خطة الاستجابة للحوادث السيبرانية: من أول إشارة إلى إغلاق الملف

معظم خطط الاستجابة للحوادث السيبرانية تُكتب لتُحفظ في ملف، لا لتُستخدم ليلة الحادث. تسرد المراحل الست، وتسمّي فريقًا تغيّر أفراده منذ سنة، وتنتهي بتاريخ مراجعة لا أحد يلتزم به. والاختبار الحقيقي ليس وجود الوثيقة، بل ما يحدث في أول عشرين دقيقة: مهندس في نوبة ليلية أمام قاعدة بيانات إنتاجية، ويجب أن يقرّر هل يعزلها، ولا يجد من يملك صلاحية الموافقة. الخطة التي لا تجيب عن هذا السؤال فشلت قبل أن تبدأ، مهما كان عدد صفحاتها.

هذا الدليل لا يعيد سرد المراحل الست مرة أخرى. هو يشرح ما تغيّر في المرجع الدولي في 2025 ولماذا لم تلحقه معظم الخطط العربية، والقرارات الأربعة التي يجب أن تُتخذ قبل الحادث بأسماء ونواب، وخريطة المهل القانونية فعليًا: في السعودية مدة 72 ساعة إلى سدايا بمحتوى محدد الحقول، وإشعار فوري للهيئة الوطنية للأمن السيبراني عبر منصة حصين أو الرقم 936، وإشعار فوري لساما لقطاعها وتقرير تفصيلي خلال خمسة أيام؛ وفي الإمارات نصّ يقول «فور العلم» لا «72 ساعة»؛ ثم ترتيب العمليات في الساعة الأولى بما لا يمحو الأدلة، والأدلة التي تصمد أمام مدقق أو محكمة، وكيف تُشترى الاستجابة الخارجية قبل أن تحتاجها بشكل مشروع.

الخطة ليست وثيقة… بل مجموعة قرارات مُتخذة مسبقًا

المرجع الذي بُنيت عليه معظم الخطط العربية تغيّر. المواصفة NIST SP 800-61 كانت مصدر مخطط المراحل الذي يظهر في كل خطة كُتبت في العقد الماضي: التحضير، ثم الاكتشاف والتحليل، ثم الاحتواء، ثم الاستئصال والاستعادة، ثم النشاط بعد الحادث. النسخة الثالثة، الصادرة نهائيًا في الثالث من نيسان/أبريل 2025، ألغت دورة الحياة هذه بالكامل وسحبت النسخة الثانية من 2012 في اليوم نفسه، وأعادت صياغة الاستجابة كمجموعة نتائج موزّعة على وظائف إطار الأمن السيبراني الست: الحكم، والتعرّف، والحماية، والاكتشاف، والاستجابة، والاستعادة.

ما يعنيه هذا التغيير عمليًا هو أن التحضير لم يبقَ مرحلة تسبق الحادث، بل قدرة قائمة إما موجودة أو غير موجودة. وفي صياغة المعهد نفسه: الاكتشاف والاستجابة والاستعادة هي الاستجابة للحادث، أما الحكم والتعرّف والحماية فهي أنشطة إدارة مخاطر أوسع تدعمها، والتحسين المستمر يجلس في المنتصف ويغذّي الجميع من الدروس المستفادة.

الفرق ليس أكاديميًا. الخطة المكتوبة كسرد لمراحل مستقبلية تدعو القارئ إلى تخيّل استجابة هادئة متسلسلة. الحوادث الحقيقية لا مراحل لها؛ لها سلسلة قرارات تُتخذ تحت ضغط وقت بمعلومات ناقصة، وكل قرار منها إما اتخذه أحدهم بهدوء قبل سنة، أو اخترعه أحدهم في الثالثة فجرًا وهو منهك. مهمة خطتك الوحيدة أن تنقل أكبر عدد ممكن من هذه القرارات إلى الفئة الأولى.

ولأن أطر العمل الوطنية لم تعد تقبل خطة على الورق، فإن هذا التغيير يتقاطع مع المتطلبات المحلية: الضوابط الأساسية للأمن السيبراني ECC-2:2024 في السعودية تطلب خطط استجابة وآليات تصعيد موثّقة ومعتمدة، وتصنيفًا للحوادث، وتبليغًا للهيئة عند وقوع الحادث، وهذا كله يُقاس بالتدقيق لا بالنوايا.

ما الذي فُقد حين حُذفت المراحل: خمس قدرات لا تُشترى ليلة الحادث

حين تُحوّل الخطة إلى قدرات، تصبح قابلة للقياس. خمس قدرات تحدد النتيجة قبل أن يبدأ أي شيء:

• قرار التصريح: من يملك إعلان الحادث رسميًا، ومن ينوب عنه، وقاعدة صريحة بأن أي موظف يستطيع التصعيد عند الشك دون أن يُطالب بالدليل. تكلفة الإنذار الكاذب ساعة من مساء أحدهم؛ وتكلفة أن يقرّر موظف مبتدئ أنه ليس مخوّلًا بالتصعيد هي الحادث نفسه.
• القيادة: قائد حادث واحد ونائب له، مع بيان مكتوب بما يحق له تقريره منفردًا. هذا ليس رئيس اجتماع، بل الشخص الذي يحلّ الخلاف بين مسؤول الأمن الذي يريد عزل متحكم النطاق ومسؤول التشغيل الذي يخشى توقف خط الإنتاج.
• حدود الفعل الفردي: الأعمال التي لا تحتاج موافقة إضافية أثناء الحادث: عزل جهاز، تعطيل حساب، إلغاء رمز وصول، حجب نطاق، تدوير مفتاح. كل عمل بحدّ أثر مكتوب.
• قناة خارج النطاق: قناة اتصال مختارة مسبقًا ومُختبرة، وبديل لا يعتمد على مزوّد الهوية نفسه. إن كان المهاجم يملك صندوق بريد، فمحادثاتك ومكالماتك قد تكون مقروءة.
• سجل زمني واحد: من يكتب، وفي أي ملف، وبأي صيغة، ومن يستطيع فتحه لاحقًا كدليل. السجل الذي يُكتب بعد أسبوع من الذاكرة لا قيمة قانونية له.

التصنيف: محفّزات مكتوبة لا صفات

«حادث حرج» و«حادث متوسط» ليست تصنيفات، بل انطباعات. التصنيف القابل للاستخدام يُكتب كمحفّزات تُقاس بوقوعها لا بتقدير شدّتها: هل تسرّبت بيانات شخصية؟ هل توقف خدمة يدفع مقابلها عملاء؟ هل تحرّك المهاجم من جهاز إلى حساب ذي صلاحية إدارية؟ هل ظهر تشفير ملفات؟ هل هناك طلب فدية؟ كل سؤال بجواب نعم أو لا، والتصنيف يُستخرج من الأجوبة لا من الشعور.

وبعد التصنيف يأتي مستوى الخدمة، وهو الجزء الذي يجعل الخطة قابلة للتنفيذ: لكل مستوى، زمن استجابة، وزمن إعلان، ومن يملك إعلانه، ومتى يُبلَّغ المستشار القانوني، ومتى يُفتح ملف الإبلاغ التنظيمي. هذا الجدول هو ما يطلبه المدقق، وهو ما يفصل فريقًا يعمل عن فريق يتناقش.

خطأ شائع: وضع مهل مستعارة من نص قانوني واحد. المهل تُشتق من أكثر من التزام متزامن، وكل التزام يبدأ عند العلم لا عند تأكيد الاختراق. لذلك يجب أن ينتهي تقدير التصنيف والضرر داخل نافذة أقصر من أقصر مهلة، وإلا بدأ عدّاد الإبلاغ قبل أن تعرف أنك ملزم بالإبلاغ.

خريطة الإبلاغ في السعودية: ثلاثة التزامات بمهل ومحتوى مختلفين

هنا يتوقف معظم ما كُتب بالعربية، لأن الأمر ليس «أبلغ الجهة المختصة». الحادث الواحد قد يشغّل ثلاث جهات بمهل مختلفة ومحتوى مختلف، ومن يجهّز الإبلاغ على عجل يكتشف أنه أرسل الناقص.

الأول: سدايا بموجب نظام حماية البيانات الشخصية. المادة 24 من اللائحة التنفيذية تُلزم المسؤول بالإبلاغ عن تسريب البيانات الشخصية خلال مدة لا تتجاوز 72 ساعة من علمه بالحادثة، إذا كان من المحتمل أن يسبب ضررًا للبيانات أو لأصحابها أو يتعارض مع حقوقهم أو مصالحهم. والنص يحدد المحتوى بخمسة بنود: وصف الحادثة ووقتها وظروفها ووقت العلم بها؛ وفئات البيانات والأعداد الفعلية أو التقريبية للمتأثرين ونوع البيانات؛ ووصف المخاطر وأثرها المحتمل والتدابير المتخذة لمنعها والحدّ منها والتدابير المستقبلية لمنع التكرار؛ وبيان ما إذا كان أصحاب البيانات قد أُبلغوا؛ وبيانات الاتصال بالمسؤول أو مسؤول حماية البيانات أو أي مسؤول لديه معلومات عن الحادث. والنص يسمح بتقديم ما تيسّر داخل المدة مع تبرير التأخير عن البقية، ويُلزم بالاحتفاظ بنسخة من التقارير وتوثيق التدابير التصحيحية وأي مستندات داعمة، وينص على أن ذلك لا يمسّ التزامات الجهة تجاه الهيئة الوطنية للأمن السيبراني، ويُلزم بإبلاغ أصحاب البيانات دون تأخير غير مبرّر. والإبلاغ يتم عبر خدمة الإبلاغ عن حوادث تسريب البيانات الشخصية في منصة الحوكمة الوطنية للبيانات، ويستلزم تسجيلًا مسبقًا فيها.

وهناك تغيير قادم يجب أن تعرفه الآن: مشروع تعديل منشور في تشرين الأول/أكتوبر 2026 يقترح حذف شرط احتمال الضرر من الإبلاغ إلى سدايا، بحيث يصبح الإبلاغ عن التسريب أو الوصول غير المصرّح به خلال 72 ساعة من العلم واجبًا بصرف النظر عن تقدير الضرر، مع بقاء إبلاغ أصحاب البيانات مشروطًا بتقدير الضرر. معنى ذلك عمليًا: إن كانت خطتك تبدأ بسؤال «هل هناك ضرر؟» قبل الإبلاغ، فهي مبنية على شرط قابل للتغيّر، والأسلم أن تُبنى على تقييم سريع متوازٍ لا على شرط مسبق.

الثاني: الهيئة الوطنية للأمن السيبراني. ECC-2:2024 تخصّص الضابط 2-13 لإدارة حوادث وتهديدات الأمن السيبراني، وتطلب توثيق المتطلبات واعتمادها (2-13-1)، وتطبيقها (2-13-2)، وبحد أدنى: وضع خطط الاستجابة للحوادث وآليات التصعيد (2-13-3-1)، وتصنيف الحوادث (2-13-3-2)، وتبليغ الهيئة عند حدوث حادثة (2-13-3-3)، ومشاركة التنبيهات والمعلومات الاستباقية ومؤشرات الاختراق وتقارير الحوادث مع الهيئة (2-13-3-4)، والحصول على المعلومات الاستباقية (2-13-3-5). ونطاق الضوابط يشمل الجهات الحكومية والشركات التابعة لها، وقطاع الخاص الذي يملك بنى تحتية وطنية حساسة أو يشغّلها أو يستضيفها، ويُقاس الالتزام عبر بوابة حصين وزيارات تدقيق ميدانية.

والإبلاغ نفسه فوري: عند الاشتباه أو رصد حادثة يجب الإبلاغ فورًا عبر منصة حصين أو القنوات المعتمدة ومنها الرقم 936. والفرز بعد ذلك يجري داخل المنصة لتحديد المستوى: المستويات الأول والثاني والثالث تُدار باستجابة مباشرة من الهيئة مع الجهة، أما المستويان الرابع والخامس فيُدعمان من مزوّد خدمة مركز عمليات أمن سيبراني مُرخّص، ويمكن للجهة الاستعانة بأحد المرخّصين لخدمات الاستجابة عند الحاجة.

هذه النقطة الأخيرة تحدد قرارًا شرائيًا مهمًا: إذا كنت في النطاق الوطني وتعتمد على طرف خارجي، فالسؤال ليس «هل لدينا مزوّد؟» بل «هل هو مرخّص لتقديم خدمات الاستجابة للحوادث؟»، لأن الاستعانة بغير المرخّص في هذا المسار لا تُحتسب.

الثالث: ساما، لقطاعها. متطلبات مؤسسات القطاع المالي تختلف في الشكل عن إبلاغ حماية البيانات: الإبلاغ عن الحادث المصنّف متوسطًا أو أعلى فورًا عند تحديده، وإبلاغ ساما قبل الإفصاح عن أي معلومة عنه إلى الإعلام، ثم تقرير تفصيلي خلال خمسة أيام يتضمن بحد أدنى: عنوان الحادث، وتحديده وتصنيفه وأولويته، وسجلات المراقبة، وكيفية معالجته وإغلاقه، وتقييم الأثر المالي والبيانات والعملاء والسمعة، وتاريخ ووقت الحادث، وأسماء الخدمات والأنظمة المتأثرة، وتحليل السبب الجذري، والإجراءات التصحيحية بتواريخ مستهدفة.

لاحظ الفارق: سدايا تريد المخاطر والتدابير، وساما تريد تحليل السبب الجذري وخطة بتواريخ. تقرير واحد لا يخدم الاثنين إن كُتب على عجل. والخطة الجيدة تحتوي قالبين لا قالبًا واحدًا، وكلاهما مُعبّأ مسبقًا بكل حقل لا يعتمد على مجريات الحادث: بيانات الجهة، ومسؤول الاتصال، وقائمة الأنظمة، ومصفوفة التصنيف.

الإمارات: النص يقول «فور العلم»، لا «72 ساعة»

هذا من أكثر الأخطاء تكرارًا في المحتوى العربي، ويستحق التصحيح بالحرف. المادة 9 من المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية تُلزم المسؤول، عند علمه بوجود أي اختراق أو انتهاك لبيانات شخصية يمسّ خصوصيتها أو سريتها أو أمنها، بأن يُبلغ مكتب البيانات بالاختراق وبنتائج التحقيق، خلال المدة وبحسب الإجراءات والشروط التي تحددها اللائحة التنفيذية، مع مرافقة الإبلاغ بستة عناصر: وصف طبيعة الاختراق وشكله وأسبابه والأعداد التقريبية والسجلات؛ وبيانات مسؤول حماية البيانات؛ والآثار المحتملة والمتوقعة؛ والتدابير التصحيحية المتخذة أو المقترحة؛ ومستندات الاختراق والتدابير التصحيحية؛ وأي متطلبات أخرى يحددها المكتب.

أي أن القانون لا ينص على 72 ساعة في الإمارات، بل يقول «فور العلم» ويترك المدة للائحة التنفيذية. والإبلاغ في المناطق الحرة يخضع لأنظمة مختلفة: في مركز دبي المالي العالمي تطلب المادة 41 الإبلاغ بأسرع ما يمكن عمليًا في الظروف مع سجل مكتوب للاختراقات، وفي سوق أبوظبي العالمي تطلب المادة 32 من لائحة حماية البيانات 2021 الإبلاغ دون تأخير غير مبرّر وخلال 72 ساعة حيث يكون ذلك ممكنًا. أما المؤسسات المالية المرخّصة فلها التزام إضافي بالإبلاغ إلى المصرف المركزي عن الانتهاكات الجوهرية بموجب نظام حماية المستهلك.

والترجمة العملية لهذه الفروق ثلاثة قرارات. أولًا: اعرف أي نظام ينطبق عليك قبل الحادث — جهة في البر الرئيسي ليست كجهة في مركز مالي — واكتب هذا في الخطة بجملة واحدة صريحة. ثانيًا: لا تبنِ عدّادك على 72 ساعة في الإمارات، بل على «فور العلم»؛ فإن كان الأسرع هو الإبلاغ الأولي الناقص ثم استكماله، فهذا ما يجب أن تفعله الخطة تلقائيًا. ثالثًا: أضف بندًا تعاقديًا مع المعالجين والمزوّدين يحدد مدة إشعارك أنت من جانبهم. فالبنود التعاقدية القياسية لنقل البيانات في السعودية تضع مهلة 24 ساعة من المستورد إلى المصدّر، و24 ساعة من المصدّر إلى المسؤول، ويجب أن تكون هذه المهل في عقدك أنت أيضًا، وإلا عرفت بالحادث في اليوم الثالث.

محتوى الخطة الذي يقبله المدقق: من الضابط إلى السطر

الخطط التي تُرفض في التدقيق تُرفض لسبب واحد غالبًا: لا يوجد خط يربط كل متطلب بموضع في الوثيقة وبسجل يُثبت تنفيذه. الأسلوب الذي يعمل هو جدول تتبّع داخلي بثلاثة أعمدة: المتطلب، وموضعه في الخطة، والدليل على أنه نُفّذ (محضر تمرين، سجل حادث، تقرير إبلاغ، قائمة اتصال بتاريخ تحديث).

وبحد أدنى، يجب أن تحتوي الوثيقة ما يلي بشكل قابل للتنفيذ لا للقراءة: نطاق وحدود (أي الأنظمة، وأي الفروع، وأي السحابات)؛ ومصفوفة تصنيف بمحفّزات؛ وقائمة قادة الحادث ونوابهم وأرقامهم وساعات توفّرهم؛ وصلاحيات الطوارئ وحدودها؛ وقنوات الاتصال البديلة؛ ومخزون مصادر السجلات ومدد الاحتفاظ ومن يستطيع التصدير؛ وقوالب الإبلاغ الثلاثة وقوالب أي جهة أخرى بحسب النظام المنطبق؛ وقائمة جهات الاتصال الخارجية: المستشار القانوني، ومزوّد التحقيق الجنائي ومرجع التكليف، وشركة التأمين ورقم الوثيقة، ومزوّدا السحابة والهوية، والجهة التنظيمية؛ وبيانات إعلامية مُعدّة مسبقًا بالعربية والإنجليزية؛ ونسخة مطبوعة ونسخة غير متصلة بالشبكة، لأن الخطة تعيش على الشبكة التي ستفقدها.

الساعة الأولى: ترتيب لا يمحو ما ستحتاجه لاحقًا

أكثر ما يُتلف الأدلة ليس المهاجم، بل الاستجابة المتعجّلة. هذا هو الترتيب الذي نراه يعمل في الحوادث الواقعية:

• الدقيقة 0–10، الإعلان والسجل: تصريح حادث بمستوى، وفتح سجل زمني واحد، وتسمية كاتب. من يفتح السجل بعد ساعتين سيكتب ذاكرة لا وقائع.
• الدقيقة 10–30، حفظ المتغيّر أولًا: الذاكرة، والاتصالات القائمة، والعمليات، وقائمة الجلسات النشطة، وتصدير سجلات السحابة والهوية من الآن — لأن كثيرًا من هذه المصادر يُدوّر تلقائيًا بعد ساعات أو أيام. الحفظ قبل العزل، لأن العزل يقطع الاتصالات ويُفقد الحالة، وبعض المهاجمين يُشغّل مسحًا عند انقطاع الاتصال.
• الدقيقة 30–60، الاحتواء عند طبقة الهوية: إلغاء الجلسات والرموز، وتدوير كلمات المرور ذات الصلاحية العالية، وتقييد الحساب المخترق — أسرع من مطاردة الجهاز وأقلّ ضررًا على التشغيل. ثم عزل الجهاز المصاب بعد تصويره أو تصدير حالته.
• الساعة 1–4، تحديد النطاق والإبلاغ الداخلي: كم جهازًا؟ هل البيانات الشخصية في المسار؟ من يجب أن يعرف الآن (الإدارة، والقانوني، والتأمين)؟ وهل تُفتح مسارات الإبلاغ؟
• الساعة 4–24، القرارات الصعبة: إعادة البناء أم التنظيف؟ هل تُوقف الخدمة؟ هل تُبلَّغ الجهات الآن بالتقرير الأولي؟ وهل يُكلَّف طرف خارجي؟

وفي كل هذه الخطوات، قاعدة واحدة تحمي الجميع: لا إجراء على جهاز مشتبه به قبل توثيق حالته، ولا حذف ملف مشبوه قبل أخذ نسخة، ولا إعادة تشغيل على أمل أن تُحلّ المشكلة — فإعادة التشغيل تمسح الذاكرة، والذاكرة هي أخصب مصدر لكشف ما جرى.

الأدلة التي تصمد: خمسة عناصر لا يكفي أربعة منها

الدليل الذي يُقبل في نزاع أو يُعتمد في تقرير تنظيمي يحتاج خمسة عناصر معًا: سلسلة حيازة مكتوبة (من جمع، ومتى، وكيف انتقل، ومن استلم)؛ وبصمة تجزئة محسوبة عند الجمع لكل ملف وصورة (SHA-256) مع إعادة حساب عند كل انتقال؛ وتوثيق مصدر الوقت المستخدم وتزامن ساعات الأنظمة، لأن مقارنة سجلات بلا مرجع زمني واحد تُنتج جدولًا زمنيًا غير قابل للدفاع؛ وصورة جنائية كاملة قبل أي تغيير على الجهاز، لا نسخ ملفات انتقائية؛ وسجل قرارات يوضح لماذا عُزل هذا الجهاز ولماذا تأخّر ذاك، لأن القرار غير الموثّق يُقرأ كإهمال.

هذه العناصر ليست ترفًا قانونيًا؛ هي ما يسمح لاحقًا بمعرفة ما سُرق تحديدًا، وهو ما يعتمد عليه الإبلاغ التنظيمي وإبلاغ أصحاب البيانات. فالجهة التي لا تعرف أي سجلات عُدّلت في قاعدة بياناتها لا تستطيع أن تكتب بندًا صحيحًا في تقرير المادة 24.

جرف الاحتفاظ: أدلتك تنتهي قبل أن تكتشف الاختراق

أكثر سبب صامت لفشل التحقيقات هو مدة الاحتفاظ. كثير من البيئات يحتفظ بسجلات دخول الهوية 30 يومًا افتراضيًا، وسجلات التدقيق الموحّد للبريد والتعاون 180 يومًا افتراضيًا، وسجلات الشبكة أيامًا قليلة أو لا شيء. وفي الوقت نفسه، أسابيع المرور داخل الشبكة قبل الاكتشاف ليست استثناءً بل الشائع في الحوادث التي تُكتشف متأخرة.

النتيجة: عند الحادث تكتشف أن الأسبوع الذي تحتاجه للتحقيق قد حُذف تلقائيًا. والحل ليس شراء أدوات، بل قرار إداري في الخطة: لكل مصدر سجل — ما يُجمع، وأين، ولأي مدة، ومن يستطيع التصدير، وهل التصدير محمي من الحذف. ولأن هذا قرار تكلفة، يُرتَّب بحسب الأصل: سجلات الهوية والبريد وقاعدة البيانات أولًا، لأنها تجيب عن ثلاثة أسئلة: من دخل، وبأي صلاحية، وماذا قرأ.

الاحتواء المسبق: صلاحيات مكتوبة بحدّ أثر

الخطأ المتكرر هو توزيع صلاحيات مطلقة لوقت الطوارئ. الصيغة التي تعمل هي قائمة أفعال محددة، لكل منها حدّ أثر مقبول: عزل جهاز واحد أو مجموعة محددة لا مقطع شبكة كامل؛ تعطيل حساب واحد أو جلساته لا وحدة تنظيمية؛ تدوير مفتاح واحد؛ حجب نطاق أو عنوان؛ تعليق قاعدة موازنة الحمل لخدمة محددة. ويُضاف لكل فعل شرط: من يُبلّغ بعد التنفيذ، وفي أي مدة، وكيف يُتراجع عنه.

السبب بسيط: أثناء الحادث يكون أسوأ خيارين متاحين هما الانتظار بلا نهاية أو الضغط على زر يوقف الإيراد. القائمة المكتوبة تجعل الخيار الثالث موجودًا: تصرّف محدود، معروف الأثر، قابل للرجوع، ومُوثّق.

الاتصال حين يكون بريدك مكشوفًا

إن كان المهاجم في صندوق بريد أحد أعضاء الفريق، فمحادثاتك ومكالماتك ومستنداتك المشتركة قد تكون مقروءة. الخطة الجيدة تحدد مسبقًا: قناة فورية على أجهزة خارج إدارة الجهاز، وقرارًا يحدد من يملك تلك الأجهزة الطرفية؛ وخطًا هاتفيًا بالاتصال الصوتي لاجتماعات الأزمة لا يعتمد على مزوّد الهوية؛ وقائمة اتصالات مطبوعة؛ وجملة واحدة تحدد كيف تُبلَّغ العائلة والزملاء إذا تعذّر الاتصال. وأخيرًا: اختبار القناة مرة كل ربع، لأن القناة غير المُختبرة ليست قناة.

الابتزاز: قرار قانوني ومالي، لا هندسي

عندما يظهر طلب فدية، تتحول الاستجابة من مسألة تقنية إلى مسألة قرار. ثلاثة أسئلة تُطرح قبل أي نقاش تقني: هل الدفع مشروع في نطاق العقوبات والالتزامات المالية المنطبقة؟ وما الذي يعنيه الدفع قانونيًا في بلدك، وهل يُنشئ التزامات إبلاغ إضافية؟ وهل نملك بديل استعادة مُختبرًا يجعل الدفع اختيارًا لا اضطرارًا؟ ولأن جرائم الابتزاز والتهديد معاقب عليها في الأنظمة الخليجية، فإن التعامل مع المبتز يُدار عبر المستشار القانوني والجهة المختصة، لا عبر محادثة مباشرة معه.

والنقطة العملية التي تُنسى: الدفع لا يشتري حذفًا، بل يشتري غالبًا وقتًا. لذا فإن السؤال الحقيقي في الخطة ليس «ندفع أم لا»، بل «كم ساعة نحتاج لاستعادة الخدمة من نسخة سليمة، وهل اختبرنا ذلك؟». الجهة التي اختبرت استعادتها تعامل الفدية كخسارة مالية محدودة؛ والجهة التي لم تختبر تعاملها كمسألة وجودية.

الفريق الخارجي قبل الحاجة: ما يجب أن يشتريه العقد

الاستعانة بطرف خارجي أثناء الحادث قرار يُتخذ في أسوأ ظرف تفاوضي: أنت تحت الضغط، وهو يحدد السعر. العقد المسبق ليس رفاهية، بل الطريقة المشروعة الوحيدة لتكون جاهزًا. وما يجب أن يشتريه:

• زمن استجابة مكتوب: عدد الساعات حتى أول تدخل، وأرقام اتصال على مدار الساعة، ومن ينوب.
• أسعار مُثبتة مسبقًا: سعر الساعة أو اليوم لأعمال الاستجابة، وسعر التحقيق الجنائي منفصلًا، حتى لا تُفاجأ بفاتورة مفتوحة.
• تأهيل مسبق للبيئة: جلسة تعريف بالمعمارية والأنظمة والمفاتيح، وسياسة وصول تُتفق قبل الحاجة لا بعدها.
• خطاب تفويض مُعدّ مسبقًا: وثيقة تمنح الطرف الخارجي صلاحية العمل على أنظمتك عند الحادث، موقّعة عند التوقيع لا عند الطوارئ. هذه الوثيقة هي ما يفصل بين استجابة سريعة وانتظار موافقة.
• التزامات قانونية وتقنية: سرية، ومعالجة بيانات، ومدة احتفاظ وحذف، وتأمين مسؤولية مهنية، وإشعار بالحوادث الفرعية.

وتفصيل يُسأل عنه دائمًا في الخليج: مفهوم السرية المهنية المعروف في الأنظمة الأنجلوسكسونية لا يُترجم كما هو. عمليًا، يُدار ذلك بعقد يربط العمل بمستشار قانوني، وببنود سرية صريحة، وبتحديد الجهة المالكة للمخرجات، ويُراجع النص مع مستشارك قبل الحادث لا بعده. وحين تبحث عن مزوّد داخل النطاق الوطني، تحقق من الترخيص اللازم لخدمات الاستجابة كما سبق. ولمقارنة أسعار هذه العقود ومنطق بناء العرض، تجد التفصيل في دليل تكلفة استئجار هاكر أخلاقي.

تمرين الطاولة الذي يكشف الخطة الحقيقية

التمرين الذي يُقرأ فيه نص الخطة بصوت عالٍ لا يكشف شيئًا. التمرين الذي يكشف: سيناريو، وحقن معلومات على مراحل، وقرار حقيقي يجب أن يُتخذ في الغرفة بأسماء الحاضرين. أربعة سيناريوهات تغطي معظم ما نواجهه:

• فدية على نظام مؤسسي: توقف نظام المحاسبة أو المخزون ليلًا، واكتشاف أن النسخ الاحتياطية متصلة بالشبكة نفسها. الحقن الأول: النسخة الاحتياطية مشفّرة أيضًا. الحقن الثاني: طلب الفدية منشور على موقع الشركة.
• اختراق صندوق بريد مالي: رسالة من حساب المدير المالي إلى الموردين بتغيير الحساب البنكي. الحقن الأول: العميل حوّل فعلًا. الحقن الثاني: المهاجم يملك قاعدة البريد كاملة.
• تسريب بيانات من تطبيق ويب: بيانات عملاء معروضة على منتدى. الحقن الأول: صحفي يسأل. الحقن الثاني: الجهة التنظيمية تسأل عن تاريخ العلم بالحادث.
• تهديد داخلي: موظف يغادر ومعه وصول سحابي. الحقن الأول: السجلات تُظهر تصديرًا كبيرًا قبل أسبوعين. الحقن الثاني: التصدير حُذف من السجل.

والقيمة في القياس لا في السيناريو: كم دقيقة حتى قرار العزل؟ كم دقيقة حتى تجهيز مسودة إبلاغ؟ من قال «لا أعرف من يوقّع»؟ كل «لا أعرف» في التمرين أرخص بمرات من «لا أعرف» في الحادث. والقاعدة: تمرينان في السنة كحد أدنى، ومرة على الأقل بغياب قائد الحادث الأساسي، لأن الغياب هو الحالة الواقعية في الثالثة فجرًا.

بعد الحادث: فخ النسخة النظيفة، وأربعة أسئلة للمراجعة

أشهر خطأ في الاستعادة هو العودة إلى نسخة احتياطية نظيفة لم تُفحص. فالنسخة التي تعود إلى تاريخ لاحق على الاختراق الأول تحمل نفس الثغرة أو نفس الباب الخلفي، فيتكرر الحادث بعد أسبوعين ويظن الفريق أن الاستجابة فشلت، والحقيقة أن تاريخ النسخة كان يجب أن يسبق تاريخ أول دخول لا تاريخ الاكتشاف. لذلك تُفحص النسخة قبل الاستعادة بثلاثة أسئلة: هل هي قبل أول دخول؟ هل تُحقّق من سلامتها؟ هل تحتوي حسابًا أو مهمة مجدولة أُنشئت أثناء الاختراق؟

والمراجعة بعد الحادث ليست وثيقة أدبية. أربعة أسئلة تكفي: ما الذي كان يجب أن يُكتشف قبل ذلك، ولماذا لم يُكتشف؟ وأي قرار تأخّر، ولأي سبب (صلاحية، أو معلومة، أو خوف)؟ وأي ضابط كان موجودًا على الورق ولم يعمل؟ وما التغيير الواحد الذي لو نُفّذ لكان الأثر أكبر؟ ثم قرار بمالك وتاريخ، وإلا فستُكتب المراجعة وتُنسى.

ثمانية أخطاء نراها في الخطط العربية

• خطة بلا أسماء: «فريق الاستجابة» بدل شخص ونائب ورقم.
• مهل مكتوبة بلا مصدر، أو مصدر واحد رغم تعدد الجهات المنطبقة.
• غياب قالب إبلاغ مُعبّأ مسبقًا، فيُكتب التقرير التنظيمي في ساعة الذروة.
• قائمة اتصال لم تُحدَّث منذ سنة، وفيها موظف غادر.
• سجلات بمدد احتفاظ قصيرة لا تكفي للتحقيق.
• نسخ احتياطية متصلة بالشبكة، أو غير مُختبرة الاستعادة.
• صلاحيات طوارئ مطلقة بلا حدّ أثر ولا مسار تراجع.
• خطة تعيش على الشبكة التي ستفقدها، بلا نسخة مطبوعة.

الخلاصة: اثنا عشر بندًا تُقاس بها الخطة اليوم

إن أردت اختبارًا سريعًا لخطتك الحالية، اقرأ هذه القائمة وأجب بنعم أو لا. وكل «لا» فيها ثغرة في خطة، لا في تقنية:

• قائد حادث مسمّى ونائب له، وأرقام محدّثة هذا الربع.
• مصفوفة تصنيف بمحفّزات قابلة للإجابة بنعم أو لا.
• جدول مهل لكل جهة تنظيمية منطبقة عليك، مع من يوقّع كل إبلاغ.
• قوالب إبلاغ مُعبّأة مسبقًا لكل جهة، بحقولها المطلوبة.
• قائمة أفعال احتواء مسبقة بحدود أثر.
• مخزون مصادر السجلات مع مدد احتفاظ كافية وقابلة للتصدير.
• قناة اتصال بديلة مُختبرة هذا الربع.
• عقد طرف خارجي بزمن استجابة وخطاب تفويض موقّع.
• تأمين سيبراني معروف الرقم والحدود وشروط الإبلاغ.
• نسخة مطبوعة وغير متصلة من الخطة.
• تمرين طاولة موثّق في آخر ستة أشهر، بدروس مكتوبة.
• اختبار استعادة من نسخة احتياطية مُوثّق في آخر ستة أشهر.

الحادث لا يكافئ الجهة التي تملك أطول وثيقة، بل التي اتخذت قراراتها الصعبة قبل أن تحتاجها. وإن كنت في مرحلة بناء القدرة، أو تحتاج تحقيقًا في حادث وقع بالفعل، فإن خدمة التحقيق الجنائي الرقمي تبدأ من حفظ الأدلة لا من تنظيف الأنظمة، ويمكن طلب نطاق عمل مكتوب عبر صفحة تكليف مختص، مع تفويض صريح يحدد ما يُفحص وما لا يُفحص. أما الضوابط التقنية التي تقلّل احتمال الحاجة إلى هذه الخطة، فهي في دليل المادة 32 والتدابير التقنية والتنظيمية.

أسئلة شائعة