ما هو أمن الأنظمة التشغيلية؟ ولماذا لا يصلح أن تديره مثل أمن المعلومات

ديسمبر 2015، غرب أوكرانيا. ثلاث شركات لتوزيع الكهرباء تفقد السيطرة على شبكتها ساعات.

المهاجمون لم يطاردوا البريد الإلكتروني، ولم يسرقوا بيانات عملاء. وصلوا إلى المتحكمات التي تفتح القواطع الكهربائية وتغلقها فعليًا، وضغطوا عليها. جلس نحو 230 ألف شخص في الظلام، بينما يشاهد المشغّلون محطاتهم تُطفأ عن بُعد أمام أعينهم، عاجزين عن إيقاف ما يحدث.

نشر معهد SANS تحليلًا مفصّلًا لهذا الحادث عام 2016. قرأه كل من يعمل في هذا المجال تقريبًا. ولماذا علق الدرس في الأذهان؟ لأنه كان جديدًا على صناعة الأمن وقتها: تبيّن أنك تستطيع أن تكسر أشياء تلمسها بيدك.

هذا هو العالم الذي يعمل فيه أمن الأنظمة التشغيلية.

إجابة سريعة: أمن الأنظمة التشغيلية (OT Security) حماية الأنظمة التي تدير العمليات الفيزيائية: المصانع، وخطوط الأنابيب، وشبكات الكهرباء، ومحطات المياه، والمستشفيات. ليس أمن معلومات بخوذة. الأولويات تنقلب فيه، فالسلامة والاستمرارية أولًا، والسرية أخيرًا. المعدات تعمل عقودًا، والترقيع نادر. ويحدد معيار IEC 62443 ودليل NIST SP 800-82 (نسخة 2023) كيفية تطبيقه.

ما المقصود بالأنظمة التشغيلية أصلًا؟

التقنية التشغيلية عائلة الأنظمة التي تتفاعل مع العالم الفيزيائي. وتتكاثر الاختصارات بسرعة هنا: ICS لأنظمة التحكم الصناعي، وSCADA للأنظمة الموزّعة الأكبر كخطوط الأنابيب والشبكات، وDCS للتحكم على مستوى المصنع، وPLC للحواسيب الصغيرة المقوّاة التي تنفّذ العمل الفعلي على الأرض، وأنظمة السلامة المجهّزة (SIS) التي تمثّل خط الدفاع الأخير قبل أن ينفجر شيء أو يفيض.

أمن الأنظمة التشغيلية هو حفظ هذا كله يعمل بأمان، بينما يزداد اهتمام المهاجمين به عامًا بعد عام. وهو يتقاطع مع حماية الأجهزة المتصلة دون أن يطابقها؛ فإن خلطت بيئتك بينهما، يفيدك عملنا في أمن إنترنت الأشياء وهذا التمهيد عن أمن إنترنت الأشياء كرفيقين لهذا الدليل.

وثيقتان مرجعيتان تهمّان أكثر من غيرهما. سلسلة IEC 62443، المحدّثة حتى 2024، هي المعيار الدولي. ودليل NIST SP 800-82 (نسخة 2023) هو الدليل التفصيلي الأمريكي. إن كنت تبني برنامجًا من الصفر، فمن هذين تبدأ، مرتكزًا على معايير NIST ومعايير ISO المعتمدة للحوكمة.

وهنا التفصيل الذي يفوت أهل تقنية المعلومات غالبًا. في أمن المعلومات، يضع الثالوث الأمني الكلاسيكي السرية أولًا؛ تسريب البيانات هو الكابوس. في الأنظمة التشغيلية، ينقلب الترتيب تمامًا. ملف مسرّب أمر سيئ. لكن توربينًا يدور خارج حدوده الآمنة قد يقتل بشرًا. الاستمرارية تفوز. السلامة تفوز. السرية تأتي في الذيل.

لماذا لم يعد هذا سؤالًا أكاديميًا؟

المهاجمون وصلوا فعلًا

كولونيال بايبلاين، مايو 2021. برمجية فدية تضرب شبكة تقنية المعلومات. توقف الشركة خط الأنابيب نفسه احترازًا. ونقص الوقود يمتد عبر الساحل الشرقي الأمريكي أيامًا.

والتفصيل الذي يفوت كثيرين: الأنظمة التشغيلية لم تُخترَق مباشرة. شبكة المعلومات هي التي أُصيبت. لكن الشركة لم تستطع أن تجزم أن العدوى لم تنتشر، فأوقفت العمليات احتياطًا. وذلك القرار كشف كم صار الجدار بين العالمين رقيقًا، ولماذا صار الصمود السيبراني لازمًا للعالمين معًا.

وتقارير Dragos السنوية تتابع الاتجاه نفسه عامًا بعد عام: مزيد من المجموعات تطوّر قدرات تستهدف البيئات الصناعية تحديدًا. بعضها مدعوم من دول، وبعضها إجرامي. الاستهداف ليس نظريًا، وهو يعيد تشكيل طريقة تفكير حقل الأمن السيبراني الأوسع في العواقب الفيزيائية.

الجدران سقطت

لزمن طويل، اعتمد أمن الأنظمة التشغيلية على العزل. كانت شبكة التحكم معزولة عن الإنترنت، أو قريبة من ذلك. ثم جاءت الصناعة 4.0. ربطت المصانع بشبكات المؤسسة من أجل التحليلات. وبالسحابة من أجل الصيانة التنبؤية. وببوابات دعم المورّدين من أجل التشخيص عن بُعد.

أغلب هذه الوصلات تمّت لأسباب تجارية وجيهة. وقليل منها صُمّم والأمن في الحسبان أولًا. صار العزل الكامل وهمًا مهذّبًا في أغلب البيئات، وعلى نموذج الأمن أن يلحق بهذا الواقع، ولهذا تهمّ استراتيجية الثقة الصفرية في العالم التشغيلي بقدر ما تهمّ في عالم المعلومات.

ما الذي يختلف فعلًا في الدفاع عن الأنظمة التشغيلية؟

دعني أشرح هذا بشكل ملموس، لأن الفروق عن أمن المعلومات ليست تفصيلية، بل جوهرية.

المعدات تعيش للأبد تقريبًا. خادم في مركز بيانات شركة دورة تجديده خمس سنوات ربما. أما متحكم PLC يدير عملية في مصفاة؟ قد يبقى في الخدمة عشرين عامًا، وأحيانًا أكثر. ربما لم يعد المورّد موجودًا أصلًا. والترقيعات؟ غير متوفرة غالبًا. أحيانًا لم تُمَسّ البرمجية الثابتة منذ 2007.

والترقيع ليس روتينيًا. في تقنية المعلومات، ترقّع ليلة الثلاثاء وتنتهي. في الأنظمة التشغيلية، ترقيع متحكم في مصنع ذي عملية مستمرة يتطلب شهور تخطيط، وتنسيقًا مع المورّد، واختبار تحقق، وتوقفًا مجدولًا للإنتاج يكلّف مالًا حقيقيًا. عبارة "طبّق الترقيعات الحرجة فورًا" تعني شيئًا مختلفًا هنا.

والبروتوكولات غريبة. Modbus، DNP3، Profinet، OPC UA. صُمّمت قبل عقود، أغلبها للموثوقية لا للأمن، وكثير منها بلا مصادقة مدمجة أصلًا. أدوات أمن المعلومات التقليدية لا تفهمها. ولهذا بنت شركات مثل Dragos وClaroty وNozomi فئة منتجات كاملة للمراقبة الخاصة بالأنظمة التشغيلية، وهي قدرة تتكامل طبيعيًا مع مركز عمليات أمنية واعٍ بالبروتوكولات.

والعواقب فيزيائية. هذه أصعب نقطة على أهل المعلومات أن يستوعبوها. ترقيع فاشل في أمن المعلومات يسبب توقفًا. ترقيع فاشل في نظام تشغيلي قد يطلق مواد سامة في البيئة، أو يتلف معدات بملايين، أو يؤذي بشرًا. هذا ليس افتراضًا. ولهذا تمرّ كل تغييرات الأنظمة التشغيلية بعملية قد تبدو لفريق المعلومات مبالغًا في حذرها، وتجعل إدارة استمرارية الأعمال المُختبَرة غير قابلة للتفاوض.

أفضل الممارسات

سأرتّبها لا كقائمة متساوية، بل من الأساس صعودًا، لأن بعضها شرط لما بعده.

ابدأ بمعرفة ما على شبكتك فعلًا. وهذا ليس بديهيًا كما يبدو؛ أغلب المصانع لا تعرف بدقة ما المتصل بها. أدوات الاكتشاف السلبي المبنية لبروتوكولات الأنظمة التشغيلية ترسم خريطة البيئة دون أن ترسل النوع من الحركة الذي يُسقِط المتحكمات القديمة. تجعل ضوابط CIS v8 جرد الأصول الضابطين الأول والثاني، لأن كل شيء بعدهما يعتمد عليهما. وفي هذا المجال، العمل أصعب وأطول، وأهم.

ثم اعزل الشبكة وفق مناطق ومسارات IEC 62443. يجمع المعيار الأصول في مناطق ذات متطلبات أمنية مشتركة، ويعرّف مسارات اتصال محكومة بينها. ونموذج Purdue المرجعي يجلس تحت ذلك مفاهيميًا. حين يُنفَّذ هذا جيدًا، يصبح وصول حادث في شبكة المؤسسة إلى أنظمة السلامة على أرض الإنتاج أمرًا بالغ الصعوبة.

تحكّم في وصول المورّدين عن بُعد بلا تهاون. أنفاق VPN الدائمة إلى شبكات المورّدين من أكثر المسارات استغلالًا في حوادث الأنظمة التشغيلية الموثّقة. استبدلها بخوادم وسيطة، ومصادقة متعددة العوامل، وجلسات مسجّلة، ونوافذ وصول محدودة بالوقت. وإدارة الهوية والوصول القوية هي العمود الفقري هنا. كلفة الراحة حقيقية، لكن خفض الخطر يستحقها.

ابنِ كتيّبات استجابة خاصة بالأنظمة التشغيلية. كتيّباتك في أمن المعلومات لا تصلح هنا. عزل حاسوب مصاب يعني سحب كابل شبكته. عزل متحكم PLC مصاب قد يعني توقفًا مدروسًا للإنتاج بالتنسيق مع مهندسي السلامة. ودليل NIST SP 800-82 (نسخة 2023) فيه إرشاد مخصص لذلك، وإقرانه بقدرة استجابة فورية يحوّل الكتيّب إلى فعل.

درّب الطرفين على فجوة المعلومات والتشغيل. مهندس الأمن يحتاج أن يفهم سلامة العمليات. ومهندس العمليات يحتاج أن يفهم سلوك المهاجم. يغطّي مكوّن IEC 62443-2-4 الخاص بمتطلبات برنامج الأمن مسألة الكفاءة صراحة، ومواءمته مع وظيفة الحوكمة والمخاطر والامتثال تُبقي المساءلة واضحة. من يستثمر في هذا ينتهي بفريق واحد، ومن يهمله ينتهي بفريقين يتجادلان.

أين تتعثر برامج أمن الأنظمة التشغيلية؟

أشيع نمط، بفارق كبير، هو معاملة الأنظمة التشغيلية كنكهة من أمن المعلومات. يطلق فريق المعلومات مسحًا شبكيًا، فتتعطّل المتحكمات. ينشر عملاء حماية على الأطراف، فتنفد موارد المتحكمات. يجدول ترقيعًا تلقائيًا، فيتوقف الإنتاج الثالثة فجرًا. رأيت هذا التسلسل بالضبط يتكرر ثلاث مرات في خمس سنوات عند عملاء عملت معهم. النية دائمًا حسنة، والتنفيذ هو ما يسبب الحادث.

ونمط قريب أسمّيه وهم المحيط. استثمار ثقيل في جدار ناري بين المعلومات والأنظمة التشغيلية، ثم افتراض أن كل ما خلفه آمن. بيانات الحوادث الحقيقية تروي قصة أخرى. الجدران تُتجاوَز عبر حواسيب المهندسين التي تحمل ذواكر USB. وعبر وصول مورّد عن بُعد كان "مؤقتًا" قبل ثلاث سنوات. وعبر وصلات سحابية أُنشئت لمشروع تجريبي لم يوثّقها أحد. الدفاع المتعمّق داخل شبكة الأنظمة التشغيلية لم يعد رفاهية، وهو درس تعلّمه حقل مراكز العمليات الأمنية بصعوبة.

والنمط الثالث، وهو الأصعب علاجًا: لا أحد يملك أمن الأنظمة التشغيلية. مدير الأمن يفترض أن مدير المصنع يتولّاه. مدير المصنع يفترض أن مدير الأمن يتولّاه. العمليات تفترض أن تقنية المعلومات تتولّاه. فيسقط الاستثمار في الفجوة بينهم. وقد صارت ضوابط الأنظمة التشغيلية من الهيئة الوطنية السعودية للأمن السيبراني (OTCC-1, 2022)، وما يشبهها من منظّمين، أكثر صراحة في أن هذه الملكية لا بد أن تُسنَد رسميًا. لا بد أن يُسمّى شخص.

ما الذي ينتظرنا خلال السنتين القادمتين؟

الضغط التنظيمي يشتد. توجيه NIS2 الأوروبي، بتطبيقه الوطني خلال 2024، يوسّع التزامات الأمن السيبراني توسيعًا كبيرًا عبر مشغّلي الخدمات الأساسية، وداخله نطاق تشغيلي واسع. وتواصل الولايات المتحدة إضافة قواعد قطاعية عبر CISA وغيرها. وفي السعودية، نشرت الهيئة الوطنية ضوابط خاصة بالأنظمة التشغيلية، والإنفاذ ينضج.

والكشف عن التهديدات الواعي بالأنظمة التشغيلية لم يعد على حافة التقنية. صار توقعًا أساسيًا للبنية الحرجة. إن كنت تشغّل منشأة منظّمة بلا مراقبة واعية بالبروتوكولات الصناعية، فتلك فجوة سيبدأ المدققون في الإشارة إليها.

وعن الذكاء الاصطناعي في هذا المجال، أنصح بالحذر. التسويق صاخب، وإجماع الممارسين أكثر اتزانًا. كشف الشذوذ يبدو مفيدًا، وأحيانًا يكون كذلك فعلًا. لكن في سياق تشغيلي، قد تُطلِق الإنذارات الكاذبة استجابات على العملية لها تبعات على السلامة. التطبيقات التي رأيتها تعمل جيدًا تستخدمه ليرفع الأمر لمراجعة بشرية. التطبيقات التي تعثّرت منحته صلاحية التصرف وحده. هذا الفارق يصنع كل شيء.

خلاصة

أمن الأنظمة التشغيلية ليس أمن معلومات بحذاء سلامة. الأنظمة مختلفة، والأولويات مختلفة، والعواقب مختلفة، واستيراد افتراضات المعلومات كما هي هو بالضبط ما يجعل فرق الأمن حسنة النية تسبب الحوادث التي جاءت لتمنعها.

جرّب هذا. اختر نظام تحكم واحدًا حرجًا للإنتاج في بيئتك. واحدًا فقط. ثم أجب عن ثلاثة أسئلة على ورقة. من يملك أمنه السيبراني؟ ما المتصل به الآن؟ وكيف ستعرف لو اخترقه شيء؟ إن كان أي جواب ضبابيًا، فمن هناك يبدأ برنامجك فعلًا.

الأسئلة الشائعة

ما الفرق بين OT وICS وSCADA؟

OT هو المظلة الأوسع، يغطّي كل التقنية التشغيلية. وICS يقع داخله ويعني أنظمة التحكم الصناعي، ويشمل SCADA وDCS وPLC. أما SCADA فنوع من ICS، يُستخدم عادةً لأصول موزّعة جغرافيًا كخطوط الأنابيب ونقل الكهرباء وتوزيع المياه. تتداخل المصطلحات في الحديث العادي، لكن الفروق تهمّ حين تكتب مواصفات شراء أو تقرأ معيارًا.

هل يصلح إطار NIST CSF للبيئات التشغيلية؟

نعم، مع تكييف. بُني NIST CSF 2.0 (2024) ليكون محايد القطاع، ويعمل جيدًا كإطار تنظيمي. وللعمق التقني الذي يحتاجه مهندسو الأنظمة التشغيلية، ضع تحته NIST SP 800-82 (نسخة 2023) أو IEC 62443. يعطيك CSF لغة التقارير التنفيذية، وتعطيك المعايير المتخصصة تفصيل الضوابط.

كيف تهدد برمجيات الفدية الأنظمة التشغيلية تحديدًا؟

أغلب الآثار التشغيلية الموثّقة من الفدية جاءت غير مباشرة: تُصاب بيئة المعلومات، فيوقف المشغّلون الأنظمة التشغيلية احتياطًا لعجزهم عن الجزم بالاحتواء. توجد متغيّرات فدية كُتبت للبيئات الصناعية تحديدًا، لكنها أقل شيوعًا من نمط الانتقال من المعلومات. والعزل القوي بين العالمين يقلّل احتمال أن يفرض حادث في المعلومات توقفًا تشغيليًا.

هل نحتاج فريقين منفصلين للمعلومات والأنظمة التشغيلية؟

النموذج الذي أراه يعمل أفضل هو حوكمة موحّدة مع تنفيذ متخصص. وظيفة مدير أمن واحدة تحمل المساءلة الشاملة، وداخلها فريق متخصص بأمن الأنظمة التشغيلية. الفصل التام يخلق إخفاقات تنسيق أثناء الحوادث، والدمج التام يتجاهل الفروق التقنية الحقيقية. والطريق الوسط، رغم فوضاه، يعطي نتائج أفضل من أي طرف.