الحاجة الملحة لأمن OT/ICS للبنية التحتية الحيوية في السعودية

تعتمد الخدمات الحيوية في المملكة العربية السعودية على أنظمة التكنولوجيا التشغيلية وأنظمة التحكم الصناعي. توليد الكهرباء والتوزيع، ومحطات تحلية المياه، ومعالجة النفط والغاز، ومعالجة المياه، والشبكات الذكية للنقل—كل هذه تعتمد على بيئات OT/ICS التي كانت معزولة تاريخياً عن شبكات تكنولوجيا المعلومات بالشركات. لا يعتبر هذا العزل بعد الآن استراتيجية أمنية قابلة للحياة. أدى تقارب تكنولوجيا المعلومات و OT والاتصال السحابي والإدارة عن بعد إلى إنشاء مسارات جديدة للتهديدات السيبرانية—من برامج الفدية التي تستهدف أنظمة SCADA إلى التسويات في سلسلة التوريد التي تؤثر على البرامج الثابتة الصناعية.

يعالج إطار الأمن السيبراني من البنك المركزي السعودي (SAMA CSF) والضوابط الأساسية للأمن السيبراني من هيئة الاتصالات (NCA ECC) الآن حوكمة OT/ICS بشكل صريح. يعترف كلا الإطاران بأن التكنولوجيا التشغيلية تتطلب ضوابط مخصصة: لا يمكنك ببساطة تطبيق السياسات المركزة على تكنولوجيا المعلومات على الأنظمة التي تأخذ فيها التوفر والسلامة والعواقب المادية الأولوية المطلقة.

التوقعات التنظيمية في المملكة العربية السعودية

يطلب إطار SAMA CSF من المنظمات التي تدير البنية التحتية الحيوية تنفيذ ما يلي:

  • جرد الأصول والتصنيف لجميع أجهزة OT/ICS، بما في ذلك المعدات القديمة ذات قدرة التصحيح المحدودة
  • فصل الشبكة بين مجالات تكنولوجيا المعلومات و OT، مع تدفقات البيانات المراقبة والمراقبة
  • التحكم في الوصول المخصص لأدوار OT—التمييز بين المهندسين والمشغلين وموظفي الصيانة
  • المراقبة المستمرة لحركة OT/ICS والشذوذ، باستخدام الأدوات المصممة للبروتوكولات الصناعية (Modbus و Profibus و DNP3 و OPC UA)
  • إجراءات الاستجابة للحوادث التي تأخذ في الاعتبار الآثار الحرجة للسلامة والتنسيق مع فرق الأمان المادي

تعزز ضوابط NCA ECC هذه المتطلبات وتضيف توقعات لإدارة مخاطر البائعين—حيث أن معدات OT غالباً ما تأتي من موردين دوليين بشفافية محدودة فيما يتعلق بالبرامج الثابتة أو دورات التصحيح.

ينطبق قانون حماية البيانات الشخصية السعودي (PDPL) وأنظمته التنفيذية أيضاً على بيئات OT حيث تتم معالجة البيانات التشغيلية أو سجلات الصيانة أو سجلات الوصول للموظفين. يجب على المنظمات التأكد من أن أنظمة OT التي تتعامل مع البيانات الشخصية تلبي متطلبات PDPL لتقليل البيانات والاحتفاظ والإخطار بالاختراق.

التحديات الرئيسية في أمن OT/ICS

الأنظمة القديمة ودورات الحياة الطويلة: غالباً ما تعمل المعدات الصناعية لمدة 15-20 سنة مع تحديثات بسيطة. التصحيح محفوف بالمخاطر وقد يتطلب إيقاف الإنتاج. يجب على فرق الأمان موازنة إدارة الثغرات مع استمرارية العمليات.

فجوات المهارات: يتحدث مهندسو OT وفرق أمن تكنولوجيا المعلومات لغات مختلفة. يعطي موظفو OT الأولوية للتوفر والسلامة؛ تعطي فرق الأمان الأولوية للسرية والنزاهة. يتطلب سد هذه الفجوة التدريب والحوكمة متعددة الوظائف ومؤشرات الأداء المشتركة.

الرؤية والمراقبة: تفتقر العديد من المنظمات إلى الرؤية في الوقت الفعلي لشبكات OT. يتطلب نشر أدوات المراقبة دون تعطيل العمليات تخطيطاً دقيقاً وأدوات مصممة للبيئات الصناعية.

مخاطر سلسلة التوريد: غالباً ما تأتي معدات OT والبرامج الثابتة من البائعين الذين لديهم شفافية أمان محدودة. يجب أن تتضمن سياسات المشتريات متطلبات الأمان، ويجب على المنظمات إنشاء عمليات لتتبع وإدارة إصدارات البرامج الثابتة في جميع أنحاء المؤسسة.

الخطوات العملية للمضي قدماً

يجب على المنظمات أن تعطي الأولوية لما يلي:

  • حوكمة OT/ICS: إنشاء لجنة توجيهية متعددة الوظائف مع ممثلين من العمليات والهندسة وتكنولوجيا المعلومات والأمان. تحديد الأدوار والمسؤوليات ومسارات التصعيد.
  • تصميم الشبكة: تنفيذ المناطق المحصنة (DMZs) وتدفقات البيانات أحادية الاتجاه بين OT وتكنولوجيا المعلومات. استخدام جدران الحماية الصناعية وأدوات الفحص التي تدرك البروتوكول.
  • المراقبة والكشف: نشر أمان المعلومات والإدارة (SIEM) الخاصة بـ OT والكشف عن الشذوذ المخصص للبروتوكولات الصناعية والسلوك الأساسي.
  • إدارة البائعين: اطلب شروط الأمان في عقود المشتريات، بما في ذلك سياسات تحديث البرامج الثابتة والإفصاح عن الثغرات وجداول الاستجابة للحوادث.
  • تمارين الطاولة المستديرة: إجراء تدريبات قائمة على السيناريوهات تتضمن OT وتكنولوجيا المعلومات والأمان المادي والقيادة العليا لاختبار الاستجابة للحوادث والتنسيق.

تعتمد خارطة الطريق لرؤية السعودية 2030 على بنية تحتية حيوية مرنة وآمنة. يعتبر محاذاة أمن OT/ICS مع SAMA CSF و NCA ECC ليس خانة الامتثال—بل هو أساس الأمن الاقتصادي الوطني وسلامة الجمهور.