لماذا تغيّر النقاش حول إطار الأمن السيبراني لتقنية التشغيل (OT)

في عام 2021، تمكّن أحد جهات التهديد من الوصول إلى منشأة معالجة المياه في أولدسمار، فلوريدا، وحاول رفع مستويات هيدروكسيد الصوديوم إلى تراكيز قد تكون قاتلة. استمرّ التسلل لبضع دقائق فقط. وكانت العواقب، لو لم يلاحظ المشغّل حركة المؤشر على شاشته، قد تؤثر في أكثر من 15,000 من السكان. كان ناقل الهجوم أداة وصول عن بُعد قديمة. ولم يكن لدى نظام التحكم الصناعي أي تقسيم للشبكة أو أي مراقبة مخصصة لتقنية التشغيل (OT).

قبل أن نتابع، لا تنسَ الاطّلاع على منشورنا السابق في المدونة حول فكّ أحدث تنبيه من CISA بشأن انعدام الثقة (Zero Trust) لتقنية التشغيل هنا.

لم تكن هذه حادثة معزولة. فقد أظهرت برمجية Industroyer2 الخبيثة في عام 2022، المصممة للتفاعل مباشرة مع المحطات الفرعية التي تتحدث بروتوكول IEC 104 في أوكرانيا، أن الخصوم باتوا يبنون أدوات مصممة خصيصًا لبيئات التكنولوجيا التشغيلية. وعندما نشرت Mandiant وCISA تنبيههما المشترك، برزت نتيجة واضحة: العديد من المؤسسات المستهدفة لم يكن لديها أساس أمني مرجعي لتقنية التشغيل (OT) تعود إليه.

هذه هي البيئة التي ينبغي فهم إطار NIST للأمن السيبراني الخاص بتقنية التشغيل (OT) ضمنها. ليس كخانة امتثال تُستكمل، بل كأساس بنيوي للمؤسسات التي يمكن أن يؤثر تعطيل أنظمتها في السلامة العامة أو الأمن الوطني أو استمرارية الاقتصاد.

يمثل إطار NIST للأمن السيبراني (CSF) 2.0، الصادر في فبراير 2024، أول مرة يوسّع فيها NIST نطاق الإطار صراحةً ليشمل جميع المؤسسات بعد أن كان مقتصرًا على البنية التحتية الحيوية، مع إدراج الحوكمة في الوقت نفسه بوصفها وظيفة رئيسية. وبالنسبة لمحترفي أمن تقنية التشغيل (OT)، فإن هذا التحول بالغ الأهمية.

فهم NIST CSF في سياق أمن أنظمة ICS وSCADA

التوتر الأساسي: منطق أمن تقنية المعلومات في بيئات OT

أكثر نمط فشل شائع عند تطبيق إطار للأمن السيبراني على بيئات OT هو افتراض أن مبادئ أمن تقنية المعلومات تنتقل مباشرةً. وهي لا تنتقل. ففي تقنية المعلومات، تكون السرية هي الهمّ الأمني الأساسي. أما في OT، فتتصدر الإتاحة والسلامة/السلامة التشغيلية-فأمر كتابة Modbus الذي يزوّر بيانات المستشعرات أخطر بكثير من جدول بيانات مسرّب.

تعمل أنظمة SCADA التي تدير خطوط النقل عالية الجهد، وأنظمة التحكم الموزعة (DCS) في مصانع المعالجة الكيميائية، ووحدات التحكم المنطقية القابلة للبرمجة (PLCs) في خطوط التجميع بالقطاع الصناعي، عبر بروتوكولات اتصال آنية مثل DNP3 وModbus وPROFINET وEtherNet/IP، وهي بروتوكولات سبقت التفكير الحديث في الأمن السيبراني. ولا تستطيع كثير من هذه الأنظمة تحمّل زمن التأخير الذي تضيفه أجهزة الأمن المضمنة ضمن المسار. وبعضها لا يمكن ترقيعه. وقد تتطلب تحديثات البرامج الثابتة على أنظمة السلامة الآلية (SIS) إيقافًا كاملًا للعملية يستمر أيامًا.

لذلك، يتطلب تطبيق NIST CSF على أمن ICS وSCADA طبقة ترجمة متعمدة-تحافظ على استمرارية العملية مع بناء هياكل يمكن الدفاع عنها.

NIST CSF 2.0: ما الذي تغيّر ولماذا يهم OT

أدخل تحديث 2024 إلى الإطار ست وظائف أساسية: الحوكمة، التعريف، الحماية، الكشف، الاستجابة، والتعافي. وبالنسبة للمؤسسات التي تؤمّن البيئات الصناعية، فإن إضافة وظيفة الحوكمة (GV) مهمة بشكل خاص. فهي تُنظّم رسميًا ما أدركته بالفعل العديد من برامج أمن OT الناضجة حدسيًا: الأمن المستدام يتطلب التزامًا مؤسسيًا، لا مجرد ضوابط تقنية.

كما قدّم NIST CSF 2.0 ملفات تنفيذ متدرجة أكثر ملاءمة لقيود OT، وأصبحت موارده المرتبطة تشير صراحةً إلى NIST SP 800-82 Rev.3 بوصفه الدليل المرافق لأنظمة التحكم الصناعي. ويشير هذا التكامل إلى إدراك NIST أن أمن OT لا يمكن معالجته عبر وثيقة عامة واحدة.

الوظائف الست الأساسية للإطار CSF وتطبيقها في البيئات الصناعية

1. الحوكمة (GV): بناء الأساس المؤسسي

تُرسي وظيفة الحوكمة السياسات والأدوار واستراتيجيات إدارة المخاطر التي تمنح جميع أنشطة الأمن الأخرى اتجاهها. وفي بيئات OT/ICS، يعني ذلك إضفاء الطابع الرسمي على التقاطع بين المخاطر التشغيلية والمخاطر السيبرانية-وهو حوار كان تاريخيًا صعبًا لأن فرق الهندسة وفرق تقنية المعلومات/الأمن غالبًا ما تتحدث لغات مختلفة للمخاطر.

ويتمثل التطبيق العملي هنا في إنشاء سياسة للأمن السيبراني لتقنية التشغيل (OT) تأخذ صراحةً في الاعتبار متطلبات إتاحة العمليات، وتحديد الملكية لأصول OT (وغالبًا ما تكون موزعة بين تقنية المعلومات وهندسة OT وعمليات المصنع)، ووضع استراتيجية لإدارة المخاطر متوافقة مع أطر الامتثال ذات الصلة مثل NERC CIP لشركات الكهرباء، وIEC 62443 لأتمتة الصناعة، أو توجيهات TSA الأمنية لمشغلي خطوط الأنابيب.

• إنشاء لجنة حوكمة للمخاطر خاصة بتقنية التشغيل (OT) تضم ممثلين عن العمليات والهندسة والأمن.

• تحديد حدود المخاطر المقبولة للتعطلات التشغيلية، وليس فقط لسيناريوهات اختراق البيانات.

• مواءمة حوكمة الأمن السيبراني مع المتطلبات التنظيمية الخاصة بالقطاع منذ البداية.

2. التعريف (ID): معرفة ما الذي تحميه

لا يمكنك تأمين ما لا يمكنك رؤيته. وفي بيئات OT، يكون جرد الأصول بالغ الصعوبة. وعلى عكس بيئات تقنية المعلومات حيث توفر Active Directory نقطة بداية، تحتوي شبكات OT غالبًا على أصول لم تُوثّق رسميًا قط-وحدات RTU قديمة تم تركيبها قبل عقد، ومحطات هندسية تعمل بنظام Windows XP، وأجهزة ميدانية أضيفت خلال مشاريع رأسمالية دون مراجعة أمنية.

تتطلب وظيفة التعريف عند تطبيقها على ICS فهرسة وحدات PLC وRTU وHMI ومحطات العمل الهندسية وخوادم المؤرشف (Historian) وجميع البنية الشبكية في بيئة OT. والأهم من ذلك أن هذا الجرد يجب أن يلتقط أنماط الاتصال-من يتواصل مع من، وبأي بروتوكول، وعلى أي مقطع شبكي.

يمكن لأدوات المراقبة السلبية للشبكة مثل Claroty وNozomi Networks وDragos Platform وMicrosoft Defender for IoT اكتشاف الأصول دون إرسال حزم قد تعطل اتصالات العملية. أما الفحص النشط، وهو ممارسة معيارية في تقنية المعلومات، فيمكن أن يسبب حالات خطأ في PLC ويجب تجنبه أو ضبط نطاقه بعناية في بيئات OT.

اكتشفت إحدى المرافق الكهربائية الكبرى في أمريكا الشمالية أكثر من 2,400 أصل OT لم يكن متتبَّعًا سابقًا خلال أول عملية اكتشاف شبكي سلبي لديها. وكانت الغالبية في شبكة تقنية التشغيل، لكنها لم تظهر قط في أي سجل CMDB.

3. الحماية (PR): تنفيذ دفاعات متعددة الطبقات

تغطي وظيفة الحماية التحكم في الوصول، وإدارة الهوية، وأمن البيانات، والتقنيات الوقائية، والتوعية الأمنية. وفي بيئات OT، تتطلب هذه الوظيفة نهجًا متعدد الطبقات مبنيًا على نموذج Purdue أو بنية المناطق والقنوات في ISA/IEC 62443.

يبقى تقسيم الشبكة الضبط الوقائي الأعلى قيمة في البيئات الصناعية. ويعني التطبيق السليم وجود مناطق DMZ بين شبكتي IT وOT، وتصفية صارمة لحركة المرور عند كل حد من حدود مستويات Purdue، وجدران نارية واعية بالبروتوكول تفحص البروتوكولات الصناعية بدلًا من تمريرها فقط بناءً على أرقام المنافذ.

أصبح الوصول عن بُعد ناقل هجوم بالغ الأهمية. فالبائعون الهندسيون والمُكاملون وخدمات المراقبة عن بُعد جميعهم يحتاجون إلى اتصال بأنظمة OT. وتفرض أفضل الممارسات استخدام خوادم عبور مخصصة داخل DMZ الخاصة بـ OT، وتطبيق MFA على جميع جلسات الوصول عن بُعد، وتسجيل الجلسات، وتوفير الوصول عند الحاجة فقط-مع إلغاء أنفاق VPN الدائمة إلى الشبكات التشغيلية.

• تنفيذ بوابات أمن أحادية الاتجاه (Data Diodes) عندما لا تكون الاتصالات ثنائية الاتجاه الفورية مطلوبة.

• تشديد إعدادات أجهزة HMI ومحطات العمل الهندسية: تعطيل منافذ USB، وتقييد السماح للتطبيقات، وإزالة الخدمات غير الضرورية.

• تطبيق MFA على جميع مسارات الوصول المميز وعن بُعد إلى شبكات OT.

• إجراء تدريبات دورية للتوعية الأمنية مخصصة لمشغلي OT، وليس محاكاة تصيّد عامة.

4. الكشف (DE): التعرّف على التهديدات في سياق OT

يتطلب الكشف في بيئات OT نهجًا مختلفًا جذريًا عن مراقبة أمن تقنية المعلومات. فعمليات SIEM التقليدية التي تبحث عن سجلات أحداث Windows ومحاولات المصادقة الفاشلة تفوّت أكثر سلوكيات ICS خطورة: إعادة برمجة غير مصرح بها لـ PLC، أو تغييرات غير متوقعة في نقاط ضبط العملية، أو اتصالات شاذة بين مكونات لا ينبغي لها أن تتواصل.

تُعد أنظمة الكشف عن التسلل الواعية بـ ICS-وهي منصات تفهم DNP3 وModbus وEtherNet/IP وOPC على مستوى البروتوكول-أمرًا أساسيًا. وتبني هذه الأنظمة خطوطًا أساسية لاتصالات العملية الطبيعية وتولّد تنبيهات عند حدوث انحرافات. وقد طورت Dragos وClaroty وNozomi Networks منطق كشف يأخذ في الاعتبار السلوكيات المرتبطة بعائلات برمجيات ICS الخبيثة، بما في ذلك TRITON/TRISIS (التي تستهدف أنظمة السلامة الآلية)، وIndustroyer، وBlackEnergy.

كما تتطلب برامج الكشف الفعالة في بيئات OT التكامل بين المؤرشفات العملية والمراقبة الأمنية-بربط بيانات نظام التحكم مع أحداث الشبكة لتحديد السيناريوهات التي قد يظهر فيها الهجوم السيبراني على شكل شذوذ في العملية بدلًا من إنذار شبكي.

في هجوم TRITON/TRISIS ضد منشأة بتروكيميائية في الشرق الأوسط، استهدفت البرمجية الخبيثة تحديدًا نظام Triconex للسلامة الآلية-وهو خط الدفاع الأخير قبل وقوع كارثة مادية. وقد تم الاكتشاف عبر محاولة إعادة نشر فاشلة، لا عبر أداة أمنية.

5. الاستجابة (RS): التخطيط للاستجابة للحوادث الخاصة بـ OT

تحمل الاستجابة للحوادث في بيئات OT قيودًا لا وجود لها في تقنية المعلومات. فلا يمكن لفريق الأمن ببساطة عزل خادم مُخترق يشغّل عملية كيميائية دفعاتية دون احتمال التسبب في حالة خطرة. يجب تطوير إجراءات الاستجابة بالتعاون الوثيق مع فرق العمليات والهندسة والسلامة، وأن تراعي التأثير التشغيلي لكل خطوة استجابة.

يجب أن تحدد خطط الاستجابة لحوادث OT سلطة اتخاذ القرار بوضوح: من يملك صلاحية الموافقة على عزل الشبكة، ومن يجب إخطاره قبل إيقاف نظام تحكم، وما هي إجراءات التشغيل اليدوي إذا كانت الأنظمة المؤتمتة غير متاحة. وتعد تمارين الطاولة التي تحاكي سيناريوهات هجوم خاصة بـ ICS-مثل تشفير خوادم المؤرشف بواسطة برمجيات الفدية، أو تعديل منطق PLC دون تصريح، أو اختراق HMI-أمرًا أساسيًا للتحقق من صحة هذه الخطط قبل الحاجة إليها.

كما ينبغي للمؤسسات الخاضعة لـ NERC CIP أو تنبيهات CISA أو الأطر الخاصة بالقطاعات أن تفهم التزاماتها في الإبلاغ التنظيمي-فالجداول الزمنية للإبلاغ عن الحوادث السيبرانية إلى CISA ومراكز ISAC القطاعية والجهات التنظيمية تختلف بحسب القطاع ونوع الحادث.

6. التعافي (RC): استعادة العمليات بأمان

تركّز وظيفة التعافي على الحفاظ على المرونة واستعادة القدرات بعد وقوع حادث. وفي بيئات OT، يجب أن تتناول خطة التعافي ثلاثة متطلبات متميزة: استعادة ضوابط الأمن السيبراني، واستعادة سلامة بيانات العملية، واستعادة الاستمرارية التشغيلية-وبترتيب يضمن عدم المساس بالسلامة مطلقًا.

تُعد النسخ الاحتياطية الآمنة وغير المتصلة بشبكة الإنتاج لمنطق PLC وإعدادات HMI وبيانات المؤرشف وتكوينات أجهزة الشبكة من الأصول الأساسية للتعافي. ويجب تخزين هذه النسخ في بيئات معزولة عن شبكات الإنتاج واختبارها بانتظام عبر تمارين الاستعادة. وتكتشف العديد من المؤسسات أثناء حادث فعلي أن نسخها الاحتياطية غير كاملة أو قديمة أو غير متوافقة مع إصدارات الأجهزة الحالية.

يشمل التعافي أيضًا التحليل بعد الحادث: فهم كيف تمكن الخصم من الوصول، وماذا فعل داخل البيئة، وما التغييرات التي أُجريت على تكوينات العملية أثناء فترة التسلل.

خارطة طريق تنفيذية من 7 خطوات لفرق أمن OT

يتطلب تحويل NIST CSF إلى برنامج أمني عملي لـ OT نهج تنفيذ منظم. وتوفر خارطة الطريق التالية المكوّنة من سبع خطوات، والمكيّفة من إرشادات NIST الخاصة بالتنفيذ والمتوافقة مع متطلبات ISA/IEC 62443، مسارًا عمليًا من التقييم الأولي إلى التحسين الأمني القابل للقياس.

الخطوة 1: تحديد الأولويات ونطاق الأنظمة الحرجة في OT

قبل أي استثمار أمني، يجب على المؤسسات تحديد أنظمة OT التي تقع ضمن النطاق ولماذا. وهذا ليس مجرد تمرين تقني-بل يتطلب مدخلات من العمليات والهندسة والشؤون القانونية والقيادة التنفيذية. وينبغي أن تحظى الأنظمة التي تدعم وظائف السلامة أو استمرارية الإنتاج أو الامتثال التنظيمي بأعلى درجات الأولوية.

يجب أن يتوافق تحديد النطاق مع تعريفات المناطق في ISA/IEC 62443. حدّد أي الأنظمة تشكل المنطقة 0 (الأجهزة الميدانية)، والمنطقة 1 (التحكم الأساسي)، والمنطقة 2 (التحكم الإشرافي)، والمنطقة 3 (عمليات التصنيع)-وحدّد أيضًا أي المناطق تدخل في النطاق الفوري لبرنامج الأمن وأيها مؤجلة لمراحل لاحقة.

الخطوة 2: فهم الأنظمة ومتطلبات الامتثال

إن فهم مشهد التهديدات الخاص بقطاعك أمر أساسي. فمحطة ضغط الغاز الطبيعي تواجه ملفات جهات تهديد مختلفة عن منشأة تصنيع سيارات. وتوفر تنبيهات CISA الخاصة بـ ICS-CERT، ومراكز ISAC القطاعية (مثل E-ISAC للكهرباء وWaterISAC لمرافق المياه وA-ISAC للطيران)، وتقرير Dragos السنوي Year in Review معلومات استخباراتية خاصة بالقطاع ينبغي أن توجه متطلباتك الأمنية.

يعرّف ISA/IEC 62443 مستويات الأمان (SL 1-4) التي تصف القدرة على مقاومة قدرات متزايدة للخصم-من المهاجمين العابرين إلى جهات دولة ذات معرفة داخلية. ويعد تحديد مستوى الأمان الذي ينبغي أن تستهدفه أنظمتك الحرجة متطلبًا أساسيًا في هذه الخطوة.

الخطوة 3: إنشاء الملف الأمني السيبراني الحالي

الملف الحالي هو لقطة تمثل تطبيق المؤسسة الراهن لفئات CSF وفروعها الفرعية. وفي بيئات OT، يجب إجراء هذا التقييم بسياق خاص بـ OT-وليس مجرد استيراده من تقييم أمن تقنية المعلومات. فالفريق التقني في IT الذي لم يعمل قط في بيئة أنظمة تحكم سيقلّل المخاطر بشكل منهجي ويوصي بضوابط غير عملية تشغيليًا.

توفر التقييمات التي تُجرى وفق ضوابط NIST SP 800-82 Rev.3 خطًا أساسياً منظمًا يرتبط مباشرةً بوظائف CSF وتتعرف عليه الجهات التنظيمية بما فيها CISA وEPA (لمرافق المياه) وFERC (لمرافق الكهرباء).

الخطوة 4: إجراء تقييم المخاطر الخاص بـ OT

يجب أن تتضمن منهجية تقييم مخاطر OT تحليل العواقب الذي يعكس الواقع التشغيلي. فالنموذج الذي يعامل جميع اختراقات أنظمة التحكم على أنها متساوية يفوّت التمييز الحاسم بين، على سبيل المثال، الوصول غير المصرح به إلى خادم مؤرشف وبين الوصول غير المصرح به إلى PLC أمني يدير منطق إدارة الحارق.

توفر منهجية CISA المعروفة باسم Consequence-Driven Cyber-Informed Engineering (CCE) إطارًا ممتازًا لتحليل العواقب في البنية التحتية الحيوية. فمن خلال البدء بالسيناريوهات الأعلى أثرًا-ما الأفعال التي يمكن أن يرتكبها الخصم لتسبب أكبر ضرر-والعمل رجوعًا لتحديد المسارات السيبرانية التي قد تمكّن تلك السيناريوهات، تبني المؤسسات تقييمات مخاطر تعكس النتائج في العالم المادي بدلًا من مصفوفات تقييم مجردة.

الخطوات 5-7: من الملف المستهدف إلى التنفيذ

يتطلب تحديد الملف المستهدف اعترافًا صريحًا بالقيود التشغيلية. ففي البيئات التي يتطلب فيها تحديث البرنامج الثابت لِـ PLC معين إيقافًا مخططًا لمدة 72 ساعة، يجب على فرق الأمن بناء ضوابط تعويضية-مثل مراقبة الشبكة، والتحكم الصارم في الوصول، والسماح للتطبيقات على أنظمة HMI المجاورة-بدلًا من الاكتفاء بتسجيل الثغرة على أنها غير مُعالجة.

يحوّل تحليل الفجوات الفارق بين الملفين الحالي والمستهدف إلى خارطة طريق معالجة ذات أولويات. ويجب أن يُعطى خفض المخاطر وزنًا كبيرًا-فإنجاز تحسين منخفض التكلفة في تقسيم الشبكة يزيل مسار هجوم عالي الخطورة يحقق قيمة أمنية أكبر من نشر أمني مكلف لنقاط النهاية على أنظمة ذات تعرض منخفض.

أفضل الممارسات في الأمن السيبراني الصناعي حسب القطاع

مرافق الكهرباء: المواءمة بين NERC CIP وCSF

تخضع مرافق الكهرباء التي تدير أصول نظام الكهرباء الواسع (BES) في أمريكا الشمالية لمعايير موثوقية NERC CIP-وهو أحد أكثر أطر الأمن السيبراني الخاصة بـ OT نضجًا وتفصيلًا. وبالنسبة لهذه المؤسسات، يعمل NIST CSF كإطار أعلى مستوى يثبت نضج برنامج الأمن بما يتجاوز الحد الأدنى للامتثال لـ NERC CIP، وهو ما يتوقعه المنظمون ومجالس الإدارة بشكل متزايد.

ترتبط NERC CIP-007 (إدارة أمان الأنظمة)، وCIP-010 (إدارة تغيير التكوين)، وCIP-013 (إدارة مخاطر سلسلة التوريد) مباشرة بوظائف الحماية والتعريف في CSF. ومع ذلك، كان NERC CIP تقليديًا بنيويًا بشكل ثنائي-إما أن تستوفي المعيار أو لا. ويساعد نموذج النضج المتدرج في CSF المرافق على فهم وضعها الأمني كسلسلة متصلة، وليس مجرد حالة امتثال.

النفط والغاز: حماية العمليات الميدانية الموزعة

تطرح عمليات النفط والغاز تحديات فريدة: أصول موزعة جغرافيًا، واعتماد واسع على وحدات RTU القديمة في محطات مراقبة خطوط الأنابيب البعيدة، واتصالات عبر الأقمار الصناعية والخلوي بعرض نطاق محدود لأدوات الأمن، وعلاقات معقدة مع المتعاقدين والمورّدين. وغالبًا ما تكون وظيفة التعريف في CSF-ولا سيما جرد الأصول وتقييم المخاطر-أضعف المجالات نضجًا في هذا القطاع.

فرضت توجيهات TSA الأمنية لعامي 2021 و2022 على مشغلي خطوط الأنابيب تدابير محددة لأمن OT عقب حادثة برمجيات الفدية في Colonial Pipeline، والتي رغم أنها كانت في الأساس اختراقًا لـ IT، أظهرت الأثر التشغيلي للترابط بين IT وOT. وتجد المؤسسات المشمولة بهذه التوجيهات أن البرامج المتوافقة مع CSF توفر هيكلًا عمليًا لتلبية متطلبات التوجيه مع بناء وضع أمني طويل الأمد ومستدام.

المياه ومياه الصرف الصحي: أمن OT بموارد محدودة

يُعد قطاع المياه من أكثر قطاعات البنية التحتية الحيوية تقييدًا بالموارد من منظور الأمن السيبراني. فمعظم مرافق المياه أنظمة صغيرة تديرها جهات عامة، مع عدد محدود من موظفي أمن IT/OT وميزانيات محدودة. وتقدم CISA عبر WaterISAC، وكذلك أفضل ممارسات الأمن السيبراني لعام 2024 من EPA، إرشادات خاصة بالقطاع ومتوافقة مع وظائف CSF.

سلّطت حادثة أولدسمار الضوء على نقطة ضعف متكررة في القطاع: الوصول عن بُعد عبر أدوات عامة الاستخدام (TeamViewer في تلك الحالة)، وبيانات اعتماد مشتركة، وعدم وجود تقسيم لشبكة OT. ويعالج تنفيذ وظيفة الحماية في CSF-وخاصة التحكم في الوصول (PR.AC) والتقنيات الوقائية (PR.PT)-هذه الفجوات الأكثر خطورة حتى ضمن قيود الموارد الصارمة.

التصنيع: توسع IIoT وتطوّر سطح الهجوم

تعمل مبادرات التصنيع الذكي-مثل التوائم الرقمية وشبكات مستشعرات IIoT ومنصات الصيانة التنبؤية-على توسيع سطح هجوم OT بوتيرة أسرع من قدرة برامج الأمن على التكيف. فكل جهاز متصل جديد هو نقطة دخول محتملة، وغالبًا ما تفتقر بيئات التصنيع إلى عمليات إدارة تغيير ناضجة تفرض مراجعة أمنية للاتصالات الجديدة في OT.

وتصبح وظيفة الحوكمة في CSF ذات صلة خاصة هنا: فالمؤسسات التي لديها سياسات أمن سيبراني واضحة تحكم شراء ونشر وضبط أمان أجهزة IIoT قبل ربطها بالإنتاج تكون في وضع أفضل بكثير من تلك التي تتعامل مع IIoT كقرار هندسي بحت.

أخطاء التنفيذ الشائعة وكيفية تجنبها

بناء برنامج مستدام لأمن OT

يوفر إطار NIST للأمن السيبراني، عند تطبيقه بانضباط خاص بـ OT، للمؤسسات الصناعية مسارًا منضبطًا للانتقال من تدابير أمنية تفاعلية ومجزأة إلى وضع أمني استباقي مُدار بالمخاطر. تكمن قوة الإطار ليس في تفصيله الإلزامي، بل في مرونته-فهو يستوعب التنوع الهائل لبيئات أنظمة التحكم الصناعي، من المحطات الفرعية عالية الجهد إلى أنظمة معالجة الدُفعات الدوائية ومنصات النفط البحرية.

تشترك المؤسسات التي تطبق بنجاح برامج أمن OT المتوافقة مع CSF في عدة سمات: فهي تتعامل مع الأمن كمنضبط تشغيلي، لا كوظيفة IT ملحقة بالأنظمة الهندسية؛ وتستثمر في خبرات متخصصة في OT، إما داخليًا أو عبر شركاء متخصصين؛ وتبني برامج يمكنها إظهار خفض فعلي قابل للقياس للمخاطر بدلًا من الاكتفاء بالاستعداد للتدقيق.

إن وظيفة الحوكمة الجديدة في NIST CSF 2.0، مقترنة بالعمق التقني في SP 800-82 Rev.3 والخصوصية الصناعية في ISA/IEC 62443، توفر أكثر أساس عام شامل ومتوافر حاليًا لتطوير برنامج أمن OT. لم يعد السؤال هو ما إذا كانت الإرشادات موجودة؛ بل ما إذا كانت المؤسسات ستستثمر في تطبيقها بالصرامة التي تتطلبها حماية البنية التحتية الحيوية.

الخصوم لا ينتظرون حتى تُنهي المؤسسات تقييمات الإطار. ففي عام 2024، وثّقت CISA أكثر من 500 ثغرة معروفة مُستغلة تؤثر في مكونات ICS وOT. ولا تزال الفجوة بين قدرة الخصم وجاهزية المدافع في بيئات OT واحدة من أكثر تحديات الأمن أهمية في حماية البنية التحتية الحيوية.

الخطوات التالية الموصى بها لفرق الأمن

1. إجراء اكتشاف سلبي لأصول OT لإنشاء خط أساس كامل للجرد.

2. إجراء تقييم مخاطر خاص بـ OT متوافق مع NIST SP 800-82 Rev.3 وIEC 62443-3-2 لتحديد وتحديد أولويات الثغرات الأعلى أثرًا.

3. تطوير أو مراجعة خطة الاستجابة الحالية لحوادث OT-والتحقق تحديدًا من أن إجراءات الاستجابة تراعي الأثر التشغيلي وتتضمن تمارين طاولة.

4. تقييم ضوابط الوصول عن بُعد: إلغاء أنفاق VPN الدائمة إلى شبكات OT، وتطبيق MFA، ونشر تسجيل الجلسات لجميع وصول الأطراف الثالثة.

5. نشر منصة كشف واعية بـ ICS قادرة على المراقبة على مستوى البروتوكول عبر مقاطع شبكتك الخاصة بـ OT.

6. إنشاء أو تطوير برنامج الأمن السيبراني لسلسلة التوريد، مع التركيز على سلامة برمجيات موردي ICS وحوكمة وصول الأطراف الثالثة.

أهم النقاط المستخلصة

• يقدّم NIST CSF 2.0 وظيفة حوكمة جديدة، ما يجعله قابلًا للتطبيق مباشرةً على بيئات OT/ICS.

• يتطلب تطبيق الإطار على SCADA وPLCs وRTUs تكييفًا خاصًا بالقطاع، وليس مجرد طبقة أمن IT مباشرة.

• يمثل NIST SP 800-82 Rev.3 وISA/IEC 62443 المعايير المرافقة التي تسد الفجوة بين إرشادات CSF والتنفيذ الميداني.

• تساعد خارطة طريق تنفيذية من 7 خطوات فرق الأمن على الانتقال من الطموح إلى المرونة التشغيلية القابلة للقياس.

في Shieldworkz، نعمل جنبًا إلى جنب مع مشغلي المرافق والطاقة والتصنيع والبنية التحتية الحيوية لتحويل متطلبات الأطر إلى دفاعات واقعية ومجرّبة ميدانيًا.

تواصل معنا اليوم لترتيب نقاش هادئ حول بيئة OT/ICS الخاصة بك. الأنظمة التي تحميها تُشغّل عالمنا، وهي تستحق أقوى مستوى ممكن من الأمن.