حادث سيبراني يتحول إلى مشكلة في العمليات التشغيلية للرعاية الصحية 

في يوم الاثنين الموافق 26 أكتوبر 2026، في تمام الساعة 11:30 صباحاً تقريباً بتوقيت الجبل، بدأت أجهزة الكمبيوتر عبر مركز العلوم الصحية التابع لجامعة نيو مكسيكو (UNM Health Sciences Center) في عرض رسالة صريحة ومباشرة: "تم اختراقكم". وبث صوت اصطناعي عبر الأجهزة ادعى فيه المهاجمون حيازتهم للمعلومات الشخصية للطلاب والموظفين، وأرقام الضمان الاجتماعي، والمستندات الخاصة، ورسائل البريد الإلكتروني - وطالبوا بالتواصل عبر تطبيق المراسلة المشفر Session. وخلال ساعة واحدة، اتخذت منظومة UNM Health إجراءً لا يقدم عليه أي مستشفى بسهولة: حيث وجهت جميع سيارات الإسعاف في المنطقة للتوجه إلى مستشفيات أخرى. 

ولمدة ساعتين تقريباً، لم يكن في ولاية نيو مكسيكو - وهي ولاية يزيد عدد سكانها عن مليوني نسمة - أي مركز معتمد لعلاج الصدمات والإصابات البالغة من المستوى الأول (Level I trauma center) يستقبل المرضى. كما تم إلغاء كافة المواعيد في أكثر من 30 عيادة، وتعليق جراحات اليوم الواحد (العيادات الخارجية). وانتقلت المنظومة الصحية التي تتعامل مع نحو 900,000 زيارة للعيادات الخارجية و100,000 زيارة للطوارئ سنوياً إلى العمل بوضع تشغيلي منخفض الكفاءة مع اعتماد موظفيها على النماذج الورقية.  

وبحلول الساعة 2:30 ظهراً، بدأت UNM Health في استعادة الأنظمة على مراحل "وفقاً لما تسمح به معايير السلامة والأمان". ومع حلول صباح الثلاثاء، كانت المستشفيات مفتوحة، والعيادات تعمل، ومركز علاج الصدمات قد عاد للخدمة عبر الإنترنت. غير أن جماعة الابتزاز التي أعلنت مسؤوليتها - وهي مجموعة غير معروفة تطلق على نفسها اسم BYOD - زعمت أنها اخترقت 36,000 جهاز وتستحوذ على كل شيء بدءاً من قواعد بيانات الرواتب في Oracle وحتى سجلات المرضى في نظام السجلات الصحية الإلكترونية Cerner EHR. ولم تؤكد UNM أي جزء من هذه المزاعم. 

بالنسبة لمديري أمن المعلومات (CISOs) في المستشفيات، وقادة أمن التكنولوجيا التشغيلية (OT)، وفرق الهندسة الطبية الحيوية، يُعد حادث UNM Health دراسة حالة موجزة تبيّن لماذا تعتبر الجاهزية والتوفر (Availability) - وليس السرية (Confidentiality) - الخاصية السيبرانية الأهم للسلامة في قطاع الرعاية الصحية، ولماذا تستحق إدارة الهوية، وتجزئة الشبكات، والجاهزية لفترات التوقف السريري نفس مستوى الدقة والصرامة المتبع في بيئات التحكم الصناعي. 

ما الذي حدث في UNM Health؟ ملخص موثق للحادث 

وفقاً للتحديثات الرسمية للحادث الصادرة عن مركز العلوم الصحية في UNM، أثرت الواقعة السيبرانية على مركز العلوم الصحية بالكامل - والذي يشمل منظومة تقديم الخدمات السريرية UNM Health - ولكنها لم تؤثر على الحرم الجامعي المركزي أو الفروع التابعة لجامعة UNM.  

وكانت التداعيات التشغيلية في 26 أكتوبر شديدة وفورية: 

• تحويل مسار كافة سيارات الإسعاف إلى مستشفيات أخرى في منطقة ألباكركي. 

• إلغاء كافة المواعيد في جميع العيادات؛ وإبلاغ المرضى بعدم الحضور إلى مرافق UNM. 

• تعليق جراحات وإجراءات العيادات الخارجية لما تبقى من اليوم. 

• تقييد استقبال المرضى الجدد من الساعة 12:30 حتى 2:30 ظهراً. 

• إلغاء محاضرات العلوم الصحية (كلية الطب، كلية الصيدلة، كلية التمريض، كلية صحة السكان)؛ وصرف الطلاب والموظفين غير الأساسيين إلى منازلهم. 

• توجيه الموظفين في تمام الساعة 12:07 ظهراً تقريباً بضرورة إيقاف تشغيل أجهزة الكمبيوتر وفصل كابلاتها، وتعطيل شبكات Wi-Fi على الأجهزة المحمولة، والتحول إلى سير العمل الورقي.  

تم تنسيق الاستجابة عبر مركز عمليات الطوارئ الذي تم تفعيله. وقامت UNM بإخطار جهات إنفاذ القانون الحكومية والفيدرالية والاستعانة بشركاء خارجيين للاستجابة للحوادث؛ وأكد مكتب التحقيقات الفيدرالي (FBI) في ألباكركي أنه "يقدم الدعم لشريكنا" فيما لا يزال تحقيقاً نشطاً. ووجهت UNM شكراً علنياً للمنظومات الصحية في ألباكركي وسانتا في - بما في ذلك Presbyterian Healthcare Services وLovelace Health System، اللتان استوعبتا مرضى إضافيين - للمساعدة في ضمان استمرارية الرعاية.  

وحتى آخر تحديث موثق (5:52 صباحاً بتوقيت الجبل، 27 أكتوبر)، فإن مستشفى UNM ومركز ساندوفال الإقليمي الطبي مفتوحان، واستأنفت العيادات جداولها المعتادة، وعاد مركز علاج الصدمات "للعمل لاستقبال جميع مستويات الصدمات والإصابات البالغة"، بينما ظلت الوحدات الأكاديمية والبحثية التابعة لمركز العلوم الصحية مغلقة مع عمل الموظفين غير الأساسيين عن بُعد. وقد تظل بعض الخدمات المقدمة عبر مركز العلوم الصحية تواجه بعض الاضطراب. 

الجدول الزمني للهجوم السيبراني على UNM Health: من الاضطراب الأولي إلى التعافي 

جميع الأوقات بتوقيت الجبل، 26 أكتوبر 2026، ما لم يُذكر خلاف ذلك. 

هناك تفصيلة واحدة جديرة بالاهتمام: الفترة الزمنية الفاصلة بين الاكتشاف المؤكد واستئناف الاستقبال السريري كانت نحو ثلاث ساعات. وهذا تعافٍ تشغيلي أسرع بكثير من المعدل المعتاد في قطاع الرعاية الصحية - وعلى سبيل المقارنة، احتاج المركز الطبي لجامعة ميسيسيبي، وهو أيضاً مركز علاج الصدمات الوحيد من المستوى الأول في ولايته، إلى تسعة أيام لاستئناف العمليات العادية بعد هجوم برمجيات الفدية الذي تعرض له في فبراير 2026، بينما تشير تحليلات القطاع إلى أن متوسط فترات التوقف عن العمل في الرعاية الصحية يصل إلى 17 يوماً.  

من يقف وراء الهجوم السيبراني على UNM Health؟ 

أعلنت جماعة ابتزاز تطلق على نفسها اسم BYOD مسؤوليتها عن الهجوم. وعلى موقع التسريبات التابع لها على شبكة Tor، ادعت المجموعة أنها اخترقت 36,000 جهاز عبر بيئات الحرم الجامعي الرئيسي والمستشفيات في UNM، بما في ذلك "قاعدتا بيانات Oracle، وجميع معلومات التعريف الشخصية (PII) للطلاب والموظفين (بما فيها أرقام الضمان الاجتماعي)، ومعلومات بحثية، ومستأجر Entra بالكامل، وسجلات الطلاب في نظام Banner + الموارد البشرية والرواتب في Oracle، ورسائل البريد الإلكتروني الداخلية، وقوائم السجلات الصحية الإلكترونية Cerner EHR".  

يتطلب كل عنصر في هذا الادعاء تدقيقاً وتحفظاً: 

• الإسناد مجرد ادعاء وليس حقيقة مثبتة. تم فهرسة ما نشرته BYOD عبر موقع ransomware.live وتداولته الصحافة المتخصصة في الأمن السيبراني، إلا أن UNM لم تؤكد تورط المجموعة، ولا تتوفر أي أدلة جنائية رقمية مستقلة تؤكد ذلك علناً.  

• يحتوي الادعاء على تناقضات داخلية. تؤكد BYOD اختراق "الحرم الجامعي الرئيسي لـ UNM"، بينما تنص البيانات الرسمية الموثقة للجامعة على أن الحرم المركزي والفروع لم تتأثر - مما يعني إما تضخيم الادعاء أو أن تعريف المجموعة لـ "الاختراق" يتسم بالتساهل وعدم الدقة. 

• رقم 36,000 جهاز غير موثق، شأنه شأن كل فئات البيانات المذكورة. ومن اللافت أن الرسالة الصوتية التي بُثت عبر الأجهزة أثناء الهجوم ادعت سرقة بيانات الطلاب والموظفين، ولكنها في الجزء الذي سجلته محطة KRQE لم تذكر سرقة بيانات المرضى. 

• المجموعة أقرب إلى شبكة ابتزاز منها إلى مشغل برمجيات فدية مثبت. وتشير التقارير إلى أنه من غير الواضح ما إذا كانت BYOD تشفر أنظمة الضحايا أصلاً؛ حيث يبدو أن نموذج عملها يعتمد على: الإعلان عن الاختراق، والتهديد بالتسريب، ثم التفاوض.  

ولم توثق أي تقارير موثوقة مبلغ فدية، أو موعداً نهائياً، أو طلب دفع محدد. كما لم يتم التحقق علناً من أي عينات بيانات أو لقطات شاشة أو قوائم ملفات من التسريب المزعوم حتى وقت كتابة هذا التقرير. وإذا نشرت BYOD أدلة مزعومة، فسيكون الاختبار الحقيقي هو التحقق المستقل ومطابقتها مع هياكل البيانات المعروفة لـ UNM - وليس الادعاء بحد ذاته. 

هل كان هذا هجوم برمجيات فدية؟ ما توضحه الأدلة العامة فعلياً 

الإجابة الصادقة: لا نعلم بعد - والتمييز بين هذه المفاهيم له أهمية تشغيلية وقانونية بالغة. 

غالباً ما يتم الخلط بين أربعة أحداث مختلفة في التغطيات الأولية للحوادث: 

1. اضطراب الأنظمة - مؤكد في UNM HSC. تم الاستيلاء على الحواسيب، وتعطلت الخدمات، وعُلقت العمليات التشغيلية. 

2. الابتزاز - رسالة تطالب بالتواصل وتهدد بالتدمير، وهو ما يتوافق مع محاولة ابتزاز؛ في حين يظل وجود طلب مالي أمراً غير مؤكد. 

3. سرقة البيانات - ادعاء من المهاجمين؛ لم تؤكده UNM أو جهات التحقيق. 

4. التشفير ببرمجيات الفدية - لا توجد أدلة عامة على حدوث تشفير جماعي واسع النطاق. إن الاستعادة السريعة (في غضون ساعات) للاستقبال السريري تتوافق مع سيناريو لم تتعرض فيه الأنظمة السريرية الأساسية للتشفير - دون إثبات ذلك قطيعةً - أو أن الاستعادة كانت سريعة لأن نقاط النهاية المتأثرة أعيد بناؤها بدلاً من فك تشفيرها. 

إن أسلوب بث الرسالة الصوتية غير معتاد بالمرة. وأشارت جوزفين وولف، أستاذة سياسات الأمن السيبراني في جامعة تافتس، في تصريح لوكالة أسوشيتد برس، إلى أن "اختراق نظام لتشغيل رسالة صوتية على أجهزة الكمبيوتر يُعد أمراً غير مألوف للغاية" - وهو ما اعتبرته دليلاً على "حجم العمل الكبير الذي لا يزال يتعين علينا القيام به لتحسين دفاعاتنا السيبرانية". ومن حيث السلوك، يشبه الحادث إلى حد كبير اختراقاً قائماً على الابتزاز والترهيب ذا تأثير تخريبي ومعطل - ربما باستخدام أدوات للمسح والتخريب (Wiper-like) أو المراسلة الجماعية - بدلاً من كونه نشراً كلاسيكياً لبرمجيات الفدية مزدوجة الابتزاز. وسيعمل المحققون على تحديد ما إذا كان هناك أي تشفير قد حدث بالفعل، وكيف حصل المهاجم على الوصول الأولي (ويُعد التصيد الاحتيالي، أو استغلال الوصول عن بُعد، أو سرقة بيانات الاعتماد، أو مسارات الأطراف الثالثة هي الاحتمالات المعتادة)، والمدة التي قضاها المتسللون داخل الشبكة قبل 26 أكتوبر. 

وحتى تنشر UNM أو مكتب التحقيقات الفيدرالي أو شركات الاستجابة والتحقيق الجنائي الرقمي نتائجها، يظل وصف "هجوم سيبراني مصحوب بادعاءات ابتزاز" هو التوصيف الأدق والأكثر موثوقية لهذا الحادث. 

ما هي الأنظمة التي تأثرت - وما الذي لا يزال مجهولاً 

المؤكد تعرضه للاضطراب: حوسبة UNM HSC بشكل عام (طُلب من الموظفين فصل الأجهزة)، وسير عمل الجدولة والتسجيل السريري (إلغاء جميع المواعيد)، واستقبال الطوارئ وسيارات الإسعاف، وعمليات جراحات اليوم الواحد، وتكنولوجيا المعلومات الأكاديمية والبحثية، وأجزاء من الخدمات الشاملة للجامعة التي يمكن الوصول إليها عبر HSC. 

تم الإبلاغ عنه ولكن لم يتم تأكيده: قواعد بيانات المؤسسة (نظام الموارد البشرية/الرواتب في Oracle، وسجلات الطلاب في Banner)، ومستأجر Entra ID، ومخازن البريد الإلكتروني، وقوائم Cerner EHR - وجميعها مستمدة من ادعاءات BYOD غير الموثقة. 

المجهول: ناقل الوصول الأولي؛ ما إذا كان قد حدث أي تشفير لنقاط النهاية؛ ما إذا كان قد تم الوصول إلى المعلومات الصحية المحمية (PHI)؛ ما إذا تم المساس بالأجهزة الطبية الحيوية، أو التصوير الطبي، أو أنظمة المختبرات، أو أنظمة إدارة المباني والمرافق؛ والأضرار التي لحقت بالمرضى؛ والأثر المالي. 

هناك تفصيلة موثقة تحمل ثقلاً تحليلياً كبيراً: إن التوجيه بـ فصل أجهزة الكمبيوتر هو قرار احتواء واحتراز، وليس دليلاً جنائياً. إنه يشير إلى أن فريق الاستجابة في UNM لم يتمكن على الفور من التمييز بين الأجهزة المخترقة والنظيفة - وهو موقف عقلاني يتسم بتوخي أقصى درجات الحذر عندما تكون موثوقية الهوية والشبكة موضع شك. وهو ليس دليلاً على اختراق الأجهزة الطبية أو أنظمة التكنولوجيا التشغيلية (OT)، كما أنه ليس دليلاً على نجاتها من الضرر. 

كيف يمكن لحادث أمن سيبراني أن يعطل عمليات المستشفيات 

يُعد مستشفى UNM مركز علاج الصدمات والإصابات البالغة الوحيد من المستوى الأول في ولاية نيو مكسيكو - وهو المرفق المخصص لأشد الإصابات خطورة، بما في ذلك الإصابات الناتجة عن طلقات نارية، والطعنات، وحالات جراحة الأعصاب المعقدة.  

وعندما قام بتحويل مسار سيارات الإسعاف لساعات معدودة فقط، انتقل العبء فوراً إلى منظومات Presbyterian وLovelace وسانتا في - ووصف أحد الشهود في غرفة طوارئ محلية أخرى الوضع بأنه "فوضى عارمة وزيادة كبيرة جداً في أوقات الانتظار".  

هذا هو الدرس الأساسي للحادث: الاعتماد الرقمي للمستشفى يحول أعطال تكنولوجيا المعلومات إلى إخفاقات في تقديم الخدمات المادية والفعلية. تأمل ما تعنيه هذه الاضطرابات الموثقة: 

• يعتمد تحويل مسار سيارات الإسعاف والاستجابة للصدمات على دقة وموثوقية إجراءات استقبال أقسام الطوارئ، وإدارة الأسرة، والاتصالات. وعندما تفقد الثقة في تلك الأنظمة، فإن القرار السريري الصحيح هو التحويل - حتى بالنسبة لمركز متخصص في علاج الصدمات. 

• تُعد الجدولة والتسجيل بمثابة الجهاز العصبي للرعاية في العيادات الخارجية. وفقدانها يؤدي فوراً إلى إلغاء يوم كامل من المواعيد في أكثر من 30 عيادة دفعة واحدة. 

• حافظت إجراءات سير العمل البديلة الورقية أثناء التوقف على استمرار تقديم الرعاية - وقد حدث التحول خلال 40 دقيقة تقريباً من الاكتشاف. وهذه السرعة ليست وليدة الصدفة، بل تعكس تدريباً مسبقاً على هذه الإجراءات. 

• أثبت التنسيق الإقليمي فاعليته: فقد استوعبت المنظومات الصحية المنافسة المرضى المحولين، ووجهت UNM شكراً علنياً لها. غير أن خطط الأزمات التي تفترض أن الجيران سيتحملون العبء لا تنجح إلا إذا كانت هناك علاقات وبروتوكولات للمساعدة المتبادلة قائمة بالفعل قبل وقوع الحادث. 

والأهم من ذلك، لم يتطلب أي من هذا اختراق جهاز طبي. بل نشأ الاضطراب بالكامل من تكنولوجيا المعلومات المؤسسية والخدمات المشتركة - والتي تمثل، في المستشفيات الحديثة، البنية التحتية الفعلية لتقديم الخدمات السريرية. 

الارتباط بأمن التكنولوجيا التشغيلية (OT) في الرعاية الصحية 

المستشفيات هي في واقع الأمر مرافق صناعية تصادف أنها تقدم الرعاية الصحية. فبعيداً عن أنظمة السجلات الصحية الإلكترونية (EHR)، فإنها تدير طبقة خفية من التكنولوجيا التشغيلية (OT): مضخات التسريب الوريدي المتصلة بالشبكة، وشاشات مراقبة المرضى، ومحللات المختبرات، وأجهزة التصوير الطبي وأنظمة أرشفة الصور والاتصال (PACS)، والأتمتة الصيدلانية، وضوابط البيئة، وأنظمة استدعاء التمريض، وشبكات الأنابيب الهوائية، وأنظمة إدارة المباني (BMS) المسؤولة عن التدفئة والتهوية وتكييف الهواء (HVAC)، والغازات الطبية، والطاقة. وتتشارك هذه الأنظمة بشكل متزايد نفس مخازن الهوية، والبنية التحتية للشبكة، ومستويات الإدارة مع تكنولوجيا المعلومات المؤسسية (IT). 

هذا التقارب هو الذي يجعل من حادث UNM - حتى مع عدم وجود أي تأكيد على اختراق أنظمة OT - دراسة حالة بارزة في أمن التكنولوجيا التشغيلية: 

الهوية هي نقطة الاعتماد المشتركة. إن الاختراق المزعوم لـ "مستأجر Entra بالكامل"، إذا ثبتت صحته، سيمثل أخطر نمط فشل على الإطلاق في مستشفى يعتمد على هذا التقارب التقني. فإدارة الهوية والوصول (IAM) تشكل الأساس لتسجيل الدخول إلى السجلات الصحية الإلكترونية، والوصول إلى التطبيقات السريرية، وشبكات VPN والوصول عن بُعد للموردين، والبريد الإلكتروني، وواجهات إدارة الأجهزة الطبية الحيوية المتصلة بالشبكة. ويعني اختراق دليل الهوية أنك لم تعد قادراً على الوثوق في أي قرار مصادقة - وهي تحديداً الحالة التي تدفع قائد الاستجابة للحادث إلى إصدار أمر للموظفين بفصل الأجهزة. ويفترض كل من معيار NIST SP 800-82 ونموذج المناطق والمسارات (Zone-and-Conduit) في معيار IEC 62443 أن مناطق التحكم لا تزيد قوتها عن قوة مسارات الهوية والوصول عن بُعد المؤدية إليها. 

تجزئة الشبكة تحدد نطاق الأثر والضرر (Blast Radius). إن الهيكلية التي تعزل شبكات الأجهزة الطبية الحيوية والتكنولوجيا التشغيلية للمباني خلف مسارات محكمة - دون وجود مسار مباشر من محطات عمل المستخدمين أو الإنترنت - تحد مما يمكن لحساب مؤسسي مخترق الوصول إليه. وتشير سرعة استعادة UNM للأنظمة على مراحل إلى وجود تجزئة بين الأنظمة المؤسسية والمنصات السريرية الأساسية؛ بينما يشير اتساع نطاق الإغلاق إلى أن التجزئة بين أجهزة المستخدمين والخدمات المؤسسية كانت إما مفقودة أو غير موثوقة. 

الرؤية السلبية (Passive Visibility) متطلب أساسي للسلامة. يمكن أن يؤدي الفحص النشط (Active scanning) إلى زعزعة استقرار الأجهزة الطبية القديمة؛ وتُعد المراقبة والتحري السلبي للشبكة الطريقة الآمنة الوحيدة لحصر الأصول ورصد الاتصالات الشاذة في البيئات السريرية. والمؤسسات التي تعجز عن مراقبة ما تتصل به مضخات الحقن وأنظمة التصوير لديها لا يمكنها التحقق من بقاء تلك المسارات نظيفة وآمنة أثناء الحادث. 

يجب أن تغطي قدرات الاكتشاف القياسات عن بُعد لـ IT وOT معاً. إن المصادقة غير المعتادة، والانتقال المستحيل جغرافياً عبر الحسابات الإدارية، وجلسات الوصول عن بُعد الجديدة، وحركة المرور غير المتوقعة بين الشرق والغرب (East-West traffic) باتجاه شبكات VLAN السريرية، وأنماط الوصول الجماعي للملفات، هي المؤشرات المبكرة المعتادة لمثل هذه الحوادث. وإن الربط بين سجلات الهوية، وتنبيهات كشف التهديدات والاستجابة لها في نقاط النهاية (EDR)، والمراقبة السلبية لشبكة OT ضمن منصة كشف واحدة هو ما يقلص فترة الـ 40 دقيقة بين الاكتشاف وفصل الأجهزة - أو يلغي الحاجة إلى هذا الإجراء كلياً. 

لا يدعي أي من هذا أن أنظمة OT أو الأجهزة الطبية في UNM قد اختُرقت. بل يثبت حقيقة أكثر فائدة: أن العواقب التشغيلية متطابقة في كلتا الحالتين. فعندما تفشل البنية التحتية الرقمية، تتراجع استمرارية الرعاية السريرية - ولهذا السبب يجب أن تعامل خطط المرونة في المستشفيات التكنولوجيا التشغيلية الطبية الحيوية ومرافق المباني على أنها جزء لا يتجزأ من نطاق تقييم المخاطر السيبرانية، حتى لو كان الحادث مقتصراً بالكامل على تكنولوجيا المعلومات. 

تقييم الآثار التشغيلية والبياناتية والمالية والمتعلقة بالسلامة للهجوم السيبراني  

سياق تاريخي جدير بالذكر: هذه ليست أول تجربة لـ UNM مع الاختراقات. ففي عام 2021، اخترقت جماعة برمجيات الفدية Hive شبكة UNM Health (بدأ الوصول من أوائل مايو؛ وتم اكتشافه في 4 يونيو)، مما أدى إلى كشف بيانات 637,252 مريضاً - على الرغم من أن نظام EHR نفسه لم يتم الوصول إليه في ذلك الحادث.  

وإن وقوع حادث كبير ثانٍ بعد خمس سنوات فقط من شأنه أن يضاعف التدقيق التنظيمي والقانوني والشعبي. 

الدروس المستفادة لمديري أمن المعلومات وقادة أمن OT في المستشفيات 

1. الجاهزية والتوفر (Availability) هي الخاصية الأهم للسلامة. تتصدر برمجيات الفدية العناوين بسبب سرقة البيانات، ولكن اللحظة الأكثر تأثيراً في حادث UNM كانت تحويل مسار سيارات الإسعاف، وليس التسريب. ففي قطاع الرعاية الصحية، تتحول إخفاقات السلامة والتوفر إلى حوادث تمس سلامة المرضى خلال دقائق. ويجب أن تعامل سجلات المخاطر ومؤشرات مجالس الإدارة استمرارية التوفر السريري باعتبارها مخرجاً رئيسياً وأولوية قصوى. 

2. سرعة التعافي ثمرة حتمية لتجزئة الشبكة. إن استغراق ثلاث ساعات فقط من الاكتشاف إلى استئناف الاستقبال السريري يُعد إنجازاً استثنائياً في هذا القطاع. والتفسير التقني الأكثر ترجيحاً هو أن المنصات السريرية الأساسية كانت معزولة وقابلة للفصل عما تم اختراقه - سواء كان ذلك تدبيراً متعمداً أو بمحض الصدفة. ابنِ التجزئة لديك لتضمن أن هذا العزل يتم عن قصد وتخطيط دائماً. 

3. قرارات الاحتواء هي قرارات سريرية في جوهرها. إن توجيه الموظفين بفصل أجهزة الكمبيوتر يربك سير عمل التمريض، والتحقق الآلي من الأدوية عبر الباركود، والتوثيق الطبي. ويوضح التحول السريع في UNM إلى النظام الورقي - خلال نحو 40 دقيقة - أن إجراءات التوقف عن العمل كانت مدرّبة عملياً، ولم تكن مجرد وثائق محفوظة ومنسية. والمقياس الأهم في هذه التمارين هو: كم من الوقت يمكن لكل وحدة حرجة أن تعمل بالوضع التشغيلي المنخفض، وهل يعرف الكادر الطبي بالفعل كيفية تنفيذ ذلك؟ 

4. اختراق الهوية يكسر منطق الاحتواء. عندما تفقد الثقة في المصادقة، تصبح كل الأجهزة موضع شك. وتعد المصادقة متعددة العوامل المقاومة للتصيد الاحتيالي (Phishing-resistant MFA)، وإدارة الوصول المتميز (PAM)، والإدارة المتدرجة (Tiered administration)، وكتيبات الإجراءات لإعادة التعيين السريع لبيانات الاعتماد هي الفارق بين حادث محصور وأمر بفصل الأجهزة على مستوى المستشفى بالكامل. وإذا صح ادعاء BYOD حول مستأجر Entra ولو جزئياً، فإن تحصين إدارة الهوية سيكون الإجراء التصحيحي الأساسي الذي ستركز عليه UNM. 

5. يجب التعامل مع عدم اليقين كمدخل أساسي في القرارات التنفيذية. خلال أول 24 ساعة، عملت قيادة UNM في ظل عدم وضوح النطاق، والفاعل، والأثر على البيانات - ومع ذلك اتخذت قرارات تشغيلية مبررة (التحويل، الإلغاء، الفصل، والاستعادة على مراحل). إن وجود كتيبات إجراءات معتمدة مسبقاً لتحويل المسار، والإلغاء، والتشغيل بالوضع المنخفض هو ما يتيح اتخاذ قرارات سريعة وآمنة في ظل غياب اليقين. 

6. الترابط الإقليمي يشكل ركيزة أمنية أساسية. تشمل خطة المرونة السيبرانية لمستشفاك المستشفيات المنافسة لك. فاتفاقيات المساعدة المتبادلة، وبروتوكولات التنسيق المشتركة لخدمات الإسعاف، والقدرة الاستيعابية المخطط لها مسبقاً لتحويل المسار هي ضوابط للمرونة السيبرانية، وليست مجرد وثائق روتينية لإدارة الطوارئ. 

خطة عملية للمرونة السيبرانية والمعالجة في المستشفيات 

المرحلة 1 - الاستجابة الفورية (0–24 ساعة) 

• تفعيل قيادة الحادث بمشاركة القيادات السريرية على طاولة القرار، وليس عبر إحاطتهم لاحقاً. 

• إنشاء قناة اتصال بديلة وموثقة خارج النطاق المعتاد (Out-of-band) (حيث يثبت طلب التواصل عبر تطبيق Session أن المهاجمين يستغلون القنوات العادية). 

• تحديد عتبات ومعايير تحويل المسار/الإلغاء قبل تأكيد نطاق الاختراق؛ وتوثيق من يملك سلطة إعلانها. 

• الحفاظ على الأدلة الرقمية المتطايرة قبل الإيقاف الشامل للأجهزة قدر الإمكان - مع الإقرار بأن سلامة المرضى تعلو على التحقيقات الجنائية. 

• العزل بحسب منطقة الشبكة، وليس عبر الإيقاف العشوائي للطاقة، في أي وقت تؤكد فيه بيانات أجهزة التبديل/الرصد نطاق التأثر. 

• تطبيق إجراءات التوقف التي تم اختبارها في كل وحدة؛ وتعيين مسؤولين لقيادة التوثيق اليدوي أثناء فترة التوقف. 

المرحلة 2 - التثبيت والاستقرار والتعافي (24–72 ساعة) 

• استعادة الأنظمة وفق أولوية الضرورة السريرية: أنظمة سلامة الحياة والأنظمة ذات الاعتمادية السريرية أولاً، والأنظمة الإدارية أخيراً. 

• التحقق من سلامة البنية التحتية للهوية قبل إعادة السماح للمستخدمين بالدخول - إعادة تعيين بيانات الاعتماد ذات الامتيازات، ومراجعة سياسات الوصول المشروط، والبحث عن أي آليات للتمركز والاستدامة (Persistence). 

• التحقق المنهجي من وظائف الأجهزة الطبية وأنظمة المرافق: مكتبات أدوية مضخات التسريب، واتصال أجهزة التصوير، وواجهات البرمجيات الوسيطة للمختبرات، وتنبيهات أنظمة التدفئة والتهوية/إدارة المباني (HVAC/BMS). 

• مطابقة السجلات الورقية وإدخالها في السجلات الرسمية مع إجراء تحقق وتدقيق مزدوج. 

• تكثيف المراقبة لمنع عودة العدوى - فمرحلة الاستعادة هي التوقيت الذي يحاول فيه المهاجمون الذين أبقوا على مسارات وصول استعادة نفوذهم. 

• تقييم مدى انكشاف البيانات بدقة جنائية قبل الإدلاء بأي تصريح رسمي حول السرقة. 

استعادة الاتصال بالشبكة ليست تعافياً كاملاً. لا يكتمل التعافي إلا بعد مصادقة واعتماد القيادة السريرية على أن عمليات تقديم الرعاية آمنة للعمل بكامل طاقتها - وهو معيار أعلى بكثير من مجرد "استجابة الأنظمة للإشارات". 

المرحلة 3 - تعزيز المرونة الدفاعية (7–30 يوماً) 

• إجراء تحليل شامل للأسباب الجذرية (RCA)؛ ورسم مسار الاختراق بالكامل. 

• معالجة الثغرات والمسارات المؤكدة؛ والبحث عن نقاط الضعف نفسها في الأنظمة النظيرة المماثلة. 

• إعادة تجزئة الشبكة حيثما كشف الحادث عن وجود ثقة غير مبررة؛ وتأمين وصول الموردين عن بُعد بجلسات محددة بوقت ومسجلة عبر منصات وخوادم وسيطة (Jump hosts). 

• مراجعة النسخ الاحتياطية للتحقق من سلامتها، وحصانتها ضد التغيير والمسح، وعزلها التام عن مستوى الهوية المخترق. 

• التدريب على خطة الاستجابة المحدثة من خلال تمارين محاكاة طاولة (Tabletop) تشمل خدمات الإسعاف والمستشفيات المجاورة. 

المرحلة 4 - نضج البرنامج على المدى الطويل (30–90 يوماً وما بعد ذلك) 

• تحقيق رؤية واضحة ومستمرة للأصول عبر تكنولوجيا المعلومات، والأجهزة الطبية الحيوية، وتكنولوجيا تشغيل المرافق - باستخدام الاكتشاف السلبي لأي أنظمة لا تحتمل الفحص النشط. 

• مواءمة هندسة التجزئة مع نموذج المناطق والمسارات لمعيار IEC 62443 وإرشادات NIST SP 800-82؛ والقياس المقارن وفق إطار NIST CSF 2.0. 

• ربط مقاييس الأمن بالمخاطر التشغيلية: الوقت اللازم للتحول الآمن للوضع المنخفض، والوقت اللازم لاستعادة الخدمة السريرية، ونسبة شبكات VLAN السريرية المغطاة بالمراقبة السلبية. 

• إدراج المخاطر السيبرانية لـ OT والأجهزة الطبية في جدول أعمال مجلس الإدارة بنفس الأهمية الممنوحة لمخاطر تكنولوجيا المعلومات المؤسسية. 

قائمة التحقق لمدير أمن المعلومات (CISO): هل مستشفاك مستعد لحادث مماثل؟ 

1. هل يمكن لعمليات الطوارئ والعناية المركزة لدينا الاستمرار - بشكل قابل للإثبات - أثناء انقطاع كامل لتكنولوجيا المعلومات؟ (اطلب أدلة التمارين الواقعية، وليس مجرد وثيقة السياسات.) 

2. ما هو الوقت المستغرق من الاكتشاف إلى التحول للوضع المنخفض بالنماذج الورقية في كل وحدة حرجة؟ 

3. هل نمتلك قائمة حصر محدثة ومحققة للأجهزة الطبية المتصلة والتكنولوجيا التشغيلية (OT) للمرافق - بما يشمل ما تتصل به وتتواصل معه؟ 

4. إذا أصبحت موثوقية مستأجر إدارة الهوية لدينا موضع شك غداً، فهل بإمكاننا عزل الأنظمة السريرية عبر ضوابط الشبكة بدلاً من فصل كافة الأجهزة؟ 

5. هل تم عزل وتجزئة الشبكات المؤسسية والسريرية والأجهزة الطبية والمباني بمسارات خاضعة للمراقبة - ومتى كانت آخر مرة تحققنا فيها من ذلك عملياً؟ 

6. هل يمكننا كشف عمليات الوصول عن بُعد غير المصرح بها، والتحركات الجانبية الشاذة بين الشرق والغرب باتجاه شبكات VLAN السريرية اليوم؟ 

7. هل تخضع الحسابات المميزة والاتصالات عن بُعد للموردين للتحكم عبر المصادقة متعددة العوامل (MFA)، مع تحديد أوقات الاتصال وتسجيل الجلسات بالكامل؟ 

8. هل تعكس أهداف وقت التعافي (RTO) لدينا الأولويات السريرية - وهل قرار الموافقة على الاستعادة مملوك لقيادة الخدمات السريرية؟ 

9. هل النسخ الاحتياطية معزولة عن مستوى إدارة الهوية، وهل قمنا باستعادة الأنظمة السريرية الحرجة منها في وقت قريب؟ 

10. هل توجد كتيبات إجراءات معتمدة مسبقاً لتحويل مسار سيارات الإسعاف، والإلغاء الجماعي للمواعيد، والمساعدة الإقليمية المتبادلة؟ 

11. هل إجراءات اتخاذ القرار بشأن الإخطار بالاختراق (مهلة الـ 60 يوماً لقانون HIPAA، ومكتب المدعي العام للولاية) موثقة ومحددة قانونياً؟ 

12. هل يستطيع مجلس الإدارة رؤية اتجاه ومسار ملموس وقابل للقياس للمخاطر السيبرانية التشغيلية، بدلاً من الاكتفاء بنتائج التدقيق فقط؟ 

إذا كانت الإجابة على أي مما سبق هي "لا" أو "لسنا متأكدين"، فإن حادث UNM قد أظهر بوضوح تكلفة عدم اليقين ذلك في صباح يوم عمل عادي. 

الخلاصة: المرونة السيبرانية يجب أن تضمن استمرارية تقديم الرعاية 

سيظل الهجوم السيبراني على UNM Health محفوراً في الذاكرة - بحق أو بغير حق - بمشهد بارز: اليوم الذي اضطر فيه مركز علاج الصدمات الوحيد من المستوى الأول في نيو مكسيكو لرد سيارات الإسعاف بسبب مشكلة برمجية وحاسوبية. وسواء أثبتت التحقيقات أن الحادث ناجم عن برمجيات فدية، أو ابتزاز عبر سرقة البيانات، أو أي سيناريو آخر، فإن الحقائق الموثقة تحمل بالفعل دروساً واضحة: الجاهزية السريرية هي ثمرة للأمن السيبراني؛ والبنية التحتية للهوية هي العصب الأساسي للمستشفى بأكمله؛ والتجزئة الفعالة مع التدريب المستمر على إجراءات التوقف هي ما يحول الكارثة المحتملة إلى يوم تشغيلي عصيب يمكن تجاوزه؛ وأنه لا يوجد مستشفى يتعافى بمفرده وبمعزل عن محيطه. 

إن المؤسسات التي ستتعلم من درس UNM لن تكون تلك التي تتساءل "هل تم استهدافنا؟"، بل ستكون تلك التي تتساءل "ما هي السرعة التي يمكننا بها الحفاظ على سلامة المرضى عندما نتعرض لمثل هذا الموقف؟" - وتكون لديها إجابة دقيقة وقابلة للقياس.