اختلاف كبير في أولويات مرونة منظمات البنية التحتية الحيوية: إدارة التصحيحات تكشف الفجوة القطاعية

اختلافات كبيرة في أولويات مرونة مؤسسات البنية التحتية الحيوية: إدارة التصحيحات تكشف فجوة بين القطاعات

مقدمة

أحد أكبر التحديات التي يواجهها قادة الأمن هو صعوبة تقييم وضعهم الأمني بدقة مقارنة بأقرانهم. يكشف تقرير Onyxia Cyber السنوي الثالث لدراسة CISO بعنوان "الفجوات بين القطاعات: أولويات المرونة لقادة الأمن عبر القطاعات" عن واقع مقلق: ممارسات مؤسسات البنية التحتية الحيوية في إدارة التصحيحات والاستجابة للثغرات أبطأ بكثير من القطاعات الأخرى، وهذه الفجوة تستغلها الجهات المهاجمة. يستند التقرير إلى استبيان شمل مدراء أمن المعلومات (CISO) في قطاعات متعددة، ويظهر كيف يؤدي اختلاف تحمل المخاطر بين القطاعات إلى تباين كبير في الاستراتيجيات الأمنية.

نظرة عامة على الحدث

• التاريخ: 21 يوليو 2026
• الجهة الناشرة: Onyxia Cyber (شركة أمن تقدم دراسات CISO)
• النتيجة الرئيسية: 31.3% فقط من مؤسسات البنية التحتية الحيوية تُكمل التصحيح خلال ثلاثة أيام من اكتشاف ثغرة حرجة، بينما تصل هذه النسبة في القطاعات الأخرى (مثل المالية والتكنولوجيا) إلى ضعف ذلك تقريبًا (نحو 60%).
• الخلفية: تواجه مؤسسات البنية التحتية الحيوية قيودًا تشغيلية فريدة، مثل متطلبات توفر أنظمة OT، ونوافذ التغيير الطويلة، وتقادم الأصول، مما يؤدي إلى تأخير نشر التصحيحات.
• العنوان الكامل للتقرير: "الفجوات بين القطاعات: كشف أولويات المرونة لدى CISO عبر القطاعات"

تحليل تقني ومخاطر

أسلوب الهجوم: يؤدي التأخر في إدارة التصحيحات إلى زيادة خطر هجمات برامج الفدية واستغلال الثغرات المعروفة. عادةً ما يمنح المهاجمون الأولوية لمسح أنظمة CVE غير المُصححة في البنية التحتية الحيوية (مثل Log4Shell وProxyLogon)، لأن تعطيل أعمال هذه المؤسسات له تأثير هائل، كما أن رغبتها في دفع الفدية أعلى.

سلسلة الاستغلال: يحدد المهاجمون الأنظمة غير المُصححة واسعة الانتشار في البنية التحتية الحيوية عبر قواعد بيانات الثغرات العامة، ثم يستخدمون الوصول الأولي (مثل التصيد، ثغرات VPN) لدخول الشبكة، وينتقلون أفقيًا إلى الأصول الحيوية (مثل SCADA، وحدات التحكم الصناعية)، وأخيرًا ينشرون برامج الفدية أو يسرقون البيانات.

• الأصول المتأثرة:
• أنظمة النقاط الطرفية: أصول OT قديمة وأنظمة IT لم تُصحح في الوقت المناسب.
• أنظمة الهوية: Active Directory، حسابات الامتيازات.
• البيئات السحابية: لكن البنية التحتية الحيوية تعتمد أكثر على البنية المحلية وهندسة OT.
• أنظمة OT: وحدات التحكم المنطقية القابلة للبرمجة (PLC)، واجهات الإنسان والآلة (HMI)، أنظمة التحكم الصناعية (ICS).

تحليل التأثير على المؤسسات

• من منظور المؤسسات، تأثير التأخر في إدارة التصحيحات متعدد الأبعاد:- مخاطر تشغيلية: يتطلب إصلاح الثغرات الأمنية التوقف عن العمل، ولكن التوقف بحد ذاته يعني خسائر في الإنتاجية وقضايا الامتثال الأمني للبنية التحتية الحيوية (مثل الكهرباء والمياه والصناعات التحويلية). تأخير التصحيح قد يؤدي إلى هجوم، مما يسبب انقطاعًا أطول.
• مخاطر مالية: تتسبب هجمات برامج الفدية الناجحة في متوسط خسائر مباشرة تصل إلى ملايين الدولارات، بما في ذلك الفدية وتكاليف الاسترداد والغرامات التنظيمية.
• مخاطر الامتثال: تتطلب أطر مثل توجيهات CISA الأمريكية و NERC CIP و NIS2 الأوروبية تصحيح الثغرات الحرجة في الوقت المناسب. عدم الامتثال قد يؤدي إلى عقوبات قانونية.
• مخاطر العلامة التجارية: يؤدي انقطاع خدمات البنية التحتية الحيوية إلى فقدان ثقة الجمهور والتدقيق التنظيمي.
• مخاطر البيانات: حتى لو لم تكن أنظمة OT هي المخزن الرئيسي للبيانات، يمكن للمهاجمين سرقة بيانات العملاء أو التشغيل عبر اتصالات IT/OT.

ملاحظات حول اتجاهات الصناعة

هذا الحادث ليس معزولًا، بل يعكس اتجاهات أعمق في الصناعة:

1. فجوة ممارسات إدارة التصحيحات: غالبًا ما لا تستطيع مؤسسات البنية التحتية الحيوية نشر التصحيحات بسرعة مثل قطاعي المالية أو التكنولوجيا بسبب متطلبات استمرارية التشغيل. هذا الاختلاف يتسع بدلاً من أن يتقلص. 2. تباين تحمل المخاطر: يشير التقرير إلى أن مستوى المخاطر الذي يعتبره قطاع غير مقبول قد يتغاضى عنه قطاع آخر. هذا "الانحراف الطبيعي" يجعل من الصعب وضع معايير عبر القطاعات. 3. نمو الهجمات بالذكاء الاصطناعي: يستخدم المهاجمون أدوات الذكاء الاصطناعي لمسح الثغرات واستغلالها تلقائيًا، مما يزيد من مخاطر تأخر التصحيحات. 4. تعزيز حماية البنية التحتية الحيوية: تزيد الحكومات من تنظيم البنية التحتية الحيوية، ولكن لا يزال هناك فجوة في التنفيذ الفعلي. 5. الثقة الصفرية ورؤية الأصول: يدرك المزيد من مدراء أمن المعلومات (CISO) أن إدارة التصحيحات هي مجرد جزء من المرونة، وتحتاج إلى دمجها مع تجزئة الشبكة والمراقبة المستمرة والاستجابة للحوادث.

توصيات للدفاع والاستجابة

نظرًا لخصوصية مؤسسات البنية التحتية الحيوية، يُوصى باستراتيجية دفاع متعددة الطبقات:

• على مستوى المؤسسة:
• أمن الهوية: نشر المصادقة متعددة العوامل (MFA) في جميع نقاط الوصول، خاصة الوصول عن بُعد والخدمات المدارة.
• هندسة الثقة الصفرية: تطبيق مبدأ "لا تثق أبدًا، تحقق دائمًا" مع عزل دقيق لشبكات IT و OT.
• إدارة الثغرات: إنشاء أولويات التصحيح القائمة على المخاطر، باستخدام التصحيح الافتراضي أو الضوابط التعويضية للثغرات الحرجة، وتفعيل كشف التسلل وعزل الأصول عند عدم القدرة على التصحيح فورًا.

• على المستوى الفني:
• SIEM/SOAR: دمج معلومات تهديدات OT، والربط التلقائي للأحداث الشاذة.
• EDR/XDR: نشر كشف النقاط النهائية في بيئات IT و OT، مع مراعاة التوافق مع أنظمة الإنتاج.
• الاشتراك في معلومات التهديدات: الاستفادة من معلومات منظمات مثل CISA و ISAC لمعرفة استغلال الثغرات النشطة.المستوى الإداري:
• خطة الاستجابة للحوادث: تطوير إجراءات محددة للبيئة التقنية التشغيلية (OT)، بما في ذلك إجراءات العزل المادي وتشغيل الأنظمة الاحتياطية.
• إدارة مخاطر الطرف الثالث: تقييم مستوى الأمان للموردين وشركات الخدمات المدارة، وتحديد مسؤوليات التصحيح.
• حوكمة الأمن السيبراني: دمج نضج التصحيح في المؤشرات على مستوى مجلس الإدارة، ودفع الأقسام التجارية لدعم الاستثمار في الأمن.

رؤية SecurityPost

يكشف تقرير شركة Onyxia Cyber عن حقيقة جوهرية: إن تأخر مؤسسات البنية التحتية الحيوية في إدارة التصحيحات ليس بسبب نقص القدرات التقنية، بل نتيجة موازنات تشغيلية وثقافية. ومع ذلك، فإن هذه "المخاطر المقبولة" أصبحت غير مقبولة مع تزايد الهجمات المدعومة من الدول. لقد حذرت هيئات مثل CISA وENISA مرارًا من أن البنية التحتية الحيوية أصبحت في طليعة الحرب السيبرانية.

الدروس المستفادة لأمن المؤسسات: لا يمكن قياس مستوى الأمان الخاص بك بمجرد المتوسطات الصناعية. يجب على مؤسسات البنية التحتية الحيوية وضع معايير مرونة خاصة بالقطاع، واستخدام ضوابط تعويضية (مثل التقسيم الشبكي، مطاردة التهديدات النشطة) لتعويض تأخير التصحيحات. بالإضافة إلى ذلك، فإن مشاركة معلومات التهديدات وأفضل الممارسات مع الأقران (عبر ISAC على سبيل المثال) ستساعد في تضييق فجوة الأمان.

اتجاهات مستقبلية: من المتوقع ظهور أدوات استغلال ثغرات آلية أكثر استهدافًا للبنية التحتية الحيوية، بالإضافة إلى متطلبات إلزامية من الجهات التنظيمية بشأن توقيت التصحيحات. يجب على قادة الأمن ترقية إدارة التصحيحات من مشروع تقني معلوماتي إلى ركيزة استمرارية الأعمال، وإلا فسيواجهون مخاطر وتكاليف متزايدة.