المشهد التنظيمي لأمان تقنيات التشغيل والأنظمة الحرجة في المملكة

يعالج إطار عمل الأمن السيبراني للمؤسسة النقدية السعودية (SAMA CSF) والضوابط الأساسية للأمن السيبراني (NCA ECC) من هيئة الأمن السيبراني الوطنية الآن بشكل صريح تقنيات التشغيل والأنظمة الحرجة كمجالات حيوية. يعترف كلا الإطارين بأن توليد الطاقة ومعالجة المياه والنقل والبنية التحتية للاتصالات لا يمكنها الاعتماد على نماذج أمان تقليدية تقتصر على تقنية المعلومات فقط. يتطلب إطار عمل SAMA CSF من المؤسسات المالية ومزودي الخدمات الحيوية تنفيذ التقسيم والتحكم في الوصول والمراقبة المستمرة عبر بيئات تقنيات التشغيل. يفرض NCA ECC القدرة على جرد الأصول وإدارة الثغرات والاستجابة للحوادث الخاصة بمعماريات تقنيات التشغيل والأنظمة الحرجة.

يمتد قانون حماية البيانات الشخصية السعودي (PDPL) والأنظمة المنفذة له التزامات حماية البيانات إلى البيئات التشغيلية حيث تتم معالجة أو تخزين البيانات الشخصية. يجب على قادة الأمن التأكد من أن أنظمة تقنيات التشغيل والأنظمة الحرجة التي تتعامل مع معلومات العملاء أو الموظفين تفي بمعايير PDPL للسرية والتكامل والتوفر—وهو متطلب يتعارض غالباً مع فلسفات تصميم أنظمة تقنيات التشغيل القديمة.

بيئة التهديدات الحالية وأنماط الهجمات

تواجه بيئات تقنيات التشغيل والأنظمة الحرجة في الشرق الأوسط استهدافاً مستمراً من جهات فاعلة ترعاها الدول والعصابات الإجرامية ومتطفلي الداخل. بخلاف أنظمة تقنية المعلومات، يمكن لهجمات تقنيات التشغيل أن تسبب ضررًا فيزيائياً فوراً: انقطاع شبكات الكهرباء أو تلويث إمدادات المياه أو انهيار شبكات النقل. تُظهر الحوادث العالمية الأخيرة أن المهاجمين يستخدمون بشكل متزايد حملات متعددة المراحل—الاختراق الأولي عبر رسائل التصيد أو ناقلات سلسلة التوريد، والحركة الجانبية عبر حدود تقنية المعلومات وتقنيات التشغيل، والتلاعب النهائي بالأنظمة الحرجة. يظل غياب التقسيم القوي للشبكة بين تقنية المعلومات وتقنيات التشغيل ثغرة حرجة في العديد من المنشآت السعودية.

تطور برنامج الفدية الموجه لتقنيات التشغيل والأنظمة الحرجة ليتجاوز التشفير إلى الابتزاز وسرقة البيانات والتهديدات بمعالجة منطق التحكم. يجب على المشغلين السعوديين افتراض أن الخصوم لديهم بيانات استطلاع عن شبكاتهم ويقومون بنشاط بالتحقيق عن نقاط الضعف.

الحوكمة وأفضل الممارسات التشغيلية

إدارة الأصول والجرد: ابدأ بجرد كامل وحالي لأجهزة تقنيات التشغيل والأنظمة الحرجة، بما في ذلك إصدارات البرامج الثابتة وتوصيلات الشبكة وتصنيفات الأهمية. تفتقر العديد من الأنظمة القديمة إلى الرؤية؛ أدوات الاكتشاف الآلي المصممة لبيئات تقنيات التشغيل (وليس ماسحات تقنية المعلومات) ضرورية.

تقسيم الشبكة: تنفيذ حدود معزولة هوائياً أو مراقبة صارمة بين شبكات تقنية المعلومات وتقنيات التشغيل. يجب مراقبة وتسجيل تدفقات البيانات بين المناطق. تقلل المناطق المحايدة (DMZs) مع تصفية الطبقة التطبيقية من سطح الهجوم.

التحكم في الوصول والمصادقة: فرض التحكم في الوصول القائم على الأدوار (RBAC) والمصادقة متعددة العوامل حيث تسمح معمارية نظام تقنيات التشغيل. يجب القضاء على حسابات الخدمة والبيانات المشتركة—الشائعة في تقنيات التشغيل القديمة—أو تدقيقها بشكل صارم.

إدارة الثغرات والتصحيحات: غالباً ما يصدر بائعو تقنيات التشغيل التصحيحات ببطء؛ ضع جدول تصحيح قائماً على المخاطر يوازن بين الأمان والاستمرارية التشغيلية. حافظ على العلاقات مع البائعين لفهم جداول التصحيح والاختبار في بيئات معزولة قبل النشر.

المراقبة والاستجابة للحوادث: نشر إدارة معلومات الأمن والأحداث (SIEM) التي تدرك تقنيات التشغيل أو أدوات مراقبة تقنيات التشغيل المخصصة التي تفهم بروتوكولات التحكم (Modbus و DNP3 و IEC 60870-5-104 وغيرها). طور إجراءات استجابة للحوادث خاصة بتقنيات التشغيل، بما في ذلك بروتوكولات الإيقاف اليدوي والتنسيق مع فرق الأمن الفيزيائي.

المخاطر في سلسلة التوريد والجهات الخارجية: غالباً ما يكون لدى البائعين والمدمجين والمقاولين الذين يقومون بالصيانة وصول بعيد إلى أنظمة تقنيات التشغيل. فرض معايير أمان تعاقدية، وإجراء تدقيقات منتظمة، وتقييد الوصول إلى نوافذ صيانة محددة.

المواءمة مع المعايير الدولية

توفر ISO/IEC 27001:2022 و ISO/IEC 27002 ضوابط أساسية قابلة للتطبيق على تقنيات التشغيل. يوفر إطار عمل NIST للأمن السيبراني 2.0 والإرشادات الخاصة بـ NIST لأنظمة ICS/SCADA توصيات تفصيلية لنمذجة التهديدات والتحكم. يجب على المشغلين السعوديين استخدام هذه كمعماريات مرجعية مع ضمان الامتثال لتفويضات SAMA CSF و NCA ECC.

النظر إلى الأمام

أمان تقنيات التشغيل والأنظمة الحرجة ليس مشروعاً لمرة واحدة بل تخصصاً مستمراً. يجب على قادة الأمن تعزيز التعاون بين فرق الأمن السيبراني والهندسة والعمليات، وتأمين رعاية تنفيذية لبرامج متعددة السنوات، والاستثمار في التدريب والوعي للموظفين الذين يتفاعلون مع أنظمة التحكم. ستزداد الرقابة التنظيمية؛ ستكون المنظمات التي تبني برامج قوية لتقنيات التشغيل والأنظمة الحرجة الآن في وضع أفضل للوفاء بمتطلبات الامتثال المستقبلية وبشكل أهم لحماية الخدمات الأساسية التي تعتمد عليها المجتمع السعودي.