ضرورة أمان OT/ICS في المملكة العربية السعودية

تعتمد البنية التحتية الحرجة بالمملكة—التي تشمل توليد وتوزيع الطاقة ومحطات تحلية المياه والمراكز الاتصالية وأنظمة النقل—على أنظمة التحكم الصناعي وتكنولوجيا التشغيل التي صُممت تاريخياً للموثوقية والتوفر بدلاً من الأمان السيبراني. مع تصاعد التهديدات السيبرانية عالمياً واستهداف الدول الأجنبية المتزايد لقطاعات الطاقة والمياه، يجب على المنظمات السعودية معاملة أمان OT/ICS كأولوية استراتيجية متوافقة مع المرونة الوطنية.

يضع إطار عمل SAMA للأمان السيبراني والضوابط الأساسية للأمان السيبراني من هيئة الأمن السيبراني الوطنية (NCA ECC) خطوط أساسية إلزامية لمشغلي البنية التحتية الحرجة. يعترف كلا الإطارين بأن بيئات OT/ICS تختلف بشكل جوهري عن شبكات تكنولوجيا المعلومات: فهي تعطي الأولوية للتوفر المستمر، وتعمل على معدات قديمة بدورات حياة طويلة، وغالباً ما تستخدم بروتوكولات ملكية. لكن تقارب تكنولوجيا المعلومات والعمليات—مدفوعاً بالمراقبة عن بُعد والاتصال السحابي واعتماد الصناعة 4.0—قد أضعف الفجوات الهوائية التقليدية وأدخل ثغرات موروثة من تكنولوجيا المعلومات إلى الأنظمة المعزولة سابقاً.

الثغرات الرئيسية في بيئات OT/ICS

تشمل نقاط الضعف الشائعة في OT/ICS:

  • المعدات القديمة بدون تحديثات أمان: تعمل العديد من أجهزة التحكم الصناعي على برامج ثابتة من الفترة 2000–2010، حيث لم تعد الشركات المصنعة توفر تحديثات. غالباً ما يكون الاستبدال مكلفاً بشكل منع.
  • المصادقة الضعيفة أو الغائبة: تبقى بيانات الاعتماد الافتراضية والحسابات المشتركة والافتقار إلى المصادقة متعددة العوامل منتشرة في الشبكات التشغيلية.
  • الاتصالات غير المشفرة: غالباً ما تنقل البروتوكولات الصناعية الملكية البيانات بصيغة نصية عادية، مما يجعلها عرضة للتنصت والهجمات من رجل في الوسط.
  • تقسيم الشبكة غير الكافي: شبكات OT المتصلة مباشرة بتكنولوجيا المعلومات الخاصة بالشركة أو الإنترنت بدون جدران حماية أو مناطق محايدة.
  • مخاطر الطرف الثالث وسلسلة التوريد: يُدخل الوصول عن بُعد من قِبل الموردين والمدمجين والشركات المصنعة حدود ثقة نادراً ما يتم مراقبتها أو إلغاء صلاحيتها.

التوافق مع الأطر التنظيمية

يتطلب إطار عمل SAMA من مشغلي البنية التحتية الحرجة تنفيذ ضوابط عبر مجالات الحوكمة وإدارة المخاطر والتقنيات. تحدد NCA ECC 14 ضابطاً أساسياً، بما في ذلك جرد الأصول والتحكم في الوصول والاستجابة للحوادث ومراقبة الأمان. بالنسبة لـ OT/ICS، يعني الامتثال:

  • الحفاظ على جرد كامل وحالي لجميع أجهزة OT، بما في ذلك إصدارات البرامج الثابتة والثغرات المعروفة.
  • تنفيذ التحكم في الوصول بناءً على الأدوار (RBAC) وإدارة الوصول المميز (PAM) لجميع أنظمة OT.
  • نشر كشف الاختراق في الشبكة والمراقبة الشاذة المصممة لبروتوكولات صناعية (مثل Modbus و OPC UA و DNP3).
  • إنشاء برامج إدارة مخاطر الموردين التي تشمل تقييمات الأمان والالتزامات الأمنية التعاقدية.
  • إجراء اختبارات الاختراق المنتظمة وتمارين الطاولة المستديرة الخاصة ببيئات OT.

تنطبق قانون حماية البيانات الشخصية السعودي (PDPL) واللوائح المنفذة له أيضاً عندما تعالج أنظمة OT البيانات الشخصية (مثل سجلات الوصول للموظفين وسجلات خدمة العملاء)، مما يتطلب التشفير والتحكم في الوصول وبروتوكولات إخطار الانتهاك.

استراتيجيات الدفاع العملية

تقسيم الشبكة والعزل: عزل شبكات OT عن تكنولوجيا المعلومات والإنترنت باستخدام جدران الحماية والمناطق المحايدة الصناعية (iDMZ) وبوابات أحادية الاتجاه. نشر بوابات البيانات للتدفقات الحرجة للمراقبة.

إدارة الموردين وسلسلة التوريد: تدقيق الوصول عن بُعد للأطراف الثالثة، فرض VPN والمصادقة متعددة العوامل لجميع الاتصالات الخارجية، وتطبيق مبادئ الثقة الصفرية للتفاعلات مع الموردين.

المراقبة والكشف: نشر أدوات إدارة معلومات الأمان والأحداث (SIEM) والكشف عن الشذوذ التي تفهم البروتوكولات الصناعية والخطوط الأساسية التشغيلية العادية.

تخطيط الاستجابة للحوادث: تطوير خطط عمل خاصة بـ OT توازن بين الأمان السيبراني والسلامة والاستمرارية التشغيلية. التنسيق مع سلطات الاستجابة للحوادث الوطنية والمنظمات النظيرة.

القوى العاملة والثقافة: تدريب موظفي العمليات على التعرف على الهندسة الاجتماعية والتصيد الاحتيالي، وإنشاء ثقافة يتم فيها الإبلاغ عن مخاوف الأمان بدون خوف من اللوم التشغيلي.

النظر إلى المستقبل

مع تقدم المملكة في مبادرات التحول الرقمي ورؤية 2030، يجب أن يتطور أمان OT/ICS بالتوازي. تُدخل التقنيات الناشئة مثل إنترنت الأشياء الصناعي واتصالات 5G والمراقبة المستندة إلى السحابة أسطح هجوم جديدة. يجب على قادة الأمان اعتماد عقلية التحسين المستمر، وإعادة تقييم المخاطر بانتظام، والانخراط مع المنظمات النظيرة والوكالات الحكومية، والاستثمار في التدريب والأدوات التي تعكس الطلبات الفريدة للبيئات التشغيلية.

حماية البنية التحتية الحرجة ليست مسؤولية تقنية فحسب—بل هي ضرورة استراتيجية تحمي الاستقرار الاقتصادي الوطني وسلامة المواطنين وثقة الجمهور.