الكونغرس الأمريكي ينظر في وضع مراكز البيانات كبنية تحتية حيوية: ملاحظات حول أمن الشركات واتجاهات التنظيم

مقدمة

عقدت اللجنة الفرعية المعنية بالأمن السيبراني وحماية البنية التحتية التابعة للجنة الأمن الداخلي بمجلس النواب الأمريكي، جلسة استماع هذا الأسبوع حول كيفية حماية مراكز البيانات من الهجمات السيبرانية والهجمات المادية. ومع ازدياد ازدهار بناء مراكز البيانات بدافع من الذكاء الاصطناعي، وحوادث مثل هجوم طائرة مسيّرة إيرانية على مركز بيانات أمازون، بدأ المشرعون وخبراء الصناعة في التساؤل عما إذا كان الإطار الفيدرالي الحالي لحماية مراكز البيانات كافياً. ويتمحور الجدل الأساسي حول ما إذا كان ينبغي تصنيف مراكز البيانات كقطاع مستقل للبنية التحتية الحيوية وإنشاء آلية تنسيق متخصصة. ولا يقتصر هذا النقاش على أمن البنية التحتية الوطنية الأمريكية فحسب، بل سيكون له تأثير عميق على الطريقة التي تستخدم بها الشركات في جميع أنحاء العالم الخدمات السحابية ومراكز البيانات.

نظرة عامة على الأحداث

وفقاً لتقرير CyberScoop، عُقدت جلسة الاستماع يوم الأربعاء برئاسة النائب آندي أوغلز. وأشار في كلمته الافتتاحية إلى أن الإطار الحالي لا يوفر نهجاً واضحاً وموحداً لتأمين مراكز البيانات، بما في ذلك تحديد الوكالة الفيدرالية المسؤولة عن فهم المخاطر، والتنسيق مع الصناعة، أو قيادة الاستجابة عند تعرض البنية التحتية لهجوم.

وقد أعرب شهود وخبراء من الصناعة خلال الجلسة عن وجهات نظر مختلفة بشأن الوضع الحالي لأمن مراكز البيانات. قال روبرت ماير، نائب الرئيس الأول لجمعية الاتصالات الأمريكية (USTelecom)، إن مراكز البيانات، باعتبارها بنية تحتية فريدة، يجب أن يكون لها مجلس تنسيق فريد لضمان أمنها. أما مارك مونتغمري من مؤسسة الدفاع عن الديمقراطيات (FDD) فاقترح دمج مراكز البيانات ومزودي الخدمات السحابية في قطاع واحد نظراً لتداخل ملكيتهما. ورأى صامويل فيسنر، رئيس مجلس إدارة مركز تبادل وتحليل المعلومات الفضائية (Space ISAC)، أن اعتبار مراكز البيانات بنية تحتية حيوية وحمايتها أمر "ضروري للغاية". بينما قال سكوت ألجير، المدير التنفيذي لمركز تبادل وتحليل المعلومات لتكنولوجيا المعلومات (IT-ISAC)، إن مراكز البيانات أصبحت بالفعل جزءاً من النقاش حول البنية التحتية الحيوية، وتم إنشاء مجموعة اهتمامات خاصة لمقدمي مراكز البيانات.

فيما يتعلق ببيانات السوق، تشكل مزودات الخدمات الثلاث الكبرى؛ أمازون AWS ومايكروسوفت Azure ومنصة جوجل السحابية، مجتمعةً 63% من حصة سوق مراكز البيانات. وقد صنفت المملكة المتحدة مراكز البيانات كقطاع مستقل للبنية التحتية الحيوية في عام 2024.

التحليل التقني والمخاطر

طرق الهجوم

تتنوع التهديدات التي تواجه مراكز البيانات وتزداد تعقيداً. تقليدياً، كانت الهجمات السيبرانية مثل برامج الفدية وهجمات حجب الخدمة (DDoS) وتسريبات البيانات هي المخاطر الرئيسية. ومع ذلك، مع قيام الذكاء الاصطناعي بدفع مراكز البيانات لتصبح جوهر الاقتصاد الرقمي، تتزايد أيضاً الهجمات المادية والهجمات الهجينة. على سبيل المثال، استخدمت إيران طائرة مسيّرة لمهاجمة مركز بيانات أمازون، وهو ما يمثل تهديداً هجيناً جديداً من نوع "مادي-سيبراني". بالإضافة إلى ذلك، سهّل انتشار تقنيات الذكاء الاصطناعي على المهاجمين اكتشاف الثغرات وشن هجمات آلية بكفاءة أكبر، مما خفض من عتبة الهجوم.### سلسلة الهجوم

قد يتوغل المهاجمون إلى مراكز البيانات عبر سلسلة التوريد أو الخدمات الخارجية أو الموظفين الداخليين. يمكن أن تحدث هجمات سلسلة التوريد على مستوى الأجهزة أو البرامج أو الخدمات، مثل زرع برامج ثابتة خبيثة أو أبواب خلفية. كما تُعد الهندسة الاجتماعية وسرقة بيانات الاعتماد من المداخل الشائعة، خاصة هجمات التصيد التي تستهدف موظفي تشغيل مراكز البيانات. وبمجرد حصول المهاجم على حق الوصول، يمكنه سرقة البيانات أو تشفير الأنظمة أو تخريب البنية التحتية، مما يؤدي إلى انقطاع الخدمة وفقدان السمعة.

الأصول المتأثرة

تحتضن مراكز البيانات موارد الحوسبة والتخزين والشبكات الحيوية. تشمل الأصول المتأثرة الخوادم وأنظمة التخزين ومعدات الشبكات وأنظمة التبريد والطاقة ومنصات إدارة السحابة والافتراضية. أي انقطاع قد يؤدي إلى عدم توفر الخدمات، مما يؤثر على جميع المؤسسات التي تعتمد على هذه الخدمات. علاوة على ذلك، فإن مجموعات الحوسبة الذكية حساسة بشكل خاص للطاقة والتبريد، وقد تؤدي الهجمات المادية إلى تأثيرات متسلسلة أكثر خطورة.

تحليل تأثير المؤسسات

المخاطر التشغيلية

بما أن مراكز البيانات هي أساس الأعمال الرقمية، فإن أي هجوم أو انقطاع سيؤدي إلى توقف العمليات التجارية مباشرة. على سبيل المثال، إذا كانت التطبيقات الحيوية لشركة ما مستضافة في مركز بيانات تعرض لهجوم، فقد يؤدي ذلك إلى انقطاع الإنتاج وفقدان العملاء وخسارة الإيرادات. وتكون التأثيرات أشد خطورة على القطاعات التي تعتمد على تحليل البيانات في الوقت الفعلي، مثل التمويل والتصنيع.

المخاطر المالية

بالإضافة إلى خسارة الإيرادات المباشرة، تتحمل المؤسسات تكاليف إصلاح البيانات واستعادة الأنظمة والدعاوى القضائية والغرامات. وإذا حدث تسرب للبيانات، فقد تواجه غرامات تنظيمية وتعويضات. وفقًا لتقرير IBM، يستمر متوسط تكلفة خرق البيانات في الارتفاع، مما يستلزم تخصيص ميزانيات أكبر لهذا الغرض. إضافة إلى ذلك، إذا انخفض مستوى الخدمة في مركز البيانات بسبب حادث أمني، فقد تعتبر المؤسسة مخلة بالعقود وتتحمل تعويضات تعاقدية.

مخاطر الامتثال

مع تشديد اللوائح الخاصة بالبنية التحتية الحيوية، قد تواجه مراكز البيانات والمؤسسات التي تعتمد على خدماتها متطلبات امتثال جديدة. إذا قامت الولايات المتحدة في النهاية بتصنيف مراكز البيانات كبنية تحتية حيوية مستقلة، فقد تحتاج المؤسسات المعنية إلى تلبية معايير أمنية إضافية والتزامات بالإبلاغ ومتطلبات تدقيق. وبالمثل، ستزداد صرامة اللوائح في الاتحاد الأوروبي والمملكة المتحدة وغيرها، وسيتعين على الشركات متعددة الجنسيات التعامل مع مجموعات متعددة من القواعد.

مخاطر العلامة التجارية

يؤثر مستوى خدمة مركز البيانات بشكل مباشر على ثقة العملاء. يمكن للأحداث الأمنية الكبرى أن تلحق الضرر بسمعة المؤسسة، مما يؤدي إلى فقدان العملاء على المدى الطويل. وبالنسبة لمزودي الخدمات السحابية بشكل خاص، قد يؤدي انقطاع واسع النطاق أو تسرب بيانات إلى انخفاض الحصة السوقية، مما يمنح المنافسين فرصة لانتزاع العملاء.

مخاطر البيانات

تخزن مراكز البيانات كميات كبيرة من البيانات الحساسة، بما في ذلك البيانات الشخصية والأسرار التجارية والملكية الفكرية. في حالة حدوث تسرب للبيانات، قد تفقد المؤسسة ميزتها التنافسية، بل وقد تواجه أزمة وجودية. بالنسبة للقطاعات الخاضعة للتنظيم مثل الرعاية الصحية والتمويل، قد يؤدي تسرب البيانات أيضًا إلى عواقب قانونية خطيرة.

مراقبة اتجاهات الصناعة

هذه الجلسة الاستماعية ليست حدثًا معزولًا، بل تعكس توسّع نطاق حماية البنية التحتية الحيوية. تقليديًا، كانت البنية التحتية الحيوية تشمل مجالات مثل الطاقة والنقل والموارد المائية، لكن مراكز البيانات أصبحت اليوم العمود الفقري لجميع القطاعات الأخرى. وقد أدى الطلب على الذكاء الاصطناعي والحوسبة عالية الأداء إلى دفع بناء مراكز البيانات، مما جعلها أيضًا أهدافًا ذات قيمة أعلى.

علاوة على ذلك، فإن تركّز الحوسبة السحابية يطرح مخاطر نظامية. فهيمنة ثلاثة مزودين رئيسيين للسحابة تعني أن تعطّلهم أو تعرّضهم للضرر قد يؤدي إلى تأثيرات متسلسلة. لذلك، ليس من المستغرب إدراج مراكز البيانات والخدمات السحابية ضمن حماية البنية التحتية الحيوية. لقد سبقت بريطانيا في هذا المجال، والولايات المتحدة تناقش الأمر أيضًا. وهذا يشير إلى أن الرقابة الحكومية والتعاون بشأن مراكز البيانات سيشهدان تعزيزًا على المستوى العالمي. وتحتاج الشركات إلى توقّع هذا الاتجاه وتعديل استراتيجيات إدارة المخاطر مسبقًا.

توصيات الدفاع والاستجابة

على مستوى المؤسسات

• تقييم درجة اعتماد المؤسسة على مراكز البيانات، وتحديد الأنظمة الحيوية ومواقع البيانات.
• التعاون مع مزوّدي مراكز البيانات للتعرف على إجراءاتهم الأمنية وخطط الطوارئ.
• تنفيذ استراتيجيات السحابة المتعددة والسحابة الهجينة، لتجنب الاعتماد الأحادي وتقليل مخاطر الارتباط بمزود واحد.
• إجراء تحليلات دورية لتأثير الأعمال، وتحديد المدة المقبولة للانقطاع ومستوى التسامح مع فقدان البيانات.

على المستوى التقني

• نشر بنية الثقة المعدومة (Zero Trust) لضمان تقليل الوصول إلى مراكز البيانات والتحقق المستمر.
• تعزيز قدرات كشف التهديدات والاستجابة للنقاط الطرفية (EDR) والاستجابة الموسعة للتهديدات (XDR) لزيادة الرؤية تجاه التهديدات.
• تشفير البيانات (أثناء النقل وعند التخزين) وتطبيق إدارة صارمة للمفاتيح.
• زيادة الاستثمار في الأمن المادي، مثل المصادقة متعددة العوامل (MFA) والتحقق البيومتري والمراقبة بالفيديو وأنظمة كشف التسلل.
• النظر في نشر تقنيات الخداع أو مصائد الاختراق (Honeypots) لاصطياد المهاجمين الداخليين.

على المستوى الإداري

• وضع خطة للاستجابة للحوادث وتنفيذ تدريبات دورية لضمان استجابة سريعة للهجمات المادية والإلكترونية.
• متابعة التطورات السياساتية، والاستعداد المبكر لمتطلبات الامتثال المحتملة، والتعاون مع الفريق القانوني لتقييم التأثير.
• المشاركة في أنشطة مثل مراكز مشاركة وتحليل المعلومات (ISAC) للحصول على معلومات استخباراتية عن التهديدات في الوقت المناسب.
• التواصل مع شركات التأمين لفهم نطاق تغطية التأمين السيبراني، وضمان توافق السياسات مع المخاطر.
• إنشاء قنوات تواصل مع الجهات التنظيمية الحكومية والمشاركة في عملية وضع السياسات.

SecurityPost Insight

تتحول مراكز البيانات من «مرافق خلفية» إلى بنية تحتية حيوية وطنية، وستعيد هذه التحولات تشكيل حدود مسؤوليات الأمن في المؤسسات. ونقاشات الكونغرس الأمريكي تمثل علامة على أن صناع السياسات بدأوا يدركون المكانة المحورية لمراكز البيانات في الاقتصاد الحديث. بالنسبة للمؤسسات، يمثل هذا خطرًا وفرصة في آن واحد: فمن ناحية، قد يؤدي التنظيم الأكثر صرامة والتنسيق إلى رفع خط الأساس الأمني للقطاع بأكمله؛ ومن ناحية أخرى، تحتاج المؤسسات نفسها إلى إدراج أمن مراكز البيانات في نطاق المخاطر الاستراتيجية، وليس مجرد مسألة تشغيلية لتقنية المعلومات.في المستقبل، قد نشهد عددًا أكبر من الدول التي تعتبر مراكز البيانات والخدمات السحابية بنية تحتية حيوية، وتصدر معايير وأنظمة أمنية ذات صلة. ينبغي على الشركات أن تتعاون مسبقًا مع المنظمات الصناعية وتشارك في النقاشات حول السياسات لضمان أن تنعكس احتياجاتها. وفي الوقت نفسه، تحتاج الشركات إلى تعزيز قدراتها الأمنية لمراكز البيانات، بغض النظر عن نموذج تشغيلها. وفي النهاية، سيصبح أمن مراكز البيانات حجر الأساس للمرونة الرقمية للشركات، وليس مجرد تفاصيل تقنية.

---

المصدر المرجعي: الكونغرس والصناعة يدرسان موقف الحكومة تجاه حماية مراكز البيانات | CyberScoop