لماذا تغير النقاش حول إطار العمل الأمني للأمن السيبراني لتكنولوجيا العمليات (OT)

في عام 2021، تمكن جهة تهديد فاعلة من الوصول إلى مرفق معالجة المياه في أولدسمار بفلوريدا، وحاول زيادة مستويات هيدروكسيد الصوديوم إلى تركيزات قد تكون قاتلة. استمر الاختراق لبضع دقائق فقط. ولو لم يلاحظ المشغل حركة المؤشر على شاشته، لكانت العواقب قد أثرت على أكثر من 15,000 مواطن. كان ناقل الهجوم عبارة عن أداة وصول عن بعد قديمة. ولم يكن نظام التحكم الصناعي يحتوي على أي تقسيم للشبكة ولا على مراقبة مخصصة لتكنولوجيا العمليات (OT).

قبل أن نمضي قدمًا، لا تنسَ الاطلاع على آخر مشاركة لمدونتنا حول فك تشفير أحدث توجيهات وكالة الأمن السيبراني وأمن البنية التحتية (CISA) بشأن الثقة الصفرية لتكنولوجيا العمليات هنا.

ولم يكن هذا حادثًا معزولًا. فقد أظهرت برمجية Industroyer2 الخبيثة لعام 2022، والتي صُممت للتفاعل مباشرة مع المحطات الفرعية التي تتحدث ببروتوكول IEC 104 في أوكرانيا، أن المهاجمين يبنون الآن أدوات مصممة خصيصًا لبيئات تكنولوجيا العمليات. وعندما نشرت Mandiant وCISA توجيههما المشترك، برزت نتيجة واحدة: لم تكن لدى العديد من المؤسسات المستهدفة وضعية أمنية أساسية لتكنولوجيا العمليات للعودة إليها.

هذه هي البيئة التي يجب من خلالها فهم إطار الأمن السيبراني الصادر عن المعهد الوطني للمعايير والتقنية (NIST) لتكنولوجيا العمليات (OT). ليس كمجرد خانة اختيار للامتثال، بل كإطار هيكلي للمؤسسات التي يمكن أن تؤثر أنظمتها، في حال تعطلها، على السلامة العامة، أو الأمن القومي، أو الاستمرارية الاقتصادية.

يمثل إطار الأمن السيبراني لـ NIST (CSF) الإصدار 2.0، الذي صدر في فبراير 2024، المرة الأولى التي يوسع فيها NIST صراحةً نطاق الإطار ليشمل جميع المؤسسات متجاوزًا البنية التحتية الحيوية، مع إدخال الحوكمة في الوقت ذاته كوظيفة من الدرجة الأولى. بالنسبة لمتخصصي أمن تكنولوجيا العمليات (OT)، فإن هذا التحول له أهمية بالغة.

فهم إطار عمل NIST CSF في سياق أمن أنظمة التحكم الصناعي (ICS) وسكادا (SCADA)

التوتر الأساسي: منطق أمن تكنولوجيا المعلومات في بيئات تكنولوجيا العمليات (OT)

إن سيناريو الفشل الأكثر شيوعًا عندما تطبق المؤسسات إطار عمل للأمن السيبراني على بيئات تكنولوجيا العمليات هو افتراض أن مبادئ أمن تكنولوجيا المعلومات تترجم وتُطبق بشكل مباشر. وهي ليست كذلك. في تكنولوجيا المعلومات، تعتبر السرية هي الشاغل الأمني الرئيسي. بينما في تكنولوجيا العمليات، تسود إمكانية التوفر والامتثالية وسلامة البيانات ــ إن أمر الكتابة عبر بروتوكول Modbus الذي يزيف بيانات المستشعر هو أخطر بكثير من تسريب جدول بيانات مخترق.

تعمل أنظمة SCADA التي تدير خطوط نقل الجهد العالي، وأنظمة التحكم الموزعة (DCS) في مصانع المعالجة الكيميائية، وأجهزة التحكم المنطقي القابلة للبرمجة (PLC) في طوابق تجميع السيارات، وفق بروتوكولات اتصال في الوقت الفعلي - مثل DNP3 وModbus وPROFINET وEtherNet/IP - تسبق الفكر الحديث للأمن السيبراني. والعديد من هذه الأنظمة لا يمكنها تحمل زمن الانتقال والتأخير الذي تسببه أجهزة الأمان المضمنة. كما لا يمكن تصحيح أو ترقية بعضها. وقد تتطلب تحديثات البرامج الثابتة لأنظمة السلامة والأجهزة (SIS) إيقاف تشغيل العمليات بالكامل لأيام متتالية.

لذلك، يتطلب تطبيق إطار عمل NIST CSF على أمن أنظمة التحكم الصناعي وسكادا طبقة ترجمة مدروسة ومخصصة - تحافظ على استمرارية العمليات مع بناء بنيات تحتية قابلة للدفاع عنها.

NIST CSF 2.0: ما الذي تغير ولماذا يهم تكنولوجيا العمليات (OT)

أدخل تحديث عام 2024 لإطار العمل ست وظائف أساسية: الحوكمة، والتحديد، والحماية، والكشف، والاستجابة، والاسترداد. وبالنسبة للمؤسسات التي تعمل على تأمين البيئات الصناعية، فإن إضافة وظيفة الحوكمة (Govern - GV) تكتسب أهمية خاصة. فهي تضفي طابعًا رسميًا على ما كانت تفهمه حدسيًا العديد من برامج أمن تكنولوجيا العمليات الناضجة: الأمن المستدام يتطلب التزامًا تنظيميًا ومؤسسيًا، وليس مجرد ضوابط تقنية.

كما قدم NIST CSF 2.0 ملفات تعريف للتنفيذ متدرجة وأكثر ملاءمة لقيود تكنولوجيا العمليات، وتشير موارده المرتبطة الآن صراحةً إلى الدليل NIST SP 800-82 Rev.3 كدليل مصاحب لأنظمة التحكم الصناعي. ويشير هذا التكامل إلى اعتراف NIST بأنه لا يمكن معالجة أمن تكنولوجيا العمليات من خلال وثيقة عامة واحدة.

الوظائف الست الأساسية لإطار العمل (CSF) المطبقة على البيئات الصناعية

1. الحوكمة (GV): بناء الأساس التنظيمي للمؤسسة

تحدد وظيفة الحوكمة السياسات والأدوار واستراتيجيات إدارة المخاطر التي توجه جميع الأنشطة الأمنية الأخرى. في بيئات تكنولوجيا العمليات وأنظمة التحكم الصناعي (OT/ICS)، يعني هذا إضفاء الطابع الرسمي على التقاطع بين المخاطر التشغيلية والمخاطر السيبرانية - وهو حوار كان تاريخيًا صعبًا لأن فرق الهندسة وفرق تكنولوجيا المعلومات والأمن غالبًا ما يتحدثون بلغات مخاطر مختلفة.

ويتضمن التنفيذ العملي هنا صياغة سياسة الأمن السيبراني لتكنولوجيا العمليات تأخذ في الحسبان صراحةً متطلبات توفر العمليات، وتحديد ملكية أصول تكنولوجيا العمليات (التي يتم تقسيمها غالبًا بين تكنولوجيا المعلومات، وهندسة تكنولوجيا العمليات، وعمليات المصنع)، وتأسيس استراتيجية لإدارة المخاطر تتوافق مع أطر الامتثال ذات الصلة مثل NERC CIP لشركات الكهرباء، أو IEC 62443 للأتمتة الصناعية، أو توجيهات إدارة أمن النقل (TSA) لمشغلي خطوط الأنابيب.

• إنشاء لجنة حوكمة مخاطر خاصة بتكنولوجيا العمليات تضم ممثلين عن العمليات والهندسة والأمن.

• تحديد عتبات المخاطر المقبولة للاضطرابات التشغيلية، وليس فقط لسيناريوهات خرق البيانات.

• مواءمة حوكمة الأمن السيبراني مع المتطلبات التنظيمية الخاصة بالقطاع منذ البداية.

2. التحديد (ID): معرفة ما تقوم بحمايته

لا يمكنك تأمين ما لا تراه. في بيئات تكنولوجيا العمليات، يُشكل حصر وجرد الأصول صعوبة بالغة ومعروفة. وعلى عكس بيئات تكنولوجيا المعلومات حيث يوفر Active Directory نقطة انطلاق، غالبًا ما تحتوي شبكات تكنولوجيا العمليات على أصول لم يتم توثيقها رسميًا أبدًا - مثل وحدات طرفية بعيدة RTU قديمة تم تثبيتها قبل عقد من الزمن، أو محطات عمل هندسية تعمل بنظام التشغيل Windows XP، أو أجهزة ميدانية تمت إضافتها خلال المشاريع الرأسمالية دون أي مراجعة أمنية.

تتطلب وظيفة التحديد، عند تطبيقها على أنظمة التحكم الصناعي، فهرسة أجهزة PLC وRTU وHMI ومحطات العمل الهندسية وخوادم حفظ البيانات التاريخية (Historian) وجزء البنية التحتية للشبكة في بيئة تكنولوجيا العمليات بالكامل. والأهم من ذلك، يجب أن يلتقط هذا الجرد أنماط الاتصال - ما الذي يتصل بماذا، وبأي بروتوكول، وعلى أي شريحة شبكة.

يمكن لأدوات مراقبة الشبكة الخاملة مثل Claroty وNozomi Networks وDragos Platform وMicrosoft Defender for IoT اكتشاف الأصول دون إرسال حزم ببيانات قد تعطل اتصالات العمليات. أما الفحص الفعال المباشر (Active scanning)، وهو ممارسة قياسية في تكنولوجيا المعلومات، فيمكن أن يؤدي إلى حدوث حالات خطأ في أجهزة PLC ويجب تجنبه أو تحديد نطاقه بعناية شديدة في بيئات تكنولوجيا العمليات.

اكتشفت إحدى شركات الكهرباء الكبرى في أمريكا الشمالية أكثر من 2,400 من أصول تكنولوجيا العمليات التي لم تكن متعقبة سابقًا خلال أول عملية لاكتشاف الشبكة الخاملة. وكانت الغالبية العظمى منها موجودة في شبكة تكنولوجيا العمليات ولكنها لم تظهر مطلقًا في أي قاعدة بيانات لإدارة التكوين (CMDB).

3. الحماية (PR): تنفيذ الدفاعات متعددة الطبقات

تغطي وظيفة الحماية التحكم في الوصول، وإدارة الهوية، وأمن البيانات، والتكنولوجيا الوقائية، والتدريب على الأمن. في بيئات تكنولوجيا العمليات، تتطلب هذه الوظيفة نهجًا متعدد الطبقات يعتمد على نموذج بيردو (Purdue Model) أو بنية المنطقة والمسار (zone-and-conduit) الخاصة بمعيار ISA/IEC 62443.

يظل تقسيم الشبكة هو الضابط الوقائي الوحيد الأعلى قيمة في البيئات الصناعية. ويعني التنفيذ السليم وجود مناطق منزوعة السلاح (DMZ) بين شبكات تكنولوجيا المعلومات وتكنولوجيا العمليات، وتصفية صارمة لحركة المرور عند كل حدود لمستويات نموذج بيردو، واستخدام جدران حماية واعية بالبروتوكولات تفحص البروتوكولات الصناعية بدلاً من تمريرها ببساطة بناءً على أرقام المنافذ فقط.

لقد أصبح الوصول عن بعد ناقل هجوم بالغ الخطورة. إذ يحتاج كل من موردي الهندسة، وجهات الدمج والتكامل، وخدمات المراقبة عن بعد إلى اتصال بأنظمة تكنولوجيا العمليات. وتفرض أفضل الممارسات وجود خوادم قفز مخصصة في المناطق منزوعة السلاح لحماية تكنولوجيا العمليات، وتطبيق المصادقة متعددة العوامل (MFA) لجميع جلسات الوصول عن بُعد، وتسجيل الجلسات، وتوفير الوصول في الوقت المناسب فقط (Just-in-Time access) - مما يلغي قنوات اتصالات VPN التي تعمل دائمًا للشبكات التشغيلية.

• تنفيذ بوابات أمان أحادية الاتجاه (صمامات البيانات المادية - data diodes) حيث لا يكون الاتصال ثنائي الاتجاه في الوقت الفعلي مطلوبًا.

• تحصين وضبط إعدادات أجهزة HMI ومحطات العمل الهندسية: تعطيل منافذ USB، وتقييد القوائم البيضاء للتطبيقات، وإزالة الخدمات غير الضرورية.

• تطبيق المصادقة متعددة العوامل (MFA) على جميع مسارات الوصول المتميز والوصول عن بُعد إلى شبكات تكنولوجيا العمليات.

• إجراء تدريب دوري للتوعية الأمنية مصمم خصيصًا لمشغلي تكنولوجيا العمليات (OT)، وليس مجرد محاكاة تصيد عامة.

4. الكشف (DE): التعرف على التهديدات في السياقات الخاصة بتكنولوجيا العمليات

يتطلب الكشف في بيئات تكنولوجيا العمليات نهجًا يختلف اختلافًا جذريًا عن مراقبة أمن تكنولوجيا المعلومات. إن عمليات نشر أنظمة إدارات الأحداث والمعلومات الأمنية المعتادة (SIEM) التي تبحث عن سجلات أحداث Windows ومحاولات المصادقة الفاشلة تفوت السلوكيات الأكثر خطورة والخاصة بأنظمة التحكم الصناعي: مثل إعادة برمجة PLC غير المصرح بها، والتغييرات غير المتوقعة في نقاط ضبط العمليات، والاتصال الشاذ بين المكونات التي لا ينبغي لها الاتصال ببعضها.

تعد أنظمة الكشف عن التسلل المتوافقة مع أنظمة التحكم الصناعي (ICS) - وهي منصات تفهم اتصالات DNP3 وModbus وEtherNet/IP وOPC على مستوى البروتوكول - أمرًا حيويًا وأساسيًا. وتعمل هذه الأنظمة على إنشاء خطوط أساسية لاتصالات العمليات الطبيعية وتصدر تنبيهات عند حدوث أي انحرافات. وقد قامت منصات مثل Dragos وClaroty وNozomi Networks ببناء منطق كشف يراعي السلوكيات المحددة المرتبطة بعائلات البرمجيات الخبيثة لأنظمة التحكم الصناعي بما في ذلك TRITON/TRISIS (التي تستهدف أنظمة السلامة والأجهزة)، وIndustroyer، وBlackEnergy.

كما تتطلب برامج الكشف الفعالة في بيئات تكنولوجيا العمليات أيضًا التكامل والتنسيق بين حافظ البيانات التاريخي لـ للعمليات (Process Historian) والمراقبة الأمنية - وربط بيانات نظام التحكم مع أحداث الشبكة لتحديد السيناريوهات التي قد يظهر فيها هجوم سيبراني في صورة شذوذ في العمليات التشغيلية وليس كإنذار للشبكة.

في هجوم TRITON/TRISIS ضد منشأة بتروكيماويات في الشرق الأوسط، استهدفت البرمجية الخبيثة تحديدًا نظام السلامة والأجهزة Triconex ــ خط الدفاع الأخير لمنع وقوع كارثة مادية ملموسة. وقد تم الكشف من خلال محاولة إعادة نشر فاشلة، وليس من خلال أداة أمنية مخصصة.

5. الاستجابة (RS): التخطيط للاستجابة للحوادث بأسلوب خاص بتكنولوجيا العمليات

تنضوي الاستجابة للحوادث في بيئات تكنولوجيا العمليات على قيود لا توجد في تكنولوجيا المعلومات. حيث لا يمكن لفريق الأمن ببساطة عزل خادم مخترق يقوم بتشغيل عملية كيميائية مجمعة دون التسبب المحتمل في حالة خطرة. وبناءً عليه، يجب تطوير إجراءات الاستجابة بالتعاون الوثيق مع فرق التشغيل وهندسة السلامة، ويجب أن تأخذ في الحسبان التأثير التشغيلي لكل إجراء من إجراءات الاستجابة.

يجب أن تحدد خطط الاستجابة لحوادث تكنولوجيا العمليات سلطة اتخاذ القرار بوضوح: من يمكنه تفويض عزل الشبكة، ومن يجب إبلاغه قبل إيقاف تشغيل نظام التحكم، وما هي إجراءات التشغيل اليدوي البديلة إذا كانت الأنظمة الآلية غير متوفرة. وتعد تمارين المحاكاة المكتبية التي تحاكي سيناريوهات الهجمات المحددة لأنظمة التحكم الصناعي - مثل تشفير برمجيات الفدية لخوادم حفظ البيانات التاريخية، والتعديل غير المصرح به لمنطق الـ PLC، واختراق واجهات HMI - أمرًا ضروريًا للتحقق من هذه الخطط واختبارها قبل الحاجة الفعلية إليها.

وينبغي للمؤسسات التي تخضع لـ NERC CIP، أو توجيهات CISA، أو الأطر الخاصة بقطاعاتها، أن تفهم أيضًا التزامات الإبلاغ التنظيمية الخاصة بها ــ حيث تختلف الجداول الزمنية للإبلاغ عن الحوادث السيبرانية إلى CISA ومراكز مشاركة وتحليل المعلومات بالقطاع (ISACs) والجهات التنظيمية حسب نوع الصناعة وبناءً على طبيعة الحادث.

6. الاسترداد (RC): استعادة العمليات بأمان

تركز وظيفة الاسترداد على الحفاظ على المرونة واستعادة القدرات والخدمات بعد وقوع الحادث. وبالنسبة لبيئات تكنولوجيا العمليات، يجب أن يعالج التخطيط للاسترداد ثلاثة متطلبات مميزة: استعادة ضوابط الأمن السيبراني، واستعادة سلامة بيانات العمليات، واستعادة الاستمرارية التشغيلية ــ بترتيب يضمن عدم المساس بالسلامة أبدًا.

تعد النسخ الاحتياطية الآمنة وغير المتصلة بالإنترنت (Offline) لمنطق PLC، وتكوين HMI، وبيانات حفظ التاريخ، وتكوينات أجهزة الشبكة أصولاً أساسية لعملية الاسترداد. ويجب تخزين هذه النسخ الاحتياطية في بيئات معزولة عن شبكات الإنتاج واختبارها بانتظام من خلال تمارين الاستعادة والتشغيل الفعلي. وتكتشف العديد من المؤسسات أثناء وقوع حادث حقيقي أن نسخها الاحتياطية غير مكتملة، أو قديمة، أو غير متوافقة مع إصدارات الأجهزة الحالية.

ويشمل الاسترداد أيضًا تحليل ما بعد الحادث: فهم كيفية وصول المهاجم، وماذا فعل داخل البيئة، وما هي التغييرات التي أُجريت على تكوينات وهياكل العمليات خلال فترة التسلل والاختراق.

خارطة طريق للتنفيذ من 7 خطوات لفرق أمن تكنولوجيا العمليات (OT)

يتطلب تحويل إطار عمل NIST CSF إلى برنامج أمني قابل للتنفيذ لتكنولوجيا العمليات اتباع نهج تنفيذ منظم وممنهج. وتوفر خارطة الطريق التالية المكونة من سبع خطوات، والمقتبسة من إرشادات التنفيذ الخاصة بـ NIST والمتوافقة مع متطلبات معيار ISA/IEC 62443، مسارًا عمليًا يبدأ من التقييم الأولي وصولاً إلى إحداث تحسن أمني ملموس وقابل للقياس.

الخطوة 1: تحديد الأولويات وتحديد نطاق أنظمة تكنولوجيا العمليات (OT) الحيوية

قبل القيام بأي استثمار أمني، يجب على المؤسسات تحديد أنظمة تكنولوجيا العمليات التي تقع ضمن النطاق وسبب ذلك. وهذا ليس مجرد تمرين تقني، بل يتطلب مدخلات من العمليات، والهندسة، والإدارة القانونية والتنفيذية. ويجب أن تحظى الأنظمة التي تدعم وظائف السلامة، أو استمرارية الإنتاج، أو الامتثال التنظيمي بالأولوية القصوى.

يجب أن يتوافق تحديد النطاق مع تعريفات نطاق المناطق لمعيار ISA/IEC 62443. حدد الأنظمة التي تشكل المنطقة 0 (الأجهزة الميدانية)، والمنطقة 1 (التحكم الأساسي)، والمنطقة 2 (التحكم الإشرافي)، والمنطقة 3 (عمليات التصنيع) - وحدد المناطق التي تقع ضمن النطاق الفوري لبرنامج الأمن والأنظمة في مراحل لاحقة.

الخطوة 2: فهم الأنظمة ومتطلبات الامتثال

من الضروري فهم مشهد التهديدات الخاص بقطاعك المعين بشكل أساسي. فمحطة ضغط الغاز الطبيعي تواجه ملامح تهديدات مختلفة تمامًا عن تلك التي تواجهها منشأة لتصنيع السيارات. وتوفر تنبيهات وتوجيهات الاستجابة للحوادث السيبرانية (ICS_CERT) الصادرة عن CISA، ومراكز معلومات القطاعات (E-ISAC للكهرباء، وWaterISAC لمرافق المياه، وA-ISAC للطيران)، وتقرير المراجعة السنوية لشركة Dragos، معلومات استخبارية عن التهديدات الخاصة بالقطاع والتي ينبغي أن توجه متطلباتك الأمنية.

يحدد معيار ISA/IEC 62443 مستويات الأمان (SL 1-4) التي تصف القدرة على مقاومة مستوى قدرات وتطور الخصوم المهاجمين ــ من المهاجمين العاديين غير المتخصصين إلى جهات تمثل دولاً مدعومة تتمتع بمعرفة داخلية دقيقة بالمنشأة. ويمثل تحديد مستوى الأمان (SL) المستهدف لأنظمتك الحيوية مطلبًا تأسيسيًا في هذه الخطوة.

الخطوة 3: إنشاء ملف تعريف الأمن السيبراني الحالي

ملف التعريف الحالي هو لقطة للوضع الحالي لتنفيذ فئات وفئات إطار CSF الفرعية في المنظمة. وفي بيئات تكنولوجيا العمليات، يجب إجراء هذا التقييم بوضع سياق تكنولوجيا العمليات الخاص في الحسبان ــ وليس مجرد استيراده من تقييم أمني لتكنولوجيا المعلومات. فإن أي فريق لتكنولوجيا المعلومات لم يسبق له العمل في بيئات أنظمة التحكم سيقوم بانتظام بتقدير المخاطر بأقل من قيمتها المروعة ويوصي بضوابط غير عملية وغير مجدية من الناحية التشغيلية.

توفر التقييمات التي تُجرى بموجب معايير ضوابط NIST SP 800-82 Rev.3 أساسًا منظمًا وممنهجًا يتقاطع مباشرة مع وظائف CSF ويحظى باعتراف الهيئات التنظيمية بما فيها CISA، ووكالة حماية البيئة EPA (لمرافق المياه)، واللجنة الفيدرالية لتنظيم الطاقة FERC (لمرافق الكهرباء).

الخطوة 4: إجراء تقييم لمخاطر تكنولوجيا العمليات (OT)

يجب أن تدمج منهجية تقييم مخاطر تكنولوجيا العمليات (OT) تحليلاً للعواقب يعكس الواقع التشغيلي الحقيقي. إن نموذج المخاطر الذي يتعامل مع جميع اختراقات أنظمة التحكم على أنها متساوية يفوت التمييز الحاسم بين، على سبيل المثال، الوصول غير المصرح به لخادم الاحتفاظ بالبيانات التاريخية مقابل الوصول غير المصرح به لجهاز PLC للسلامة الذي يدير منطق الإشعال والتحكم في الشعلات.

توفر منهجية