كشفت المفوضية الأوروبية النقاب عن مجموعة جديدة من المقترحات لمراجعة قانون الاتحاد الأوروبي للأمن السيبراني، والتي تعيد تشكيل الطريقة التي يجب على مشغلي البنية التحتية للتكنولوجيا التشغيلية والشركات في الاتحاد الأوروبي التعامل بها مع الأمن السيبراني في جميع أنحاء الاتحاد الأوروبي. لا يمكن اعتبار هذا مجرد تعديل تنظيمي طفيف، بل هو تحول استراتيجي يتماشى مع الواقع المتغير الذي يعكسه بيئة التهديد التي تحيط بالفضاء السيبراني الأوروبي.  

بالنسبة للبعض منا الذين قضوا عقودًا في خضم الأمن السيبراني الصناعي، يشاهدون أنظمة SCADA تتحول من جزور مغلقة إلى أسطح هجوم فائقة الاتصال، يمثل هذا التشريع بُعدًا تنظيميًا جديدًا يتطلب دراسة معمقة. تضم المراجعة الجديدة تدابير ملزمة لتقليل مخاطر سلسلة التوريد، وأطر تقوية للمصادقة من أجل الامتثال، وآليات تنفيذ موسعة بشكل كبير ستجبر المنظمات على إعادة التفكير بشكل أساسي في هياكلها الأمنية.

قبل أن نتقدم، لا تنسى اطلاع على منشور مدونتنا السابق حول "تفسير إرشادات الاتصال OT من NCSC-UK، و FBI، وCISA: الآثار الاستراتيجية" هنا.

الركائز الأساسية لقانون الأمن السيبراني المجدد

إطار أمان سلسلة التوريد للاتصالات وتكنولوجيا المعلومات: البعد الجيوسياسي

ربما يكون الجانب الأكثر تأثيرًا في المراجعة هو إنشاء إطار أفقي للأمان لسلسلة توريد تكنولوجيا المعلومات والاتصالات الموثوقة عبر جميع القطاعات الحيوية الثمانية عشر. يعمل هذا الإطار على نهج يعتمد على المخاطر يأخذ بعين الاعتبار الثغرات الفنية وما يطلق عليه التشريع "المخاطر غير الفنية"، وهي كناية عن التبعيات الجيوسياسية والتدخل الأجنبي.

التأثيرات العملية واضحة بشكل كبير. بناءً على العمل الحالي بموجب صندوق أدوات الأمان 5G للاتحاد الأوروبي، ستتيح التشريعات المجددة نشر تدابير إزالة المخاطر الملزمة حيثما يشكل الموردون مخاوف سيبرانية كبيرة. بالنسبة لمشغلي التكنولوجيا التشغيلية، يعني ذلك أنه لا يمكن معاملة علاقاتك مع البائعين كقرارات شراء فقط. بل يجب الآن إجراء التحقيق الاستراتيجي والتقييمات التي يجب أن تأخذ بعين الاعتبار:

• اختصاص المورد والتأثير الأجنبي: هل يخضع بائع SCADA لأطر قانونية قد تجبرهم على التنازل عن سلامة النظام أو إفشاء المعلومات؟

• التبعيات الحاسمة: هل لديك خط من الموردين البديلين إذا تم استبعاد بائع عالي المخاطر فجأة من السوق؟

• الامتثال الراجعي: تتضمن الاقتراحات أحكامًا لاستعادة وإزالة المنتجات التي تم نشرها بالفعل في بنية الاتحاد الأوروبي التحتية إذا تم في وقت لاحق اعتبار الموردين عاليي المخاطر.

تُتيح هذه الآلية التنفيذية الراجعة بشكل غير مسبوق. يمكن أن تواجه المنظمات التي تدير أنظمة التحكم الصناعية بملايين اليوروهات تحولات في البنية التحتية إذا تَمّ تصنيف بائعيها لاحقًا على أنهم عاليي المخاطر.  

إطار إصدار الشهادات الأوروبية المبسطة للأمن السيبراني (ECCF)

كان الإطار الأصلي لإصدار الشهادات قليلاً من متاهة الامتثال. تم تبني خطة شهادة واحدة في الاتحاد الأوروبي فقط منذ أن تم سن القانون CSA الأصلي قبل سبع سنوات. يُدخل القانون المجدد بعض التبسيطات:

• جدول زمني للتطوير لمدة 12 شهرًا: يجب تطوير خطط إصدار الشهادات خلال سنة واحدة افتراضيًا

• شهادات وضعية الأمن السيبراني للمؤسسات: يمكن الآن للمؤسسات إصدار شهاداتها بالنسبة لوضعيتها الأمنية العامة، وليس فقط المنتجات والخدمات

• افتراض التوافق: ستوفر شهادة ECCF افتراض الامتثال لـ NIS2 والتشريعات الأوروبية الأخرى

لآثار نموذج العمل تعتبر مهمة. ستحقق المؤسسات التي تتحرك بسرعة للحصول على الشهادات ميزة تنافسية كبيرة في سوق الاتحاد الأوروبي.  

تعزيز تفويض ENISA: من التنسيق إلى الاستجابة العملية

منذ قانون الأمن السيبراني الأول في عام 2019، تحولت ENISA إلى ركيزة أساسية في بيئة الأمن السيبراني للاتحاد الأوروبي. يوّسع القانون المجدد من قدراتها و نطاقها العملية:

• أنظمة التحذير المبكر للتهديدات الناشئة

• الدعم المباشر للاستجابة لحوادث الفدية بالتعاون مع اليوروبول وفرق CSIRT الوطنية

• تنسيق إدارة نقاط الضعف عبر الاتحاد

• نقطة دخول واحدة لتقديم التقارير عن الحوادث في الاتحاد الأوروبي

• أكاديمية المهارات السيبرانية لمعالجة فجوة المواهب

بالنسبة لمشغلي التكنولوجيا التشغيلية المتعددة الجنسيات، يوفر الدور الموسع لـ ENISA حلاً محتملاً للمشهد المتناثر من الامتثال الذي أنشأته درجات مختلفة من تطبيق NIS2 الوطني. بدلاً من التنقل بين 27 نظامًا تنظيميًا مختلفًا، تكتسب المنظمات نقطة تنسيق مركزية.   

تعديلات NIS2:

تشمل حزمة قانون الأمن السيبراني تعديلات محددة تستهدف NIS2 والتي تؤثر بشكل مباشر على مشغلي تكنولوجيا العمليات:

تبسيط الامتثال

تهدف التعديلات إلى ضمان تناسبية التنفيذ لتوجيه NIS2 في قطاعات مثل الكهرباء أو المواد الكيميائية، حيث يتطلب المجال القانوني صياغة قانونية أكثر دقة لتعريف نطاق التوجيه بشكل كافٍ. يعالج هذا واحدة من الشكاوى الأكثر استدامة من الصناعة: كانت لغة NIS2 الأصلية غالبًا ما تكون عامة أو غامضة للغاية لسياقات صناعية محددة.

ستساهم التعديلات في تخفيف الأعباء الامتثالية لحوالي 28,700 شركة، بما في ذلك أكثر من 6,000 مؤسسة صغيرة ومتوسطة الحجم. يوفر التصنيف الجديد لـ "المؤسسات ذات الغطاء الأوسط الصغيرة" بعض التخفيف عن 22,500 منظمة إضافية.

توسيع تغطية البنية التحتية الحيوية

تضمن التعديلات أن تكون بنية كابلات البيانات تحت الماء، كنوع ذا أهمية متزايدة من البنية التحتية، مشمولة بشكل أكثر شمولاً في نطاق التوجيه. يعترف هذا التوسع بأن البنية التحتية الحرجة تمتد إلى ما بعد القطاعات التقليدية لتشمل العمود الفقري للاتصالات الذي يدعم الرقمنة المجتمعية.

جمع بيانات الفدية

ستُمكِّن الآليات المبسطة لجمع وتحليل بيانات الهجمات بالفدية من تحسين تبادل معلومات التهديدات عبر الدول الأعضاء. بالنسبة لمشغلي تكنولوجيا العمليات، يمكن أن يعني ذلك تحذيرات مبكرة بشأن أشكال فدية تستهدف بشكل خاص أنظمة التحكم الصناعية.

التحدي الفريد لأمن تكنولوجيا العمليات

هنا يتصادم النظرية مع الواقع التشغيلي. تم بناء أنظمة تكنولوجيا العمليات التقليدية على مدار توفر، وليس للتسجيل أو التنبيه. كان التصميم الأساسي لأنظمة التحكم الصناعية يفضل وقت التشغيل، والسلوك الحتمي، والتحكم في العمليات الفيزيائية وليس التليمترية للأمن السيبراني، أو إدارة التصحيحات، أو الكشف عن التهديدات.

على عكس تكنولوجيا المعلومات (IT)، التي تركز على معالجة البيانات والاتصالات، تهتم تكنولوجيا العمليات (OT) بالعمليات الفيزيائية للآلات والعمليات. هذا الاختلاف يخلق تحديات فريدة:

ملفات مختلفة من المخاطر: قد يكشف اختراق نظام تكنولوجيا المعلومات عن بيانات أو يعطل العمليات التجارية. يمكن أن يتسبب اختراق تكنولوجيا العمليات في ضرر مادي أو كوارث بيئية أو خسارة الأرواح. الحسابات الخطرية هي حقًا مختلفة.

ضوابط أمنية غير متوافقة: لا تترجم العديد من الضوابط الأمنية القياسية لتكنولوجيا المعلومات بشكل جيد إلى بيئات تكنولوجيا العمليات. بينما يعمل التشفير بفعالية في شبكات تكنولوجيا المعلومات، قد يقدم التحديات في بيئات تكنولوجيا العمليات ويوفر عائد استثمار منخفض بسبب الاختلافات في نطاق المخاطر. يمكن للبطء الذي يسببه التشفير أن يكون غير مقبول في أنظمة التحكم في الوقت الحقيقي. يمكن أن تُسبب المصادقة متعددة العوامل احتكاكًا تشغيليًا يتعارض مع متطلبات السلامة.

حياة الأصول الممتدة:عادة ما يتم تحديث أصول تكنولوجيا المعلومات كل 3-5 سنوات. يمكن لأصول تكنولوجيا العمليات أن تستمر في الإنتاج لأكثر من 20-30 عامًا. قد لا تزال الأنظمة SCADA التي تم تكليفها في عام 2005 تتحكم في البنية التحتية الحرجة في عام 2025 - تشغيل نظام Windows XP، الذي يفتقر إلى ميزات الأمان الأساسية، ومن المستحيل ترقيته بدون توقف طويل.

الضوابط الخمسة الحرجة من SANS لـ ICS

حدد دين بارسونز من معهد SANS خمسة ضوابط محددة للـ ICS يجب أن تشكل أساس امتثال NIS2 لمشغلي تكنولوجيا العمليات:

• استجابة للحوادث خاصة بـ ICS: لا تأخذ كتب استجابة الحوادث العامة لتكنولوجيا المعلومات في الاعتبار اعتبارات السلامة الفيزيائية، ومتطلبات التحكم في العمليات، أو الحاجة للحفاظ على توافر النظام أثناء الحصر.

• بنية شبكة دفاعية: الرؤية الشبكية والمراقبة باستخدام أدوات متخصصة وقدرات تحليلية لتحديد المخاطر المحتملة على أنظمة التحكم والعمليات. يعني هذا تنفيذ التقسيم السليم للشبكات، مناطق التحكم بين شبكات تكنولوجيا المعلومات والعمليات OT، واستراتيجيات دفاع متعددة المستويات مصممة للبروتوكولات الصناعية.

• رؤية الشبكة والمراقبة: لا يمكنك حماية ما لا يمكنك رؤيته. يعد التحكم المحدد لـ ICS للهجوم على الأطراف السلبية والتسجيل تسيطرًا استباقيًا على تهديدات رؤية الشبكة ICS. يتطلب ذلك حلول مراقبة سلبية يمكنها فك تفعيل البروتوكولات الصناعية (Modbus، وDNP3، وPROFINET وغيرها) دون إدخال البطء أو المخاطر الموثوقية.

• الوصول الآمن عن بعد: أدى الوباء إلى تسريع متطلبات الوصول عن بعد لبيئات تكنولوجيا العمليات. ومع ذلك، غالبًا ما لا توفر الشبكات الخاصة الافتراضية التقليدية تقسيماً كافياً أو مراقبة للشبكات الصناعية. يجب أن توفر الحلول التحكم الفائق في الوصول، وتسجيل الجلسات بوضوح، والقدرة على تقييد الوصول إلى واجهات التحكم البشرية (HMI) أو وحدات التحكم القابلة للبرمجة (PLC).

• إدارة المخاطر بناءً على المخاطر: نظرًا لاستحالة تطبيق التصحيحات على العديد من الأنظمة القديمة لتكنولوجيا العمليات، يجب أن تنفذ المنظمات تدابير تعويضية: تقسيم الشبكة، قوائم التطبيقات المسموحة، واكتشاف الانحرافات السلوكية التي يمكن أن تحدد محاولات الاستغلال حتى عندما تظل الأنظمة معرضة (تقنيًا).

الإبلاغ عن الحوادث: واقع رقابة 24 ساعة

يقدم NIS2 متطلبات إبلاغ أكثر صرامة عن الحوادث، يَفرِض على الكيانات الإبلاغ عن حوادث الأمن السيبراني الكبيرة في غضون 24 ساعة. بالنسبة لبيئات تكنولوجيا العمليات، يمثل هذا الجدول الزمني تحديات تشغيلية كبيرة.

فكر في سيناريو حوادث تكنولوجيا العمليات النموذجي:

الساعة 0-4: الكشف الأولي - غالبًا ما يأتي من الشواذ في العمليات بدلاً من التليمترية الأمنية السيبرانية. يلاحظ مشغلو تكنولوجيا العمليات سلوكًا غير متوقع في أنظمة التحكم.

الساعة 4-12: التحقيق - تحديد ما إذا كان الشاذ يعبر عن حادث أمن سيبراني، أو فشل في المعدات، أو خطأ تشغيلي. يتطلب هذا التنسيق بين المهندسين تكنولوجيا العمليات، وفرق أمن المعلومات، وربما حتى متخصصي الأمن ICS الخارجيين.

الساعة 12-20: اتخاذ قرارات الحصر - في بيئات تكنولوجيا العمليات، قد يعني تنفيذ الحصر إيقاف الإنتاج، أو التبديل إلى التحكم اليدوي، أو عزل الأنظمة الحرجة. لكل خيار تداعيات تشغيلية وسلامة مهمة يجب تقييمها.

الساعة 20-24: الإشعار الرسمي - تحضير الإشعار التنظيمي بينما لا يزال يتم الاستجابة للحادث.

يتطلب هذا الجدول الزمني المبسط إعداد أطر استجابة للحوادث مخصصة لتكنولوجيا العمليات. تحتاج المنظمات إلى:

• مسارات تصعيد واضحة لا تتطلب التنقل عبر البيروقراطية المؤسسية أثناء الأحداث النشطة

• صلاحيات اتخاذ القرارات المسجلة مسبقًا للأفراد لتكنولوجيا العمليات لعزل الأنظمة أو وقف العمليات

• قوالب إشعارات يمكن تخصيصها بسرعة بدلاً من كتابتها من البداية

• تمارين تمهيدية منتظمة تختبر تحديداً جدول تقرير الـ 24 ساعة مع سيناريوهات تكنولوجيا العمليات الواقعية

أمان سلاسل التوريد: سطح هجوم مخفي

يعتمد العديد من المنظمات على شبكة معقدة من الموردين لتشغيلها. هذه السلسلة التوريدية المعقدة تعتبر هدفًا جذابًا للمهاجمين لأنها يمكن أن تقدم نقطة دخول محتملة إلى الشبكة الصناعية.

أظهرت حوادث SolarWinds وKaseya كيف يمكن للتهديدات المتسلسلة لسلاسل البرامج أن تتدرج عبر آلاف المنظمات. بالنسبة لمشغلي تكنولوجيا العمليات، يمتد خطر سلسلة التوريد إلى ما هو أبعد من البرامج ليشمل:

مكونات الأجهزة: وحدات PLC، وRTUs والأجهزة الميدانية الأخرى من المصنعين الذين قد يواجهون ضغطًا جيوسياسيًا أو يمتلكون خلفيات لأغراض "التشخيص عن بعد"

أنظمة التكامل: شركات الطرف الثالث التي تمتلك وصولاً عميقًا إلى تكوينات أنظمة التحكم، وهياكل الشبكات، وضوابط الأمن

مزودو الخدمة المدارة: المنظمات التي توفر المراقبة عن بعد أو الصيانة أو خدمات التحسين مع وصول مستمر إلى شبكات تكنولوجيا العمليات

شركات الهندسة والتصميم: الشركاء الذين ينشئون واجهات HMI، ويقومون بتكوين أنظمة SCADA، أو يصممون المنطق التحكم – غالبًا مع الاحتفاظ ببيانات الاعتماد بعد اكتمال المشروع

تتطلب متطلبات سلسلة التوريد في NIS2 أن تقوم المنظمات:

• بإجراء تقييمات أمان للموردين الحرجين

• تضمين متطلبات الأمن السيبراني في عقود المشتريات

• رصد امتثال الموردين من خلال تدقيقاتهم أو شهاداتهم

• وضع خطط طوارئ في حالة التعرض للاختراق أو عدم توفر الموردين

تضيف إطار السلسلة التوريدية في قانون الأمن السيبراني طبقة أخرى: يجب على المنظمات أن تأخذ بعين الاعتبار الملف السياسي لمخاطر الموردين، وليس موقف أمنهم التقني فقط. قد يعتبر الآن توريد آمن تقنيًا في منطقة تخضع لمتطلبات تأثير أجنبي عالي المخاطر.

الحوكمة والمساءلة: الأمن السيبراني في غرفة الاجتماعات

تتحمل الهيئات الإدارية الآن مسؤولية مباشرة عن الامتثال، بما في ذلك الموافقة والإشراف على استراتيجية الأمن السيبراني. يمثل هذا تحولاً جوهريًا في المساءلة.

في السابق، غالباً ما كانت الأمن السيبراني تُفوَّض إلى فرق تكنولوجيا المعلومات أو فرق الأمن بمراقبة محدودة من قبل مجلس الإدارة. يجعل NIS2 وقانون الأمن السيبراني المنقح المخطط الشخصيًا للمساءلة. قد تؤدي إخفاقات الحوكمة إلى حظر مؤقت أو استبعاد القادة من المناصب القيادية.

بالنسبة لمنظمات تكنولوجيا العمليات، يخلق ذلك فرصة ومخاطر على حد سواء:

المخاطر: غالباً ما يفتقر أعضاء مجلس الإدارة والمديرون التنفيذيون إلى فهم عميق لتحديات أمان تكنولوجيا العمليات. قد يطبقون نماذج ذهنية لأمان تكنولوجيا المعلومات على بيئات تكنولوجيا العمليات حيث لا تتناسب، أو يوافقون على ميزانيات الامتثال التي تقلل بشكل كبير من الاستثمار المطلوب.

الفرصة: تُنشئ المساءلة الإلزامية على مستوى المجلس نفوذًا لقادة الأمان السيبراني لتأمين الموارد اللازمة، وتحديد أولويات قرارات هندسة الأمان، ودمج الأمن السيبراني في التخطيط الاستراتيجي بدلاً من التعامل معه كمركز تكاليف.

يجب أن تنشئ المنظمات:

• إحاطات منتظمة للمجلس حول وضعية الأمن السيبراني لتكنولوجيا العمليات باستخدام مقاييس يفهمها المديرون (وليس فقط المؤشرات التقنية)

• الأدوار والمسؤوليات الواضحة بين الأمان تكنولوجيا المعلومات، والهندسة لتكنولوجيا العمليات، والقيادة التجارية

• لجان مخاطر السيبرانية على مستوى المجلس تحتوي على تمثيل من وجهتي نظر تكنولوجيا المعلومات والعمليات

• تمارين محاكاة تتضمن أعضاء المجلس لضمان أنهم يفهمون اتخاذ قرار الاستجابة للحوادث في الممارسة، وليس فقط في وثائق السياسة

التنفيذ: عقوبات حقيقية

لنتحدث الآن عن الذي يوقظ ضباط الامتثال في الليل. بخلاف توجيه NIS الأصلي، يقتضي NIS2 سلطات تنفيذية أقوى للسلطات الوطنية، بما في ذلك التدقيقات العادية للتدقيق، وفحص الأمان، والتعليمات الملزمة، وبشكل حاسم الغرامات الإدارية التي قد تصل إلى 10 مليون يورو أو 2% من إيرادات السنة العالمية الإجمالية، أيهما كان أعلى.

للتوضيح، يمكن أن تصل النسبة 2 في المائة من الإيرادات العالمية لمرفق رئيسي أوروبي أو شركة تصنيع إلى مئات الملايين من اليوروهات. هذه ليست عقوبات رمزية، ولكنها تهديدات مالية موجهة للأعمال.

تواجه الجهات الأساسية الإشراف الاستباقي، مما يعني أن السلطات يمكن أن تفتش لك في أي وقت. لا يوجد تحذير، لا وقت للتحضير. يمكن للسلطات التنظيمية الظهور، والمطالبة بالدخول إلى شبكات تكنولوجيا العمليات الخاصة بك، ومراجعة الضوابط الأمنية لديك، وتقييم قدرات الاستجابة للحوادث لديك.

تمتد سلطات التنفيذ إلى ما هو أبعد من الغرامات:

• التعليمات الملزمة: يمكن للسلطات الأمر بإجراءات أمنية محددة يتم تنفيذها ضمن أطر زمنية محددة

• قيود على الوصول إلى السوق: يمكن حظر المنتجات غير الممتثلة من الأسواق الأوروبية

• الإفصاح العلني: يمكن الإعلان عن الانتهاكات الجادة علنًا، مما يخلق ضررًا للسمعة

• الإقصاء من القيادة: يمكن للسلطات استبعاد مديري الشركات في حالات الإهمال الجسيمة.

الجدول الزمني للتنفيذ: ما يجب توقعه

سيتم تطبيق قانون الأمن السيبراني المجدد فور الموافقة عليه من قبل البرلمان والمجلس الأوروبي. ومع ذلك، يتبع التنفيذ العملي جدولًا زمنيًا متدرجًا أكثر:

فوري (2026):

• يجب أن تبدأ المنظمات تقييمات مخاطر سلسلة التوريد، وخاصة مراجعة الملفات الجيوسياسية للموردين

• يصبح إطار الشهادات متاحًا - ويمكن للمستخدمين المبكرين اكتساب ميزة تنافسية

• تبدأ ENISA بتعزيز وظائف التنسيق والدعم الخاصة بها

على المدى القصير (2026-2027):

• لدى الدول الأعضاء عام واحد لنقل تعديلات NIS2 إلى القانون الوطني

• تحددين السلطات الوطنية للأمن السيبراني آليات الإشراف الاستباقي

• من المرجح أن تستهدف الإجراءات التنفيذية الأولى أكبر حالات عدم الامتثال الجسيمة

على المدى المتوسط (2027-2028):

• تتحسن معايير الشهادات الموحدة وتصبح توقعات السوق

• تُفرض تدابير إزالة مخاطر سلسلة التوريد بشكل كامل، مما قد يتطلب تغييرات في البنية التحتية

• تقدم وثائق الإرشادات الصناعة من ENISA وضوحًا حول متطلبات القطاع الخاصة

توصيات عملية لمشغلي تكنولوجيا العمليات

استنادًا إلى المشهد التنظيمي والواقع العملي، هنا بعض الخطوات الملموسة التي يجب أن يتخذها مشغلو البنية التحتية لتكنولوجيا العمليات:

أجرِ جردًا شاملاً للأصول

لا يمكنك حماية ما لا تعرف بوجوده. تأكد من أن لديك نظرة شاملة على أجهزتك لتكنولوجيا العمليات لتتمكن من إدارتها بشكل أفضل وتقليل وقت التوقف. يتضمن ذلك:

• جرد شاملاً لجميع الأجهزة الميدانية (PLC وRTU والمستشعرات، والمحركات)

• الوثائق التفصيلية للهندسة الشبكية توضح جميع الروابط

• تتبع الإصدارات للبرمجيات والبرامج الثابتة

• العلاقات مع الموردين والبائعين التي تم تعيينها لأصول محددة

تنفيذ مراقبة الشبكة المخصصة لتكنولوجيا العمليات

قم بنشر حلول المراقبة السلبية التي يمكنها فك تفعيل البروتوكولات الصناعية دون التأثير على أداء النظام. يوفر ذلك قدرات التسجيل والتنبيه التي تفتقر إليها أنظمة تكنولوجيا العمليات التقليدية عن تصميمها، دون الحاجة إلى تعديل الأنظمة الإنتاجية.

تقييم وتوثيق مخاطر سلسلة التوريد

قم بإنشاء تقييم مخاطر للموردين قائم على مستويات يعتبر:

• الوضع الأمني التقني (الشهادات، نتائج التدقيق، إدارة الثغرات)

• الملف السياسي للمخاطر (الاختصاص، متطلبات التأثير الأجنبي، لوائح التكنولوجيا المزدوجة الاستخدام)

• الأهمية للعمليات (توفر البدائل، تكاليف التحويل، عمق التبعية)

• متطلبات الأمان التعاقدية وآليات التنفيذ

تطوير كتب استجابة للحوادث خاصة بتكنولوجيا العمليات

خطط استجابة لحوادث تكنولوجيا المعلومات القياسية لا تأخذ بعين الاعتبار اعتبارات السلامة الفيزيائية، ومتطلبات التحكم في العمليات، أو الحاجة إلى التنسيق مع مهندسي تكنولوجيا العمليات. يجب أن تتضمن كتب استجابتك:

• أشجار القرار الأولى للسلامة التي تفضل سلامة البشر وحماية البيئة

• سلطة واضحة لوقف الأنظمة دون شروط موافقة طويلة

• قوالب اتصال مخصصة لمتطلبات الإبلاغ خلال 24 ساعة

• بروتوكولات تنسيق بين أمن تكنولوجيا المعلومات، وهندسة تكنولوجيا العمليات، وفريق العمليات

تأسيس حوكمة على مستوى المجالس

لم يعد الأمن السيبراني واجبًا منحصرًا في وظيفة رئيس ضابط الأمن السيبراني فقط. مُتوقع من المجالس والقيادة التنفيذية فهم وإدارة المخاطر السيبرانية كجزء من الحوكمة. إنشاء:

• إحاطات للمجلس الربع سنوية مع مقاييس تناسب التنفيذيين

• لجان مخاطر السيبرانية مكونة من ممثلين عن الدور الوظيفي المختلف

• تمارين تمهيد صحفية تشمل المشاركين من المجلس التنفيذي

• تصعيد صلاحيات واتخاذ القرارات الواضحة للأحداث الأمنية السيبرانية

التخطيط للهجرة لأنظمة قديمة

تعتمد العديد من الشركات المصنعين على أنظمة قديمة يصعب تأمينها وقد لا تلبي معايير NIS2. اتخاذ نهج مرحلي:

• أولوية الأنظمة بناءً على الأهمية والتعرض

• تنفيذ ضوابط تعويضية (تقسيم الشبكة، قوائم البرمجيات المسموحة) للأنظمة التي لا يمكن ترقيتها

• تخصيص ميزانيات لبرامج الهجرة الممتدة على عدة سنوات إدراكًا ألا يحظر الاستبدال الكامل

• استخدام واجهات البرمجة والممارسات الحديثة لعزل الأنظمة القديمة بينما المحافظة على الوظائف

الاستثمار في تطوير القوى العاملة

فجوة المهارات السيبرانية حادة في بيئات تكنولوجيا العمليات حيث تتطلب الخبرة كلًا من المعرفة الأمنية السيبرانية وفهم تكنولوجيا العمليات. ستساعد أكاديمية المهارات السيبرانية من ENISA، ولكن تحتاج المنظمات إلى تنمية القدرات الداخلية:

• تدريب تكاملي بين فرق أمن تكنولوجيا المعلومات والهندسة تكنولوجيا العمليات

• شهادات الأمان المحددة لـ ICS (GICSP، GRID، ICS515)

• المشاركة المنتظمة في مجموعات المشاركة المعلوماتية لصناعة

• استراتيجيات الاحتفاظ بمجموعة المواهب النادرة من متخصصي أمن تكنولوجيا العمليات

الاتجاهات الناشئة لإطار الامتثال

هناك بصيص من الأمل في هذا التطور التنظيمي: عند تحديد المتطلبات المشتركة عبر NIS2، وCRA، واطارات أخرى مثل GDPR، يمكن للشركات تنفيذ الضوابط التي تلبي الالتزامات التنظيمية المتعددة في نفس الوقت، مما يخلق برامج امتثال أكثر فعالية.

الشركات التي تنفذ بالفعل أطر مثل IEC 62443 لأمن تكنولوجيا العمليات أو NIST CSF ستجد تداخلًا كبيرًا مع متطلبات NIS2. المفتاح هو تطوير نهج امتثال متكامل بدلاً من التعامل مع كل تنظيم كمبادرة منفصلة:

• حدد الضوابط الأمنية الحالية لمتطلبات NIS2، وCRA، وGDPR

• حدد الفجوات التي تحتاج إلى ضوابط جديدة مقابل تحسين الوثائق

• استخدم شهادة ECCF لإظهار الامتثال عبر أطر متعددة

• أنشئ هياكل حوكمية موحدة تشرف على جميع التزامات المخاطر السيبرانية والامتثال

يمثل قانون الأمن السيبراني المجدد في الاتحاد الأوروبي المحاولة الأكثر طموحًا حتى الآن لتأمين البنية التحتية الرقمية لأوروبا ضد التهديدات المتطورة. لمشغلي تكنولوجيا العمليات والمؤسسات في القطاعات الحيوية، يطلب إعادة التفكير بشكل جذري في هياكل الأمان، وعلاقات الموردين، وهياكل الحوكمة.

ولكن إليك الرؤية الاستراتيجية التي تميز القادة عن السائرين: يجب أن تنظر المنظمات إلى الامتثال لنظام NIS2 كالناتج الطبيعي لوضعية أمن سيبراني قوية. الشركات التي ستزدهر ليست تلك التي تسعى لتحقيق أقل قدر من الامتثال، بل تلك التي تدرك أن الأمان القوي لتكنولوجيا العمليات يمثل ميزة تنافسية وضرورية عملية.

المنظمات التي تعامل هذا كتمرين تحقق لتلبية المتطلبات ستكافح. بينما تلك التي تجسد الأمان في حمضها النووي التشغيلي، التي تستثمر في الرؤية والصمود، التي تبني ثقافات حيث الأمن السيبراني هو مسؤولية الجميع - هذه المنظمات لن تلتزم فقط بمتطلبات التنظيمات ولكن ستكون في وضع أفضل ل:

• الوقاية والاستجابة للحوادث التي تفشل المنافسين

• فوز العقود التي تتطلب إثبات نضج الأمان

• جذب والاحتفاظ بالمواهب في أسواق العمل التنافسية

• الحصول على تقييمات سوق مرتفعة تعكس ملفات مخاطر السيبرانية المخفضة

لن يصبح مشهد التهديد أكثر سهولة. تطور الممثلون الدوليون قدرات متزايدة التعقيد تستهدف أنظمة التحكم الصناعي. أثبتت مجموعات الفدية الجدوى الاقتصادية لاستهداف البنية التحتية الحرجة. تستمر تقارب شبكات تكنولوجيا المعلومات والعمليات في توسيع أسطح الهجوم.

يوفر قانون الأمن السيبراني المجدد إطارًا، وموارد عبر ENISA، وآليات تنفيذ لدفع التحسينات الضرورية. ولكن بشكل أساسي، يتطلب أمان البنية التحتية لتكنولوجيا العمليات أن تقوم المنظمات باتخاذ قرارات هيكلية للأمان، وتوزيع الموارد، والتزامات ثقافية تتجاوز الامتثال التنظيمي.

السؤال ليس ما إذا كانت مؤسستك قادرة على تحمل هذه الإجراءات. السؤال هو ما إذا كنت تستطيع أن تتحمل عدم القيام بذلك، يتم قياسه ليس فقط بالعقوبات التنظيمية، ولكن في المرونة التشغيلية، والموضع التنافسي، وفي النهاية، في القدرة المستمرة لتقديم الخدمات الأساسية التي تدعم المجتمع الحديث.

تداعيات التنظيم قادمة. ولكن المنظمات التي تتحرك بشكل استباقي ستدرك أن الطريق إلى الامتثال هو أيضًا الطريق إلى التميز التشغيلي.

هل تحتاج إلى مساعدة بشأن متطلبات الامتثال التنظيمي؟ تحدث إلى خبیرنا.

المزيد حول خدمات الامتثال لنظام NIS2.

تعرف على المزيد عن خدمات الاستجابة للحوادث لشركة Shieldworkz

جرّب منصة أمن تكنولوجيا العمليات الخاصة بنا هنا.