الاستجابة للحوادث والتحقيق الجنائي الرقمي

يستبدل Rev. 3 (أبريل 2025) دورة الحياة ذات المراحل الأربع في الإصدار السابق لعام 2012 (Preparation؛ Detection & Analysis؛ Containment, Eradication & Recovery؛ Post-Incident Activity) بنموذج يسير وفق الوظائف الست لـ NIST CSF 2.0. وتشكّل Govern وIdentify وProtect مرحلة التحضير: فهي تمنع الحوادث وتقلل آثارها وترسّخ الاستجابة للحوادث في إدارة المخاطر. أما Detect وRespond وRecover فتشكّل الاستجابة للحوادث الفعلية – من الرصد والتحليل مرورًا بالاحتواء والإزالة وحتى التعافي بما يشمل الإبلاغات والتواصل. والجديد هو دور التحسين المستمر: إذ تعود الدروس المستفادة عبر فئة التحسين (ID.IM) في أي وقت إلى جميع الوظائف، لا بعد انتهاء الحادث فحسب.

لا تنجح الاستجابة للحوادث إلا بتوزيع واضح للأدوار: فالمستوى القيادي يوجّه ويقرر الإجراءات الجذرية مثل إيقاف الخدمات الحرجة أو إعادة بنائها؛ ويتحقق مسؤولو معالجة الحوادث من الحادث ويجمعون البيانات والأدلة ويحللونها ويحددون أولويات الإجراءات ويحدّون من الضرر. ويؤكد SP 800-61r3 أن أطرافًا داخلية وخارجية عديدة تشارك إلى جانب ذلك – مثل الإدارة القانونية وحماية البيانات والاتصال ومزودي الخدمات ومزودي الخدمات السحابية. وفي إدارة الأزمات الألمانية ترسّخ لهذا الغرض «الهيكل التنظيمي الخاص» (BAO): خلية أزمة محددة مسبقًا بمسارات تصعيد واتخاذ قرار خاصة بها، تخفف العبء عن التنظيم الاعتيادي في حالة الطوارئ. ويجب تحديد صلاحيات اتخاذ القرار وإمكانية الوصول إلى الأشخاص قبل وقوع الحادث، لا أثناءه.

وفق المادة 23 من توجيه NIS2 ‏(EU) 2022/2555 تبلّغ الكيانات الأساسية والمهمة عن الحوادث الأمنية الجسيمة على مراحل إلى CSIRT أو السلطة المختصة – وفي ألمانيا إلى BSI وفق قانون BSI المعدَّل: إنذار مبكر خلال 24 ساعة من العلم بالحادث، وإبلاغ مع تقييم أولي دون تأخير وفي جميع الأحوال خلال 72 ساعة، وتقرير ختامي في موعد أقصاه شهر واحد بعد الإبلاغ؛ ويجب إخطار متلقي الخدمات المتأثرين دون تأخير. وإذا تعرضت بيانات شخصية للانتهاك، فإن المادة 33 من GDPR تشترط إضافةً إلى ذلك إبلاغ الجهة الرقابية لحماية البيانات دون تأخير وخلال 72 ساعة إن أمكن؛ وفي حال وجود خطر مرتفع محتمل يجب وفق المادة 34 من GDPR إخطار الأشخاص المعنيين أيضًا دون تأخير. وهكذا يمكن لحادث واحد أن يُطلق عدة ساعات في آن واحد – ولذلك يجب أن تُدرَج المسؤوليات ومسارات الإبلاغ والنصوص الجاهزة مسبقًا في دليل الإجراءات (Playbook).

يصف ISO/IEC 27037:2012 الخطوات الأساسية الأربع للتعامل مع الأدلة الرقمية المحتملة: التحديد والجمع والاستحواذ والحفظ. والمحور هو السلامة وإمكانية التتبع – نسخ عمل بدلًا من الأصول، وقيم تجزئة تشفيرية، وسلسلة حيازة (Chain of Custody) متكاملة توثّق من وصل إلى ماذا ومتى. ويوضح SP 800-61r3: حتى إذا لم تكن الملاحقة الجنائية مقصودة، تُعدّ بيانات الحادث المجمّعة أدلة إثبات ويجب التعامل معها وفق إجراءات تأمين الأدلة والاحتفاظ بها في المؤسسة، مع الحفاظ على السلامة والمصدر. وعمليًا يعني ذلك: تأمين البيانات المتطايرة مثل الذاكرة العاملة قبل وسائط التخزين الدائمة – وعدم التسرع في إعادة تثبيت الأنظمة المخترقة، لأن ذلك يدمّر الأدلة ويمنع تحليل الأسباب الجذرية.

يذكر SP 800-61r3 صراحةً إلى جانب الفرق الداخلية مسؤولي معالجة حوادث متعاقدًا معهم، مثل SOC مُسنَد إلى مزود خدمات أمنية مُدارة أو فريق الاستجابة للحوادث لدى مزود خدمات سحابية. وينظّم عقد IR-Retainer هذا الوصول تعاقديًا مسبقًا: أزمنة استجابة محددة، ومسائل سرية ومعالجة بيانات بالتكليف محسومة، وتهيئة تشمل جهات الاتصال ومعرفة البيئة وصلاحيات وصول مُعدّة مسبقًا – كي لا يضيع الوقت في حالة الطوارئ في مسائل التعاقد والوصول. وتترجم أدلة الإجراءات (Playbooks) خطة الاستجابة للحوادث إلى خطوات عمل ملموسة لكل سيناريو، مثل برامج الفدية أو الحسابات المخترقة أو تسرب البيانات؛ ويشير NIST كمثال إلى Cybersecurity Incident & Vulnerability Response Playbooks الصادرة عن CISA ‏(2021). ويجب إدراج مهل الإبلاغ ونقاط القرار ومسارات التواصل مباشرةً في أدلة الإجراءات.

يرسّخ CSF 2.0 التمارين صراحةً في عملية التحسين: فوفق ID.IM-02 تُستخلص التحسينات من الاختبارات الأمنية والتمارين – بما في ذلك بالاشتراك مع المورّدين والأطراف الثالثة ذات الصلة. وتتراوح الصيغ من نقاشات الطاولة (Tabletop) مرورًا بالمحاكاة وصولًا إلى الاختبارات التقنية؛ ويصف NIST SP ⁦800-84⁩ الأسس المنهجية. وتختبر التمارين في ظروف واقعية ما ينجح على الورق: إمكانية الوصول، ومسارات القرار في BAO، والالتزام بمهلتي 24 و72 ساعة، وجودة أدلة الإجراءات. وتعود النتائج بوصفها دروسًا مستفادة إلى الخطط وأدلة الإجراءات والتدريبات – وهكذا يصبح نضج الاستجابة للحوادث قابلًا للقياس وينمو مع كل دورة.