الأمن للتقنيات التشغيلية (OT) و أنظمة التحكم الصناعية

في تقنية المعلومات التقليدية تحتل سرية البيانات المرتبة الأولى؛ أما في التقنيات التشغيلية (OT) فيغلب توافر العملية وسلامة التحكم والأثر على السلامة الوظيفية (Safety). يُضاف إلى ذلك دورات حياة مختلفة جذريًا: فأنظمة التحكم تبقى في الغالب قيد الاستخدام أكثر من 20 عامًا – ولذلك يتناول IEC ⁦62443-2-1⁩ صراحةً التعامل مع الأنظمة القديمة التي لا تتوفر لها تحديثات أو آليات حماية حديثة ويجب أن تُطبَّق عليها إجراءات تعويضية. وكثيرًا ما لا يمكن تثبيت التحديثات إلا في نوافذ صيانة مخططة، وقد تُخلّ برامج مكافحة الفيروسات أو الفحوص النشطة بالعمليات الآنية. ولذلك لا يمكن نقل مفاهيم أمن تقنية المعلومات إلى بيئات الإنتاج دون تعديل؛ ويصف NIST SP ⁦800-82⁩ Rev. 3 ‏(2023) التعديلات اللازمة بشكل منهجي.

سلسلة معايير ISA/IEC 62443 هي الإطار المرجعي الدولي لأمن أنظمة الأتمتة والتحكم الصناعية (IACS)، وتوزّع المسؤولية على ثلاثة أدوار: المشغّلون (IEC ⁦62443-2-1⁩:2024 بمتطلبات البرنامج الأمني، وقد أُضيف إليه في الإصدار الثاني نموذج لمستويات النضج)، ومزودو الخدمات والمُدمجون (IEC ⁦62443-2-4⁩:2023)، والشركات المصنِّعة للمنتجات (الجزآن ⁦4-1⁩ و4-2 بشأن التطوير الآمن للمنتجات ومتطلبات المكوّنات). والمنهجية الأساسية هي تقسيم المنشأة إلى مناطق – مجموعات من الأصول ذات احتياجات حماية متقاربة – وقنوات (Conduits) بوصفها مسارات اتصال خاضعة للرقابة بينها (IEC ⁦62443-3-2⁩). ويُحدَّد لكل منطقة بناءً على تقييم للمخاطر مستوى أمان مستهدف (SL-T): وتمتد المستويات الأربعة من SL 1 إلى SL 4 من الحماية ضد المخالفات العرضية حتى الحماية ضد مهاجمين ذوي موارد كبيرة ومعرفة بـ IACS ودافعية عالية. ويضع IEC ⁦62443-3-3⁩ لذلك متطلبات النظام التقنية وفق سبعة متطلبات أساسية (Foundational Requirements)؛ ويصبح مستوى التنفيذ قابلًا للقياس عبر المستويات الممكنة تقنيًا (SL-C) والمحققة فعليًا (SL-A).

يقسّم نموذج Purdue – المنبثق من Purdue Enterprise Reference Architecture ‏(PERA) في تسعينيات القرن الماضي والمعتمد في ISA-95 – بيئات الإنتاج إلى مستويات هرمية: من العملية الفيزيائية بأجهزة الاستشعار والمشغّلات (Level 0) مرورًا بوحدات التحكم الأساسية مثل PLC ‏(SPS) وDCS ‏(Level 1)، وإدارة العمليات عبر HMI/SCADA ‏(Level 2)، ومستوى إدارة التشغيل عبر MES ‏(Level 3) وصولًا إلى تقنية معلومات المؤسسة عبر ERP ‏(Level 4/5). وبين شبكة الإنتاج وشبكة المؤسسة ترسّخت منطقة DMZ صناعية، تُسمّى وفق عُرف شائع «Level 3.5». ويستخدم NIST SP ⁦800-82⁩ النموذج مرجعًا لتقسيم الشبكات والدفاع المتعدد الطبقات (Defense-in-Depth). وتخترق الاتصالات السحابية وإنترنت الأشياء الصناعي (Industrial IoT) هذا التسلسل الهرمي الصارم بشكل متزايد؛ ومع ذلك يبقى النموذج نقطة الانطلاق الراسخة بوصفه إطارًا منطقيًا للتقسيم وتحليل تدفقات البيانات.

يعدّ BSI في «Industrial Control System Security: Top 10 Bedrohungen und Gegenmaßnahmen» (الإصدار 1.5، 2022) الاختراق عبر منافذ الصيانة عن بُعد من أهم التهديدات، شأنه شأن مكوّنات التحكم المتصلة بالإنترنت. وفي الممارسة تُصادَف كثيرًا منافذ دائمة النشاط للشركات المصنِّعة ومزودي الخدمات دون مصادقة متعددة العوامل، وحسابات مشتركة، وغياب تسجيل جلسات الصيانة عن بُعد. والمشكلة الأساسية الثانية هي الشبكات المسطّحة غير المقسَّمة: فالاتصالات المباشرة التي نشأت تاريخيًا بين تقنية المعلومات المكتبية والإنتاج تتيح للبرمجيات الخبيثة – مثل برامج الفدية – الانتشار دون عوائق حتى مستوى التحكم. وتبدأ الإجراءات المضادة الفعّالة عند القنوات (Conduits): بوابات مخصصة للصيانة عن بُعد مع تفعيل لكل جلسة، وخوادم قفز في منطقة DMZ الصناعية، وتقسيم صارم وفق نموذج المناطق.

دون جرد كامل للأصول لا يمكن تقسيم المناطق بشكل معقول ولا تقييم المخاطر – فهو أساس كل برنامج لأمن OT. غير أن الفحوص الشبكية النشطة التقليدية محفوفة بالمخاطر في OT: إذ تستجيب وحدات التحكم والأجهزة الميدانية القديمة للحزم غير المتوقعة أحيانًا بأعطال قد تصل إلى التوقف التام. وبدلًا من ذلك يحلل الاكتشاف السلبي للأصول حركة الشبكة المنسوخة (منافذ SPAN/Mirror أو أجهزة TAP الشبكية) ويحدد الأجهزة وإصدارات البرامج الثابتة والبروتوكولات وعلاقات الاتصال، دون أن يرسل هو نفسه حزمًا إلى شبكة الإنتاج. وتكميلًا لذلك ترسّخت استعلامات نشطة موجّهة ومتوافقة مع البروتوكولات لأجهزة بعينها – بالتنسيق مع فريق التشغيل ويُفضَّل في نوافذ الصيانة.

مع توجيه NIS2 ‏(EU) 2022/2555 يندرج قطاع الصناعات التحويلية لأول مرة على نطاق واسع تحت قانون الأمن السيبراني الأوروبي: إذ يشمل الملحق II من بين أمور أخرى تصنيع الأجهزة الطبية وأجهزة معالجة البيانات والمنتجات الإلكترونية والبصرية والمعدات الكهربائية والآلات والمركبات الآلية وسائر وسائل النقل – في العادة ابتداءً من 50 موظفًا أو أكثر من 10 ملايين يورو من الإيرادات السنوية ومجموع الميزانية السنوية، وفي الغالب بوصفها «كيانات مهمة». وتسري إجراءات إدارة المخاطر وفق المادة 21 (منها تحليل المخاطر ومعالجة الحوادث وأمن سلسلة التوريد) على جميع أنظمة الشبكات والمعلومات المستخدمة في تقديم الخدمات – أي أيضًا على أنظمة OT والتحكم في الإنتاج. وفي ألمانيا دخل قانون تنفيذ NIS2 حيز النفاذ منذ ديسمبر 2025؛ ويجب على الشركات المعنية التسجيل لدى BSI وفق المادة 33 من BSIG، وقد انقضت مهلة التسجيل القانونية بالفعل. ويقدم IEC 62443 إطارًا معترفًا به لتفعيل الإجراءات المطلوبة في بيئة OT.