أصدر المعهد الوطني للمعايير والتكنولوجيا (NIST) ومركزه الوطني للتميز في الأمن السيبراني (NCCoE) مسودة جديدة بالغة الأهمية: منشور NIST الخاص (SP) 1800-41 (المسودة العامة الأولية)، بعنوان الاستجابة للهجمات السيبرانية والتعافي منها: الأمن السيبراني لقطاع التصنيع. يمكن تنزيل هذا المستند من هنا.

يتناول هذا المستند ما يمكن اعتباره أحد أكثر جوانب الأمن السيبراني لتكنولوجيا التشغيل (OT) إهمالاً، وهو: كيف ينبغي للمصنعين مواصلة العمليات، والتعافي بأمان، واستعادة الإنتاج بعد أن تؤثر هجمة سيبرانية على أنظمة التحكم الصناعية (ICS). وخلافاً للتوجيهات التقليدية لأمن تكنولوجيا التشغيل (OT) التي تركز بشكل أساسي على الوقاية وعناصر التحكم الأمني، يقر المنشور SP 1800-41 بواقع بالغ الأهمية؛ إذ يجب على مؤسسات التصنيع الحديثة العمل بافتراض أن الاختراق أمر وارد، والاستعداد لعملية تعافٍ مرنة. ويستهدف هذا المنشور على وجه التحديد تكنولوجيا التشغيل (OT)، وأنظمة التحكم الصناعية (ICS)، وبيئات سكادا (SCADA)، والبنى التحتية المتقاربة لتكنولوجيا المعلومات وتكنولوجيا التشغيل (IT/OT) والمعرضة الآن لبرمجيات الفدية، والبرمجيات الخبيثة المدمرة، وتهديدات الدول القومية.

ثمة جانب آخر لا يقل أهمية في هذه التوجيهات، وهو المحاولة المبذولة لنقل مناقشات الأمن السيبراني لتكنولوجيا التشغيل إلى ما هو أبعد من مفهوم "الدفاع المتعمق" نحو المرونة التشغيلية. يشدد معهد NIST على أنه حتى البنى الأمنية الناضجة لا يمكنها القضاء على المخاطر السيبرانية تماماً، وهذا تفسير واقعي جداً للمخاطر المتزايدة المحيطة بتكنولوجيا التشغيل. ونتيجة لذلك، تحتاج المؤسسات الآن إلى قدرات مهيكلة للاستجابة للحوادث، وتنسيق التعافي، وإجراءات الاستعادة، واستمرارية الأعمال المصممة خصيصاً لعمليات التصنيع.

يأتي المنشور SP 1800-41 في مرحلة مفصلية لأمن التصنيع العالمي. إذ أصبحت بيئات تكنولوجيا التشغيل (OT) مترابطة بشكل متزايد مع أنظمة تكنولوجيا المعلومات في الشركات، ومنصات الحوسبة السحابية، وخدمات الصيانة عن بُعد، وتقنيات إنترنت الأشياء الصناعي، في حين تتلاشى الحدود التقليدية. وقد أدى هذا التقارب إلى توسيع نطاق الهجوم بشكل كبير. ويشير معهد NIST إلى أن الحوادث السيبرانية في مجال التصنيع تشكل الآن خطراً مباشراً ليس فقط على سرية البيانات، بل وأيضاً على السلامة الجسدية، واستمرارية الإنتاج، وسلاسل الإمداد، والأداء الاقتصادي.

وقد دعا معهد NIST الخبراء والممارسين وأصحاب المصلحة إلى تقديم تعليقاتهم ومقترحاتهم بشأن هذه المسودة.

نظرة سريعة على المنشور

تحول النموذج الفكري: إعطاء الأولوية للتعافي بدلاً من خطوط الدفاع المحيطية

تاريخياً، ركز أمن أنظمة التحكم الصناعية (ICS) بشكل شبه حصري على منع الوصول غير المصرح به. ومع ذلك، فإن التهديدات الحديثة، التي تتراوح بين برمجيات الفدية المتطورة التي تنتقل من تكنولوجيا المعلومات الخاصة بالشركات إلى أنظمة تنفيذ التصنيع (MES)، والبرمجيات الخبيثة المدمرة التي تستهدف أجهزة التحكم المنطقي القابلة للبرمجة (PLCs)، تفرض وجود دليل عمل قوي وجاهز لكيفية التعامل عند فشل تلك الحواجز الأمنية.

فخ التحقيقات الجنائية الرقمية: من النقاط البارزة التي كشف عنها التحليل الأولي للمسودة هي حالة التعارض بين التعافي التشغيلي السريع والحفاظ على الأدلة الرقمية الجنائية. ففي خضم العجلة لإعادة تشغيل خط الإنتاج، غالباً ما تمحو فرق الاستجابة للحوادث عن غير قصد ذاكرة أجهزة PLC المؤقتة، وسجلات الأجهزة التي ليس لديها مخزن مؤقت، وبيانات محطات العمل الهندسية، مما يؤدي إلى تدمير الأدلة الدقيقة اللازمة لإجراء تحليل حقيقي للأسباب الجذرية.

ولتقديم مخطط عملي قابل للتطبيق، أنشأ مركز NCCoE نموذجاً مادياً لخلية عمل تصنيع منفصلة مخصصة للاختبار. وأتاحت هذه البيئة لهم محاكاة الهجمات السيبرانية في العالم الحقيقي ووضع استراتيجية متسلسلة صارمة للحد من الأضرار دون التسبب في إخفاقات مادية أو ميكانيكية كارثية.

ومن الجوانب الجديرة بالذكر أيضاً توافق المستند القوي مع اتجاهات الهجمات السيبرانية في العالم الحقيقي. وحتى اليوم، لا يزال قطاع التصنيع أحد أكثر القطاعات المستهدفة بشدة ببرمجيات الفدية والعمليات السيبرانية التخريبية على مستوى العالم. إذ يستهدف المهاجمون بشكل متزايد تعطيل توفر الإنتاج بدلاً من مجرد سرقة المعلومات. ويعالج تركيز معهد NIST على استعادة الاستمرارية التشغيلية هذا الجانب من مشهد التهديدات المتطور بشكل مباشر.

قبل أن ننتقل إلى التفاصيل، لا تنسَ قراءة منشور مدونتنا السابق حول المخاطر السيبرانية للجهات الخارجية في بيئات تكنولوجيا التشغيل (OT).

القدرات الفنية المثبتة للتطبيق

لضمان أن يوفر الدليل فائدة عملية واقعية بدلاً من الاقتصار على الأطر النظرية البحتة، أنشأ مركز NCCoE نموذجاً مادياً لخلية عمل تصنيع منفصلة. وتحاكي بيئة المختبر هذه خط إنتاج مصنع قياسي.

وضمن بيئة الاختبار هذه، حدد معهد NIST ومساعدوه في الصناعة خمس قدرات وظيفية أساسية للأمن السيبراني وقاموا باستعراضها:

• الإبلاغ عن الأحداث: تبسيط كيفية تجميع التنبيهات الصناعية غير الطبيعية أو مؤشرات الاختراق (IOCs) وتصعيدها عبر حدود تكنولوجيا المعلومات وتكنولوجيا التشغيل.

• مراجعة السجلات: وضع نهج مركزي لتحليل بيانات السجلات التاريخية من أجهزة تكنولوجيا تشغيل مختلفة ومتعددة المصادر (والتي غالباً ما تفتقر إلى بروتوكولات تسجيل موحدة أساسية).

• تحليل الأحداث: الاستفادة من مراقبة السلوك واستخبارات التهديدات للتمييز بين الإخفاقات الميكانيكية التشغيلية والتلاعب السيبراني النشط.

• الحد من الحوادث: تنفيذ استراتيجيات الاحتواء مثل تقسيم الشبكة وتصفية البروتوكولات لعزل خلية العمل المصابة دون إحداث إخفاقات مادية متتالية عبر بيئة المصنع.

• الاستعادة التشغيلية: صياغة أدلة عمل محددة ومصدقة لإعادة تكوينات النظام إلى سابق عهدها، والتحقق من سلامة كود مخطط السلم (ladder logic)، وإعادة تشغيل الأنظمة بأمان تام.

دورة حياة الاستجابة للحوادث والاستعادة

تعكس المسودة أيضاً النضج المتزايد للأمن السيبراني لتكنولوجيا التشغيل (OT) كعلم مستقل وتشاركي. ففي السابق، كانت إرشادات الأمن السيبراني الصناعي تركز بشكل كبير على اكتشاف الأصول، وتقسيم الشبكات، والمراقبة. إلا أن المنشور SP 1800-41 يوسع دائرة النقاش من خلال أخذ هندسة المرونة المنسقة بعين الاعتبار، بما في ذلك استراتيجيات الاحتواء، وتسلسل عمليات الاستعادة، وتحديد الأولويات التشغيلية، والتحقق من صحة التعافي.

عندما يضرب اختراق نشط أرض المصنع، فإن ترتيب العمليات يحدد ما إذا كانت المنشأة ستتعافى بأمان أم ستعاني من فترات توقف ممتدة. وتتوزع المنهجية المرجعية الموضحة في مسودة معهد NIST إلى خمس مراحل متتالية:

1. التحقيق في الحوادث والإبلاغ عنها: المرحلة الأولى.

تجميع المؤشرات غير الطبيعية وتنبيهات الشبكة الصناعية عبر الحدود المشتركة لتكنولوجيا المعلومات وتكنولوجيا التشغيل لتحديد التلاعب السيبراني النشط قبل انتشاره عبر مناطق الإنتاج.

2. حفظ السجلات وتحليلها: المرحلة الثانية.

التقاط بيانات السجلات التاريخية والمؤقتة مباشرة من أجهزة تكنولوجيا التشغيل متعددة المصادر، ومقابس الشبكة، والبرمجيات الهندسية قبل أن تتسبب أي أوامر لإعادة التعيين في تغيير الجدول الزمني للأدلة الرقمية.

3. الحد من الحوادث واحتوائها: المرحلة الثالثة.

تطبيق تقسيم الشبكة، وقواعد جدار الحماية، وتصفية البروتوكولات لعزل خلية العمل المخترقة بأمان، مع ضمان ألا تتسبب إجراءات الاحتواء في حدوث حلقات ردود فعل مادية خطيرة في المعدات المجاورة.

4. التحقق من السلامة التشغيلية: المرحلة الرابعة.

التحقق من سلامة تكوينات أجهزة PLC وأكواد مخطط السلم (ladder logic) ومقارنتها بالخطوط المرجعية السليمة المعتمدة لضمان عدم تصرف الأصول المادية بشكل عشوائي أو غير آمن عند إعادة التشغيل.

5. الاستعادة النظيفة المحددة: المرحلة الخامسة.

إعادة تشغيل أنظمة المصنع المحلية في تسلسل محكوم ومبرمج على مراحل، والتأكد من أن القدرات التشغيلية الكاملة موثوقة، وآمنة، ومستقرة.

بالنسبة لقادة وممارسي أمن تكنولوجيا التشغيل (OT)، تطرح المسودة عدة محاور ذات أهمية استراتيجية:

• ينبغي مواءمة إجراءات الاستجابة للحوادث مع البيئات الحساسة للسلامة كحالة مستقلة بذاتها، بدلاً من مجرد نسخها من أدلة عمل تكنولوجيا المعلومات.

• يجب أن تمنح خطط التعافي الأولوية للاستعادة التشغيلية وسلامة العمليات وليس فقط لإعادة بناء الأنظمة.

• تحتاج مؤسسات التصنيع إلى بنيات تعافٍ مصدقة، وقدرات استعادة دون شبكة اتصال (آوفلاين)، ومناطق تعافٍ مقسمة.

• يجب أن يدمج التعافي السيبراني بين الفرق الهندسية، ومستشعري تشغيل المصانع، وموظفي السلامة، ومستجيبي الأمن السيبراني.

• ينبغي لأنشطة الاستعادة أن تأخذ في الاعتبار بشكل أساسي سلامة العمليات المادية والتحقق من سلامة العمليات الصناعية قبل استئناف الإنتاج.

أبرز النقاط والمخرجات لممارسي الأمن

• بنى مرجعية قابلة للتطبيق: الدليل ليس نظرياً بحتاً؛ بل يشتمل على قوائم مكونات محددة وخرائط تكوين نمطية تم تصميمها بالتعاون مع جهات توريد الحلول الأمنية الصناعية.

• الحد من المخاطر مع إعطاء الأولوية للسلامة: يشدد الدليل على أن احتواء الحوادث في بيئة تكنولوجيا التشغيل لا يمكن أن يماثل الاحتواء التقليدي في تكنولوجيا المعلومات (على سبيل المثال، فصل كابل الشبكة فوراً قد يتسبب في أضرار مادية جسيمة أو مخاطر كيميائية في بيئة المصنع).

• دعوة لتقديم الملاحظات من المتخصصين: نظراً لأن هذه مسودة عامة أولية، فإن أمام مجتمعات أمن التصنيع والبنية التحتية الحيوية فرصة مباشرة لتقديم الملاحظات واختبار هذه الأطر مقارنة بالواقع العملي للمصانع حتى تاريخ 8 يوليو 2026.

بالنسبة لمديري أمن المعلومات (CISOs)، ومهندسي أمن تكنولوجيا التشغيل (OT)، ومشغلي المصانع، وفرق الاستجابة للحوادث الصناعية المرتبطة بقطاع التصنيع، سيُشكل المنشور SP 1800-41 أحد أهم المراجع للمرونة التشغيلية الصادرة عن معهد NIST في السنوات الأخيرة. ويمهد هذا المنشور لتحول صناعي أوسع نطاقاً من مجرد "منع الحوادث السيبرانية" إلى ضمان قدرة المؤسسات الصناعية على البقاء والتعافي واستئناف العمليات بأمان بعد التعرض لخلل سيبراني.

مصادر إضافية

معيار IEC 62443 - دليل عملي لأمن تكنولوجيا التشغيل/أنظمة التحكم الصناعية وإنترنت الأشياء الصناعي هنا
أدلة معالجة المشكلات هنا
مجموعة التدريب على التوعية الأمنية بأنظمة التحكم الصناعية للمشغلين هنا
قائمة مراجعة إدارة المخاطر السيبرانية هنا