لا تزال الوسائط القابلة للإزالة واحدة من أكثر نواقل الهجوم التي يتم استغلالها في بيئات التكنولوجيا التشغيلية (OT). إليك ما يحتاج كل مسؤول أمن تكنولوجيا تشغيلية إلى معرفته والقيام به حيال ذلك.

في عام 2010، تسبب محرك أقراص USB واحد فقط — أدخله أحد المقاولين في محطة عمل في منشأة نطنز النووية في إيران — في إطلاق الهجوم السيبراني الأكثر تأثيرًا على الإطلاق ضد البنية التحتية الصناعية. لم يأتِ برنامج "Stuxnet" عبر الإنترنت، ولم يتطلب بريدًا إلكترونيًا للتصيد الاحتيالي أو بوابة شبكة افتراضية خاصة (VPN) مخترقة. بل دخل عبر وسائط قابلة للإزالة، وانتشر بصمت، ودمر أجهزة الطرد المركزي بينما كان المشغلون يراقبون لوحات التحكم التي كانت تبين أن كل شيء يسير كالمعتاد.

بعد مرور أكثر من خمسة عشر عامًا، لا تزال الوسائط القابلة للإزالة واحدة من أقل مساحات الهجوم خضوعًا للرقابة وأكثرها خطورة في بيئات التكنولوجيا التشغيلية (OT). لم تتراجع هذه التهديدات، بل اشتدت حدتها إذا حدث أي شيء: لقد أدركت مجموعات برامج الفدية أن الوسائط القابلة للإزالة تشكل تجاوزًا موثوقًا للدفاعات القائمة على الشبكة، ويستهدف الفاعلون المدعومون من دول منشآت صناعية معزولة ماديًا عن الإنترنت على وجه الخصوص لأن تقنيات الاختراق التقليدية تفشل هناك، وتسبب تزايد وصول المقاولين والموردين في توسيع مساحة الهجوم بشكل كبير.

تقدم هذه المقالة فحصًا على مستوى الممارسين لتهديدات الوسائط القابلة للإزالة في بيئات التكنولوجيا التشغيلية، والمبادئ الأساسية لضوابط فحص الوسائط الفعالة، والحوكمة والإطار التشغيلي المطلوبين لإنجاح تلك الضوابط فعليًا.

"إن العزل المادي عن الإنترنت ليس ضابطًا أمنيًا، بل هو مجرد حد فاصل. والوسائط القابلة للإزالة هي الطريق الذي يعبر هذا الحد — وبدون نقطة تفتيش، فإن هذا الطريق مفتوح لأي شخص."

لماذا تكون بيئات التكنولوجيا التشغيلية معرضة للخطر بشكل فريد

التحدي الأساسي لأمن الوسائط القابلة للإزالة في التكنولوجيا التشغيلية ليس تقنيًا بل سياقيًا. فمحرك أقراص USB نفسه الذي يشكل خطرًا يمكن إدارته على جهاز كمبيوتر محمول للشركات يصبح ناقلًا كارثيًا محتملًا عندما يصل إلى نظام تحكم موزع (DCS) يدير عملية كيميائية، أو نظام أمان مجهز بأجهزة قياس (SIS) في محطة طاقة، أو وحدة تحكم منطقية قابلة للبرمجة (PLC) في خط تصنيع.

تساهم عدة خصائص لبيئات التكنولوجيا التشغيلية في تفاقم هذه المخاطر:

دورات حياة طويلة للأصول. تعمل أصول التكنولوجيا التشغيلية عادةً لمدة تتراوح بين 15 و25 عامًا. ويعمل العديد منها بنظام التشغيل Windows XP أو Windows 7 أو أنظمة تشغيل مدمجة وصلت إلى نهاية عمرها الافتراضي ولا تتلقى أي تحديثات أمنية. وتظل الثغرات الأمنية القديمة — بما في ذلك ثغرات التشغيل التلقائي لـ USB التي تم إصلاحها في بيئات تكنولوجيا المعلومات منذ سنوات — نشطة في بيئات التكنولوجيا التشغيلية.

نوافذ صيانة محدودة. على عكس أنظمة تكنولوجيا المعلومات التي يمكن تحديثها وإعادة تشغيلها بشكل مستمر، غالبًا ما يتم إيقاف تشغيل أنظمة التكنولوجيا التشغيلية فقط أثناء عمليات الإغلاق المخطط لها، والتي قد تحدث مرة أو مرتين في السنة. وهذا يحد بشدة من القدرة على نشر برامج أمن الأجهزة الطرفية.

اعتماد كبير على الموردين والمقاولين. تتطلب أنظمة التكنولوجيا التشغيلية صيانة دورية من قِبل موردي المعدات وجهات الدمج والمقاولين المتخصصين. ويصل هؤلاء الأفراد محملين بأجهزة كمبيوتر محمولة ومحركات أقراص USB تم توصيلها ببيئات عملاء متعددة أخرى — ربما تم اختراق أي منها.

أولوية الإنتاج على حساب الأمن. يمثل وقت التشغيل في البيئات التشغيلية الشاغل الأكبر والأساسي. وسيتم تجاوز الضوابط الأمنية التي تتسبب في تأخير أو تشكل خطرًا على الإنتاج — وفي بعض الأحيان من قِبل الأشخاص المسؤولين عن فرضها أنفسهم.

الثقة المفرطة في العزل المادي عن الإنترنت. تفترض المؤسسات التي تدير شبكات تكنولوجيا تشغيلية معزولة ماديًا عن الإنترنت بشكل متكرر أن هذا العزل يقضي على التهديد. نعم، هو يقضي على التهديدات القائمة على الشبكة، لكنه لا يفعل شيئًا لإيقاف خطر الوسائط القابلة للإزالة.

مشكلة المقاولين: في معظم البيئات الصناعية، لا يتمثل سيناريو الوسائط القابلة للإزالة الأعلى خطورة في وجود شخص داخلي لديه نوايا خبيثة — بل في جهاز كمبيوتر محمول خاص بمقاول تم اختراقه عن غير قصد. فقد يقوم فني المورد بصيانة عشرات من مواقع العملاء سنويًا، وتوصيل جهاز الكمبيوتر المحمول الهندسي ومحركات الأقراص المحمولة الخاصة به عبر بيئات تكنولوجيا تشغيلية متعددة. ويمكن لموقع واحد مصاب في تلك السلسلة أن ينشر برامج ضارة عبر كل زيارة تالية للعملاء. هذا الأمر ليس فرضية نظرية، بل هو نمط موثق في حوادث متعددة في مجالات التكنولوجيا التشغيلية.

مشهد التهديدات: ما الذي تدافع ضده بالفعل

تتنوع تهديدات الوسائط القابلة للإزالة في التكنولوجيا التشغيلية على نطاق واسع — من البرامج الضارة الانتهازية التي تنتشر بشكل عشوائي إلى الغرسات المستهدفة المصممة لأنظمة صناعية محددة. ويعد فهم فئات التهديدات أمرًا ضروريًا لضبط الضوابط الأمنية وضبطها بشكل مناسب.

أنواع الوسائط والمخاطر

تمثل محركات أقراص فلاش USB ناقل المخاطر الأعلى تكرارًا من حيث الحجم. وتتميز محركات الأقراص الصلبة الخارجية ومحطات العمل المحمولة بسعة تخزين حمولة أكبر، وغالبًا ما تُستخدم لنسخ الأنظمة احتياطيًا، واستخراج بيانات المؤرخين، وأنشطة التشغيل التجريبي — مما يجعلها أهدافًا عالية القيمة لنشر البرامج الضارة وسرقة البيانات على حد سواء. وتعد وسائط تحديث برامج التشغيل الثابتة من بين الوسائط الأكثر موثوقية وبالتالي الأكثر خطورة؛ إذ تُقبل حزم البرامج الثابتة التي يوفرها الموردون عادةً دون تفتيش، ولكن تم توثيق اختراق سلاسل التوريد لقنوات توزيع البرامج الثابتة في حوادث صناعية متعددة.

آليات الهجوم

تشمل آليات انتشار البرامج الضارة الشائعة المستغلة عبر الوسائط القابلة للإزالة في بيئات التكنولوجيا التشغيلية استغلال ميزة التشغيل التلقائي لـ Windows (التي لا تزال فعالة على الأنظمة القديمة)، وهجمات ملفات اختصار LNK التي تنفذ الحمولات عند تصفح دليل، وتحميل DLL الجانبي باستخدام مكتبات خبيثة توضع بجانب برامج التكنولوجيا التشغيلية المشروعة، واستغلال البرامج الهندسية — حيث تؤدي ملفات المشاريع الخبيثة إلى تشغيل ثغرات في أدوات برمجة SCADA أو PLC عند فتحها. وتعد البرامج الضارة الخاملة التي لا تنشط إلا عند الاتصال بشبكة معينة أو بعد تأخير مبرمج خطيرة بشكل خاص لأنها قد تجتاز الفحص الأولي دون اكتشافها.

الحوادث التاريخية: دروس لا تزال قائمة

Stuxnet — 2010 تم إدخاله عبر USB إلى منشأة نووية معزولة ماديًا عن الإنترنت. واستغل أربع ثغرات يوم الصفر في Windows. وأثبت أن العزل المادي ليس كافيًا ضد خصم مصمم ويمتلك موارد جيدة ويستخدم الوسائط القابلة للإزالة كناقل للهجوم.

Conficker في أنظمة التحكم الصناعية (ICS) — 2008–2014 انتشرت دودة مصممة لبيئات تكنولوجيا المعلومات إلى التكنولوجيا التشغيلية عبر التشغيل التلقائي لـ USB. وأبلغت المواقع الصناعية عن إصابات بعد سنوات من توفر الإصلاحات — مما يوضح كيف يبقي تأخر تحديثات التكنولوجيا التشغيلية الثغرات الأمنية المعروفة نشطة لفترة طويلة بعد أن تعتبرها تكنولوجيا المعلومات محلولة.

TRITON/TRISIS — 2017 استهدفت أنظمة أمان Triconex المجهزة بأجهزة قياس في منشأة بتروكيماوية. وكانت الوسائط القابلة للإزالة أحد مسارات الوصول المحددة. وقد أدى القصد من تعطيل أنظمة الأمان إلى رفع هذا الحادث من مجرد حادث أمن سيبراني إلى حدث يؤثر على سلامة العمليات.

استرداد NotPetya — 2017 كان الانتشار الأساسي قائمًا على الشبكة، لكن عمليات الاسترداد أدخلت خطرًا ثانويًا: أدت وسائط الاسترداد الملوثة في عدة مواقع إلى تعقيد جهود الاستعادة. وتعد فترة الاسترداد عالية الخطورة بالنسبة لأمن الوسائط — وهو أمر غالبًا ما تغفله المؤسسات في تخطيطها.

القاسم المشترك في كل هذه الحوادث ليس التعقيد التقني بل هو مزيج من الثقة الضمنية الممنوحة للوسائط القابلة للإزالة وغياب الفحص المنهجي عند نقطة الدخول إلى بيئة التكنولوجيا التشغيلية.

ما يفعله فحص الوسائط بالفعل

تعد حلول فحص الوسائط منصات أمنية مصممة خصيصًا لتفتيش الوسائط القابلة للإزالة بحثًا عن البرامج الضارة والمحتوى غير المصرح به وانتهاكات السياسات قبل السماح لهذه الوسائط بالدخول إلى بيئة التكنولوجيا التشغيلية. ويتمثل الاختلاف الهيكلي الرئيسي عن أمن الأجهزة الطرفية في أنها تعمل خارجيًا — كعنصر تحكم لحراسة البوابة عند الحدود بين العالم الخارجي ومنطقة التكنولوجيا التشغيلية المحمية — بدلاً من كونها برامج مثبتة وتعمل داخل أصول التكنولوجيا التشغيلية.

هذا التصميم غير التدخلي ليس قصورًا بل ميزة؛ حيث يمكن نشر فحص الوسائط دون لمس أنظمة التكنولوجيا التشغيلية القديمة، ودون الحاجة إلى تعديلات على نظام التشغيل، ودون تقديم مخاطر تتعلق بتوافق البرامج. إنه يعمل بشكل مستقل عن الأصول التي يحميها.

قدرات الكشف الأساسية:

الكشف القائم على التوقيع — كشف سريع وموثوق للبرامج الضارة المعروفة عبر مطابقة هاش الملف وأنماط البايت مع قواعد البيانات المحدثة باستمرار.

التحليل السلوكي — يكشف عن مؤشرات السلوك الخبيث في بنية الملفات وأنماط التعليمات البرمجية دون الحاجة إلى توقيع معروف — وهو فعال ضد المتغيرات الجديدة.

الرمل لبيئة اختبار معزولة (Sandboxing) — يفجر الملفات المشبوهة في بيئة معزولة لمراقبة سلوك التشغيل الفعلي. فعال ضد أدوات التجميع المعقدة وتقنيات التهرب.

نزع سلاح المحتوى وإعادة بنائه (CDR) — يزيل كل المحتويات النشطة والقابلة للتنفيذ من المستندات ويعيد بناء نسخة آمنة، مما يقضي على مخاطر ثغرات يوم الصفر لأنواع المستندات دون الاعتماد على الكشف.

التحقق من صحة الهاش — يتحقق من سلامة الملف مقابل قيم التدقيق المجمعة التي يوفرها المورد. ويكتسب هذا الأمر أهمية خاصة بالنسبة لصور البرامج الثابتة وحزم البرامج الموقعة.

تحليل الماكرو والبرامج النصية — يفحص مستندات Office والملفات الهندسية بحثًا عن وحدات الماكرو والبرامج النصية المدمجة، والتي تشكل آلية تسليم متكررة للبرامج الضارة التي تستهدف المصانع والمنشآت.

CDR: القدرة الأقل استغلالاً في أمن وسائط التكنولوجيا التشغيلية: لا تحاول تقنية نزع سلاح المحتوى وإعادة بنائه الكشف عن البرامج الضارة — بل تقضي على إمكانية وجود محتوى خبيث نشط عن طريق تفكيك الملفات وتجريد جميع العناصر القابلة للتنفيذ وإعادة بناء نسخة آمنة ومكافئة وظيفيًا. بالنسبة لبعض أنواع المستندات مثل ملفات PDF وملفات Office، تقدم تقنية CDR ضمانات أمان لا يمكن للفحص السلوكي والفحص القائم على التوقيع تقديمها — بما في ذلك الحماية ضد تهديدات يوم الصفر. إنها الإضافة الأقوى التي يمكن للمؤسسات إيجادها في عمليات نشر الفحص الأساسية، ومع ذلك تظل غير مستغلة بالشكل الكافي في معظم بيئات التكنولوجيا التشغيلية.

نماذج النشر: مطابقة ضوابط الأمان مع الواقع التشغيلي

أكشاك الفحص المستقلة هي وحدات مادية وملموسة توضع في نقاط الوصول إلى الموقع أو غرف الأمن. ويقوم المستخدمون بإدخال الوسائط، ويتلقون نتيجة الفحص، و— في البرامج المصممة جيدًا — يتم إصدار سجل مرور مادي يرافق الوسائط. وتعد هذه الأكشاك مناسبة تمامًا للمواقع ذات نقاط الدخول المحددة وحركة مرور المقاولين الكثيفة.

محطات الفحص المحمولة هي وحدات متينة مخصصة للنشر الميداني — مثل دعم فترات انقطاع الخدمة، والمواقع النائية، وأنشطة التشغيل التجريبي. وهي تتيح تطبيق قواعد الفحص في المواقع التي يتعذر فيها استخدام كشك دائم.

بنى الفحص المركزية تربط محطات فحص متعددة بخادم إدارة مركزي، مما يتيح إدارة متسقة للتوقيعات، وتسجيل البيانات مركزيًا، والتكامل مع منصات إدارة معلومات الأمان والأحداث (SIEM). وهو مناسب للبرامج المتقدمة ذات عمليات النشر في مواقع متعددة.

قيد تشغيلي هام: في البيئات المعزولة ماديًا عن الإنترنت، يجب تسليم تحديثات التوقيعات عبر آلية معزولة ومحكمة — عادةً محطة عمل تحديث قوية ومحمية أو دايود بيانات. ويمثل إغراء إعفاء بنية الفحص التحتية من نفس الضوابط المطبقة على أصول التكنولوجيا التشغيلية فشلًا في الحوكمة تسبب في إضعاف عدة عمليات نشر وتثبيت.

الحوكمة: الجزء الذي يحدد النجاح الفعلي

إن نمط الفشل الأكثر شيوعًا في برامج أمن وسائط التكنولوجيا التشغيلية ليس فجوة تكنولوجية بل فجوة في الحوكمة. تنشر المؤسسات أكشاك الفحص، ثم تكتشف أن المشغلين يجدونها غير ملائمة، وتتراكم الاستثناءات غير الرسمية تدريجيًا حتى يُقتصر استخدام الأكشاك على المقاولين فقط، ثم بشكل متقطع، ثم ينتهي استخدامها تمامًا. التكنولوجيا موجودة، والسياسة موجودة، والتنفيذ غائب.

تتطلب الحوكمة الفعالة تضافر أربعة عناصر معًا:

الملكية الواضحة. يجب أن يكون هناك شخص محدد بالاسم في كل موقع مسؤولاً عن الامتثال لأمن الوسائط. بدون ملكية على مستوى الموقع، لن تصبح مهمة إنفاذ القوانين مسؤولية أي شخص.

إدارة الاستثناءات الرسمية. الاستثناءات لا مفر منها — الصيانة الطارئة، قيود الأنظمة القديمة، وصول الموردين في الحالات الحرجة للوقت. وبدون عملية رسمية، ستتكاثر الاستثناءات غير الرسمية. أما في وجود عملية رسمية، فسيتم توثيق الاستثناءات وتحديدها زمنيًا واعتمادها من قِبل السلطة المناسبة وإخضاعها للمراجعة بعد الحوادث.

متطلبات عقود الموردين. يجب تضمين متطلبات فحص الوسائط في عقود الموردين واتفاقيات الخدمة الرئيسية — وليس إبلاغها شفهيًا عند بوابة الموقع. فالموردون الذين يصلون غير مستعدين لمتطلبات الفحص سيبحثون عن طرق تجاوز غير رسمية وغالبًا ما يحصلون عليها.

المقاييس والمساءلة. يجب الإبلاغ عن معدلات الامتثال للفحص، وأحجام الاستثناءات، وحداثة التوقيعات، واتجاهات الكشف بانتظام لإدارة الموقع وتجميعها لمسؤولي أمن التكنولوجيا التشغيلية. فما لا يمكن قياسه لا يمكن إدارته.

نموذج النضج: أين أنت الآن، وإلى أين يجب أن تذهب؟

المستوى 1 — مخصص وعشوائي لا توجد سياسة متبعة. استخدام غير مقيد لأجهزة USB. لا يوجد فحص. موقف تفاعلي فقط.

المستوى 2 — ضوابط أساسية توجد سياسة أساسية. تم نشر بعض قدرات الفحص. التطبيق غير متسق. وتُمنح الاستثناءات بشكل غير رسمي.

المستوى 3 — مدار تم نشر الفحص في جميع المواقع. يتم مراقبة الامتثال. توجد عملية رسمية لإدارة الاستثناءات. تم تدريب الموظفين. والاحتفاظ بالوثائق الجاهزة للمراجعة والتدقيق.

المستوى 4 — متكامل تم دمج الفحص مع مركز عمليات أمن التكنولوجيا التشغيلية (OT SOC). التنبيه والاستجابة مؤتمتان. تم نشر تقنية CDR. ويتم فرض متطلبات إدارة الموردين تعاقديًا. ويتم الإبلاغ عن المقاييس على المستوى التنفيذي.

المستوى 5 — محسن كشف سلوكي متقدم وبيئة اختبار معزولة (Sandboxing). تكامل استخبارات التهديدات. تدريبات الفريق الأحمر لاستهداف ضوابط الوسائط. التحقق من سلامة سلاسل التوريد. مقارنة مرجعية مع معايير الصناعة.

تقع معظم المؤسسات الصناعية في المستوى 1 أو المستوى 2. ويجب أن يكون الهدف لمعظم البرامج على مدى 12 إلى 18 شهرًا هو الوصول إلى المستوى 3 الموثوق: تطبيق متسق، وحوكمة رسمية، وامتثال واضح وقابل للإثبات.

التوافق مع الأطر التنظيمية والمعايير

IEC 62443-2-1 — يتطلب سياسات موثقة لأمن الأجهزة المحمولة، بما في ذلك متطلبات فحص الوسائط القابلة للإزالة.

IEC 62443-3-3 SR 3.2 — متطلبات الحماية من البرامج الخبيثة. ويلبي فحص الوسائط هذا الضابط الأمني بشكل مباشر لنقطة دخول الوسائط القابلة للإزالة.

NIST SP 800-82 Rev 3 — توجيهات محددة بشأن التعامل مع الوسائط وفحصها وتطهيرها في بيئات أنظمة التحكم الصناعية.

NIST CSF 2.0 PR.PS-05 — يتطلب ضوابط على تثبيت البرامج، بما في ذلك الملفات التي يتم إدخالها عبر الوسائط القابلة للإزالة.

NIS2 المادة 21 — تتطلب تدابير تقنية وتنظيمية مناسبة تغطي التعامل مع الوسائط وأمن سلاسل التوريد.

CIS Control 10 — يتطلب نشر مضادات البرامج الضارة عبر جميع نقاط الدخول ذات الصلة، بما في ذلك صراحةً الوسائط القابلة للإزالة.

الإجراءات ذات الأولوية لقادة أمن التكنولوجيا التشغيلية

فوريًا (من 0 إلى 30 يومًا) انشر أو حدث سياسة رسمية للوسائط القابلة للإزالة في التكنولوجيا التشغيلية. وانشر محطة فحص واحدة على الأقل عند نقطة الوصول الرئيسية للموقع. وأبلغ متطلبات الفحص لأكبر عشرة موردين لديك قبل زيارتهم القادمة للموقع.

على المدى القريب (من 1 إلى 6 أشهر) انشر محطات الفحص في جميع مواقع التكنولوجيا التشغيلية المشمولة بالنطاق. وأنشئ عملية رسمية لإدارة الاستثناءات. وأدرج بنود أمن الوسائط في عقود الموردين. وابدأ في تتبع معدلات الامتثال والإبلاغ عنها لإدارة الموقع.

على المدى المتوسط (من 6 إلى 18 شهرًا) ادمج سجلات الفحص مع مركز عمليات أمن التكنولوجيا التشغيلية (OT SOC) أو نظام إدارة معلومات الأمان والأحداث (SIEM). وانشر تقنية CDR لأنواع المستندات في المواقع عالية الخطورة. وطور إجراءات فحص طارئة خاصة بالموقع. وأجرِ اختبارات فعالية باستخدام عينات اختبار خاضعة للرقابة.

مستمر ودائم حافظ على حداثة التوقيعات — استهدف إجراء التحديثات أسبوعيًا على الأقل، ويوميًا للمواقع عالية الخطورة. وأجرِ مراجعة سنوية للبرنامج مقابل نموذج النضج. وأعد النظر في امتثال الموردين أثناء مراجعات الموردين السنوية.

الخلاصة المعروضة على مجلس الإدارة

لا يعد أمن الوسائط القابلة للإزالة تفصيلاً تقنيًا يمكن تفويضه لفريق تكنولوجيا المعلومات ونسيانه. بل هو خطر تشغيلي له تداعيات مباشرة على استمرارية الإنتاج والسلامة والامتثال التنظيمي. وقد أثبت هجوم Stuxnet في عام 2010 ما يمكن أن يفعله محرك أقراص USB واحد غير مفحوص. وبعد مرور خمسة عشر عامًا، لا تزال هذه الثغرة الأمنية قائمة — وأصبح الفاعلون المهددون أكثر قدرة وأكثر عددًا وأكثر تركيزًا بشكل خاص على الأهداف الصناعية.

إن الاستثمار المطلوب لتنفيذ برنامج ناضج لفحص الوسائط لا يمثل سوى جزء بسيط من تكلفة حادث أمني واحد كبير في التكنولوجيا التشغيلية. والمؤسسات التي تتعامل مع أمن الوسائط القابلة للإزالة كضابط تكنولوجيا تشغيلية أساسي — وليس مجرد خانة واختيار للامتثال — ستكون في وضع أفضل ماديًا لمنع واكتشاف والاستجابة لواحد من أكثر نواقل الهجوم استمرارًا في مشهد الأمن السيبراني الصناعي.

تستند هذه المقالة إلى مبادئ أمن التكنولوجيا التشغيلية القائمة، والحوادث الموثقة علنًا، وأطر الصناعة المعترف بها بما في ذلك IEC 62443 وNIST SP 800-82 وNIST CSF 2.0. ويجب على المؤسسات إجراء تقييمات المخاطر الخاصة بها في سياق بيئاتها التشغيلية المحددة.

تعرّف على المزيد حول حل Shieldworkz لـ Media Scan هنا.

مصادر إضافية

ثقة معدومة في البيئات الصناعية: دليل تنفيذ عملي هنا
دليل امتثال ومعالجة معيار NIST SP 800-160 هنا
أدلة المعالجة هنا