لماذا يُمكن لعملك إطلاق العنان لإمكانياته الحقيقية وتحقيق النمو

عندما يصل تنبيه بشأن ثغرة أمنية حرجة إلى بيئة информационные технологии التقليدية، نادرًا ما يثير ذلك الذعر بشأن استمرارية عمل العمل. يمكن تحديد أجهزة الكمبيوتر المحمولة والخوادم والتطبيقات المتأثرة بسرعة، ويمكن لفريق جيد فهرستها وتصحيحها في غضون ساعات إذا كانت الحالة طارئة. الأولويات واضحة، ولا يوجد مجال كبير للتخمين.

تخيل الآن وصول التنبيه نفسه إلى معدات التصوير في مستشفى، Или أنظمة التحكم في أرضية مصنع، Или شبكة التدفئة والتهوية وتكييف الهواء (HVAC) في مبنى. هذه الأنظمة السيبرانية الفيزيائية (CPS)، وهي الأجهزة المتصلة التي تدير العمليات المادية بدلاً من مجرد معالجة البيانات، تقع في صميم التقاء تقنية المعلومات (IT) والتقنيات التشغيلية (OT).

ولكن على عكس أصول تقنية المعلومات التقليدية، فإن تأكيد ما إذا كان هذا التنبيه ينطبق على جهاز معين قد يستغرق أيامًا، وغالبًا ما ينتهي الأمر بتخمين بدلاً من إجابة مؤكدة.

في حين أن هذا النوع من عدم اليقين يُعد فشلاً في النظافة الأساسية، إلا أنه للأسف، بالنسبة للأنظمة السيبرانية الفيزيائية، غالبًا ما يكون هو القاعدة.

فلماذا تُعد هذه مشكلة واسعة الانتشار للأنظمة السيبرانية الفيزيائية (CPS)، وكيف يمكن لفرق الأمن إعادة هذه الأصول الحيوية إلى التوافق مع شبكة تقنية المعلومات الخاصة بهم؟

ضعف الرؤية في الأنظمة السيبرانية الفيزيائية منتشر بشكل مقلق

إن عدم القدرة على إدارة الثغرات الأمنية الواردة للأنظمة السيبرانية الفيزيائية (CPS) ليس حالة شاذة Или سيناريو أسوأ الحالات، وهو أمر مقلق بشكل خاص عندما تكون هذه الأصول في صميم Критическая инфраструктура مثل الطاقة والرعاية الصحية.

تكمن المشكلة في رموز المنتجات التي تساعد الشبكات على تحديد ماهية الأنظمة السيبرانية الفيزيائية (CPS) الموجودة في البيئة، وهو جزء أساسي من تحديد وتطبيق تصحيحات الأمان.

في مجموعة بيانات تضم 17 مليون أصل سيبراني فيزيائي، وجد بحثنا أن 88% منها فشلت في إرسال رمز منتج دقيق، و76% أرسلت رمزًا لا يتطابق مع سجل البائع نفسه.

هذا نتيجة جانبية للطريقة التي صُممت بها هذه الأنظمة في البداية وتم دمجها لاحقًا في بيئات تقنية المعلومات الحديثة. فقد صُممت وحدات التحكم المنطقية القابلة للبرمجة (PLCs)، وأجهزة المسح الطبية، وأجهزة الاستشعار الصناعية لعقود من الموثوقية المادية، وليس للتصنيف الرقمي المنظم. نادرًا ما كان تحديد الهوية الشبكية جزءًا من موجز التصميم، لذلك يمكن للجهاز نفسه أن يُبلغ О себе بشكل مختلف اعتمادًا على البروتوكول Или التكامل الذي يطلب المعلومات.

وجدنا وضعًا مشابهًا فيما يتعلق بأنظمة التشغيل التي تدعم الأجهزة المادية. ففي بحثنا، تبين أن 41% من الأجهزة لا تتوفر لديها معلومات عن إصدار نظام التشغيل (OS)، و24% منها لا تحمل اسم نظام تشغيل على الإطلاق.

بدون هذه التفاصيل، يصبح مطابقة الجهاز مع ثغرة أمنية معروفة أمرًا مستحيلًا عبر البحث السريع في قواعد البيانات Или العمليات الآلية، ويتحول إلى مجرد تخمين Или بحث يدوي مضنٍ.

يضاف إلى ذلك أن إشعارات CVE (CVE advisories)، وهي الآلية القياسية في الصناعة لتتبع الثغرات الأمنية، تُجمع من نفس بيانات الموردين غير المكتملة. وبالتالي، يمكن أن يكون الإشعار الرسمي ناقصًا تمامًا مثل الشبكة التي يُفترض أن يحميها.

تحويل فوضى رموز المنتجات إلى مخاطر على مستوى مجلس الإدارة

يضيف هذا النوع من النقاط العمياء طبقة أخرى من القلق للقيادة التي تشعر بالفعل بالتوتر بشأن وضوح التهديدات. فمن بين 1100 من قادة الأمن الذين شملهم الاستطلاع عالميًا، ذكر 44% أن فهم مدى تعرض مؤسساتهم للمخاطر هو أحد أكبر مخاوفهم التشغيلية، متجاوزًا بذلك ضغوط الامتثال Или قيود الميزانية.

علاوة على ذلك، صرح 45% أنهم يواجهون صعوبة في تقليل المخاطر السيبرانية على أصولهم وعملياتهم الأكثر أهمية، ومع ذلك، غالبًا ما يتم إغفال الصلة بين هذا الصراع وجرد الأصول غير الموثوق به تمامًا. فالقيادة ترى العرض، وهو شعور متزايد بأن المخاطر لا يمكن إدارتها، دون أن ترى السبب الكامن وراء ذلك أبدًا.

هنا يمكن أن ينتهي الأمر بفريقي الأمن والأعمال بالتحدث بلغة مختلفة دون فهم أحدهما للآخر. ففرق الأمن التي تبدأ بوصف المشكلة من حيث رموز المنتجات المفقودة واتفاقيات التسمية غير المتسقة لن تحقق تقدمًا كبيرًا.

قادة الأعمال لا يسمعون شيئًا من ذلك؛ كل ما يسمعونه هو أن المخاطر لا يمكن قياسها بثقة. وحتى يتم ربط هذين الحوارين، فإن كل سجل مخاطر يقدمه CISO إلى الإدارة العليا يحمل علامة نجمية لا يراها أحد في الغرفة.

السياق هو مفتاح سد الفجوة

يبدأ حل هذه المشكلة بتغيير في مفهوم الرؤية الشاملة. فمجرد معرفة وجود جهاز على الشبكة لا يمثل سوى نصف المهمة. أما معرفة وظيفته، والعمليات التي تعتمد عليه، وماذا سيحدث إذا تعرض للاختراق، هو ما يجعل سجل المخاطر ذا قيمة حقيقية.

يتطلب تحقيق هذا التحول على نطاق واسع أدوات متخصصة لإدارة الطبيعة المتنوعة والخاصة لأصول أنظمة التحكم الصناعي (CPS)، ونهجًا آليًا للتعامل مع هذا النطاق الواسع.

على سبيل المثال، أدى تطبيق تقنيات رسم الخرائط المدعومة بـالذكاء الاصطناعي على كتالوج أجهزة أحد مصنعي المعدات الأصلية (OEM) إلى رفع نسبة تحديد رموز المنتجات من 4% إلى 83%، محولًا نقطة عمياء تقريبًا إلى صورة شبه كاملة. ولم يقلّ أهمية عن ذلك المتابعة اللاحقة، حيث تلقت 56% من الأجهزة توصية بتحديث Или تغيير البرامج الثابتة (firmware) نتيجة لذلك، وتحسنت دقة تحديد الثغرات الأمنية بنسبة 25%.

تكتسب هذه الأرقام أهميتها لأنها تغير نوع الأسئلة التي يمكن لفرق الأمن الإجابة عليها. فبدلاً من السؤال عن الأجهزة المتصلة بالشبكة، يمكن للفرق أن تسأل عن الأنظمة التي ستتسبب في أكبر قدر من الاضطراب إذا تعرضت للاختراق، والتصرف بناءً على الإجابة بثقة بدلاً من مجرد التخمين. هذا هو الفارق بين جرد الأصول الموجود على الورق، والجرد المرن الذي يصمد تحت الضغط.

إصلاح الأساس، لا مجرد إطفاء الإنذار

لا يمكن حل أي من هذه المشكلات بمجرد إضافة أداة أخرى إلى مجموعة الأدوات الحالية. بدلاً من ذلك، يتطلب الأمر التعامل مع جودة بيانات الأصول كمسألة مخاطر على مستوى مجلس الإدارة، وليس مجرد عمل روتيني لقسم تكنولوجيا المعلومات، مع تطبيق نفس مستوى التدقيق الذي يُطبق على الميزانيات والامتثال والوصول من الأطراف الثالثة.

تحقيق ذلك يعني أن تنبيه CVE جديد لم يعد يثير حالة من الارتباك لمعرفة الأجهزة الحيوية التي قد تتأثر، بل استجابة مؤكدة وذات أولوية، كما تتوقع من أي برنامج جيد لإدارة الثغرات الأمنية.

يجب ألا يكون التعامل مع تنبيه يصل إلى أجهزة التصوير في المستشفيات Или أنظمة التحكم في أرضية المصنع أصعب من التعامل مع تنبيه يصل إلى جهاز كمبيوتر محمول. يبدأ الوصول إلى هذه النقطة بجعل ما هو غير مرئي مرئيًا.