دمج IEC 62443 في حوكمة أمن تكنولوجيا التشغيل

الشركات الناضجة في قطاع النفط والغاز تعمل بالفعل على تأمين بنية تكنولوجيا التشغيل لديها من خلال طبقات متعددة من التدخل. فمن ناحية، ينشرون تدابير أمنية في شكل مراقبة شبكاتهم، فحص الوسائط، ضمان الوصول الآمن عن بُعد وإجراء تقييمات المخاطر بعناية، بينما من ناحية أخرى يدربون موظفيهم وينظرون إلى الأمن كجزء من أولويات العمليات الشاملة.

سواء كانت تدابير الأمن لديك يمكن تصنيفها على أنها ناضجة أو أساسية، يمكنك بالتأكيد النظر إلى سلسلة معايير IEC 62443 لتحسين مستوى الأمان لديك ولضمان دمج أفضل للتدابير الأمنية في العمليات. الأمر ليس فقط حول ضمان الامتثال وإنما يتجاوز إلى تتبع الامتثال وضمان أن التدابير الأمنية تكون متوافقة مع تعرضك للمخاطر وعلى استعداد للتعامل مع أي حوادث أو أحداث قد تهدد التوقف.

مع بزوغ عام 2026 في الأفق، حان الوقت للنظر بشكل جديد في كيفية مساعدتك IEC 62443 على توسيع نطاق وقفة الأمان في مؤسستك، احتواء المخاطر والحفاظ على تعرض المخاطر تحت السيطرة.   

إليك مقالة حول كيفية دمج IEC 62443 في صميم العمليات لديك، بدءًا من قاعة الاجتماعات وصولاً إلى منطقة الخطر.

قبل أن نغوص في التفاصيل، لا تنسى الاطلاع على مدونتنا السابقة التي تقدم نظرة شاملة على التوجيهات الأخيرة من CISA ووكالات أخرى حول دمج الذكاء الاصطناعي في تكنولوجيا التشغيل "هنا". أنا واثق من أنك ستجد هذا مفيدًا.

الحوكمة: الطبقة التي تترجم النية

أحد نقاط الاحتكاك الكبرى في بنية تكنولوجيا التشغيل غالبًا ما تكون الصدام الثقافي. أي محاولة لفرض ضوابط تكنولوجيا المعلومات على تكنولوجيا التشغيل يمكن أن تؤدي إلى تدهور الأمور بسرعة. الفجوة بين مستويات الأمان في تكنولوجيا المعلومات وتكنولوجيا التشغيل توفر للمهاجمين والمخطئين فرصة للتسلل وإحداث الفوضى.  

يساعدك IEC 62443-2-1 على سد هذه الفجوة عن طريق المطالبة بنظام إدارة الأمن السيبراني (CSMS). ولكن كيف يمكنك بالفعل الحوكمة في هذا؟

• إلغاء نهج "Patch Tuesday": في المجمعات الصناعية أو في الورش، لا يمكنك ببساطة إعادة تشغيل نظام التحكم الموزع (DCS) لأن Windows أصدرت تحديثًا. يجب أن يوضح سياسة الحوكمة بوضوح أن الضوابط التكميلية (مثل قواعد الجدار الناري الأكثر صرامة أو التصحيحات الافتراضية أو قيود المرور) تعتبر بديلاً مقبولاً للتصحيح حتى ينتهي الوقت المحدد التالي.

• تعريف تحمل المخاطر: يجب على الإدارة أن تحدد ما هو "مقبول". هل يُعتبر فقدان الرؤية لمدة 4 ساعات على خطوط النقل في مدينة مقبولًا؟ إذا لم يكن الأمر كذلك، فيجب على إطار الحوكمة فرض شبكات زائدة ومنفصلة مع ضوابط إضافية لذلك الممر المحدد.

• تكامل "السلامة": عامل المخاطر السيبرانية كمداخل للتحليل المخاطر والقدرة العملية (HAZOP). إذا كان يمكن أن يتسبب التنازل السيبراني في فشل نظام السلامة المبرمجة (SIS)، فيجب أن يكون في مراجعة إدارة سلامة العمليات (PSM)، وليس مجرد تذكرة تكنولوجيا المعلومات.

• SL وML: يمكن أن تكون مستويات الأمان والنضج مؤشرات قوية ومستندة على الأدلة حول مكان وقوفك فيما يتعلق بالنضج الأمني. يجب استخدام هذه البيانات لتحسين ممارسات الأمان لديك بطريقة محسوبة.

الهندسة المعمارية: المناطق والممرات والقلاع

يعتمد IEC 62443 بشكل كبير على مفهوم المناطق والممرات. فكر في مصنعك كقلعة في العصور الوسطى محمية بخندق مرن.

• المناطق (الغرف): لا تدع المرسال يمشي مباشرة إلى غرفة الملك دون تصاريح. وبالمثل، يجب أن تكون نظم السلامة المبرمجة (SIS) في منطقة منفصلة عن نظام التحكم الأساسي (BPCS). إذا أصيب غرفة التحكم بفيروس من خلال منفذ USB، يجب على نظام إغلاق الطوارئ البقاء دون أذى.

• الممرات (المعروفة بالدهاليز): هذا هو المسار الوحيد الذي يمكن من خلاله أن يسير البيانات. في تكنولوجيا التشغيل، غالبًا ما نتعامل مع شبكات مستوية حيث يمكن لطابعة في المبنى الإداري "البحث" عن وحدة تحكم في وحدة التكسير. هذا ليس سوى كارثة تنتظر الحدوث.

• إجراء حوكمة: اشترط عدم تدفقات المرور بين المناطق ما لم يمر عبر ممر محدد (جدار ناري/بوابة) مع تفتيش عميق للحزم.

العمليات: "مفارقة التصحيح"

هنا تلتقي النظرية بالواقع. ينص IEC 62443-2-4 على المتطلبات لمقدمي الخدمات، ولكنك تتحمل المخاطر.

• إدارة البائعين: يود مورد التوربينات الخاص بك الحصول على وصول عن بُعد لمراقبة بيانات الاهتزاز. جيد. لكن يجب أن تفرض الحوكمة الخاصة بك متطلبات أمان النظام لمنظمة IEC 62443-3-3. لا تمنحهم نفق VPN دائم. امنحهم رابطًا مؤقتًا "في الوقت المناسب" يتم مراقبته وتسجيله.

• تحدي الأنظمة القديمة: من المرجح أن لديك وحدات تحكم تعمل على Windows XP أو 98 أو أنظمة تشغيل خاصة لم يتم تحديثها منذ حفلة تخرجك. لا يمكنك التفكير في استبدالها.

  • الحل: استخدم مفهوم مستوى الأمان (SL). إذا كانت الأصل SL-3 (حرجة عالية) ولكن لا يمكن تصحيحها، يجب عليك تغليفها في "غطاء رقمي" أو ببساطة حجب المنافذ في الخزانة ماديًا، أو جعلها معزولة جوًا إن أمكن، أو وضعها خلف بوابة اتجاه واحد (صمام بيانات) أو وضع قيود المرور كما ذكر سابقًا.

العنصر البشري: الأدوار والمسؤوليات

الحوكمة بدون المساءلة تشبه الرقص بدون شريك أو حتى كجسم نجمي ذو ذيل معكوس.

إليك قائمة بالمهام لكل فرد

مدير أمن المعلومات (CISO)

• الدور: الإستراتيجي.

• التغيير: يجب أن يتوقف مدير أمن المعلومات عن رؤية المصنع على أنه "شبكة مكتب كبيرة".

• المسؤولية: يقوم بتطوير نظام إدارة الأمن السيبراني (CSMS). يقدم تقارير المخاطر السيبرانية إلى المجلس بلغة خسارة الإنتاج والحوادث السلامة، وليس فقط "الاختراقات".

• المهمة الرئيسية: تنسيق أدوات أمان تكنولوجيا المعلومات مع قيود تكنولوجيا التشغيل (مثل ضمان أن فحص الفيروسات لا يتسبب في تعطل واجهة المستخدم البشرية).

رئيس المصنع / مدير الأصول

• الدور: المالك.

• التغيير: يجب أن يقبل أن "السلامة السيبرانية" أصبحت الآن جزءًا من "سلامة العمليات".

• المسؤولية: يتحمل المخاطر. إذا تعطلت المصنع بسبب برنامج فدية، فإنها تقع على النتائج المالية الخاصة بهم. وهم يفوضون الميزانية للتقسيم والوقت اللازم للتوقف للترقيات الأمنية.

• المهمة الرئيسية: ضمان إضافة التدريبات السيبرانية إلى التدريبات القياسية للاستجابة للطوارئ.

مهندس الأتمتة/الأجهزة

• الدور: المدافع.

• التغيير: لا مزيد من "الأمان من خلال الغموض".

• المسؤولية: تنفيذ المناطق، تكوين الجدران النارية، وإدارة "المفاتيح الأمان" (كلمات مرور وحدة التحكم).

• المهمة الرئيسية: المحافظة على جرد الأصول. لا يمكنك حماية ما لا تعرف أنه موجود.

قائمة التحقق من تطبيق IEC 62443 "بدون زخرفة"

هل أنت جاهز للبدء؟ لا تحاول غلي الموقد (بدلاً من الحساء). ابدأ بهذه الخطوات السبع البسيطة:

• اكتشاف الأصول: قم بإجراء مسح سلبي (آمن لتكنولوجيا التشغيل) للعثور على كل عنوان IP. ستُصدم من عدد "الأجهزة المارقة" وأجهزة الكمبيوتر المحمول للبائعين الموجودة في شبكتك.

• تقييم المخاطر استنادًا إلى IEC 62443: حدد "التيجان الجواهر". (مثل نظام الإغلاق الطارئ لعمود التقطير).

• تعريف المناطق: ارسم الخطوط. افصل بين السلامة (SIS) والتحكم (BPCS) والإشراف (HMI/SCADA) والمؤسسة (IT).

• إغلاق الممرات: ارفض كافة المرور بشكل افتراضي. أضف فقط البروتوكولات المحددة (مثل Modbus TCP، OPC UA) اللازمة للعمليات إلى القائمة البيضاء.

• مراجعة الوصول عن بُعد: قم بتدقيق كل اتصال خارجي. إذا لم يقم بائع بتسجيل الدخول لمدة 30 يومًا، فقط قم بتعطيل الحساب.

• التحقق من النسخ الاحتياطي: تأكد من اختبار واختبار "نسخ الذهب" الاحتياطية لتكوينات PLC وSCADA. يحب برنامج الفدية تشفير النسخ الاحتياطية عبر الإنترنت أولاً.

• سياسية "لصق المنافذ USB": إذا لم يكن المنفذ ضروريًا، قم بحجبه فعليًا أو تعطيله من الناحية المنطقية. تعتبر أقراص USB الرقم واحد في الأنظمة المعزولة. انظر إذا كان يمكنك اختيار حل فحص الوسائط

• انتبه للتنبيهات الأمنية والاختراقات التي تؤثر على الشركات الأخرى

الأمن في تكنولوجيا التشغيل عام 2026

دمج IEC 62443 ليس حول جعل بنية تكنولوجيا التشغيل لديك "غير قابلة للاختراق" عام 2026. بل هو حول جعلها مرنة ومقاومة للأحداث. كما يتعلق بضمان أنه عندما تصيب العاصفة الرقمية، تظل أنظمة السلامة تعمل، وتستمر المواد الخام في التدفق، وتظل المحطة الفرعية تُبقى الأضواء مضاءة، وتستمر المطارات في التعامل مع الركاب ويذهب الأشخاص إلى منازلهم بأمان. نحن مدينون بذلك للأشخاص الذين يحافظون على استمرار أعمالنا.

تعلم المزيد عن عرض IEC 62443 لدينا.
اكتشف المزيد عن حل أمن Shieldworkz لتكنولوجيا التشغيل