً واسعًا لطبقة الشبكة عند المصادقة الناجحة. إذا تمكنت جهة تهديد أو جهاز بائع مخترق من الوصول عبر شبكة VPN قياسية، فيمكنهم غالبًا التحرك جانبيًا عبر الشبكة الداخلية لاستهداف وحدات التحكم PLC ووحدات تحكم SCADA الحيوية. وبدلاً من ذلك، توصي وثيقة SP 1800-45 بالوكلاء المعتمدين على الهوية والمعزولين عن الجلسة.

كيف يدعم هذا المنشور الامتثال لـ ISA/IEC 62443؟

يتوافق SP 1800-45 مباشرة مع المبادئ المعمارية لـ ISA/IEC 62443 من خلال وضع مخططات معتمدة لـ "المناطق والقنوات". وهو يوضح كيفية عزل مناطق العمليات الحيوية بشكل فعال والتحكم بأمان في قنوات الاتصال التي تربطها بالعالم الخارجي.

مصادر إضافية

• دليل الدفاع ضد برامج الفدية لأنظمة التحكم الصناعية (ICS): https://shieldworkz.com/regulatory-playbooks/ics-ransomware-defense-playbook-ot-ics-cybersecurity-guide

• قائمة مراجعة تنفيذ وتحقق تقسيم المناطق المستند إلى IEC 62443:https://shieldworkz.com/regulatory-playbooks/iec-62443-based-zoning-implementation-and-validation-checklist

• خطة الاستجابة للحوادث لتكنولوجيا العمليات/أنظمة التحكم الصناعية (OT/ICS) - نموذج عملي لبناء المرونة:https://shieldworkz.com/regulatory-playbooks/incident-response-plan-for-ot-icsa-practical-template-to-build-resilience

• خطة وقائمة مراجعة الأمن السيبراني للمرافق: https://shieldworkz.com/regulatory-playbooks/facility-cybersecurity-plan-checklist

• قائمة مراجعة المعايير الشاملة للأمن السيبراني الدفاعي: https://shieldworkz.com/regulatory-playbooks/defense-cybersecurity-comprehensive-standards-checklist