تأمين الموانئ باستخدام معيار IEC 62443

الصفحة الرئيسية

مدونات

تأمين الموانئ باستخدام معيار IEC 62443

فريق شيلدوركز

4 سبتمبر 2026

مخطط توجيهي للأمن السيبراني والقدرة على الصمود والامتثال للتقنيات التشغيلية (OT) في المرافئ البحرية

تعتمد عمليات الموانئ الحديثة على التقنيات التشغيلية (OT) ونظم التحكم الصناعي (ICS) المؤتمتة والمترابطة. وقد أدى تقارب نظم تشغيل المرافئ (TOS)، ومعدات مناولة الحاويات المؤتمتة، والواجهات البحرية، والشبكات الصناعية إلى زيادة رقعة الهجوم المعرضة للاختراق في البنية التحتية للموانئ العالمية.

ويمكن لأي حادث سيبراني في هذه البيئات أن يعطل سلاسل التوريد المادية، ويتسبب في خسائر اقتصادية كارثية، ويعرض سلامة الأرواح للخطر، ويؤدي إلى أضرار بيئية.

تقدم هذه المقالة مخططاً توجيهياً قابلاً للتنفيذ ومبنياً على الأدلة لسلطات الموانئ ومشغلي المرافئ والمهندسين البحريين لتصميم برنامج للأمن السيبراني للتقنيات التشغيلية وتطبيقه وصيانته باستخدام سلسلة معايير IEC 62443 كإطار عمل رئيسي.

الأهداف الرئيسية للمخطط التوجيهي

الهدف	الوصف
التحديد المنهجي	تصنيف ورسم خرائط أصول التقنيات التشغيلية البحرية الحيوية، والتبعيات، وحدود الشبكة.
بنية مبنية على المخاطر	تقسيم عمليات الموانئ إلى مناطق وقنوات دفاعية مرتبطة بمستويات الأمان المستهدفة (SL 1 إلى SL 4).
مواءمة الضوابط	رسم خرائط الضوابط عبر المتطلبات الأساسية السبعة لمعيار IEC 62443-3-3 (من FR 1 إلى FR 7).
تأكيد قابل للتحقق	تأسيس مراقبة مستمرة، وجمع تلقائي للأدلة، ومقاييس النضج لتلبية المتطلبات التنظيمية مثل IMO MSC-FAL.1/Circ.3، وEU NIS2، وUSCG 33 CFR / NVIC 01-20.

النتائج الرئيسية

النتيجة	الوصف
مخاطر تقارب تكنولوجيا المعلومات والتقنيات التشغيلية (IT/OT)	يؤدي التكامل غير الخاضع للرقابة بين شبكات تكنولوجيا المعلومات للمؤسسات، ومنصات التحليلات المستضافة على السحابة، وأصول التقنيات التشغيلية على المستوى الميداني إلى خلق ناقلات هجوم يمكنها تجاوز دفاعات المحيط التقليدية.
قصور في رؤية الأصول	تنشأ أكثر من 60% من ثغرات الأمن السيبراني للتقنيات التشغيلية في الموانئ من الأصول القديمة غير المحددة، وعقد الوصول عن بُعد غير المصرح بها للموردين، والشبكات اللاسلكية الديناميكية على معدات مناولة البضائع المتنقلة.
الحسابات المشتركة واسعة الانتشار	غالباً ما تعمل محطات عمل الهندسة (EWS) وواجهات المستخدم الرسومية (HMIs) ببيانات اعتماد إدارية مشتركة، مما يلغي متطلبات عدم الإنكار وضوابط الوصول.
ثغرات عزل نظم السلامة	غالبًا ما يتم ربط نظم السلامة والأجهزة (SIS) ونظم الإغلاق الاضطراري (ESD) في مرافئ السوائل/السوائب بشبكات العمليات دون وجود عوازل مادية أو تشفيرية (air-gaps)، مما يعرض العمليات المادية للتلاعب عن بُعد.
ثغرات سلاسل التوريد الخاصة بالموردين	تمثل اتصالات الصيانة التابعة لجهات خارجية، بما في ذلك أجهزة المودم الخلوية وشبكات VPN غير المشفرة، نقطة الدخول الأكثر تكراراً للوصول الأولي في بيئات نظم التحكم الصناعي البحري.

تعتبر مرافئ الحاويات والسوائب والسوائل البحرية أنظمة بيئية صناعية معقدة تعمل وفق جداول تشغيلية مستمرة.

وعلى عكس بيئات تكنولوجيا المعلومات التقليدية للمؤسسات - حيث تحظى السرية وسلامة البيانات بالأولوية القصوى غالباً - تعطي الأنظمة البيئية للتقنيات التشغيلية في الموانئ الأولوية لـ:

السلامة
التوافر التشغيلي
السلامة المادية
استمرارية عمليات مناولة البضائع

يمكن أن يؤدي أي تعطيل غير معالج للتقنيات التشغيلية في مرفأ حاويات رئيسي إلى إيقاف دوران السفن، وتراكم العمليات في شبكات السكك الحديدية والشحن متعددة الوسائط، وتكبد خسائر تشغيلية ورسوم غرامات تأخير كبيرة.

ويتطلب تأمين هذه البيئات نهجاً هندسياً مصمماً للأنظمة الحتمية. ويعالج إطار عمل IEC 62443 هذه المتطلبات من خلال التعامل مع الأمن السيبراني كعنصر هندسي تشغيلي.

مشهد تهديدات التقنيات التشغيلية في الموانئ

تواجه البنية التحتية للموانئ الحديثة جهات تهديد تتراوح بين مجموعات برامج فدية انتهازية وهجمات مستمرة ومتقدمة (APTs) ترعاها دول، وناشطين في مجال الاختراق الإلكتروني.

بنية التهديدات ومصفوفة مسارات الهجوم

فئة التهديد	ناقل التهديد	الأصل المستهدف الرئيسي	النتيجة التشغيلية	نتيجة السلامة	تحدي الكشف	إجراءات التخفيف وفق IEC 62443
برامج الفدية / الابتزاز	الاحتيال الإلكتروني ← المنطقة المنزوعة السلاح بين تكنولوجيا المعلومات والتقنيات التشغيلية (IT/OT DMZ) ← قاعدة بيانات TOS	نظام تشغيل المرافئ (TOS)، قاعدة بيانات البوابة	إغلاق كامل للمرفأ؛ عمليات يدوية في ساحة الحاويات	توقف كامل في ساحة الحاويات؛ حظر وصول الطوارئ	اتصال تحكم وسيطرة (C2) مشفر عبر HTTPS؛ إساءة استخدام الأدوات المشروعة	3-3: FR 5 (تدفق البيانات المقيد)، FR 7 (توافر الموارد)
استغلال بروتوكولات التقنيات التشغيلية	محطة عمل هندسية مخترقة ← بروتوكولات Modbus/S7 غير المصادق عليها	أجهزة التحكم المنطقي القابل للبرمجة (PLCs) لرافعات الرصيف (STS)	شلل الرافعات، سقوط الأحمال، أعطال في المحركات	انهيار هيكلي، إصابة الأفراد	تبدو حركة مرور البروتوكول الأصلي صالحة لأنظمة كشف التسلل (IDS) التقليدية لتكنولوجيا المعلومات	3-3: FR 1 (IAC)، FR 3 (سلامة النظام)؛ 4-2: CR 1.1
إساءة استخدام الوصول عن بُعد لسلسلة التوريد	مودم مورد ثنائي التوصيل ← شبكة التقنيات التشغيلية	محركات رافعات التستيف المؤتمتة (ASC)	إعادة برمجة غير مصرح بها لأجهزة PLC؛ فقدان الأتمتة	تحركات غير منضبطة للرافعات في الساحة النشطة	تنشأ حركة المرور من قناة مورد موثوقة	2-4: SP.03 (الوصول عن بُعد)؛ 3-3: FR 1، FR 2 (ضوابط الاستخدام)
انتحال / تعطيل النظام العالمي للملاحة عبر الأقمار الصناعية (GNSS)	التداخل اللاسلكي / انتحال الترددات اللاسلكية	نظم تحديد المواقع في ساحة الحاويات، المركبات الموجهة تلقائيًا (AGVs)	وضع الحاويات في أماكن غير صحيحة؛ تعطل توجيه المركبات الموجهة تلقائيًا	تصادم المعدات في المناطق المؤتمتة	خلل على مستوى المستشعر دون أثر في الشبكة	3-2: تقييم المخاطر؛ 3-3: FR 6 (الاستجابة في الوقت المناسب)؛ البديل اليدوي
العيش على موارد النظام (LotL)	بيانات اعتماد مسروقة ← سطح المكتب البعيد / PowerShell	خادم HMI / SCADA	تعديل صامت لتشابكات السلامة أو نقاط الضبط	تسرب بيئي؛ فيضان الخزانات في مرفأ السوائل	يستخدم ملفات إدارية ثنائية أصلية مثل PsExec وWMIC	3-3: FR 2 (ضوابط الاستخدام)، FR 6 (سجل التدقيق، كشف التسلل)

الهيكل الهرمي للمخاطر والنتائج التشغيلية

إطار تصنيف نتائج أصول الموانئ

الفئة	التصنيف	الأنظمة الممثلة	التأثير المحتمل
الفئة 1	السلامة الحرجة والسلامة المادية — كارثي	نظم السلامة والأجهزة (SIS)، ونظم الإغلاق الاضطراري (ESD)، وتوجيه زوارق القطر/تحديد المواقع الديناميكي، ومراقبة الحريق والغاز	خسائر محتملة في الأرواح، أضرار هيكلية كبرى، كارثة بيئية بحرية
الفئة 2	العمليات التشغيلية الأساسية — كبير	أجهزة PLC لرافعات رصيف الميناء (STS)، ونظم التحكم في رافعات التستيف المؤتمتة (ASC)، وقاعدة البيانات الرئيسية لنظام TOS، ونظام SCADA لنقل السوائل	توقف كامل لعمليات الرصيف أو الساحة في المرفأ؛ خسارة اقتصادية فادحة
الفئة 3	العمليات التشغيلية الثانوية — متوسط	أنظمة التعرف البصري على الحروف (OCR) للبوابات، وأنظمة التعرف التلقائي على لوحات الأرقام (ANPR)، وأجهزة PLC لجسور الوزن، ومراقبة الحاويات المبردة	تباطؤ جزئي في الإنتاجية؛ توافر حلول بديلة يدوية بكفاءة مخفضة
الفئة 4	أنظمة الدعم — طفيف	أنظمة إدارة المباني (BMS)، الدوائر التلفزيونية المغلقة (CCTV)، مستشعرات البيئة	إزعاج تشغيلي؛ تراجع الأمن المحلي؛ لا يوجد تأثير مباشر على مناولة البضائع

توضيح النطاق والقدرات

حدود الشهادات

إن الحصول على شهادة IEC 62443 لمكون فردي - على سبيل المثال، جهاز PLC متوافق مع IEC 62443-4-2 - لا يجعل المرفأ بأكمله آمناً.

يجب دمج هذا المكون في بنية آمنة تتماشى مع معيار IEC 62443-3-2، بدعم من سياسات تشغيلية فعالة بموجب معيار IEC 62443-2-1 وعمليات دمج آمنة بموجب معيار IEC 62443-2-4 ومعيار IEC 62443-3-3.

حدود النظام

ينطبق معيار IEC 62443 تحديداً على نظم الأتمتة والتحكم الصناعي (IACS).

وتقع منصات تكنولوجيا المعلومات للمؤسسات مثل نظم تخطيط موارد المؤسسات (ERP) ونظم الموارد البشرية (HR) خارج نطاقه الرئيسي، باستثناء الحالات التي تتصل فيها مباشرة بالتقنيات التشغيلية من خلال آليات مثل المناطق المنزوعة السلاح (DMZs).

أدوار ومسؤوليات أصحاب المصلحة

يتطلب تحقيق وضع أمني سيبراني ناجح للموانئ تحديد عمليات التسليم والمسؤوليات بين جميع الأطراف.

صاحب المصلحة	التركيز الرئيسي لـ IEC 62443	المسؤوليات الرئيسية في بيئة الموانئ
مالك الأصول — سلطة الميناء / مشغل المرفأ	2-1، 3-2	القبول العام للمخاطر، حوكمة نظام إدارة الأمن السيبراني (CSMS)، تحديد المناطق/القنوات، وتحديد مستويات الأمان المستهدفة (SL-T).
مدمج النظام — صانع الرافعات / مورد الأتمتة	2-4، 3-3	تصميم وتركيب وتشغيل نظم التقنيات التشغيلية وفقاً لمستوى الأمان المستهدف (SL-T) المحدد؛ وإنشاء قوائم جرد الأجهزة والبرمجيات والتكوينات الأساسية.
مورد المنتجات / الشركة المصنعة للمعدات الأصلية (OEM) — موردو أجهزة PLC، والمحركات، ونظم SCADA	4-1، 4-2	تقديم مكونات الأجهزة والبرمجيات التي تم تطويرها في ظل دورات حياة آمنة وتلبي مستويات الأمان للقدرات المحددة (SL-C).
مقدم الخدمة — مقاولو الصيانة / الأمن المدار	2-4	الالتزام بسياسات الوصول الآمن عن بُعد، واتفاقيات مستوى الخدمة لإدارة التصحيحات، وإجراءات التحقق من الخلفية.
مقّيم / مدقق الأمن	2-1، 3-2، 3-3	التحقق بشكل مستقل من الامتثال للضوابط المحددة والتحقق من وثائق الأدلة.

نموذج بنية أصول وشبكات التقنيات التشغيلية في الموانئ

تتطلب البنية التحتية الحديثة للموانئ رسم خرائط الأصول المادية عبر المستويات الهرمية لنموذج بوردو / IEC 62443.

التصنيف الشامل للأصول

فئة الأصول	الأصول الممثلة
الأتمتة والتحكم في المعدات	أجهزة PLC للرافعات مثل Siemens S7-1500 وABB AC800M، والمحركات/العاكسات، ووحدات الإدخال/الإخراج عن بُعد، ووحدات تحكم التستيف المؤتمتة
العمليات واللوجستيات	خوادم تطبيقات TOS مثل Navis N4 وCyberLogitec، ومعالجات ANPR/OCR للبوابات، ووحدات تحكم جسور الوزن، وقارئات RFID
الواجهة البحرية والساحلية	مرحلات حماية الطاقة الساحلية (Cold Ironing)، ونظم مراقبة أرصفة الميناء، وضوابط الإرساء الديناميكية
البنية التحتية للسوائب والسوائل	نظم التحكم الموزعة (DCS)، ونظم SCADA الإشرافية، وقياس خزانات المرافئ، ومشغلات صمامات خطوط الأنابيب، ونظم السلامة والأجهزة مثل Triconex وYokogawa ProSafe
البنية التحتية والمرافق	أتمتة المحطات الفرعية ومرحلات IEC 61850، ووحدات تحكم UPS، ونظم إدارة المباني (BMS)، ومعالجات الدوائر التلفزيونية المغلقة (CCTV)، ولوحات التحكم في الوصول

تطبيق المناطق والقنوات

يفرض معيار IEC 62443-3-2 التقسيم المنطقي والمادي لنظم الأتمتة والتحكم الصناعي (IACS) إلى مناطق - وهي مجموعات من الأصول التي تتشارك في متطلبات أمنية مشتركة - متصلة بواسطة قنوات، وهي مسارات اتصالات خاضعة للرقابة بين المناطق.

بنية المناطق والقنوات المقترحة

الطبقة الهيكلية	الاتصال / الحدود	الوجهة
منطقة شبكة المؤسسة	↓	قناة المنطقة منزوعة السلاح (DMZ Conduit)
قناة المنطقة منزوعة السلاح	↓	منطقة عمليات المرفأ
منطقة عمليات المرفأ	↓	القنوات التشغيلية
قناة الرافعات	→	منطقة التحكم في رافعات رصيف الميناء (STS)
قناة البوابات	→	منطقة أتمتة البوابات
قناة الطاقة	→	منطقة المحطة الكهربائية الفرعية

البنية المنطقية

المنطقة	الوظيفة الرئيسية
منطقة شبكة المؤسسة	تكنولوجيا المعلومات للمؤسسات والتطبيقات التجارية
المنطقة الصناعية منزوعة السلاح (IDMZ)	التبادل الخاضع للرقابة للمعلومات والخدمات بين تكنولوجيا المعلومات والتقنيات التشغيلية للمؤسسة
منطقة عمليات المرفأ	نظام تشغيل المرافئ (TOS) ونظم اللوجستيات التشغيلية
منطقة التحكم في رافعات رصيف الميناء (STS)	أجهزة PLC لرافعات STS، وواجهات HMI، والمحركات، والبنية التحتية اللاسلكية المرتبطة بها
منطقة أتمتة البوابات	أتمتة البوابات ونظم معالجة المركبات
منطقة المحطة الكهربائية الفرعية	أتمتة المحطات الفرعية ونظم إدارة الطاقة

مواصفات مناطق وقنوات الموانئ المقترحة

معرّف المنطقة	اسم المنطقة	الأصول النموذجية المشمولة	مستوى الأمان المستهدف (SL-T)	ضوابط الحدود / المحيط	القنوات المرتبطة
Z-DMZ	المنطقة الصناعية منزوعة السلاح	قاعدة بيانات TOS المرحلية، والمؤرخ، وخادم التصحيحات، والأجهزة المضيفة للقفز (jump hosts)	SL 3	جدران حماية ثنائية التوصيل، بروكسي صريح، إنهاء البروتوكول، مصادقة متعددة العوامل (MFA)	C-IT-DMZ، C-DMZ-OPS
Z-OPS	عمليات المرفأ	خادم TOS، ووحدات تحكم البوابات، وخادم الحاويات المبردة	SL 2	جدران حماية تفقدية للحالة (Stateful)، عزل الدليل النشط (AD)، نظام كشف التسلل (IDS)	C-DMZ-OPS، C-OPS-CRN
Z-CRN	التحكم في رافعات STS وASC	أجهزة PLC للرافعات، وواجهات HMI، والمحركات، ونقاط الوصول اللاسلكية	SL 3	جدران حماية صناعية مع فحص عميق للحزم (DPI) لبروتوكولات Modbus/Profinet؛ وتشفير WPA3-Enterprise	C-OPS-CRN، C-VND-CRN
Z-LIQ	نظام SCADA لمزارع الخزانات/السوائل	قياس الخزانات، الخادم الرئيسي لنظام SCADA، أجهزة PLC للصمامات	SL 3	تقسيم صارم للشبكة؛ وحدات تحكم هندسية معزولة ماديًا (air-gapped)	C-OPS-LIQ, C-LIQ-SIS
Z-SIS	منطقة السلامة والأجهزة	أجهزة PLC للسلامة، ومرحلات الإغلاق الاضطراري (ESD)، وكشف الغاز	SL 4	عزل مادي / بوابات أمنية أحادية الاتجاه؛ لا توجد مسارات خارجية مباشرة	C-LIQ-SIS — للقراءة فقط
Z-VND	الصيانة عن بُعد للموردين	أجهزة القفز التابعة لجهات خارجية، أجهزة المحمول المخصصة للصيانة	SL 3	إدارة الوصول المميز (PAM) محدودة الوقت، تسجيل الجلسات، اتصالات إلزامية صادرة فقط	C-VND-CRN

منهجية تقييم المخاطر السيبرانية وفق IEC 62443-3-2

يجب أن تقوم تقييمات المخاطر بتقييم التهديدات التشغيلية مقابل سيناريوهات النتائج لتحديد مستوى الأمان المستهدف المطلوب لكل منطقة.

معادلة المخاطر

المخاطر = الاحتمالية × النتيجة

حيث:

العامل	المقياس	الوصف
النتيجة (C)	1–5	1 = ضئيلة؛ 5 = كارثية / خسارة في الأرواح / توقف لعدة أسابيع
الاحتمالية (L)	1–5	1 = نادرة؛ 5 = متكررة / هجوم مؤتمت

مصفوفة احتمالية التهديد وتحديد درجات المخاطر

الاحتمالية / النتيجة	1 — منخفضة	2 — متوسطة	3 — مرتفعة	4 — كبيرة	5 — حرجة
5 — مرتفعة	M	H	H	VH	VH
4 — متوسطة	L	M	H	H	VH
3 — منخفضة	L	L	M	H	H
2 — نادرة	L	L	L	M	H
1 — غير محتملة	L	L	L	L	M

رسم خرائط مستوى المخاطر لمستويات الأمان المستهدفة

مستوى المخاطر	مستوى الأمان المستهدف
مرتفع جداً (VH)	SL-T 3 أو SL-T 4
مرتفع (H)	SL-T 2 أو SL-T 3
متوسط (M)	SL-T 1 أو SL-T 2
منخفض (L)	SL-T 1 أو تدابير النظافة السيبرانية الأساسية

فهم مستويات الأمان — من SL 1 إلى SL 4

تحدد مستويات الأمان مدى مقاومة منطقة أو نظام ما لقدرات تهديد محددة. ويجب عدم الخلط بينها وبين الأهمية الحرجة للأصول البسيطة.

تعريفات مستويات الأمان

مستوى الأمان	التعريف	قدرة التهديد الممثلة
SL 1	الحماية من الانتهاكات العارضة أو المصادفة	الأخطاء غير المستهدفة، البرمجيات الخبيثة الأساسية
SL 2	الحماية من الانتهاكات المتعمدة باستخدام وسائل بسيطة	موارد منخفضة، أدوات عامة، معرفة تقنية أساسية
SL 3	الحماية من الانتهاكات المتعمدة باستخدام وسائل متطورة	موارد متوسطة، معرفة خاصة بنظم الأتمتة والتحكم الصناعي (IACS)، استهداف متعمد
SL 4	الحماية من الانتهاكات المتعمدة باستخدام وسائل متطورة وموارد ممتدة	خصوم يتمتعون بقدرات عالية وموارد وفيرة ودوافع قوية

التفسيرات الثلاثة للناقل

المصطلح	المعنى
SL-T — المستهدف (Target)	مستوى الأمان المطلوب والمحدد أثناء تقييم المخاطر
SL-C — القدرة (Capability)	قدرة الأمان الأصلية التي يوفرها الأصل/المكون بموجب معيار IEC 62443-4-2
SL-A — المحقق (Achieved)	مستوى الأمان الفعلي المقاس بعد التطبيق

المتطلبات الأساسية لمعيار IEC 62443 — من FR 1 إلى FR 7

ينظم معيار IEC 62443-3-3 متطلبات الأمان الفنية في سبعة متطلبات أساسية.

FR	المتطلب	الاختصار
FR 1	ضوابط تحديد الهوية والمصادقة	IAC
FR 2	ضوابط الاستخدام	UC
FR 3	سلامة النظام	SI
FR 4	سرية البيانات	DC
FR 5	تدفق البيانات المقيد	RDF
FR 6	الاستجابة للأحداث في الوقت المناسب	TRE
FR 7	توافر الموارد	RA

مصفوفة رسم الخرائط التشغيلية لأنظمة الموانئ

FR 1 — ضوابط تحديد الهوية والمصادقة (IAC)

العنصر	الوصف
الهدف	ضمان تحديد هوية جميع المستخدمين البشريين والأجهزة والعمليات والمصادقة عليها بشكل فريد قبل الوصول إلى أصول التقنيات التشغيلية.
مثال على تقنيات الموانئ التشغيلية	المصادقة على مهندس أتمتة يتصل بجهاز PLC لرافعة STS من خلال محطة عمل هندسية.
الضوابط النموذجية	خدمات الدليل المركزي، والمصادقة متعددة العوامل (MFA) على أجهزة القفز، وشهادات الأجهزة PKI/X.509 لنقاط النهاية اللاسلكية الصناعية
أدلة التدقيق	قوائم مستخدمي AD/LDAP، وسجلات RADIUS/TACACS+، وتقارير التسجيل في المصادقة متعددة العوامل (MFA)، وسجلات سلطة الشهادات (CA)
سؤال التقييم	هل يُحظر تماماً استخدام حسابات المشغلين المشتركة على جميع واجهات HMI ووحدات تحكم EWS دون وجود آلية إسناد ثانوية؟

FR 2 — ضوابط الاستخدام (UC)

العنصر	الوصف
الهدف	فرض مستويات تفويض معتمدة لمنع التنفيذ غير المصرح به للإجراءات أو تغييرات نقاط الضبط.
مثال على تقنيات الموانئ التشغيلية	قصر تعديلات معايير سرعة الرافعة على واجهة HMI المحلية حصرياً على مهندسي الصيانة الأقدم.
الضوابط النموذجية	التحكم في الوصول القائم على الأدوار (RBAC)، وإدارة الوصول المميز (PAM) مع تسجيل الجلسات، وفرض سياسة الحد الأدنى من الامتيازات على محطات العمل
أدلة التدقيق	سجلات تدقيق جلسات PAM، ومصفوفات سياسة RBAC، وملفات تصدير سياسات المجموعة (GPO)
سؤال التقييم	هل يتم إلغاء الامتيازات الإدارية تلقائياً فور انتهاء جلسات الصيانة؟

FR 3 — سلامة النظام (SI)

العنصر	الوصف
الهدف	حماية الأنظمة التشغيلية من التعديلات غير المصرح بها، وتلف المنطق، والعدوى بالبرمجيات الخبيثة.
مثال على تقنيات الموانئ التشغيلية	منع إرسال تحديث غير معتمد لملف المنطق السلمي (ladder-logic) إلى جهاز PLC لرافعة ASC.
الضوابط النموذجية	القوائم البيضاء للتطبيقات، والكشف عن تغييرات منطق PLC، والتحقق التشفيري من البرامج الثابتة، وتشفير أقراص محطات العمل الهندسية (EWS)
أدلة التدقيق	سجلات القوائم البيضاء، وتقارير مقارنة قيم التحقق المرجعية لـ PLC (checksum)، وسجلات سلامة البرامج الثابتة
سؤال التقييم	هل توجد آلية مؤتمتة لتنبيه المشغلين عندما يختلف المجموع التدقيقي لمنطق السلم (ladder-logic) لجهاز PLC عن الخط المرجعي المعتمد؟

FR 4 — سرية البيانات (DC)

العنصر	الوصف
الهدف	حماية البيانات التشغيلية الحساسة أثناء النقل وأثناء السكون من الإفصاح غير المصرح به.
مثال على تقنيات الموانئ التشغيلية	تشفير استعلامات قاعدة بيانات TOS التي تحتوي على بيانات المانيفست والمواد الخطرة وخطط تدوير الحاويات.
الضوابط النموذجية	بروتوكول TLS 1.3 لتطبيقات الويب الداخلية، وتشفير AES-256 للبيانات الخاملة، وبروتوكول WPA3-Enterprise / 802.1X
أدلة التدقيق	تقارير تكوين TLS، وتكوين مجموعات التشفير للتحكم اللاسلكي، وحالة تشفير الأقراص
سؤال التقييم	هل حركة المرور اللاسلكية التي تنقل إشارات التحكم الصناعية، مثل التحكم في AGV/ASC، محمية بتشفير من الفئة المؤسسية؟

FR 5 — تدفق البيانات المقيد (RDF)

العنصر	الوصف
الهدف	تقسيم شبكات الاتصالات لعزل الأصول الحيوية وتقييد التدفق إلى القنوات المصرح بها فقط.
مثال على تقنيات الموانئ التشغيلية	حظر الاتصال المباشر بين شبكات تكنولوجيا المعلومات للمؤسسة وشبكة أجهزة PLC لرافعات STS.
الضوابط النموذجية	جدران حماية تفقدية للحالة (Stateful)، وأنظمة منع التسلل الصناعية (IPS)، وبروكسي عكسي للمنطقة IDMZ، وبوابات أمنية أحادية الاتجاه / صمامات ثنائية للبيانات (data diodes)
أدلة التدقيق	مخرجات قواعد جدران الحماية، وجداول توجيه شبكات VLAN، والتحقق من بنية المنطقة منزوعة السلاح (DMZ)، وسجلات البوابات أحادية الاتجاه
سؤال التقييم	هل يتم تقييد جميع قنوات الاتصال العابرة للمناطق بقواعد صريحة تحظر المرور افتراضيًا (default-deny) على جدران الحماية؟

FR 6 — الاستجابة للأحداث في الوقت المناسب (TRE)

العنصر	الوصف
الهدف	كشف وتسجيل وتحليل الاستجابة للحوادث الأمنية والخلل التشغيلي في الوقت الفعلي.
مثال على تقنيات الموانئ التشغيلية	تنبيه مركز العمليات الأمنية (SOC) للميناء عندما يحاول عنوان IP غير متوقع إرسال رمز وظيفة كتابة Modbus إلى جهاز PLC الخاص بنقل السوائل.
الضوابط النموذجية	أنظمة الكشف والاستجابة السلبية للشبكة (NDR) للتقنيات التشغيلية، وإدارة السجلات المركزية/SIEM، وخطط الاستجابة المؤتمتة للحوادث
أدلة التدقيق	سجلات الاستيعاب لنظام SIEM، وتخطيط نشر مستشعرات NDR، وتذاكر الحوادث، وسجلات تنفيذ خطط الاستجابة في مركز SOC
سؤال التقييم	هل يتم توجيه تنبيهات الخلل الخاصة ببروتوكولات التقنيات التشغيلية إلى فريق العمليات الأمنية في غضون 60 ثانية؟

FR 7 — توافر الموارد (RA)

العنصر	الوصف
الهدف	ضمان بقاء الأنظمة التشغيلية قادرة على الصمود في مواجهة حالات حجب الخدمة (DoS) والمحافظة على القدرة التشغيلية المستمرة.
مثال على تقنيات الموانئ التشغيلية	الحفاظ على توافر التحكم في الرافعات أثناء البث عالي الحجم للشبكة أو محاولات هجمات حجب الخدمة الموزعة (DDoS).
الضوابط النموذجية	تنظيم حركة المرور/تحديد معدل نقل البيانات، وبنية الحلقة الصناعية الاحتياطية المتكررة، وبروتوكولات PRP/HSR، والنسخ الاحتياطية غير القابلة للتغيير وغير المتصلة بالإنترنت، وإجراءات التشغيل اليدوية
أدلة التدقيق	تكوينات جودة الخدمة (QoS)، وتقارير اختبار التعافي من الكوارث، وسجلات التحقق من النسخ الاحتياطية غير المتصلة بالإنترنت
سؤال التقييم	هل يمكن لمشغلي المرفأ الانتقال إلى أوضاع مناولة الحاويات اليدوية الآمنة في حال انقطاع اتصال شبكة التحكم؟

بنية تطبيق الضوابط الفنية

يتطلب تطبيق الضوابط الفنية لمعيار IEC 62443 بنية دفاعية متعددة الطبقات تشمل الهوية، والشبكة، ونقاط النهاية، والأصول الهندسية.

نموذج الدفاع المتعدد الطبقات

الطبقة	الضوابط الممثلة
الهوية والوصول	الدليل المركزي، إدارة الوصول المميز (PAM)، المصادقة متعددة العوامل (MFA)، التحكم في الوصول القائم على الأدوار (RBAC)
أمن الشبكات	التقسيم الدقيق للشبكة، المنطقة الصناعية منزوعة السلاح (IDMZ)، جدران الحماية ذات الفحص العميق للحزم (DPI)، البوابات أحادية الاتجاه
أمن نقاط النهاية	القوائم البيضاء للتطبيقات، تحصين الأجهزة، أنظمة الكشف والاستجابة على نقاط النهاية (EDR)
مراقبة التقنيات التشغيلية	أنظمة كشف التسلل والاستجابة السلبية للشبكة (NDR)، تحليل بروتوكولات الفحص العميق للحزم (DPI)، التكامل مع أنظمة SIEM/SOC
القدرة على الصمود	النسخ الاحتياطية غير المتصلة بالإنترنت وغير القابلة للتغيير، التكرار والاحتياط باستخدام بروتوكولات PRP/HSR، الإجراءات اليدوية الآمنة

الهوية والوصول والهندسة عن بُعد

الهندسة عن بُعد القائمة على صفر ثقة (Zero-Trust)

لا ينبغي أبداً تخصيص وصول مباشر على مستوى الشبكة عبر VPN لموردي الصيانة عن بُعد إلى مناطق المستوى 1/2.

مسار الوصول الموصى به

اتصال المورد ← نفق TLS صادر فقط ← بوابة إدارة الوصول المميز (PAM)/جهاز القفز للميناء ← مصادقة متعددة العوامل (MFA) ← قطع البروتوكول / عزل الجلسة ← الأصل المستهدف

ضوابط الجلسات

تسجيل الجلسات إجباريًا
سير عمل للموافقة الفورية من المشغل في الوقت الفعلي
الإنهاء التلقائي عند الخمول
أقصى فترة خمول: 15 دقيقة

تقسيم الشبكة الصناعية وبنية المنطقة منزوعة السلاح (DMZ)

المنطقة الصناعية منزوعة السلاح بجدران حماية ثنائية (Dual-Firewall IDMZ)

استخدم جدران حماية مادية متميزة من موردين مختلفين لحدود شبكة المؤسسة إلى المنطقة منزوعة السلاح، ومن المنطقة منزوعة السلاح إلى التقنيات التشغيلية عندما يبرر تقييم المخاطر ذلك.

يقلل هذا الإجراء من الاعتماد على تقنية جدار حماية واحدة أو التعرض لثغرة أمنية واحدة.

الفحص العميق للحزم (Deep Packet Inspection)

انشر جدران حماية صناعية قادرة على تحليل بروتوكولات الطبقة السابعة.

وحيثما كان ذلك مدعوماً تقنياً وآمناً من الناحية التشغيلية، احظر الأوامر التدميرية مثل:

STOP
PROGRAM
FIRMWARE_DOWNLOAD

مع السماح بمرور إطارات القراءة/القياس عن بُعد المطلوبة.

إطار عمل الوصول عن بُعد وأمن الجهات الخارجية

تمثل ناقلات سلاسل التوريد الخاصة بالجهات الخارجية خطراً كبيراً فيما يتعلق بالوصول الأولي في بيئات الموانئ.

مسار الوصول الآمن عن بُعد

الخطوة	نقطة الضبط
1	يبدأ المورد الجلسة من خلال بوابة الويب عبر بروتوكول HTTPS
2	يفرض موفر الهوية المصادقة متعددة العوامل (MFA)
3	يمنح مهندس الميناء نافذة وصول محددة الوقت
4	يؤسس نظام PAM جلسة معزولة ومحصنة عبر بروكسي RDP/SSH
5	يتم فرض فحص عميق للحزم (DPI) للجلسة؛ وتدقيق الأوامر وتسجيلها
6	يتم إنهاء الجلسة تلقائياً فور اكتمالها أو عند رصد إجراء مريب

متطلبات الوصول عن بُعد للموردين

المتطلب	الضابط
منع الوصول الخلوي المباشر	يجب ألا توفر أجهزة المودم المتصلة مباشرة بالرافعات أو أجهزة PLC وصولاً غير خاضع للرقابة. يجب أن يمر الوصول عن بُعد عبر بوابة PAM للمؤسسة.
حسابات مخصصة	يجب حظر حسابات الموردين العامة. وينبغي لكل مهندس تابع لمورد استخدام بيانات اعتماد مخصصة بالاسم ومرتبطة بهويته المؤسسية.
رموز الأجهزة المادية	يجب أن تستخدم الجلسات عن بُعد التي تعدل معايير السلامة مصادقة متعددة العوامل قائمة على الأجهزة مثل FIDO2/WebAuthn حيثما كان ذلك مدعوماً.

مصفوفة تحليل البروتوكولات لاستيعاب مركز SOC للموانئ

البروتوكول	الاستخدام النموذجي في الموانئ	حالة استخدام كشف SOC / محفز التنبيه بالخلل
Profinet / S7	أجهزة PLC لرافعات Siemens، ورافعات ASC	تنبيه عند تغيير حالة وحدة المعالجة المركزية (CPU) (من RUN إلى STOP) أو تحميل منطق جديد
Modbus TCP	نقل السوائل، وعدادات الطاقة	تنبيه عند استخدام رموز الوظائف 05 و06 و16 — عمليات الكتابة
EtherNet/IP (CIP)	محركات رافعات Rockwell/ABB	تنبيه عند تلقي طلبات Forward Open من شبكات فرعية غير محددة لعناوين IP
NMEA 0183 / NMEA 2000	الواجهة البحرية للسفن	تنبيه عند حدوث خلل في فرق المواقع يشير إلى احتمال انتحال نظام الملاحة (GNSS)
IEC 60870-5-104	أتمتة المحطات الفرعية	تنبيه عند إرسال أوامر اختبار أو تحكم غير مصرح بها إلى قواطع التيار

الاستجابة للحوادث والقدرة على الصمود التشغيلي

عند وقوع حادث أمني سيبراني للتقنيات التشغيلية، يجب أن تعطي بروتوكولات الاحتواء الأولوية للسلامة المادية واستمرارية عمليات المرفأ التشغيلية.

مراحل الاستجابة لحوادث التقنيات التشغيلية

المرحلة	الإجراء
المرحلة 1 — تقييم السلامة المبدئي	التحقق من حالة السلامة المادية للمعدات الثقيلة.
المرحلة 2 — العزل	عزل المنطقة المتضررة باستخدام آلية عزل شبكة مهيأة مسبقاً.
المرحلة 3 — التحول في العمليات	الانتقال إلى مناولة الحاويات يدوياً / التسجيل التشغيلي دون اتصال بالإنترنت.
المرحلة 4 — أخذ الصور الجنائية	التقاط محتويات الذاكرة، والمنطق، والبيانات الجنائية ذات الصلة من بيئات محطات EWS وأجهزة PLC المشتبه بها عندما يكون ذلك مناسباً من الناحيتين الفنية والتشغيلية.
المرحلة 5 — إعادة تأسيس الخط المرجعي	استعادة المنطق والتكوينات التي تم التحقق من صحتها من النسخ الاحتياطية غير القابلة للتغيير وغير المتصلة بالإنترنت.

البديل اليدوي الآمن — فقدان الأتمتة

المنطقة التشغيلية	البديل اليدوي
أنظمة الرافعات	الحفاظ على قنوات التحكم اليدوي المحلية من كابينة الرافعة بشكل مستقل عن مدخلات الشبكة الخارجية عن بُعد. وإجراء تدريب دوري على التشغيل اليدوي لسائقي الرافعات.
عمليات البوابات	تأسيس إجراءات تسجيل ورقية أو عبر أجهزة لوحية غير متصلة بالإنترنت لمعالجة دخول الشاحنات لمنع تراكم حركة المرور أثناء انقطاع نظام TOS.
مرافئ السوائل	ضمان إمكانية تشغيل صمامات تنفيس الضغط الميكانيكية وآليات الإغلاق اليدوية دون الاعتماد على الكهرباء أو الشبكة.

أمن سلاسل التوريد وقائمة مواد البرمجيات (SBOM)

تشتمل عمليات شراء المعدات للموانئ على أصول تمتد دورة حياتها لعدة عقود. ولذلك، ينبغي لمشغلي المرافئ دمج متطلبات الأمن السيبراني خلال مرحلة المشتريات.

متطلبات أمن المشتريات

المتطلب	المخرج المتوقع من المورد
المواءمة مع معيار IEC 62443-4-1	دليل على أنه تم تطوير البرمجيات/البرامج الثابتة بموجب دورة حياة تطوير آمنة
تسليم قائمة المواد البرمجية (SBOM)	قائمة SBOM قابلة للقراءة آلياً باستخدام تنسيقات مثل CycloneDX أو SPDX
اتفاقية مستوى الخدمة للثغرات الأمنية (SLA)	التزام تعاقدي بتوفير تصحيحات معتمدة للثغرات الأمنية الحرجة، مع جداول زمنية محددة وتغطية طوال دورة الحياة

إطار عمل أدلة وضمان التدقيق لـ IEC 62443

يجب أن يكون الامتثال مدعوماً بأدلة تشغيلية يمكن التحقق منها.

فئة الأدلة	الوثيقة الرئيسية	تكرار الإنتاج	تحقق المدقق	القصور الشائع
البنية الهيكلية	خريطة المناطق والقنوات، المخططات التفصيلية للشبكة	ربع سنوي / بعد إجراء تغيير	التحقق من تطابق التوصيلات المادية مع المخططات المنطقية؛ وفحص تكوينات قنوات التوصيل للمفاتيح (switch trunk)	مخططات قديمة؛ وإغفال أجهزة مودم LTE للموردين أو المفاتيح غير المحددة
التحكم في الوصول	مصفوفة المستخدمين، سجلات نظام PAM، قواعد جدران الحماية	شهرياً	مطابقة مستخدمي الدليل النشط مع سجلات الموارد البشرية	حسابات متعاقدين غير نشطة تحتفظ بامتيازات عالية
السلامة والنزاهة	المجاميع التدقيقية (checksums) لمنطق PLC، وسجلات القوائم البيضاء	مؤتمت يومياً/أسبوعياً	مقارنة المجموع التدقيقي الفعلي لجهاز PLC مع الخط المرجعي المعتمد	تغييرات غير معتمدة في منطق السلم (ladder-logic) أثناء الصيانة الطارئة
القدرة على الصمود	سجلات النسخ الاحتياطي غير القابل للتغيير، نتائج اختبار التعافي من الكوارث (DR)	نصف سنوي	معاينة عملية استعادة خادم SCADA وتكوينات أجهزة PLC	افتقار النسخ الاحتياطية لبرامج التشغيل المخصصة أو تخزينها على وحدات تخزين شبكية (NAS) متصلة بالشبكة العامة

نموذج نضج الأمن السيبراني للتقنيات التشغيلية في الموانئ — P-CSMM

يتيح نموذج النضج العملي هذا المكون من خمسة مستويات للموانئ تحديد خط أساس وتتبع تقدمها وفقاً لمبادئ معيار IEC 62443.

المستوى	النضج	الوصف
1	مبدئي	أصول غير محددة على الخرائط، شبكات مسطحة، حسابات مشتركة
2	قيد التطوير	وجود جدران حماية أساسية لتكنولوجيا المعلومات؛ قوائم أصول غير رسمية
3	محدد	تحديد المناطق/القنوات وفق IEC 62443-3-2؛ تفعيل نظام إدارة الأمن السيبراني (CSMS) الرسمي
4	مدار	مراقبة مستمرة لاستجابة شبكة التقنيات التشغيلية (NDR)؛ التقاط تلقائي للأدلة
5	محسّن	ضوابط أمنية ديناميكية؛ صيد استباقي للتهديدات

مصفوفة مجالات العمل للمستويات المختلفة

المجال الأمني	المستوى 1 — مبدئي	المستوى 2 — قيد التطوير	المستوى 3 — محدد	المستوى 4 — مدار	المستوى 5 — محسّن
الحوكمة	لا يوجد دور مخصص لأمن التقنيات التشغيلية	فريق تكنولوجيا المعلومات يدير التقنيات التشغيلية بشكل مؤقت وغير منظم	تأسيس نظام إدارة الأمن السيبراني (CSMS) بموجب 2-1؛ وتعيين رئيس تنفيذي لأمن المعلومات للتقنيات التشغيلية (OT CISO)	تقديم لوحة مؤشرات الأداء الرئيسية ومؤشرات المخاطر الرئيسية للإدارة التنفيذية	تحسين وتدقيق مستمر لنظام إدارة الأمن السيبراني (CSMS)
البنية الهيكلية	شبكة مسطحة من الطبقة الثانية (Layer 2)	فصل أساسي عبر شبكات VLAN	فرض المناطق والقنوات من خلال جدران الحماية	تقسيم دقيق للشبكة مع الفحص العميق للحزم (DPI)	بوابات أحادية الاتجاه للمناطق الحرجة
المراقبة	لا يوجد تسجيل سجلات على مستوى التقنيات التشغيلية	سجل أحداث مركزي (syslog)	كشف واستجابة شبكة التقنيات التشغيلية (NDR)؛ وتنبيهات الخلل في البروتوكولات	تكامل نظم SIEM/SOAR وخطط عمل مركز SOC	صيد متقدم للتهديدات واستجابة مؤتمتة
سلسلة التوريد	لا توجد فحوصات أمنية للموردين	صياغة بنود اتفاقية عدم إفشاء (NDA) بشكل مؤقت عند الطلب	معايير مشتريات متوافقة مع معيار IEC 62443	تسليم قائمة SBOM واتفاقيات مستويات الخدمة (SLAs) للتصحيحات	تتبع مستمر لمخاطر الجهات الخارجية

خارطة طريق التطبيق لمدة 24 شهراً

نظرة عامة على خارطة الطريق

الفترة	المرحلة	الهدف الرئيسي
الشهور 0–1	المرحلة 1	الحوكمة، الاكتشاف وتحديد النطاق الحرج
الشهور 1–3	المرحلة 2	تخفيف الثغرات وتأسيس الخطوط المرجعية
الشهور 3–6	المرحلة 3	بنية المناطق والتقسيم
الشهور 6–12	المرحلة 4	نشر ضوابط الوصول وإدارة الوصول المميز (PAM)
الشهور 12–24	المرحلة 5	المراقبة المستمرة والتأكيد الكامل

المرحلة 1 — الحوكمة، الاكتشاف وتحديد النطاق الحرج

الشهور 0–1

النشاط	الإجراء
الحوكمة	تأسيس اللجنة التوجيهية للأمن السيبراني للتقنيات التشغيلية التي تضم سلطة الميناء وإدارة عمليات المرفأ والهندسة
اكتشاف الأصول	نشر مستشعرات الاكتشاف السلبي لبناء جرد أصول التقنيات التشغيلية
تقييم المخاطر	تحديد مدى قبول المخاطر وإجراء تقييم أولي رفيع المستوى للمخاطر وفق IEC 62443-3-2
مكسب سريع	تحديد وفصل اتصالات التقنيات التشغيلية المباشرة بالإنترنت وأجهزة المودم غير المصرح بها

المرحلة 2 — تخفيف الثغرات وتأسيس الخطوط المرجعية

الشهور 1–3

إلغاء بيانات الاعتماد الإدارية المشتركة على واجهات HMI ومحطات EWS وأجهزة القفز.
تطبيق بروتوكولات صارمة لفحص وسائط التخزين لأجهزة USB التي يستخدمها موظفو الصيانة.
إنشاء نسخ احتياطية غير قابلة للتغيير وغير متصلة بالإنترنت لمنطق السلم لأجهزة PLC/RTU وقواعد بيانات SCADA وتكوينات TOS.
نشر القوائم البيضاء للتطبيقات على محطات العمل المناسبة العاملة بنظام تشغيل Windows في المستويين 2 و3.

المرحلة 3 — بنية المناطق والتقسيم

الشهور 3–6

تصميم البنية الهيكلية للمناطق والقنوات بناءً على التقييم التفصيلي للمخاطر وفق معيار IEC 62443-3-2.
نشر بنية المنطقة الصناعية منزوعة السلاح / المستوى 3.5 حيثما كان ذلك مناسباً.
نقل الخدمات المشتركة مثل واجهات TOS والمؤرخين والبنية التحتية للتصحيحات إلى مناطق خاضعة للرقابة.
تكوين جدران حماية صناعية من الطبقة السابعة بين المناطق التشغيلية.
تطبيق ضوابط أساسية للوصول عن بُعد من خلال نظام PAM مركزي.

المرحلة 4 — ضوابط الوصول وإدارة PAM

الشهور 6–12

إطلاق مصادقة WPA3-Enterprise / 802.1X لمعدات مناولة الحاويات اللاسلكية المناسبة.
دمج نظام PAM مع المصادقة متعددة العوامل (MFA) لوصول مهندسي الصيانة التابعين لجهات خارجية.
نشر مستشعرات كشف واستجابة شبكة التقنيات التشغيلية (NDR) السلبية عبر القنوات الحيوية.
إجراء تمارين محاكاة للبديل اليدوي الآمن لسيناريوهات فقدان الأتمتة.

المرحلة 5 — المراقبة المستمرة والتأكيد الكامل

الشهور 12–24

دمج تنبيهات NDR للتقنيات التشغيلية بشكل كامل في مركز SOC/SIEM المركزي.
تأسيس عمليات مؤتمتة لإنشاء أدلة الامتثال.
اشتراط قوائم SBOM وضمانات الموردين المناسبة بموجب IEC 62443 لعمليات شراء المعدات الجديدة.
إجراء اختبارات أمنية خاضعة للرقابة وتقييم مستقل يتناسب مع ملف مخاطر المرفأ.

مؤشرات الأداء الرئيسية (KPIs) التشغيلية ولوحة مؤشرات المخاطر التنفيذية (KRIs)

تضمن المقاييس الرئيسية بقاء وضع الأمن السيبراني قابلاً للقياس الكمي لفرق الهندسة والقيادة التنفيذية.

مؤشرات الأداء الرئيسية للهندسة (KPIs)

مؤشر الأداء الرئيسي	المستهدف
نسبة رؤية أصول التقنيات التشغيلية	رسم خرائط بنسبة 100% لمنطقة وقناة محددة
معدل سلامة النسخ الاحتياطي لأجهزة PLC	نجاح بنسبة 100% في التحقق التلقائي من تجزئة النسخ الاحتياطي (backup-hash) أسبوعياً
التغييرات غير المصرح بها المكتشفة	0 تغيير غير معتمد في منطق السلم أو المعايير شهرياً
متوسط وقت الكشف (MTTD) عن خلل التقنيات التشغيلية	< 5 دقائق

لوحة مؤشرات المخاطر التنفيذية

المقياس	الحالة الحالية	الحالة المستهدفة	الوضع الحالي
ثغرات التقنيات التشغيلية عالية القابلية للاستغلال	4 أنظمة	0 نظام	مطلوب إجراء فوري
نسبة الأنظمة القديمة / غير المدعومة	12%	< 5%	قيد التنفيذ
نقاط الوصول عن بُعد غير الخاضعة للرقابة	0	0	متوافق
الامتثال لاتفاقيات مستوى الخدمة للموردين الحرجين	94%	100%	مطلوب اهتمام
وقت استعادة النسخ الاحتياطي في حالات الطوارئ	42 دقيقة	< 60 دقيقة	متوافق

أنماط الفشل الشائعة في الأمن السيبراني للتقنيات التشغيلية للموانئ

#	نمط الفشل
1	نسخ سياسات تكنولوجيا المعلومات بشكل أعمى وتطبيقها على التقنيات التشغيلية، مثل فرض إعادة تعيين كلمة المرور كل 30 يوماً بشكل إجباري دون مراعاة القيود التشغيلية
2	شبكات تشغيلية مسطحة وافتراض وجود "عزل مادي" بينما هو غير موجود فعلياً
3	التعامل مع قوائم جرد الأصول كجداول بيانات ثابتة يتم إعدادها لمرة واحدة
4	نشر برامج فحص الثغرات النشطة ضد أجهزة PLC القديمة دون وجود ضمانات هندسية مناسبة
5	السماح بتركيب أجهزة مودم خلوية تابعة لموردين خارجيين دون رقابة لتقديم الدعم عن بُعد

الأساليب التصحيحية الاستراتيجية

بدلاً من	طبق
الفحص النشط للتقنيات التشغيلية الحساسة	مراقبة الشبكة بشكل سلبي وخارج النطاق باستخدام مستشعرات/نقاط وصول (TAPs) مناسبة لاكتشاف الأصول والثغرات الأمنية دون التأثير على توافر التقنيات التشغيلية
الضمانات الرقمية البحتة	التشابكات المادية والميكانيكية للأنظمة الحساسة للسلامة بحيث لا يمكن لجهاز PLC المخترق أن يتسبب مباشرة في نتائج مادية غير مقبولة
القوائم وجداول البيانات الثابتة	اكتشاف الأصول بشكل مستمر وتلقائي متكامل مع نظام إدارة تكوين قاعدة البيانات (CMDB) للميناء أو نظام إدارة الأصول المكافئ

دراسة حالة عملية لميناء — "ميناء أيبكس"

ملاحظة: دراسة الحالة التالية واقعية ولكنها خيالية بالكامل.

بنية البيئة التشغيلية

يدير "ميناء أيبكس":

8 رافعات من رصيف الميناء إلى السفينة (STS)
24 رافعة تستيف مؤتمتة (ASC)
مجمع بوابات مؤتمت يعالج حوالي 5000 شاحنة يومياً
نظام تشغيل مرافئ Navis N4 متكامل

سيناريو الحادث

اتصل كمبيوتر محمول خاص بأحد المهندسين التابعين للمورد، وكان مصاباً ببرمجية خبيثة، برافعة STS من خلال مفتاح شبكة محلي في الكابينة.

حاولت البرمجية الخبيثة مسح الشبكة من خلال بث بروتوكول Modbus الصناعي، مما تسبب في قفل شاشات HMI المحلية ودخول محركات سلامة الرافعات في حالات تعطل، مما أدى إلى توقف عمليات الرصيف.

العلاج والمخطط التوجيهي وفق IEC 62443

مجال الضبط	التطبيق
التقسيم والمناطق — 3-2	قسّم ميناء أيبكس المرفأ إلى ست مناطق منفصلة. وتم نشر جدران حماية صناعية ذات فحص عميق للحزم (DPI) عند قنوات الرافعات، لتقييد حركة المرور على اتصالات TOS-to-PLC المصرح بها فقط.
التحكم في الوصول — 3-3 FR 1/FR 2	تم إلغاء التوصيلات المباشرة لأجهزة المحمول. وصار مهندسو الصيانة يوثقون هويتهم عبر بوابة PAM محصنة مع تسجيل الجلسات بالكامل.
السلامة والنزاهة — 3-3 FR 3	تم نشر القوائم البيضاء للتطبيقات عبر واجهات HMI وتطبيق مدقق تلقائي للخط المرجعي لمنطق PLC.
النتيجة المحققة	أظهر ميناء أيبكس مستوى أمان محققاً من الدرجة الثالثة (SL-A 3) لمناطق الرافعات والبوابات الحيوية، واجتاز تدقيقاً مستقلاً لمعيار IEC 62443، ومنع الحركة الجانبية للتهديدات خلال عمليات محاكاة التهديدات اللاحقة.

قائمة مرجعية شاملة لتقييم الموانئ وفق IEC 62443

تدعم هذه القائمة المرجعية عمليات التدقيق الأمني الرسمية وتحليلات الثغرات الداخلية عبر بيئات التقنيات التشغيلية للموانئ.

المجال	سؤال التقييم	المواءمة مع IEC 62443	الأدلة المطلوبة	الحالة (ناجح/راسب/لا ينطبق)	مستوى المخاطر	الإجراء الموصى به
الحوكمة	هل يوجد نظام رسمي موثق ومصادق عليه لإدارة الأمن السيبراني (CSMS) من قبل الإدارة التنفيذية للميناء؟	2-1 البند 4.2	سياسة نظام إدارة الأمن السيبراني (CSMS)، محاضر الموافقة التنفيذية	—	مرتفع	صياغة وإقرار إطار عمل CSMS يتماشى مع مخاطر الأعمال
اكتشاف الأصول	هل يوجد جرد مؤتمت ومحدث باستمرار يغطي أصول التقنيات التشغيلية المتصلة؟	2-1 البند 4.3.3	مخرجات نظام CMDB، الخط المرجعي لأصول NDR السلبية	—	حرج	نشر مستشعرات سلبية لمراقبة شبكة التقنيات التشغيلية
البنية الهيكلية	هل تم تقسيم شبكات التقنيات التشغيلية إلى مناطق وقنوات تفصل بينها جدران حماية مناسبة؟	3-2 البند 5.3	مخططات الشبكة، قواعد جدران الحماية	—	حرج	تطبيق تجزئة تفصل بين مستويات التقنيات التشغيلية المناسبة
الوصول عن بُعد	هل يتم توجيه كل وصول خارجي للجهات الخارجية عبر جهاز قفز PAM مركزي مع تفعيل المصادقة متعددة العوامل (MFA)؟	2-4 SP.03 / 3-3 FR 1.1	تكوين نظام PAM، سجلات المصادقة متعددة العوامل	—	حرج	تعطيل شبكات VPN/أجهزة المودم المباشرة؛ وفرض وصول آمن ومراقب عن بُعد
ضوابط الاستخدام	هل تتطلب الإجراءات الإدارية على محطات EWS وواجهات HMI حسابات فردية ومسماة؟	3-3 FR 1.2 / FR 2.1	مخرجات AD/GPO، سجلات نظام PAM	—	مرتفع	إلغاء بيانات الاعتماد المشتركة؛ وتطبيق نظام RBAC
سلامة النظام	هل تتم مراقبة المجاميع التدقيقية (checksums) لمنطق السلم لأجهزة PLC/RTU لكشف أي تغييرات غير مصرح بها؟	3-3 FR 3.1	سجلات مقارنة الخط المرجعي	—	مرتفع	تطبيق تتبع التكوينات لوحدات التحكم الميدانية
تدفق البيانات	هل يتم فحص حركة مرور البروتوكولات الصناعية عبر القنوات بشكل مناسب؟	3-3 FR 5.1	تصدير سياسة الفحص العميق للحزم (DPI)، سجلات مراجعة القواعد	—	مرتفع	تفعيل الفحص المناسب للبروتوكولات
القدرة على الصمود	هل يتم الاحتفاظ بنسخ احتياطية غير متصلة بالإنترنت وغير قابلة للتغيير ومجرّبة لقواعد بيانات SCADA ومنطق أجهزة PLC؟	2-1 البند 4.4.3 / 3-3 FR 7.3	قيم التجزئة للنسخ الاحتياطي، اعتماد اختبار التعافي من الكوارث (DR)	—	حرج	وضع جداول زمنية للنسخ الاحتياطي غير المتصل بالإنترنت واختبار الاستعادة
سلسلة التوريد	هل تتطلب عقود الشراء التزامات مناسبة بشأن قوائم SBOM وإدارة التصحيحات؟	2-4 / 4-1	نصوص العقود، اتفاقيات مستوى الخدمة (SLAs) للموردين	—	متوسط	تحديث شروط وأحكام الشراء والمشتريات

بطاقة قياس الجاهزية النهائية

لتحديد الجاهزية الإجمالية للأمن السيبراني لميناء أو مرفأ بحري، طبق نموذج الاحتساب الموزون استناداً إلى نتائج القائمة المرجعية للتقييم الشامل.

درجة الجاهزية

درجة الجاهزية (%) = (إجمالي نقاط الضبط الناجحة ÷ إجمالي نقاط الضبط المعمول بها) × 100

تفسير نتائج بطاقة قياس الجاهزية

نطاق الدرجات	مستوى النضج	حالة الامتثال	الضمان التشغيلي
85–100%	المستوى 4 / 5	متوافق تماماً	قدرة عالية على الصمود / قابل للتدقيق
70–84%	المستوى 3	مجتاز بدرجة كبيرة	مخاطر متوسطة / ثغرات مستهدفة
50–69%	المستوى 2	غير متوافق	انكشاف تشغيلي مرتفع
0–49%	المستوى 1	فشل حرج	خطر شديد بحدوث توقف/أضرار

الحدود الدنيا للإجراءات المطلوبة

المحفز	الإجراء المطلوب
فشل أي ضابط من ضوابط المخاطر الحرجة	تجاوز النتيجة الإجمالية وتغيير الحالة إلى "غير متوافق" والبدء فوراً في خطة علاجية عاجلة
الدرجة أقل من 70%	إرسال إشعار للإدارة التنفيذية وتسريع وتيرة العلاج للأنشطة ذات الأولوية في خارطة الطريق

يتطلب تأمين الموانئ والمرافئ البحرية الحديثة ضد التهديدات السيبرانية التشغيلية التحول من نماذج أمن تكنولوجيا المعلومات التقليدية للمؤسسات إلى إطار عمل هندسي مخصص للتقنيات التشغيلية.

توفر سلسلة معايير IEC 62443 هيكلاً منهجياً لتأسيس مناطق دفاعية، والتحكم في القنوات، وفرض ضوابط الوصول، ومراقبة الشبكات الصناعية، والحفاظ على القدرة على الصمود التشغيلي.

من خلال تطبيق المخطط التوجيهي المفصل في هذه الورقة البيضاء - رسم خرائط الأصول الحيوية، وتحديد مستويات الأمان المستهدفة، ونشر ضوابط الدفاع متعدد الطبقات، والاحتفاظ بأدلة قابلة للتحقق - يمكن لسلطات الموانئ ومشغلي المرافئ تعزيز المرونة السيبرانية مع حماية السلامة المادية واستمرارية العمليات البحرية.

لا ينبغي أن يكون الهدف هو تحقيق الامتثال من خلال منتجات أمنية معزولة. إن الميناء المرن يتطلب بنية أمنية متكاملة تشمل:

الأفراد + العمليات + الأمن المادي + أمن المعلومات + الأمن السيبراني + سلسلة التوريد + الحوكمة + التأكيد

احجز جلسة إحاطة مجانية حول معيار IEC 62443 لمينائك هنا.

المراجع

اللجنة الكهرتقنية الدولية (IEC)، سلسلة معايير IEC 62443 — شبكات الاتصالات الصناعية — أمن الشبكات والأنظمة.
IEC 62443-2-1:2024 — متطلبات برنامج الأمن لمالكي أصول نظم الأتمتة والتحكم الصناعي (IACS).
IEC 62443-2-4:2023 — متطلبات برنامج الأمن لمقدمي خدمات نظم الأتمتة والتحكم الصناعي (IACS).
IEC 62443-3-2:2020 — تقييم المخاطر الأمنية لتصميم الأنظمة.
IEC 62443-3-3:2013 — متطلبات أمن الأنظمة ومستويات الأمان.
IEC 62443-4-1:2018 — متطلبات دورة حياة تطوير المنتجات الآمنة.
IEC 62443-4-2:2019 — متطلبات الأمن الفني لمكونات نظم الأتمتة والتحكم الصناعي (IACS).
المنظمة البحرية الدولية (IMO)، القرار MSC.428(98) — إدارة مخاطر الأمن السيبراني البحري في نظم إدارة السلامة.
IMO, MSC-FAL.1/Circ.3/Rev.3 — مبادئ توجيهية بشأن إدارة مخاطر الأمن السيبراني البحري.
الرابطة الدولية للموانئ والمرافئ (IAPH)، إرشادات الأمن السيبراني للموانئ والمرافق المرفئية الصادرة عن IAPH.
وكالة الاتحاد الأوروبي للأمن السيبراني (ENISA)، الأمن السيبراني للموانئ — الممارسات الجيدة للأمن السيبراني في الموانئ البحرية.
وكالة أمن البنية التحتية والأمن السيبراني (CISA)، أهداف الأداء المشتركة للأمن السيبراني بين القطاعات (CPGs) وإرشادات نظام النقل البحري.
خفر السواحل الأمريكي (USCG)، المنشور الدوري لتوجيهات الملاحة وتفتيش السفن (NVIC) 01-20 — إرشادات لمعالجة المخاطر السيبرانية في المرافق الخاضعة لقانون أمن النقل البحري (MTSA).
الاتحاد الأوروبي، التوجيه (EU) 2022/2555 — توجيه NIS2.
أدلة العلاج والإصلاح من Shieldworkz
دليل العمل التنظيمي من Shieldworkz