المرونة السيبرانية عبر إدارة استمرارية الأعمال (Business Continuity Management)

يصف BSI-Standard ⁦200-4⁩ (الإصدار النهائي 1.0، بتاريخ مايو 2023؛ خلف BSI-Standard ⁦100-4⁩) بناء نظام إدارة استمرارية الأعمال (BCMS) وتشغيله. ويتيح نموذجه المتدرج بداية موفّرة للموارد عبر ثلاثة مستويات تطوير: BCMS التفاعلي لقدرة أساسية سريعة على معالجة الطوارئ، وBCMS التأسيسي للتوسع التدريجي، وBCMS القياسي بوصفه التطوير الكامل. ويتوافق مستوى BCMS القياسي مع متطلبات ISO 22301:2019، وهو معيار BCMS القابل للاعتماد دوليًا (أُضيف إليه Amendment 1 في 2024). وتربط إدارة طوارئ تقنية المعلومات (IT-Service-Continuity-Management، ‏ITSCM) إدارة استمرارية الأعمال بتشغيل تقنية المعلومات وبنظام ISMS.

نقطة الانطلاق هي تحليل تأثير الأعمال (BIA): فهو يحدد عمليات الأعمال الحساسة زمنيًا ومواردها ونقاط الفشل الأحادية المحتملة. وتحدد أقصى مدة توقف مقبولة (MTA، بالإنجليزية MTPD) أطول مدة يُسمح فيها بتوقف عملية أعمال؛ ومنها يُشتق زمن الاستعادة المطلوب (Recovery Time Objective، ‏RTO) للموارد الداعمة. ويحدد أقصى فقدان مسموح للبيانات (Recovery Point Objective، ‏RPO) مدى قِدم آخر حالة بيانات قابلة للاستعادة – ومن ثَمّ وتيرة النسخ الاحتياطي. والحاسم في الممارسة هو المقارنة بالقيم القابلة للتحقيق فعليًا (RTA/RPA): فإذا تجاوزت هذه القيم القيم المستهدفة، فثمة فجوة تغطية يجب سدّها عبر إجراءات تقنية أو مستوى تشغيل طارئ محدد (MBCO).

ترسّخت قاعدة ⁦3-2-1⁩ قاعدةً عامة للنسخ الاحتياطي: ثلاث نسخ من البيانات على نوعين مختلفين من الوسائط، إحداها في موقع آخر. ويشير BSI في كتالوج إجراءاته الخاص ببرامج الفدية إلى أن المهاجمين الذين حصلوا مسبقًا على صلاحيات إدارية يبحثون عمدًا عن النسخ الاحتياطية ويشفّرونها كما يشفّرون الأنظمة الإنتاجية – لذا ينبغي حفظ نسخة واحدة على الأقل دون اتصال وفصلها عن الشبكة بعد النسخ؛ ويجب التحقق من هذا الفصل بانتظام. ويُكمّل التخزين غير القابل للتعديل (Immutable Storage، مثلًا عبر آليات WORM أو Object-Lock) الحماية، لأن الحالات المحفوظة لا يمكن تعديلها أو حذفها لاحقًا حتى بالصلاحيات الإدارية. ويشمل النسخ الاحتياطي كذلك الاستعادة المتمرَّن عليها: ينبغي اختبار الاستعادة والتشغيل من الصفر – أي إعادة تشغيل جميع الخوادم والأنظمة – عمليًا وبانتظام.

لا تصبح خطط الطوارئ صلبة إلا بعد التمرّن عليها. ولهذا ينص BSI-Standard ⁦200-4⁩ على تخطيط سنوي للتمارين بصيغ متدرجة: مناقشات الخطط (تُسمّى دوليًا تمارين الطاولة Tabletop) تختبر الخطط عبر النقاش «على الطاولة»، وتمارين خلية الأزمة وتمارين الإطار تدرّب على عمل خلية الأزمة في ظروف قريبة من الواقع، وتمارين الإنذار تختبر إمكانية الوصول ومسارات الإبلاغ، والاختبارات الوظيفية تثبت الفعالية التقنية لإجراءات طوارئ بعينها. وينبغي أن تحاكي السيناريوهات درجات مختلفة من الاختراق – من أنظمة منفردة حتى الانقطاع الكامل بما في ذلك تعطّل النسخ الاحتياطية المتصلة. ويعود تقييم كل تمرين ومتابعته بوصفها تحسينات إلى الخطط وأدلة الإجراءات.

لأغراض التواصل في الطوارئ والأزمات تُعدّ مسبقًا مفاهيم للتعامل مع الجهات المعنية ذات الصلة – الموظفين والعملاء ومزودي الخدمات ووسائل الإعلام والسلطات. وبالتوازي مع المعالجة تسري التزامات الإبلاغ القانونية: فوفق المادة 23 من توجيه NIS2 يجب عند الحوادث الأمنية الجسيمة تقديم إنذار مبكر خلال 24 ساعة وإبلاغ خلال 72 ساعة من العلم بالحادث، ويتبع ذلك تقرير ختامي في موعد أقصاه شهر واحد بعد الإبلاغ. ويجب ضمان القدرة على التواصل حتى عندما تكون الأنظمة الخاصة مشفّرة – لذلك ينبغي الاحتفاظ بقوائم الاتصال وخطط الاستجابة وبيانات الوصول اللازمة دون اتصال أو بصيغة مطبوعة.

يشترط توجيه NIS2 (التوجيه (EU) 2022/2555) في المادة 21(2)(c) بوصفه إجراءً أدنى «استمرارية التشغيل، مثل إدارة النسخ الاحتياطي والاستعادة بعد الطوارئ، وإدارة الأزمات». أما في القطاع المالي فيذهب DORA (اللائحة (EU) 2022/2554، المطبقة منذ 17 يناير 2025) أبعد من ذلك: إذ يجب على المؤسسات المالية التي ليست مؤسسات متناهية الصغر وفق المادة 24 امتلاك برنامج سليم وشامل لاختبار المرونة التشغيلية الرقمية؛ ويجب اختبار أنظمة تقنية المعلومات والاتصالات التي تدعم وظائف حرجة أو مهمة مرة واحدة سنويًا على الأقل. وعلاوة على ذلك يجب على المؤسسات المالية التي تحددها السلطات المختصة وفق المادة 26 إجراء اختبارات موسّعة مرة كل ثلاث سنوات على الأقل بواسطة اختبارات اختراق موجّهة بالتهديدات (TLPT) – على أنظمة إنتاج حية تدعم وظائف حرجة أو مهمة.