تقييم الأمن السيبراني للتقنيات التشغيلية.

ما الذي يشمله تقييم أمن التقنيات التشغيلية؟

تُستخدم التقنيات التشغيلية (OT) لمراقبة المعدات والعمليات المادية أو التحكم فيها، وتشمل أنظمة التحكم الصناعي (ICS). ويتطلب تقييم أمنها مراعاة أثر القرارات الأمنية في التشغيل والموثوقية والسلامة.

نتفق مع فريقي التشغيل والأمن على المنشآت والأنظمة والأدلة وطرق التقييم قبل بدء العمل. ويمكن أن تشمل المراجعة:

• حصر الأصول: السجلات المتاحة، والمسؤولين عن الأنظمة، والوظائف الحرجة، والأنظمة والخدمات التي تعتمد عليها.
• البنية والصلاحيات: الاتصالات بين بيئتي تقنية المعلومات والتقنيات التشغيلية، وحدود الشبكات، والوصول عن بُعد، وصلاحيات الموردين.
• ضوابط التشغيل: إدارة الثغرات والتحديثات وتغييرات الإعدادات والاستثناءات.
• الاستعداد للتعافي: مسؤوليات الاستجابة للحوادث، وترتيبات النسخ الاحتياطي، والأدلة المتاحة للتخطيط للتعافي.

تقييم متطلبات OTCC في السعودية

وضعت الهيئة الوطنية للأمن السيبراني ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC) امتداداً للضوابط الأساسية للأمن السيبراني (ECC)، لمعالجة متطلبات حماية الأنظمة التشغيلية وأنظمة التحكم الصناعي.

يمكن، ضمن النطاق المتفق عليه، ربط أدلة التقييم بمتطلبات OTCC ذات الصلة، وتحديد الفجوات والأدلة الناقصة وأولويات المعالجة. نحدّد معكم المراجع والأنظمة التي سيشملها التقييم عند إعداد نطاق العمل.

كيف نجري التقييم؟

• تحديد النطاق: نتفق على الأهداف وحدود الأنظمة وقيود التشغيل والصلاحيات والأشخاص المطلوب مشاركتهم.
• مراجعة الأدلة: نفحص المستندات والسجلات المتفق عليها ونناقش ممارسات التشغيل مع الفرق المعنية.
• تقييم الفجوات: نربط الملاحظات بمعايير التقييم المتفق عليها ونوضّح الأدلة التي تستند إليها كل نتيجة.
• ترتيب الخطوات التالية: نراجع النتائج معكم ونقترح الإجراءات والمسؤوليات والمتطلبات اللازمة لخطة التحسين.

ما المخرجات التي تحصل عليها؟

• ملخص للتقييم يوضح النطاق والأدلة التي تمت مراجعتها وحدود التقييم.
• نتائج موثقة بالأدلة، مع توضيح سياقها التشغيلي وأسباب ترتيب أولوياتها.
• خطة تحسين مرتبة حسب الأولوية، تتضمن المسؤوليات المقترحة والمتطلبات اللازمة للتنفيذ.
• جلسة لمناقشة النتائج ومساعدة فريقي الأمن والتشغيل على الاتفاق على القرارات التالية.

نتفق على طريقة التقييم قبل الوصول إلى الأنظمة

تحدد متطلبات التشغيل طريقة تنفيذ التقييم. نتفق على ما يمكن مراجعته والصلاحيات المسموح بها وكيفية جمع الملاحظات. ولا يشمل هذا النطاق الفحص النشط للشبكات أو استغلال الثغرات أو تغيير أنظمة الإنتاج أو المراقبة المستمرة، إلا باتفاق منفصل.

ماذا تجهّز للمناقشة الأولى؟

جهّز وصفاً عاماً للمنشأة أو العملية والأنظمة المطلوب تقييمها، وما يتوفر من مخططات الشبكة وسجلات الأصول. وضّح مخاوفك بشأن الوصول أو التعافي، وحدّد ممثلي فريقي التشغيل والأمن القادرين على شرح البيئة. نستخدم هذه المعلومات لتحديد الخطوة التالية.

أسئلة حول تقييم أمن التقنيات التشغيلية

هل هذا التقييم هو نفسه اختبار اختراق أنظمة تقنية المعلومات؟

لا. يراجع التقييم البيئة التشغيلية والضوابط والأدلة ضمن سياق التشغيل المتفق عليه. أما اختبار الاختراق فهو نشاط منفصل له أهدافه وتفويضه وقيوده التشغيلية.

هل يمكن البدء بمنشأة واحدة أو جزء من البيئة؟

نعم. يمكن تحديد النطاق حول منشأة أو عملية أو مجموعة أنظمة. ويجب توضيح الاتصالات والاعتماد على الأنظمة الواقعة خارج النطاق حتى تُفهم النتائج في سياقها الصحيح.

ما الذي يؤثر في نطاق العمل وتكلفته؟

يتأثر العمل بعدد المنشآت والأنظمة، وتوفر الأدلة، وترتيبات الوصول، ومشاركة الموردين، وعمق التقييم. نناقش هذه العناصر لتحديد ما سيشمله العمل.

المراجع

• الهيئة الوطنية للأمن السيبراني — ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC)
• NIST — دليل أمن التقنيات التشغيلية