أهداف التعلم

• أن تشرح المراحل العامة للاستجابة للحوادث والغرض من كل مرحلة.
• أن تستخدم التأثير والاحتمالية لتحديد أولويات المخاطر في النموذج المبسط للدرس.
• أن تصمم استجابة مبررة لحادث أمني، وتربط إجراءات الاستجابة بالضوابط الوقائية المناسبة.

شرح الدرس

السؤال الرئيسي: عندما يقع حادث أمني، كيف ينبغي للمؤسسة أن تنظّم استجابتها عبر مراحلها العامة — وكيف تقرر أي المخاطر تعالجها أولًا؟ الفكرة الأساسية أن مراحل الاستجابة الست تمثّل تسلسلًا عامًا يساعد على تنظيم الاستجابة، مع إمكانية تداخل بعض الأنشطة أو العودة إلى مراحل سابقة بحسب الحادث؛ ويحدد تقييم المخاطر الأولويات بناءً على التأثير × الاحتمالية.

الحادث الأمني

الحادث الأمني: حدث يؤثر في سرية المعلومات أو سلامتها أو توافرها، أو يهددها بجدية، أو يخالف سياسة أمنية.

أمثلة نموذجية:

المراحل الست للاستجابة للحوادث

يساعد ترتيب المراحل على فهم التسلسل العام، لكن الاستجابة الفعلية قد تتضمن تداخلًا أو تكرارًا بين بعض الأنشطة. فمثلًا، قد يكشف الاسترداد عن بقايا للتهديد تستلزم العودة إلى الاحتواء أو إزالة التهديد — إذا بدأت الاستعادة قبل إزالة التهديد بالكامل، فقد تبقى البرمجية الخبيثة أو الثغرة المستغلة نشطة.

تقييم المخاطر وتحديد الأولويات

الخطر: احتمال أن يقع حدث يسبب ضررًا، مع مراعاة احتمال وقوعه وحجم أثره. يُستخدم في هذا الدرس نموذج مبسط لتقدير درجة الخطر:

• التأثير: حجم الضرر إذا وقع الحدث.
• الاحتمالية: مدى احتمال وقوع الحدث.

تُعد المخاطر ذات التأثير العالي والاحتمالية العالية من أعلى الأولويات في هذا النموذج المبسط. أما ترتيب الحالات الأخرى (تأثير كبير مع احتمالية منخفضة، أو تأثير صغير مع احتمالية عالية) فيعتمد على درجات المصفوفة والسياق والضوابط المتاحة، ولا يمكن الفريق معالجة كل المخاطر في الوقت نفسه.

أسئلة للتدريب

1. لماذا يجب أن يأتي الاحتواء قبل الاستئصال في الاستجابة ذات المراحل الست؟

الإجابة: لأن الاحتواء يهدف إلى وقف انتشار الضرر أولًا (كعزل الجهاز المصاب عن الشبكة)، وإذا بدأ الفريق بمحاولة إزالة سبب التهديد (الاستئصال) قبل احتواء انتشاره، فقد يستمر الضرر بالانتشار إلى أجزاء أخرى من النظام أثناء عملية الإزالة نفسها، ما يزيد حجم الحادث بدلًا من تقليله. الاحتواء يحد أولًا من نطاق المشكلة، ثم يمكن التركيز بأمان على استئصال السبب دون خطر اتساعه.

2. تعرّض نظام سجلات الطلاب في إحدى المدارس لهجوم ببرمجية فدية: شُفّرت الملفات، ولم يعد الموظفون قادرين على تسجيل الدخول. بدءًا من هذا الموقف الذي اكتُشف للتو، اذكر المراحل التي لا يزال يتعين تنفيذها.

الإجابة: بما أن الاكتشاف حدث بالفعل، تبقى: الاحتواء (عزل الأجهزة المصابة عن الشبكة لمنع انتشار البرمجية الفدية لأجهزة أخرى)، ثم الاستئصال (إزالة البرمجية الخبيثة ومعالجة الثغرة التي استُغلت للدخول)، ثم الاستعادة (استعادة الملفات المشفَّرة من نسخة احتياطية سليمة وإعادة تفعيل دخول الموظفين بأمان)، وأخيرًا الدروس المستفادة والتحسين (تحليل كيف حدث الاختراق وتحسين الضوابط، كتحديث برامج مكافحة الفيروسات أو تدريب الموظفين، لتقليل احتمال تكرار الحادث).

3. بالنسبة لخطرين تواجههما مدرسة — (i) هجوم آخر ببرنامج فدية باحتمالية عالية وتأثير كبير، و(ii) انقطاع كهرباء قصير باحتمالية عالية وتأثير صغير — أيهما ينبغي معالجته أولًا؟ علّل إجابتك باستخدام معادلة درجة الخطر.

الإجابة: هجوم برنامج الفدية الآخر (i) ينبغي أن يُعالَج أولًا؛ فوفق المعادلة (درجة الخطر = التأثير × الاحتمالية)، يجمع هذا الخطر بين تأثير كبير واحتمالية عالية، فتكون درجته أعلى بكثير من انقطاع الكهرباء القصير الذي وإن كانت احتماليته عالية أيضًا، إلا أن تأثيره صغير. والمخاطر ذات التأثير العالي والاحتمالية العالية معًا هي الأعلى أولوية دائمًا في هذا النموذج المبسط.