لا تفشل الأنظمة السيبرانية الفيزيائية بالطريقة التي يفشل بها الكمبيوتر المحمول في المكتب. فعندما يتلقى جهاز التحكم المنطقي القابل للبرمجة أمراً تالفاً، لا يتوقف الصمام ببساطة على الشاشة، بل إنه يفتح، أو يغلق، أو ترتفع حرارته، أو يتوقف عن تغذية عملية تعتمد عليها المنشأة في كل ثانية من اليوم. هذا هو السبب الأساسي الذي يجعل الأنظمة السيبرانية الفيزيائية، والتي تُختصر عادةً بـ CPS، بحاجة إلى نهج مراقبة لا يشبه نهج مراقبة أمن تقنية المعلومات التقليدي في شيء.

قبل أن نمضي قدماً، لا تنسوا الاطلاع على مقال مدونتنا السابق حول تأمين عمليات البنية التحتية الحيوية أثناء الأحداث الجيوسياسية وما بعدها هنا

بالنسبة لقادة أمن تكنولوجيا التشغيل (OT)، ومهندسي أنظمة التحكم الصناعية (ICS)، ومديري المصانع، ورؤساء أمن المعلومات (CISOs) الذين يشرفون على البيئات الصناعية، لم يعد السؤال مطروحاً حول ما إذا كان يجب مراقبة الأنظمة السيبرانية الفيزيائية في الوقت الفعلي أم لا. بل بات السؤال هو كيفية القيام بذلك دون تعطيل الإنتاج، ودون إغراق الفرق بالتنبيهات الكاذبة، ودون ترك نقاط عمياء بين غرفة التحكم وشبكة الشركة. يتناول هذا المقال ما تنطوي عليه مراقبة الأنظمة السيبرانية الفيزيائية في الوقت الفعلي بالفعل، والمخاطر التي تواجهها المؤسسات بدونها، والخطوات العملية التي تفصل بين العمليات المرنة والعمليات المعرضة للخطر.

ما تعنيه مراقبة الأنظمة السيبرانية الفيزيائية (CPS) في الوقت الفعلي بالفعل

تجمع الأنظمة السيبرانية الفيزيائية بين الحوسبة والشبكات والعمليات الفيزيائية في بيئة تشغيل واحدة. تخيل مرفقاً لمعالجة المياه حيث تقيس أجهزة الاستشعار مستويات الكلور، وتقوم أجهزة التحكم بضبط مضخات الجرعات، ويقوم البرنامج بتسجيل النتائج للتقارير التنظيمية. أو خط تصنيع حيث تقوم أجهزة التحكم المنطقي القابل للبرمجة (PLCs) بمزامنة الأذرع الروبوتية مع سرعات السيور الناقلة بدقة تصل إلى جزء من الألف من الثانية. كل مكون من هذه المكونات هو أصل فيزيائي وهدف رقمي في آن واحد.

تعني مراقبة الأنظمة السيبرانية الفيزيائية في الوقت الفعلي الملاحظة المستمرة لسلوك هذه الأصول وأنماط اتصالها وحالتها الفيزيائية، وليس فقط حركة مرور البيانات عبر الشبكة الخاصة بها. وهي تجمع بين القياس عن بعد من أجهزة الاستشعار والمشغلات، والرؤية على مستوى البروتوكول لاتصالات SCADA وأجهزة PLC، والمخططات السلوكية الأساسية التي تحدد أي شيء غير طبيعي في غضون ثوانٍ وليس أياماً. الهدف بسيط من حيث الصياغة ولكنه صعب التحقيق: معرفة كيف تبدو الحالة الطبيعية عبر كل طبقة من طبقات العملية، ورصد الانحرافات قبل أن تتحول إلى حوادث.

يختلف هذا تماماً عن المراقبة الدورية أو عمليات فحص الثغرات الأمنية الربع سنوية. فقد يكشف الفحص الربع سنوي أن البرنامج الثابت لأحد أجهزة التحكم قديم. بينما تكشف المراقبة في الوقت الفعلي أن نفس جهاز التحكم قد تلقى للتو تغييراً غير مصرح به في الإعدادات في الساعة 2:47 صباحاً، أي قبل ثلاث نوبات عمل من أن يلاحظ أي شخص نتيجة الفحص.

لماذا أصبحت الرؤية في الوقت الفعلي أمراً غير قابل للتفاوض

لقد تم بناء البيئات الصناعية من أجل الموثوقية والسلامة الفيزيائية، وليس من أجل المرونة السيبرانية. فكثير من أنظمة التحكم التي لا تزال قيد التشغيل اليوم تم تصميمها منذ عقود، قبل وقت طويل من أن يتوقع أي شخص أن تتصل تكنولوجيا التشغيل الخاصة بالمنشأة بشبكة الشركة، ناهيك عن الإنترنت. ومع تقارب شبكات تقنية المعلومات (IT) وتكنولوجيا التشغيل (OT) لدعم المراقبة عن بعد والصيانة التنبؤية والعمليات القائمة على البيانات، اتسع نطاق الهجوم بسرعة تفوق بكثير سرعة نضج معظم برامج المراقبة.

تدفع عدة عوامل باتجاه تحويل مراقبة الأنظمة السيبرانية الفيزيائية في الوقت الفعلي من ميزة إضافية إلى متطلب أساسي:

• التقارب بين تكنولوجيا المعلومات وتكنولوجيا التشغيل (IT/OT): إن برامج حفظ البيانات التاريخية المتصلة بالسحاب، والوصول عن بعد للموردين، وتكامل تخطيط موارد المؤسسات يعني أن أي اختراق لشبكة الأعمال يمكن أن يصل إلى أرض المصنع.

• البنية التحتية المتقادمة: غالباً ما تفتقر أجهزة PLC ووحدات الطرفية البعيدة (RTUs) القديمة إلى المصادقة أو التشفير، مما يجعل التلاعب الصامت بها ممكناً ما لم تتم مراقبة حركة المرور بنشاط.

• الضغوط التنظيمية: تتطلب التوجيهات الخاصة بقطاعات الطاقة والمياه والتصنيع بشكل متزايد توثيق قدرات المراقبة والاستجابة للحوادث، وليس مجرد بيانات السياسات.

• برمجيات الفدية التي تستهدف العمليات: أدرك المهاجمون أن تعطيل الإنتاج يخلق حالة من الاستعجال لدفع الفدية، مما يجعل بيئات تكنولوجيا التشغيل هدفاً مفضلاً وليس فكرة ثانوية.

• متطلبات التأمين والتدقيق: يطرح مؤمنو المخاطر السيبرانية أسئلة دقيقة حول مدى وضوح الرؤية في تكنولوجيا التشغيل قبل تغطية المخاطر الصناعية، وأصبحت الإجابات الغامضة تؤثر الآن على الأقساط والتغطية.

من المهم أيضاً الإشارة إلى أن المراقبة في الوقت الفعلي ليست منتجاً يوضع على الرف. إنها تخصص يمس بنية الشبكة، وتخطيط الاستجابة للحوادث، والتوظيف، وحتى كيفية منح الموردين حق الوصول عن بعد إلى المعدات. وغالباً ما تجد المؤسسات التي تتعامل معها كعملية نشر لمرة واحدة أن التغطية تتراجع في غضون عام مع إضافة أصول جديدة وتحديث البرامج الثابتة وتغير مسارات الشبكة دون أن يقوم أحد بتحديث خط الأساس للمراقبة. إن التعامل مع مراقبة الأنظمة السيبرانية الفيزيائية كبرنامج حيوي، مراجع ومعدل بانتظام، هو ما يميز المؤسسات التي تظل متقدمة على الانحرافات عن تلك التي تكتشف فجواتها مجدداً فقط بعد أن يجبرها حادث ما على ذلك.

ما يحدث بدونها: حقائق من الواقع الصناعي

لقد تم توثيق عواقب الافتقار إلى الرؤية الواضحة للأنظمة السيبرانية الفيزيائية جيداً في مختلف القطاعات الصناعية، وتتكرر الأنماط باتساق لافت.

جرس الإنذار لقطاع المياه

في عام 2021، لاحظ مشغل في مرفق معالجة المياه في فلوريدا مؤشراً يتحرك تلقائياً عبر شاشة التحكم. لقد تمكن شخص ما من الوصول إلى النظام عن بعد وحاول زيادة مستوى هيدروكسيد الصوديوم في إمدادات المياه إلى تركيز خطير. تم اكتشاف هذا التغيير فقط لأن شخصاً كان يراقب الشاشة بالصدفة في تلك اللحظة بالذات. لم يكن هناك تنبيه سلوكي مؤتمت، ولا نظام لكشف الشذوذ يحدد الجلسة غير المصرح بها، ولا طبقة مراقبة في الوقت الفعلي كانت لتكشف هذا الاختراق فور بدئه. يُستشهد بهذا الحادث بشكل متكرر في قطاع المياه والمرافق كأوضح مثال على أن الاعتماد على اليقظة اليدوية وحدها لا يعتبر استراتيجية مراقبة.

توقف خطوط التصنيع

أظهرت حوادث برمجيات الفدية التي أثرت على كبار المصنعين تكرار نفس النمط: تصل البرمجيات الضارة التي تبدأ في شبكة تكنولوجيا المعلومات في النهاية إلى الأنظمة التي تتحكم في الإنتاج الفيزيائي، مما يجبر المصانع على وقف الإنتاج لأيام أثناء إعادة بناء الأنظمة من الصفر. وفي العديد من الحالات التي تم الإبلاغ عنها على نطاق واسع في قطاعي تصنيع السيارات وإنتاج الأغذية، لم تلحق الشفرة البرمجية الخبيثة الفعلية ضرراً كبيراً بالمعدات الفيزيائية. بل جاءت التكلفة الأكبر من حالة عدم اليقين. فبدون رؤية واضحة في الوقت الفعلي لأنظمة تكنولوجيا التشغيل المتأثرة فعلياً مقارنة بتلك المتصلة بالشبكات المتأثرة فقط، اضطرت المؤسسات إلى إغلاق منشآت بأكملها كإجراء احترازي، مما حول حدثاً بسيطاً في تكنولوجيا المعلومات إلى خسارة إنتاج استمرت لعدة أيام.

تعطل شبكة الطاقة

أظهرت الهجمات على أنظمة توزيع الطاقة في أوروبا الشرقية كيف يمكن للمهاجمين الذين يدرسون عمليات التحكم الخاصة بالهدف إصدار أوامر تبدو مشروعة لنظام يفتقر إلى خط أساس سلوكي. حيث تم فتح قواطع التيار في تتابع يحاكي السلوك الطبيعي للمشغل، مما تسبب في انقطاع التيار الكهربائي على نطاق واسع. وأظهر تحليل ما بعد الحادث أن المهاجمين أمضوا شهوراً في دراسة البيئة قبل التحرك. إن نظام المراقبة المدرب على خطوط الأساس التشغيلية الفعلية، وليس على القواعد الثابتة وحدها، يكون في موقع أفضل بكثير لرصد الانحرافات السلوكية الطفيفة قبل وقت طويل من وصول المهاجم إلى مرحلة التنفيذ.

توقف إنتاج الأغذية والمشروبات

واجه قطاع الأغذية والمشروبات تدفقاً مستمراً من الاضطرابات المرتبطة ببرمجيات الفدية على مدى السنوات القليلة الماضية، ويستحق هذا النمط الاهتمام لأنه يختلف قليلاً عن حالات التصنيع البحتة. ففي هذه الحوادث، أضاف خطر تلف المنتجات عنصراً من الاستعجال لا تحمله انتهاكات البيانات البحتة أبداً. وعندما توقفت خطوط التعبئة والتغليف دون وجود صورة واضحة عن أنظمة التحكم التي تم اختراقها بالفعل مقارنة بتلك الموجودة على نفس شريحة الشبكة فقط، تعين على إدارة المصنع اتخاذ قرارات حاسمة تحت ضغط الوقت: إما إتلاف المنتجات التي هي قيد التحضير أو المخاطرة بتشغيل معدات لا يمكن التحقق من سلامتها. وأكد العديد من المشغلين لاحقاً أن وجود طبقة مراقبة قادرة على التأكيد، في غضون دقائق، على أجهزة PLC وشاشات HMI التي تم لمسها كان كفيلاً بالحفاظ على المنتجات التي تم التخلص منها في النهاية كإجراء احترازي.

القاسم المشترك بين هذه الحالات ليس الافتقار إلى الاستثمار الأمني. فقد كانت لدى العديد من هذه المؤسسات جدران حماية وضوابط وصول وبرامج لأمن تكنولوجيا المعلومات. ما كان مفقوداً هو الرؤية المستمرة والدقيقة وفي الوقت الفعلي لما تفعله الأنظمة الفيزيائية وأنظمة التحكم بالفعل، لحظة بلحظة.

المخاطر والتحديات التي يواجهها قادة تكنولوجيا التشغيل اليوم

إن بناء نظام مراقبة للأنظمة السيبرانية الفيزيائية في الوقت الفعلي ليس مجرد مسألة تثبيت لوحة معلومات أخرى. فالبيئات الصناعية تفرض تحديات لم تكن مراقبة أمن تكنولوجيا المعلومات التقليدية بحاجة إلى حلها أبداً.

البروتوكولات المجزأة والمملوكة لجهات محددة

على عكس شبكات تكنولوجيا المعلومات، التي توحدت إلى حد كبير حول عدد قليل من البروتوكولات الشائعة، تعمل بيئات تكنولوجيا التشغيل بعشرات من معايير الاتصال المملوكة والموروثة اعتماداً على المورد وحقبة المعدات. وغالباً ما تعجز أدوات المراقبة المصممة لحركة مرور تكنولوجيا المعلومات عن تفسير هذه البيانات على الإطلاق، مما يخلق شعوراً زائفاً بالتغطية عندما تقيد أداة مراقبة الشبكة 'عدم وجود شذوذ' لمجرد أنها لا تفهم ما تنظر إليه.

إجهاد التنبيهات ونسبة الإشارة إلى الضوضاء

غالباً ما تكتشف الفرق الأمنية التي تقوم بدمج أدوات مراقبة تكنولوجيا المعلومات العامة في شبكات تكنولوجيا التشغيل أن السلوك الصناعي الطبيعي يظهر كأمر شاذ بالنسبة لأداة مدربة على حركة المرور المكتبية. والنتيجة هي سيل من التنبيهات التي يتعلم المشغلون تجاهلها في النهاية، وهو أمر قد يكون أسوأ من عدم وجود مراقبة على الإطلاق لأنه يخلق ثقة زنيفة.

التوافر قبل كل شيء

في تكنولوجيا المعلومات، يعد إيقاف تشغيل النظام لتثبيت التحديثات أو التحقيق أمراً غير مريح. أما في تكنولوجيا التشغيل، فإن إيقاف تشغيل النظام قد يعني حادثاً يمس السلامة، أو تلف دفعة إنتاج، أو انقطاع الخدمة عن المجتمع. يجب أن تكون حلول المراقبة سلبية وغير تدخلية، تراقب حركة المرور دون المخاطرة أبداً بتوافر العملية التي تحميها.

رؤية محدودة للأصول القديمة

العديد من أجهزة التحكم التي تم نشرها قبل عشرة أو عشرين عاماً لم تُصمم أبداً للإبلاغ عن حالتها بطريقة يمكن للأدوات الحديثة استهلاكها. وغالباً ما يكون بناء جرد دقيق للأصول، وهو الخطوة الأولى والأساسية لأي برنامج مراقبة، أصعب من نشر تقنية المراقبة نفسها.

الفرق المنعزلة وغياب الملكية الواضحة

يفهم مهندسو تكنولوجيا التشغيل العملية جيداً. وتفهم فرق أمن تكنولوجيا المعلومات مشهد التهديدات. وعندما تعمل هذه الفرق في جزر منعزلة، غالباً ما تصل بيانات المراقبة إلى الجمهور الخطأ بعد فوات الأوان، أو تصل إلى الجمهور المناسب دون السياق اللازم لاتخاذ إجراء سريع بشأنها.

وصول الموردين والأطراف الثالثة

يتطلب موردو المعدات ومدمجو الأنظمة ومقاولو الصيانة بشكل روتيني الوصول عن بعد إلى الأنظمة الصناعية لاستكشاف الأخطاء وإصلاحها وإجراء التحديثات. ويمثل كل اتصال من هذه الاتصالات مساراً إلى البيئة لم يكن موجوداً قبل عقد من الزمن، وتمتلك العديد من المؤسسات رؤية محدودة حول وقت حدوث هذه الجلسات، أو الأوامر الصادرة خلالها، أو ما إذا كان الوصول الممنوح يطابق الوصول المستخدم بالفعل. إن برامج المراقبة التي تفشل في احتساب جلسات الأطراف الثالثة بشكل محدد تراقب صورة غير مكتملة للبيئة، بغض النظر عن مدى جودة تغطيتها لحركة المرور الداخلية.

مراقبة الأنظمة السيبرانية الفيزيائية في الوقت الفعلي مقارنة بمراقبة تكنولوجيا المعلومات التقليدية

يوضح الجدول أدناه لماذا تتطلب البيئات الصناعية نهجاً مختلفاً تماماً للمراقبة.

توصيات عملية لبناء برنامج مراقبة في الوقت الفعلي

تميل المؤسسات التي تنجح في مراقبة الأنظمة السيبرانية الفيزيائية في الوقت الفعلي إلى اتباع مسار متسق، بغض النظر عن القطاع. قد تختلف التفاصيل، ولكن الترتيب نادراً ما يختلف.

1. ابدأ بجرد كامل ودقيق للأصول

لا يمكنك مراقبة ما لا تعرف وجوده. يجب أن يكون الاكتشاف السلبي للشبكة، بدلاً من الفحص النشط الذي قد يعطل أجهزة التحكم الحساسة، هو الخطوة الأولى. ويجب أن يحدد هذا الجرد الشركة المصنعة، والطراز، وإصدار البرنامج الثابت، وبروتوكول الاتصال، ومدى أهمية كل أصل متصل.

ومن الشائع أن تكشف مرحلة الاكتشاف وحدها عن أجهزة لم يكن أحد في الفريق الحالي يعلم أنها لا تزال متصلة، أو معدات اختبار منسية، أو خطوط خرجت من الخدمة ولم يتم عزلها بالكامل، أو أجهزة كمبيوتر محمولة لتشخيص الأعطال تابعة للموردين تركت متصلة بموزع الشبكة منذ سنوات. إن التعامل مع عملية الاكتشاف هذه كمشروع لمرة واحدة وليس كقدرة مستمرة هو أحد أكثر الأسباب شيوعاً لتراجع تغطية المراقبة بمرور الوقت مع إضافة معدات جديدة أثناء التوسعات أو الترقيات.

2. وضع خطوط الأساس السلوكية قبل تفعيل التنبيهات

يحتاج نظام المراقبة إلى وقت ليتعلم كيف تبدو العمليات العادية: تسلسلات الأوامر النموذجية، أطراف الاتصال المتوقعة، وأنماط التوقيت الروتينية. وتعمل خطوط الأساس التي يتم بناؤها على مدى أسابيع من الملاحظة على تقليل التنبيهات الكاذبة بشكل كبير بمجرد بدء التنبيه.

3. إعطاء الأولوية للمراقبة السلبية غير التدخلية

يجب ألا يشكل أي نهج مراقبة يتم نشره في بيئة صناعية حية أي خطر على توافر العملية التي يحميها. توفر نقاط توصيل الشبكة السلبية وأجهزة الاستشعار الخارجية رؤية واضحة دون إدخال مخاطر جديدة على العملية نفسها.

4. دمج الاستجابة لحوادث الأنظمة السيبرانية الفيزيائية (CPS) في البرنامج الأمني الأوسع

إن الكشف دون وجود خطة استجابة محددة يخلق القلق فحسب، وليس المرونة. تحدد خطة الاستجابة الناضجة لحوادث الأنظمة السيبرانية الفيزيائية من يتم إخطاره، وكيفية اتخاذ قرارات الاحتواء دون وقف العمليات الآمنة دون داعٍ، وكيفية تعاون فرق الهندسة والأمن تحت الضغط. ويجب اختبار هذه الخطة من خلال تمارين محاكاة تشمل كلاً من مهندسي تكنولوجيا التشغيل وموظفي الأمن، وليس فرق الأمن بمفردها.

ومن المكونات التي غالباً ما يتم إغفالها في الاستجابة لحوادث الأنظمة السيبرانية الفيزيائية هي التفويض المسبق. إن تحديد من يملك سلطة عزل شريحة من الشبكة أو إيقاف عملية ما مسبقاً أثناء ظروف الهدوء يزيل نقطة تردد خطيرة أثناء وقوع حدث فعلي. والمؤسسات التي تنتظر حتى منتصف حادث نشط لتحديد سلطة اتخاذ القرار تخسر عادةً دقائق حاسمة، وفي البيئات الصناعية، غالباً ما تكون هذه الدقائق هي الفارق بين حدث يتم احتواؤه وآخر يتفاقم ويتسع نطاقه.

5. الربط بين الإشارات الفيزيائية والسيبرانية معاً

تجمع برامج المراقبة الأكثر تقدماً بين القياسات السيبرانية عن بعد (حركة مرور الشبكة، سجلات المصادقة) وبيانات العملية الفيزيائية (الضغط، درجة الحرارة، معدل التدفق) للكشف عن الحالات التي تروي فيها الإشارات قصصاً متعارضة. فإذا أبلغ الصمام بأنه مغلق بينما تظهر أجهزة استشعار التدفق حركة السوائل، فإن هذا التعارض غالباً ما يكون المؤشر الأول على وجود تلاعب.

6. قياس ورفع تقارير عن أداء المراقبة

متوسط وقت الكشف ومتوسط وقت الاستجابة ليست مجرد مقاييس لأمن تكنولوجيا المعلومات. إن تتبعها في بيئات تكنولوجيا التشغيل يمنح القيادة رؤية واضحة وقابلة للقياس لنضج البرنامج ويبرر الاستثمار المستمر.

مؤشرات الأداء الرئيسية لمراقبة أداء الأنظمة السيبرانية الفيزيائية (CPS)

إن تتبع المؤشرات الصحيحة يحافظ على خضوع برنامج المراقبة للمساءلة ويظهر قيمة ملموسة للقيادة.

توسيع نطاق المراقبة عبر مواقع متعددة

تواجه المؤسسات التي تدير أكثر من منشأة طبقة إضافية من التعقيد: نادراً ما يتطور نضج المراقبة بشكل متساوٍ عبر المواقع. قد يتمتع المصنع الرئيسي برؤية قوية بينما تعمل منشأة تم الاستحواذ عليها حديثاً بمعدات قديمة غير موثقة وبدون خط أساس على الإطلاق. إن توحيد بنية مراقبة مشتركة وصيغة تقارير موحدة عبر المواقع، حتى عندما تختلف ظروف الشبكة المحلية، يتيح لفريق الأمن المركزي مقارنة المخاطر بشكل متسق بدلاً من العمل بناءً على تقارير غير متوافقة ومجزأة. وتبرز أهمية هذا الاتساق أيضاً أثناء عمليات التدقيق وتجديد التأمين، حيث يتوقع المنظمون وجهات التأمين بشكل متزايد رؤية موحدة للمخاطر التشغيلية عبر المؤسسة بأكملها بدلاً من لقطات معزولة من منشآت فردية.

كيف تدعم Shieldworkz المؤسسات

تعمل Shieldworkz جنباً إلى جنب مع المشغلين الصناعيين ومديري المصانع وقادة الأمن لبناء برامج مراقبة تحترم واقع بيئات الإنتاج الحية مع سد فجوات الرؤية التي تعرض العمليات للخطر. إن نهجنا يرتكز على نفس المبادئ الموضحة في هذا المقال: الرؤية السلبية، الكشف السياقي، وخطط الاستجابة المصممة للعمليات الفيزيائية، وليس فقط لأنظمة البيانات.

• اكتشاف شامل لأصول تكنولوجيا التشغيل (OT) وأنظمة التحكم الصناعية (ICS) لتحديد كل جهاز تحكم واستشعار وجهاز قديم متصل دون تعطيل العمليات الحية.

• مراقبة سلوكية في الوقت الفعلي مصممة خصيصاً للبروتوكولات الصناعية، ومبنية لفهم اتصالات SCADA وPLC بدلاً من التعامل معها كحركة مرور شبكة عامة.

• منهجية نشر سلبية لا تدفع بأي مخاطر إضافية على العمليات الحساسة للسلامة أثناء التنفيذ.

• تخطيط الاستجابة لحوادث الأنظمة السيبرانية الفيزيائية (CPS) المطور بالاشتراك مع فرق الهندسة والأمن، والمختبر من خلال تمارين محاكاة واقعية.

• إعداد تقارير أداء مستمرة تترجم بيانات المراقبة إلى مقاييس يمكن للقيادة اتخاذ إجراءات وبناء ميزانيات بناءً عليها.

• خبرة خاصة بالقطاعات تشمل التصنيع والطاقة والمرافق وبيئات البنية التحتية الحيوية الأخرى، مستمدة من التعامل المباشر مع الحوادث الصناعية في العالم الحقيقي.

• دعم استشاري مستمر يطور استراتيجية المراقبة مع تغير الشبكات والتهديدات والتوقعات التنظيمية.

ربط معلومات التهديدات بمراقبة الأنظمة السيبرانية الفيزيائية (CPS)

تخبر عملية الكشف عن الشذوذ المجردة الفريق بأن شيئاً ما قد تغير. بينما تخبرهم معلومات التهديدات ما إذا كان هذا التغيير يطابق سلوكاً معروفاً للمهاجمين يستهدف بيئات صناعية مماثلة. والجمع بين الاثنين معاً أقوى بكثير من الاعتماد على أحدهما فقط، ومع ذلك فإن العديد من برامج المراقبة الصناعية لا تربط بينهما أبداً.

تبدو معلومات التهديدات الفعالة للبيئات الصناعية مختلفة عن تغذيات المؤشرات الشائعة في أمن تكنولوجيا المعلومات في المؤسسات. فبدلاً من قوائم النطاقات الخبيثة وبصمات الملفات، تصف معلومات تهديدات تكنولوجيا التشغيل المفيدة تكتيكات المهاجمين: ما هي البروتوكولات الصناعية التي لوحظ أن مجموعة تهديد ما تتلاعب بها، وما هي معدات الموردين التي تدور حولها تقنيات استغلال معروفة، وما هي القطاعات التي تشهد حالياً استهدافاً متزايداً. وعندما يتم وضع هذه المعلومات السياقية فوق المراقبة السلوكية، يمكن للفرق الأمنية إعطاء الأولوية للتنبيهات التي تطابق أنماط المهاجمين النشطين بدلاً من التعامل مع كل شذوذ كأمر عاجل بنفس القدر.

ويعتبر هذا ذا قيمة خاصة خلال فترات التوترات الجيوسياسية، عندما تشهد قطاعات البنية التحتية الحيوية تاريخياً زيادات ملموسة في أنشطة الاستطلاع والتقصي. وتميل المؤسسات التي تحافظ على علاقة مستمرة مع مصادر معلومات التهديدات ذات الصلة بقطاعها، بدلاً من الاكتفاء برد الفعل بعد إصدار تحذير عام، إلى تقليص الفجوة بين الاستطلاع الأولي والكشف بشكل كبير.

بناء دراسة الجدوى للقيادة

نادراً ما يجد قادة الأمن صعوبة في فهم سبب أهمية مراقبة الأنظمة السيبرانية الفيزيائية في الوقت الفعلي. المحادثة الأكثر صعوبة هي ترجمة هذا الفهم إلى موافقة على الميزانية من المديرين التنفيذيين ومجالس الإدارة الذين يفكرون في المقام الأول من منظور الإنتاج وكفاءة رأس المال والتعرض للمخاطر. ويميل صياغة الاستثمار بلغة تشغيلية، بدلاً من اللغة التقنية البحتة، إلى إيجاد صدى أكثر فاعلية.

يعد وقت التوقف غير المخطط له أحد أوضح العوامل تأثيراً. فإيقاف الإنتاج لساعة واحدة فقط في خط تصنيع متوسط الحجم يمكن أن يكلف أكثر بكثير من تكلفة البنية التحتية للمراقبة لعام كامل، وغالباً ما يعيد هذا القياس وحده صياغة المحادثة من مركز تكلفة إلى وثيقة تأمين. كما أن الاكتتاب التأميني هو عامل آخر يستحق طرحه مباشرة: فشركات التأمين السيبراني التي تغطي المخاطر الصناعية تطرح بشكل متزايد أسئلة تفصيلية حول تقسيم شبكة تكنولوجيا التشغيل، وتغطية المراقبة، واختبار الاستجابة للحوادث قبل تمديد التغطية أو تجديدها، ويمكن للإجابات الغامضة أن تترجم مباشرة إلى أقساط أعلى أو استثناءات من التغطية.

ويضيف الامتثال التنظيمي بعداً ثالثاً. حيث تواجه قطاعات مثل الطاقة والمياه والمواد الكيميائية توقعات متزايدة، غالباً ما تدعمها سلطة قانونية، لإثبات قدرات موثقة على المراقبة والاستجابة بدلاً من مجرد الادعاء بوجود ضوابط أمنية. وأصبح إظهار القدرة بالأدلة على كشف حادث يمس الأنظمة السيبرانية الفيزيائية والاستجابة له ضمن إطار زمني محدد بمثابة توقع أساسي للامتثال وليس هدفاً طموحاً.

وأخيراً، تكتسب اعتبارات السمعة وثقة العملاء أهمية تفوق ما تقره العديد من المؤسسات في البداية. ويتطلب عملاء الأعمال في قطاعات مثل سلاسل توريد السيارات والأدوية بشكل متزايد أدلة على نضج أمن تكنولوجيا التشغيل قبل تمديد العقود، لا سيما بعد أن أظهرت العديد من الاضطرابات البارزة في سلاسل التوريد كيف يمكن لمورد واحد معرض للخطر أن ينشر المخاطر عبر صناعة بأكملها.

الأسئلة الشائعة من قادة أمن تكنولوجيا التشغيل (OT)

هل تتطلب المراقبة في الوقت الفعلي استبدال أنظمة SCADA أو DCS الحالية؟

لا. يتم نشر حلول المراقبة المصممة جيداً بشكل سلبي إلى جانب أنظمة التحكم الحالية دون استبدالها. وتراقب نقاط توصيل الشبكة السلبية وأجهزة الاستشعار المخصصة للقراءة فقط حركة مرور البيانات دون إقحام نفسها في حلقة التحكم، مما يعني أن البنية التحتية الحالية لـ SCADA وDCS وPLC تستمر في العمل تماماً كما هي اليوم.

كم من الوقت يستغرق رؤية نتائج ملموسة بعد النشر؟

عادةً ما ينتج عن مرحلة اكتشاف الأصول جرد دقيق خلال الأسابيع القليلة الأولى. بينما تتطلب عملية وضع خطوط الأساس السلوكية عموماً نافذة ملاحظة أطول، غالباً ما تتراوح بين ثمانية إلى اثني عشر أسبوعاً اعتماداً على مدى تنوع الدورات التشغيلية، قبل أن يتم ضبط التنبيهات لتقليل معدل التنبيهات الكاذبة. والمؤسسات التي تستعجل مرحلة وضع خطوط الأساس هذه هي الأكثر عرضة لمواجهة إجهاد التنبيهات لاحقاً.

هل يمكن للمنشآت الأصغر حجماً ذات الكوادر الأمنية المحدودة الحفاظ على هذا النظام بشكل واقعي؟

نعم، لا سيما عندما تقترن المراقبة بدعم الكشف المدار أو مركز العمليات الأمنية (SOC) الذي يمكنه استيعاب عبء التحليل. ولا يملك العديد من المشغلين الصناعيين متوسطي الحجم عدد الموظفين الكافي لبناء فريق متخصص لأمن تكنولوجيا التشغيل داخلياً، وهذا هو السبب في أن الربط بين المعرفة الهندسية الداخلية وخبرة المراقبة الخارجية يثمر عادةً عن نتائج أفضل من محاولة بناء كل شيء داخلياً من الصفر.

ما الفرق بين مراقبة الأنظمة السيبرانية الفيزيائية (CPS) وأمن تكنولوجيا التشغيل (OT) العام؟

أمن تكنولوجيا التشغيل هو المظلة الأوسع التي تغطي تقسيم الشبكة، والتحكم في الوصول، وإدارة التحديثات، والسياسات. بينما تعد مراقبة الأنظمة السيبرانية الفيزيائية في الوقت الفعلي هي طبقة الرؤية المستمرة داخل هذا البرنامج الأوسع، وهي المكون الذي يلاحظ فعلياً ما يحدث على الشبكة وفي العملية الفيزيائية في أي لحظة، ويطلق عملية الاستجابة عندما ينحرف شيء ما عن السلوك المتوقع.

الخاتمة

لا تتعلق مراقبة الأنظمة السيبرانية الفيزيائية (CPS) في الوقت الفعلي بإضافة أداة أخرى إلى منظومة أمنية معقدة بالفعل. بل تتعلق بسد الفجوة بين ما تعتقد المؤسسة أنه يحدث في مصنعها وما يحدث بالفعل، ثانية بثانية. فالحوادث المشار إليها في هذا المقال لم تحدث بسبب افتقار المؤسسات إلى الميزانيات الأمنية، بل حدثت لأن الرؤية توقفت عند حافة الشبكة، وتحديداً حيث بدأت العملية الفيزيائية.

بالنسبة لقادة أمن تكنولوجيا التشغيل، ومهندسي أنظمة التحكم الصناعية، والمديرين التنفيذيين المسؤولين عن استمرارية العمليات، فإن الطريق إلى الأمام واضح: بناء الرؤية في كل طبقة من طبقات العملية، ووضع خطوط الأساس قبل التنبيهات، والحفاظ على المراقبة سلبية وآمنة، وربط الكشف مباشرة بخطة استجابة تثق بها الفرق الهندسية. والمؤسسات التي تتخذ هذه الخطوات تقلل باستمرار من المخاطر التشغيلية، وتتجنب فترات التوقف المكلفة، وتبني نوع المرونة الذي يتوقعه المنظمون وشركات التأمين ومجالس الإدارة بشكل متزايد.

جاهز لمعرفة أين تكمن نقاطك العمياء؟

تتميز كل بيئة صناعية بمزيج مختلف من الأصول والبروتوكولات والقيود التشغيلية القديمة. يمكن لفريقنا مراجعة وضع المراقبة الحالي لديك، وتحديد الفجوات الأكثر تأثيراً، ورسم مسار عملي للمضي قدماً، دون تعطيل العمليات التي تعتمد عليها.

احجز استشارة مجانية مع خبرائنا

مصادر إضافية:

التنفيذ الاستراتيجي لـ ISA/IEC 62443-3-2 هنا
الدليل الشامل لكشف الشبكة والاستجابة لها (NDR) في عام 2026 هنا
قائمة مراجعة الجاهزية لمراقبة أمن الشبكة الداخلية NERC CIP-015 لمرافق الكهرباء هنا
الدليل التأسيسي لمركز العمليات الأمنية لتكنولوجيا التشغيل (OT SOC) هنا
خدمة مركز العمليات الأمنية (SOC) المدارة هنا
استشارات معلومات التهديدات السيبرانية لتكنولوجيا التشغيل - الشرق الأوسط هنا
توجيه NIS2 تحقيق الامتثال لتوجيه NIS2 من خلال IEC 62443 هنا
ما هي الوسائط القابلة للإزالة؟ المخاطر والسياسات وحلول أمن تكنولوجيا التشغيل الصناعية هنا
نموذج سياسة الوسائط القابلة للإزالة المجاني لفرق تكنولوجيا التشغيل وتكنولوجيا المعلومات هنا