في مكان ما داخل منشأتك الصناعية، يوجد جهاز يعمل بنظام التشغيل Windows XP أو Windows 7 لا يرغب أحد في المساس به. يقوم هذا الجهاز بتشغيل واجهة مستخدم رسومية (HMI)، أو عميل لسجل البيانات التاريخية (historian client)، أو محطة برمجة لأجهزة التحكم المنطقي القابلة للبرمجة (PLC)، أو جهاز مخبري، أو وحدة تحكم رقمية بالكمبيوتر (CNC)، وهو يؤدي نفس الوظيفة منذ ما قبل تولي مدير المصنع الحالي مهامه. يدرك الجميع تماماً ضرورة إحالته إلى التقاعد، ولكن الجميع يعلم أيضاً التبعات الكارثية على خط الإنتاج إذا توقف عن العمل.

أوقفت مايكروسوفت إرسال التحديثات الأمنية لنظام XP في أبريل 2014، ولنظام Windows 7 في يناير 2020. وانتهت التحديثات الأمنية الموسعة (ESU) مدفوعة الأجر لنظام Windows 7 في يناير 2023. ورغم ذلك، لم تختفِ هذه الأجهزة. وما طرأ خلال الاثني عشر شهراً الماضية هو تفاقم حجم المشكلة المحيطة بها: فقد انتهى الدعم الأساسي لنظام Windows 10، وتصل إصدارات أخرى من Windows إلى نهاية فترات دعمها هذا الشهر، وباتت الجهات التنظيمية تُدرج بنود إنهاء الدعم ضمن اللوائح والتشريعات الملزمة، في حين تشن عصابات برامج الفدية هجمات متزايدة وغير مسبوقة على الشركات الصناعية.

كُتب هذا الدليل لمديري أمن المعلومات (CISOs)، وقادة أمن التقنيات التشغيلية (OT)، ومديري الهندسة في المصانع الذين تكررت على مسامعهم عبارة "قم بالترقية فقط" ويعلمون جيداً أسباب تعذّر تطبيق ذلك بهذه البساطة. يغطي هذا الدليل أبرز المستجدات لعام 2026، والآلية الفعلية لاستغلال أنظمة Windows القديمة في المنشآت الصناعية، ومجموعة عملية من الضوابط الأمنية التي يمكنك تطبيقها دون المساس بمنطق التحكم أو إيقاف عمليات الإنتاج.

النقاط الجوهرية

• لا تُعد أنظمة Windows القديمة مشكلة هامشية؛ ففي استبيان أُجري عام 2026 وشمل 550 من صناع القرار في قطاع التقنيات التشغيلية في أوروبا، أفاد ستة من كل عشرة بأن أنظمة Windows القديمة تشكل نصف بيئتهم التشغيلية على الأقل، وأكد 51% منهم تعرضهم لحادث أمني يتعلق بهذه الأنظمة خلال الاثني عشر شهراً الماضية (مقارنة بـ 43% في العام السابق). ونظراً لأن هذا الاستبيان أعدته جهة مزودة للحلول، فينبغي الاستئناس بنتائجه كمؤشرات عامة لاتجاهات السوق.

• إن شريحة الأنظمة "القديمة" آخذة في الاتساع؛ حيث انتهى دعم Windows 10 في 14 أكتوبر 2025، وفي 13 أكتوبر 2026 بلغت كل من أنظمة Windows 10 Enterprise LTSB 2016، وWindows 10 IoT Enterprise LTSB 2016، والعام الأخير من برنامج التحديثات الأمنية الموسعة (ESU) لنظامي Windows Server 2012/2012 R2 الحد النهائي لفترات دعمها.

• لا يمكنك الاعتماد على التحديثات الأمنية كحل جذري، ولكن يمكنك الوصول إلى مستوى مقبول من المخاطر عبر آليات الاحتواء والتقييد والمراقبة الدقيقة. الهدف هو تطبيق مجموعة موثقة من الضوابط التعويضية، وليس الوصول إلى نظام تشغيل مثالي.

• تتمثل أكثر الاستثمارات فعالية عادةً في الإجراءات الأساسية المعتادة: الجرد الدقيق للأصول، وتقسيم الشبكات بإحكام، وتأمين مسارات الوصول عن بُعد بالكامل، واعتماد القوائم البيضاء للتطبيقات المصرح بها (Application Allowlisting)، واختبار صور النسخ الاحتياطي للاسترداد دورياً.

• يتزايد طلب مدققي الحسابات وشركات التأمين والجهات التنظيمية للأدلة والبراهين على تطبيق هذه الضوابط؛ ولم يعد الرد بـ "نحن على علم بالأمر وهو مدرج ضمن خطة العمل" كافياً على الإطلاق.

أسباب استمرار تشغيل هذه الأجهزة (ولماذا يُعد ذلك قراراً مبرراً)

من السهل إلقاء اللوم على الإهمال، ولكن استمرار هذه الأجهزة في معظم المنشآت يمثل استجابة منطقية ومبررة للقيود التشغيلية المفروضة. يُوضح الاستبيان ذاته لعام 2026 أبرز العوائق التي تحول دون استبدال الأنظمة: التوافق مع المعدات القديمة (54%)، والتكلفة المادية (38%، مقارنة بـ 45% في عام 2025)، ومخاطر توقف العمليات الإنتاجية (35%)، وغياب الدعم من الشركات المصنعة للأنظمة الأحدث (21%).

ويتجسد ذلك على أرض الواقع في النقاط التالية:

• البرمجيات المعتمدة والمطابقة للمواصفات: تعتمد جهات تصنيع أنظمة SCADA أو HMI بنية محددة لنظام التشغيل؛ وأي تعديل عليها يبطل الدعم الفني، وقد يفرض متطلبات إعادة التحقق من الامتثال وإعادة المصادقة في القطاعات الخاضعة للتنظيم الصارم (مثل الصناعات الدوائية، والأغذية، والأجهزة الطبية).

• برامج التشغيل والعتاد الصلب: تفتقر بطاقات PCI أو الواجهات التسلسلية لوحدات التحكم في المحركات المصنعة منذ 20 عاماً إلى برامج تشغيل تدعم أي أنظمة أحدث. كما أن الحواسيب الصناعية الحديثة غالباً ما تأتي دون برامج تشغيل تدعم أنظمة XP أو حتى Windows 7.

• دورات حياة الآلات والمعدات: يجري شراء خطوط التعبئة والتغليف أو وحدات التحكم في التوربينات لتعمل لمدة تصل إلى 25 عاماً، في حين كان الحاسوب المدمج داخلها مجرد بند فرعي محدود القيمة عند الشراء في عام 2005.

• غياب فترات التوقف المتاحة للصيانة: تعمل بعض العمليات الصناعية باستمرار لشهور دون انقطاع، بينما تخضع عمليات أخرى لفترة إيقاف سنوية واحدة للصيانة، وتكون قائمة الأعمال المتراكمة خلالها مزدحمة للغاية.

لذا، فإن صياغة المشكلة بواقعية لا تكون بطرح السؤال: "لماذا لم تتم الترقية حتى الآن؟" بل: "كيف نجعل مخاطر الإبقاء عليها مقبولة وضمن الحدود الآمنة ريثما تنضج خطة الإحلال والاستبدال؟"

آخر التطورات والمستجدات (حتى 28 أكتوبر 2026)

1. انضمام نظام Windows 10 إلى قائمة الأنظمة غير المدعومة

انتهى الدعم الرسمي لإصدار Windows 10 22H2 في 14 أكتوبر 2025. وأتاحت مايكروسوفت لاحقاً برنامج التحديثات الأمنية الموسعة (ESU) المدفوع للشركات بتكلفة 61 دولاراً للجهاز الواحد في العام الأول، لتتضاعف إلى 122 دولاراً في العام الثاني، ثم 244 دولاراً في العام الثالث، مع استمرار البرنامج التجاري حتى 10 أكتوبر 2028. تجدر الإشارة إلى أن التغطية تُحسب بأثر تراكمي: فإذا اشتركت في العام الثاني، يتعين عليك دفع رسوم العام الأول أيضاً. في المقابل، تم تمديد برنامج ESU للمستهلكين حتى 12 أكتوبر 2027. بالنسبة لمنشأة صناعية تضم مئات من واجهات التحكم (HMI) التي تعمل بنظام Windows 10، سرعان ما تتصاعد هذه التكاليف بصورة حادة، مؤكدةً أن برنامج ESU ما هو إلا حل مؤقت وليس وجهة نهائية.

2. 13 أكتوبر 2026: محطة مفصلية لمواعيد إنهاء الدعم

قبل أسبوعين، وصل كل من نظامي Windows 10 Enterprise LTSB 2016 وWindows 10 IoT Enterprise LTSB 2016 إلى نهاية فترة الدعم، مع توفير برنامج ESU مدفوع لمدة تصل إلى ثلاث سنوات إضافية. كما انتهت في اليوم ذاته السنة الثالثة والأخيرة لبرنامج ESU لنظامي Windows Server 2012 و2012 R2، وتشير التقارير إلى عدم وجود سنة رابعة متاحة للشراء. وسيلحق بهما نظام Windows Server 2016 في 12 يناير 2027. إذا كنت تدير خوادم المؤرخات (Historians)، أو خوادم OPC، أو وحدات التحكم في النطاق (Domain Controllers)، أو خوادم الدفعات التشغيلية (Batch Servers) على نظامي 2012 R2 أو 2016، فإن هذه التواريخ تكتسب أهمية بالغة تفوق أهمية تواريخ أنظمة الحواسيب المكتبية. يُرجى مراجعة شروط برنامج ESU الدقيقة الخاصة برمز المنتج (SKU) لديك مع مايكروسوفت أو الشركة المصنعة للمعدات الأصلية (OEM)، نظراً لاتباع تراخيص IoT لمسار تسعير مختلف.

3. وضع جدول زمني محدد للأجهزة المنتهية الدعم من قبل وكالة CISA

في 5 فبراير 2026، أصدرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) التوجيه التشغيلي الإلزامي رقم 26-02، والذي يفرض على الوكالات المدنية الفيدرالية الأمريكية جرد واستبدال الأجهزة الطرفية للشبكة (Edge Devices) التي انتهت فترة دعمها: ويتضمن ذلك تقديم تقرير بحلول 5 مايو 2026، وإخراج الأجهزة المدرجة من الخدمة بحلول فبراير 2027، واستبدال الأجهزة المتبقية بحلول أغسطس 2027. كما شجعت CISA على تبني معيار OpenEoX لتمكين الشركات المصنعة من نشر تواريخ انتهاء الدعم بصيغة قابلة للقراءة آلياً.

يجب التدقيق جيداً في نطاق التوجيه: فهو يقتصر على الوكالات الفيدرالية والأجهزة الطرفية، ولا يشمل واجهات HMI في المصانع بصورة مباشرة. غير أنه يُعد مؤشراً ذا دلالة واضحة؛ فعندما تلزم الوكالة السيبرانية الرائدة في الولايات المتحدة القطاع الحكومي بالتعامل مع التقنيات غير المدعومة بوصفها خطراً غير مقبول، سرعان ما تنعكس هذه المعايير في البنود التعاقدية، واستبيانات شركات التأمين، والمتطلبات التنظيمية لمختلف القطاعات الصناعية.

4. تصاعد مستمر في الأنشطة والتهديدات السيبرانية ضد المؤسسات الصناعية

رصد تقرير الأمن السيبراني للتقنيات التشغيلية وأنظمة التحكم الصناعي (OT/ICS) لعام 2026 (الصادر في 17 فبراير 2026) استهداف نحو 3,300 مؤسسة صناعية بهجمات برامج الفدية في عام 2025، نفذتها 119 مجموعة قرصنة، مقارنة بـ 80 مجموعة في العام السابق؛ واستحوذ قطاع التصنيع على أكثر من ثلثي الضحايا. كما كشف التقرير عن تطور أسلوب المهاجمين من مجرد التمركز المسبق في الشبكات إلى تخطيط ودراسة حلقات التحكم (Control Loops)، مما يشير إلى اكتسابهم قدرات تمكنهم من التأثير المباشر في العمليات والأنظمة المادية. وتشير إحصائية مستقلة مستندة إلى بيانات Dragos الربع سنوية إلى تسجيل نحو 2,160 حادثة فدية صناعية في النصف الأول من عام 2026، بزيادة قدرها 58% مقارنة بالفترة ذاتها من العام السابق.

وثمة جانب دقيق يستوجب انتباه مديري أمن المعلومات: حيث لم ترصد شركة Dragos أي حالة لقيام مشغلي برامج الفدية بالتلاعب المباشر بنظام تحكم في الربع الثاني من عام 2026. وتتوقف المصانع عن العمل في الغالب نتيجة تعطل الخوادم، وبيئات المحاكاة الافتراضية، وأنظمة الأعمال الإدارية المرتبطة بها. ومن هنا تكمن خطورة أنظمة Windows القديمة في اتجاهين: كونها نقطة انطلاق وتمركز للمهاجمين، وعنصراً تشغيلياً هشاً يتعذر إعادة بنائه وتثبيته بسرعة عند تعرض البنية التحتية لتقنية المعلومات المحيطة به للتشفير.

5. استبيان أنظمة التقنيات التشغيلية القديمة لعام 2026: تزايد الحوادث وانحسار أدوات حماية النقاط الطرفية

أظهر استبيان أجرته Networks لعام 2026 وشمل 550 من كبار صناع القرار في فرنسا، وألمانيا، وإيطاليا، وبولندا، والسويد، والمملكة المتحدة، وصول معدلات الحوادث الأمنية إلى 72% في السويد، و68% في بولندا، و64% في المملكة المتحدة، و70% في كل من قطاعي الأغذية والمشروبات وتصنيع أشباه الموصلات. وتصدرت المخاوف الرئيسة: البرمجيات الخبيثة (56%)، والدخول غير المصرح به (38%)، وبرامج الفدية (37%)، وغياب التحديثات الأمنية (33%). وبرزت نقطتان مهمتان: تراجع استخدام حلول حماية النقاط الطرفية من 51% إلى 39%، ويعزى ذلك غالباً لتعارض وكلاء البرمجيات (Agents) التقليديين لتقنية المعلومات مع تطبيقات OT. كما يرى 55% من المشاركين الآن أن تكلفة حماية الأنظمة القديمة أقل من تكلفة استبدالها. ولا يعني ذلك أن الاستبدال إجراء غير صحيح، بل يؤكد أن حماية الأنظمة القائمة باتت الحل الانتقالي المعتمد عملياً.

6. 11-12 أكتوبر: الهجمات السيبرانية على منظومات تبريد المتاجر الفرنسية

خلال ليلتي 11 و12 أكتوبر 2026، استهدف مهاجمون عن بُعد وحدات التحكم في أنظمة التبريد في مئات المتاجر الفرنسية، مما أجبر المنظومات على تشغيل دورات إذابة الجليد وتسبب في تلف الأغذية واشتعال حرائق في بعض المتاجر. وأشارت التقارير في البداية إلى استهداف وحدات تحكم Danfoss، تلتها موجة ثانية في الليلة التالية طالت معدات Dixell التابعة لشركة Copeland. وقد وصفت السلطات الفرنسية الحادثة بأنها سابقة غير معهودة، في حين لم تُعلن وسيلة الاختراق رسمياً وقت إعداد هذا التقرير. وأعلنت الهيئة الوطنية للأمن السيبراني في اليونان في 14 أكتوبر عن اكتشاف أكثر من 300 نظام متصل بالإنترنت ومكشوف في أراضيها.

وعلى الرغم من أن هذه الواقعة لا ترتبط، وفق التقارير المتاحة، بنظام Windows XP، إلا أنها تكتسب أهمية بالغة؛ إذ توضح السرعة الفائقة لتحرك المهاجمين بمجرد النفاذ إلى معدات تحكم مكشوفة وقابلة للوصول عن بُعد، وكيف يمكن لمسار إدارة واحد عن بُعد تابع للشركة المصنعة (OEM) أن يتحول إلى نافذة لحادث أمني يمتد ليشمل عدة مواقع ومنشآت متزامنة.

الآليات الفعلية لاستغلال ثغرات أنظمة Windows القديمة في المنشآت

لا تسهم النصائح العامة من قبيل "أنظمة XP غير آمنة" في مساعدة مدير أمن المعلومات على تحديد الأولويات وإدارتها بفعالية. فيما يلي مسارات الهجوم الواقعية، مرتبة وفق وتيرة ظهورها في التحقيقات الميدانية لحوادث التقنيات التشغيلية:

1. التسلل عبر بيئة تقنية المعلومات (IT Pivot): تشير أبحاث معهد SANS، والمستشهد بها من قبل ESET، إلى أن ما يقارب 60% من هجمات التقنيات التشغيلية يُعتقد أنها تنطلق من شبكة تقنية المعلومات المؤسسية. حيث يسيطر المهاجمون على حاسوب محمول مكتبي، ويسرقون بيانات الاعتماد، ثم يتسللون نحو أي جهاز يمكن الوصول إليه، بما في ذلك أجهزة Windows القديمة التي تقبل بروتوكولات SMB أو RDP من شبكة الأعمال.

2. الثغرات الشبكية سريعة الانتشار (Wormable) التي لن تُعالج أبداً: أثبتت ثغرة EternalBlue (ثغرة بروتوكول SMBv1 وراء هجوم WannaCry في مايو 2017) وثغرة BlueKeep (الخاصة ببروتوكول RDP، ذات المعرف CVE-2019-0708) كيف يؤدي تصميم الشبكات المسطحة (Flat Networks) إلى تحويل جهاز Windows واحد غير محدث إلى مئات الأجهزة المصابة. ولن يحصل نظاما XP وWindows 7 على أي معالجات أمنية للثغرات المماثلة القادمة.

3. الحواسيب المحمولة للموردين ووسائط التخزين (USB): تتنقل الحواسيب المحمولة المخصصة للهندسة ووسائط التخزين القابلة للإزالة بين مختلف المناطق الأمنية باستمرار؛ ويكفي توصيل حاسوب محمول مصاب بمحول شبكة OT مسطح لاختراق وتجاوز كافة ضوابط الحماية المحيطية.

4. الوصول عن بُعد: لا تزال شبكات VPN الخاصة بالموردين المفتوحة باستمرار، وأدوات سطح المكتب البعيد النشطة دوماً، وبيانات الاعتماد المشتركة تمثل المسار الأكثر شيوعاً للنفاذ من الإنترنت إلى شبكة التحكم.

5. الأجهزة القديمة المرتبطة بنطاق العمل (Domain-Joined): يمثل أي جهاز قديم غير محدث مرتبط بـ Active Directory المؤسسي جسراً سهلاً لسرقة بيانات الاعتماد والتحرك الجانبي (Lateral Movement) عبر الشبكة.

6. التطبيقات غير المدعومة التي تعمل فوق نظام التشغيل: تشتمل المتصفحات القديمة، وحزم Office، ومنصات Java، وقارئات ملفات PDF، ومكتبات وقت التشغيل على ثغرات أمنية خاصة بها لا تتلقى أي تحديثات، ويعمل العديد منها مباشرة على واجهات HMI ذاتها.

القاعدة الذهبية: تعامل مع كل جهاز Windows غير مدعوم كما لو كان مخترقاً بالفعل من منظور الشبكة. واحرص على تصميم الضوابط الأمنية بحيث تضمن احتواء الأضرار داخل منطقة معزولة ومحدودة النطاق في حال تعرضه للإصابة في أي وقت.

دليل عملي لتأمين أنظمة Windows 7 وXP في البيئات التشغيلية

رُتبت الضوابط الأمنية الموضحة أدناه وفقاً لأعلى مردود أمني مقابل الجهد المبذول؛ ويمكن تطبيق معظمها دون الحاجة لإجراء تعديلات على الجهاز القديم أو على تطبيق التحكم المعني.

الخطوة 1: إجراء جرد شامل ودقيق للأصول

لا يمكنك حماية ما لا تستطيع رؤيته. احرص على تسجيل البيانات التالية لكل جهاز قديم: نظام التشغيل وحزمة التحديثات (Service Pack)، والدور الوظيفي، والعملية أو خط الإنتاج الذي يدعمه، والشركة المصنعة وحالة الدعم، واتصالات الشبكة (الجهات المصرح لها بالاتصال به والمنافذ المستخدمة)، والبرمجيات المثبتة، ومستوى استخدام وسائط التخزين القابلة للإزالة، ومسارات الوصول عن بُعد، والجهة المسؤولة عن إدارة المخاطر. ويُفضل الاعتماد على آليات الاكتشاف السلبي للشبكة (Passive Discovery) مع الأجهزة الحساسة، نظراً لأن عمليات الفحص النشط (Active Scanning) قد تتسبب في توقف وحدات التحكم القديمة والمكونات البرمجية المدمجة. قم بتصنيف كل أصل وتحديد مستوى أهميته بناءً على معايير السلامة، واستمرارية الإنتاج، والأثر التنظيمي.

الخطوة 2: عزل الأجهزة عبر المناطق وقنوات الاتصال (Zones and Conduits)

طبق نموذج معيار IEC 62443: قم بتجميع الأصول في مناطق أمنية محددة بناءً على الوظيفة ومستوى المخاطر، وافرض رقابة صارمة على كافة مسارات الاتصال فيما بينها من خلال قنوات محددة بدقة.

• ضع الأنظمة القديمة في منطقة أمنية معزولة مخصصة لها خلف جدار حماية صناعي أو جدار حماية للتقنيات التشغيلية من الجيل التالي (Next-Generation OT Firewall)، وليس مجرد شبكة ظاهرية (VLAN) على محول شبكي مشترك.

• حدد القوائم البيضاء المصرح بها وفقاً لعنوان IP، والمنفذ، والبروتوكول، مع فرض قاعدة الحظر التلقائي (Default Deny) في كلا الاتجاهين.

• احجب الوصول المباشر إلى الإنترنت كلياً، بما في ذلك خدمات التحديث وجمع البيانات التشغيلية عن بُعد (Telemetry).

• في الحالات التي تتطلب إرسال البيانات إلى خارج المنطقة فقط (مثل تغذية خوادم المؤرخات، وإصدار التقارير)، استخدم بوابات أحادية الاتجاه أو الصمامات الثنائية للبيانات (Data Diodes) لمنع ارتداد أي حركة مرور واردة.

• افصل الأجهزة القديمة عن نطاق العمل المؤسسي، واستبدل ذلك باستخدام حسابات محلية تعتمد على كلمات مرور فريدة ومحفوظة في خزائن كلمات المرور الآمنة.

الخطوة 3: تقليص مساحة الهجوم على الأجهزة ذاتها

حتى وإن تعذر تطبيق التحديثات الأمنية، يمكنك في معظم الأحيان تعطيل الميزات والخدمات غير الضرورية.

• عطّل بروتوكول SMBv1 كلما سمح التطبيق بذلك، وافرض حظراً شاملاً على بروتوكول SMB (عبر منفذ TCP 445) وبروتوكول NetBIOS عند حدود المنطقة الأمنية إذا تعذر تعطيله محلياً.

• أوقف تشغيل خدمات RDP، وTelnet، وFTP، وسجل النظام البعيد (Remote Registry)، وأي خدمة لا يتطلبها التطبيق. واحرص على اختبار التغييرات ومقارنتها بالإعدادات المعتمدة في وثائق الشركة المصنعة.

• قم بقفل منافذ USB مادياً أو برمجياً عبر السياسات الأمنية، واحرص على تمرير كافة وسائط التخزين عبر منصات وأكشاك فحص مخصصة ومستقلة.

• أزل متصفحات الإنترنت، وعملاء البريد الإلكتروني، وحزم Office أو اعزلها تماماً عن واجهات HMI؛ إذ لا ينبغي للمشغلين تصفح الإنترنت من شاشات التحكم.

• قم بتثبيت آخر التحديثات التراكمية المتاحة، وعزز سياسات الأمان المحلية والتدقيق وآليات قفل الحسابات عند تكرار محاولات الدخول الخاطئة.

الخطوة 4: اعتماد القوائم البيضاء للتطبيقات بدلاً من برامج مكافحة الفيروسات التقليدية

باتت برامج مكافحة الفيروسات المعتمدة على التواقيع لنظامي XP وWindows 7 غير مدعومة بصورة متزايدة، كما أنها تستهلك موارد الأجهزة القديمة بشكل مفرط، وقد تتداخل سلباً مع تطبيقات التحكم اللحظية. وتُعد تقنية القوائم البيضاء للتطبيقات (Application Allowlisting) القائمة على مبدأ الحظر التلقائي لكافة الملفات التنفيذية الخيار الأمثل للأجهزة ذات المهام المحددة، نظراً لثبات حزمة برمجياتها نادراً. اختر أدوات متوافقة رسمياً مع أنظمة التشغيل القديمة، وتعمل دون الحاجة للاتصال بالإنترنت، وتتميز باستهلاك منخفض للموارد. ويشير تراجع استخدام حماية النقاط الطرفية في استبيان 2026 إلى أن العديد من المنشآت اختبرت وكلاء البرمجيات الخاصة بتقنية المعلومات وواجهت تعارضات أدت للتراجع عنها؛ ويضمن استخدام أدوات القوائم البيضاء المختبرة والمصممة لبيئات OT تفادي هذه المشكلات.

الخطوة 5: تأمين وضبط مسارات الوصول عن بُعد ووصول الأطراف الخارجية

• استبدل اتصالات VPN المفتوحة باستمرار للموردين بجلسات محددة بوقت ومعتمدة مسبقاً، تمر حصراً عبر خادم وسيط (Jump Host) أو بوابة وصول آمن عن بُعد.

• افرض تطبيق المصادقة متعددة العوامل (MFA)، وتسجيل الجلسات بالكامل، وتخصيص حسابات مستقلة لكل مورد.

• امنع الاتصالات الواردة المباشرة إلى الأجهزة القديمة بشكل قاطع، واقتصر ذلك على الجلسات الخاضعة للوساطة الآمنة.

• راجع خصائص الإدارة عن بُعد للشركات المصنعة للمعدات الأصلية، بما في ذلك الأنظمة المتصلة بالسحابة. وتذكر دائماً أن واقعة تبريد المتاجر الفرنسية تؤكد أن وحدات التحكم المدارة من الموردين تستحق نفس مستوى التدقيق والتمحيص الأمني المطبق على خوادمك الداخلية.

الخطوة 6: تطبيق التصحيح الافتراضي والمراقبة السلبية

إذا تعذر تصحيح الثغرات على الجهاز نفسه، يمكنك في كثير من الأحيان حظر استغلالها على مستوى حركة المرور في الشبكة. تستطيع أنظمة منع الاختراق الصناعية (IPS) تطبيق تصحيحات افتراضية (Virtual Patches) تحجب محاولات الاستغلال المعروفة لثغرات Windows غير المعالجة قبل وصولها إلى الجهاز، في حين يسهم الفحص العميق للحزم (DPI) للبروتوكولات الصناعية في رصد أوامر الكتابة غير المتوقعة، أو مصادر الاتصال المستحدثة، أو التغييرات التي تجري خارج أوقات العمل الرسمية. احرص على دمج ذلك مع حلول المراقبة السلبية لشبكات OT لتأسيس خط أساس مرجعي للسلوك الطبيعي للشبكة. واحرص على نشر الأجهزة المضمنة في مسار الشبكة (Inline Devices) المزودة بخاصية التجاوز العتادي (Hardware Bypass) لضمان عدم توقف عمليات الإنتاج في حال تعطل أي جهاز أمني.

كما تقدم بعض الجهات الخارجية خدمات "التصحيح المجهري" (Micropatch) لبعض إصدارات Windows المنتهية الصلاحية. وقد تمثل هذه الخدمات وسيلة دعم مفيدة، ولكن ينبغي التنسيق مع الشركة المصنعة لأنظمة التحكم الصناعي أولاً، نظراً لأن التعديلات غير المعتمدة على الأنظمة قد تبطل اتفاقيات الدعم الفني.

الخطوة 7: تحويل إجراءات التعافي إلى مسار عمل روتيني وموثوق

إذا كان بإمكانك استعادة واجهة HMI قديمة في غضون 30 دقيقة، فلن يتعدى هجوم برامج الفدية كونه مجرد عقبة عابرة، ولكن إن عجزت عن ذلك، فسيتحول الهجوم إلى إيقاف كامل للعمليات الإنتاجية.

• احتفظ بنسخ احتياطية كاملة ومفحوصة لأقراص كافة الأجهزة القديمة (Full-Disk Images) غير متصلة بالإنترنت (Offline) ومحفوظة خارج الموقع، إلى جانب ملفات التهيئة والمشاريع الهندسية.

• أجرِ اختبارات الاستعادة على عتاد احتياطي كل ثلاثة أشهر، ووثّق بدقة الوقت المستغرق لإتمام العملية.

• وفر عتاداً صلباً احتياطياً؛ إذ بات الحصول على حواسيب صناعية متوافقة مع الأنظمة القديمة أمراً متزايد الصعوبة، لذا احرص على تأمين قطع الغيار قبل الحاجة إليها.

• عندما تسمح شروط التراخيص، قم بتحويل الأجهزة المادية إلى أجهزة افتراضية (VMs) تعمل على منصات محاكاة افتراضية (Hypervisors) معززة أمنياً. يساعد ذلك في توفير لقطات للنظام (Snapshots) وتحقيق الاستقلالية عن العتاد، مع مراعاة أن نظام التشغيل الضيف يظل غير مدعوم، مما يفرض استمرار تطبيق كافة الضوابط الأمنية الأخرى.

الخطوة 8: إدارة التغيير وتوثيق سجل المخاطر

قم بتوثيق كل جهاز قديم في سجل المخاطر مع توضيح الضوابط التعويضية المطبقة، والمسؤول المعني، وتاريخ المراجعة الدورية، ومحفزات الاستبدال والإحلال، مع تحديد الجهات المخولة باعتماد الاستثناءات الأمنية. هذه الوثيقة تحديداً هي ما سيطلبه مدقق الحسابات، أو ممثل شركة التأمين، أو أعضاء مجلس الإدارة.

الخطوة 9: رصد ميزانية مخصصة لخطط الإحلال والاستبدال

تسهم الضوابط التعويضية في تقليص المخاطر، ولكنها لا تقضي عليها كلياً. استغل كل فترة توقف مجدولة لإحالة جهاز واحد إلى التقاعد، وطالب الموردين بتوفير مسارات ترقية مدعومة رسمياً، واحرص على اشتراط أنظمة تشغيل مدعومة في كافة أوامر الشراء الجديدة. وتتميز أنظمة Windows 10 IoT Enterprise LTSC 2021 وWindows 11 IoT Enterprise LTSC 2024 بفترات دعم طويلة، مما يجعلها خيارات واقعية ومثالية للأنظمة والإنشاءات الجديدة.

تحديد المعالجة الأمنية المناسبة لكل جهاز

لا تتطلب جميع الأجهزة القديمة نفس المعالجة؛ ويساعد جدول اتخاذ القرار المبسط في تأطير النقاش المهني والتنسيق العملي مع إدارة المصنع.

خطة العمل: 30-60-90 يوماً

الأيام الثلاثون الأولى: تحديد المخاطر الحرجة ومعالجتها فوراً

• إعداد سجل أصول الأنظمة القديمة عبر تقنيات الاكتشاف السلبي والجولات الميدانية التفتيشية في المصنع.

• حظر الوصول المباشر إلى الإنترنت، ومنع اتصالات SMB/RDP الواردة من شبكات الأعمال المؤسسية إلى مناطق الأنظمة القديمة.

• تعطيل الخدمات غير الضرورية أو تقييدها، وقفل منافذ USB قدر الإمكان.

• أخذ نسخ احتياطية كاملة ومفحوصة (Images) لأهم عشرة أجهزة حرجة في خطوط الإنتاج.

من اليوم 31 إلى 60: الاحتواء والعزل

• تثبيت جدران حماية مخصصة للمناطق الأمنية، وتطبيق القوائم البيضاء لحماية مناطق الأنظمة القديمة الحرجة.

• تحويل مسارات وصول الموردين إلى قنوات وساطة آمنة محمية بالمصادقة متعددة العوامل (MFA).

• تطبيق تجريبي لتقنية القوائم البيضاء للتطبيقات على جهاز قديم واحد غير حرج.

• البدء في المراقبة السلبية للشبكة وتحديد خط الأساس المرجعي لحركة المرور الطبيعية.

من اليوم 61 إلى 90: التحقق والتخطيط المستقبلي

• استكمال توثيق سجل المخاطر وتحديد المسؤولين والضوابط التعويضية المطبقة لكل أصل.

• تنفيذ تمرين محاكاة لعمليات الاسترداد وقياس الوقت الفعلي اللازم للتعافي.

• تطبيق التصحيح الافتراضي على قطاعات الشبكة الأكثر عرضة للمخاطر.

• الاتفاق على خارطة طريق لاستبدال الأنظمة بما يتوافق مع فترات التوقف المجدولة والميزانيات المعتمدة.

التوافق مع المعايير واللوائح التنظيمية

• معيار IEC 62443: يعتمد نموذج المناطق وقنوات الاتصال وإرشادات إدارة التصحيحات لأنظمة التحكم الآلي الصناعية (IEC 62443-2-3) حقيقة تعذر تطبيق التحديثات أحياناً، شريطة تقييم المخاطر وتوثيق الضوابط التعويضية المتبعة.

• معيار NIST SP 800-82 Rev. 3: يقدم دليلاً متكاملاً لإدارة التحديثات في أنظمة التحكم الصناعي وتطبيق الضوابط التعويضية في حال تعذر التحديث.

• توجيه NIS2 (الاتحاد الأوروبي): تفرض المادة 21 تدابير لإدارة المخاطر تتضمن التعامل المنهجي مع الثغرات وتطبيق أساسيات النظافة السيبرانية للمنشآت والمؤسسات الحيوية والأساسية.

• معايير NERC CIP (منظومة الكهرباء الشاملة في أمريكا الشمالية): تشمل متطلبات صارمة لإدارة التصحيحات الأمنية، مع إجازة خطط التخفيف والتعويض في حال عدم توفر التحديث.

• التأمين السيبراني: تركز استبيانات التأمين السيبراني بصورة مباشرة على أنظمة التشغيل المنتهية الدعم، وتقسيم الشبكات، وضوابط الوصول عن بُعد.

ويبقى التوثيق الدقيق هو القاسم المشترك في مختلف المعايير؛ إذ نادراً ما تفرض الجهات التنظيمية أو شركات التأمين خلو المنشأة تماماً من الأنظمة القديمة، ولكنها تلزمك بتقديم خطة مدعومة بالأدلة والبراهين ومبررة من الناحية الفنية والإجرائية.

أخطاء شائعة يجب تجنبها

• التعامل مع الشبكة الظاهرية (VLAN) كحدود أمنية: فبدون فرض قواعد رقابة وتحكم صارمة، تظل مجرد تسمية لا توفر أي حماية.

• تثبيت برمجيات حماية النقاط الطرفية التقليدية لتقنية المعلومات على أجهزة صناعية حساسة دون موافقة مسبقة من الشركة المصنعة، ومن ثم التراجع عنها وإزالتها بعد تسببها في إيقاف العمليات.

• إجراء مسح أمني نشط (Active Scanning) لأجهزة الإنتاج دون اختبارات مسبقة للتحقق من سلامتها وعدم تأثرها.

• افتراض أن العزل المادي (Air-gap) يحقق الأمان المطلق: فقد أثبتت التجارب أن وسائط التخزين المتنقلة، والحواسيب المحمولة، وأجهزة المودم المنسية قد أسقطت هذا العزل مراراً وتكراراً.

• الإبقاء على كلمات المرور الافتراضية والبديلة دون تغيير، لمجرد ورودها في دليل تشغيل الشركة المصنعة.

• الاستثمار في حلول الحماية وإهمال خطط الاستعادة والتعافي: قد تفشل وسائل الحماية في بعض الأحيان؛ وتظل القدرة على استعادة النظام هي الفيصل الحقيقي في حسم النتيجة وتفادي الخسائر.

الأسئلة الشائعة

هل يُعد تشغيل نظامي Windows 7 أو XP في منشأة صناعية آمناً في عام 2026؟ 

ليس آمناً بذاته؛ فكلا النظامين غير مدعوم ولن يتلقى أي إصلاحات أمنية. ولا يمكن تشغيلهما بمستوى مقبول من المخاطر إلا من خلال العزل، والتقييد، والمراقبة، والنسخ الاحتياطي، إلى جانب اعتماد خطة إحلال واستبدال موثقة.

هل لا يزال بإمكاني الحصول على تحديثات أمنية لنظام Windows 7؟ 

انتهى برنامج التحديثات الأمنية الموسعة (ESU) المدفوع لنظام Windows 7 من مايكروسوفت في يناير 2023، بينما انتهى دعم XP في عام 2014. وتوفر بعض الجهات الخارجية خدمات التصحيح المجهري لثغرات محددة، لكنها تظل حلولاً تكميلية تتطلب موافقة الشركة المصنعة لأنظمة التحكم لديك.

هل بات نظام Windows 10 يُصنف أيضاً ضمن الأنظمة القديمة (Legacy)؟ 

نعم، ينطبق ذلك على الإصدارات القياسية التي انتهى دعمها في 14 أكتوبر 2025. وتستطيع المؤسسات شراء برنامج ESU لمدة تصل إلى ثلاث سنوات بتكلفة متصاعدة، في حين تتبع إصدارات الدعم طويل الأمد (LTSC) جداول زمنية خاصة بها.

هل تعمل برامج مكافحة الفيروسات بفعالية على أنظمة Windows XP و7؟ 

لا تزال بعض الشركات توفر دعماً لهذه الأنظمة، إلا أن مستوى الحماية يظل محدوداً مع احتمالية التأثير سلباً على أداء الأجهزة. ويُعد استخدام تقنية القوائم البيضاء للتطبيقات، بالتكامل مع الضوابط الأمنية على مستوى الشبكة، الخيار الأنسب والأفضل لأجهزة التقنيات التشغيلية المخصصة لمهام محددة.

ما هو التصحيح الافتراضي (Virtual Patching)؟ 

هو اعتراض وحجب حركة المرور الخبيثة التي تستغل الثغرات على مستوى أجهزة الشبكة، مما يمنع وصولها إلى الجهاز المعرض للخطر، كبديل لمعالجة الثغرة على الجهاز نفسه. ويمثل ذلك إحدى الوسائل الفعالة والمحدودة لحماية الأنظمة التي يتعذر تحديثها.

هل يجب علينا استبدال كافة الأجهزة دفعة واحدة وبصورة فورية؟ 

لا يُنصح بذلك في الغالب؛ إذ تثبت الإجراءات المتدرجة كفاءة أعلى: البدء باحتواء المخاطر وعزلها أولاً، ثم إحالة الأجهزة إلى التقاعد تدريجياً بالتزامن مع فترات التوقف المجدولة، والميزانيات المتاحة، ومسارات الترقية التي توفرها الشركات المصنعة.

كيف يمكن لشركة Shieldworkz مساعدتك؟

تُعد Shieldworkz شركة رائدة ومتخصصة في تقديم خدمات الأمن السيبراني الشاملة للبيئات التشغيلية والصناعية (OT)، حيث تغطي بيئات SCADA وOT وإنترنت الأشياء الصناعي (IoT)، من خلال منظومة متكاملة تجمع بين الخدمات، والمنصات، والحلول في باقة واحدة موحدة. وبالنسبة لبيئات Windows القديمة، تقدم الشركة خدمات جرد الأصول السلبي وتقييم المخاطر، وتصميم بنية المناطق وقنوات الاتصال المتوافقة مع معيار IEC 62443، وتأمين الوصول عن بُعد، والمراقبة والكشف المستمر، والتخطيط للاستجابة للحوادث والتعافي منها، وكل ذلك مصمم بعناية لتجنب إحداث أي تغيير أو تأثير في أنظمة التحكم التشغيلية النشطة لديك.

إذا كنت ترغب في الحصول على استشارة متخصصة لتحديد مواقع أجهزتك غير المدعومة وتقييم الضوابط الأمنية الكفيلة بالحد من المخاطر بأسرع وقت، تواصل مع فريقنا لطلب تقييم شامل لمخاطر أنظمة Windows القديمة. احجز اجتماعاً مع خبرائنا في أمن التقنيات التشغيلية (OT) الآن!