بناء مركز عمليات أمنية في المملكة: البناء أم الشراء أم الإدارة المشتركة؟

ما الذي يجب أن يفعله مركز العمليات الأمنية فعلًا

مركز العمليات الأمنية ليس غرفة مليئة بالشاشات، بل قدرة تجمع بيانات القياس الأمني باستمرار، وترصد التهديدات، وتحقق في التنبيهات، وتستجيب للحوادث، وتحسّن الرصد بمرور الوقت. وسواء كانت هذه القدرة داخلية أو لدى مزود أو بينهما، فهو قرار أعمال — ويجب أن يُتخذ بناءً على الحقائق لا الافتراضات.

وفي المملكة، تشترط الضوابط الأساسية للأمن السيبراني إدارة سجلات الأحداث والمراقبة الأمنية المستمرة، وتواجه المؤسسات الخاضعة لرقابة ساما توقعات مماثلة. وأيًا كان النموذج الذي تختاره، يجب أن ينتج أدلة تستوفيها.

حسابات التشغيل على مدار الساعة

تضم السنة 8,760 ساعة. والمحلل بدوام كامل، بعد الإجازة السنوية والعطل الرسمية والتدريب والمرض، يكون متاحًا عادةً نحو 1,600 إلى 1,800 ساعة. لذا تتطلب تغطية مقعد واحد على مدار الساعة خمسة إلى ستة محللين — قبل إضافة قائد فريق أو مهندس رصد أو مختصي البحث عن التهديدات أو الاستجابة للحوادث.

تقلّل معظم دراسات الجدوى لمراكز العمليات الأمنية الداخلية من هذا الأمر. فالحد الأدنى الواقعي لمركز داخلي موثوق يعمل على مدار الساعة فريق من ثمانية إلى اثني عشر شخصًا، إضافة إلى تكلفة توظيفهم والاحتفاظ بهم في سوق تنافسية.

مقارنة النماذج الثلاثة

ما يحتاجه مركز العمليات الأمنية بعيدًا عن SIEM

• مصادر السجلات المهمة — الهوية والأجهزة الطرفية والبريد الإلكتروني ومستويات التحكم السحابية والتطبيقات الحرجة، لا كل سجل لجدار الحماية فحسب.
• هندسة الرصد — حالات استخدام مربوطة بتهديدات حقيقية، عادةً باستخدام إطار MITRE ATT&CK، ومضبوطة وفق بيئتك ومراجعة بانتظام.
• أدلة الاستجابة — خطوات وصلاحيات متفق عليها للاحتواء، بما في ذلك من يحق له عزل جهاز أو تعطيل حساب في الثالثة فجرًا.
• الأتمتة — SOAR أو أتمتة مدمجة لإثراء التنبيهات ومعالجة الخطوات المتكررة.
• استخبارات التهديدات — ذات صلة بقطاعك ومنطقتك، لا مصدرًا عامًا.
• المؤشرات — متوسط زمن الرصد والاستجابة، وتغطية الرصد، ونسبة الإنذارات الكاذبة، والتصعيدات المعالجة.

كيف تختار

• إذا لم يكن لديك فريق أمني وتحتاج إلى تغطية سريعة، فإن الخدمة المُدارة عادةً هي الخطوة الأولى الصحيحة.
• إذا كان لديك فريق صغير كفء، فإن الإدارة المشتركة تتيح له الاحتفاظ بالسياق والتحكم بينما يغطي المزود الليالي وعطل نهاية الأسبوع وفترات الضغط.
• إذا كان لديك الحجم والميزانية والدوافع التنظيمية التي تبرره، فإن مركز العمليات الأمنية الداخلي يمنح أقصى قدر من التحكم — وكثيرًا ما يُدعم مع ذلك بشريك للمهارات المتخصصة.
• أيًا كان النموذج، تأكد من مكان حفظ السجلات ومعالجتها. فبالنسبة لكثير من الجهات السعودية يجب أن تبقى بيانات القياس الأمني داخل المملكة، وينبغي أن يُنص على ذلك في العقد.

أسئلة ينبغي طرحها على المزود

• ما مصادر السجلات وحالات الاستخدام المضمّنة، وكيف تُضاف مصادر جديدة؟
• ما أزمنة الاستجابة التعاقدية حسب الخطورة؟
• من المخوّل باتخاذ إجراءات الاحتواء، وكيف يُسجَّل ذلك؟
• أين تُحفظ بياناتنا، ومن يستطيع الوصول إليها؟
• هل نملك قواعد الرصد وأدلة الاستجابة إذا غادرنا؟
• كيف يُبلَّغ عن الأداء، وبأي وتيرة؟

المؤشرات التي تثبت أن مركز العمليات الأمنية يعمل

أعداد التنبيهات واللوحات المليئة بالمربعات الخضراء لا تقول الكثير عن الحماية. أما المقاييس التالية فتخبر القيادة ما إذا كان الاستثمار يؤتي ثماره:

• متوسط زمن الرصد (MTTD) — المدة التي تمر فيها التهديدات دون ملاحظة، من أول نشاط خبيث حتى التنبيه.
• متوسط زمن الاستجابة (MTTR) — من التنبيه حتى الاحتواء، مقسّمًا حسب الخطورة.
• تغطية الرصد — نسبة أساليب الهجوم ذات الصلة التي تستطيع حالات الاستخدام لديك رصدها، عادةً مربوطة بـ MITRE ATT&CK.
• نسبة الإيجابيات الصحيحة — حصة التنبيهات المصعّدة التي كانت حقيقية، وهي مقياس مباشر لجودة الضبط.
• سلامة مصادر السجلات — المصادر الحرجة التي توقفت عن إرسال البيانات، ومدى سرعة ملاحظة ذلك.
• إجراءات التحسين المغلقة — الدروس المستفادة من الحوادث والتمارين التي تحولت إلى عمليات رصد جديدة أو أفضل.

ارفع هذه المؤشرات شهريًا وراجعها ربع سنويًا مع المزود أو الفريق. فمركز العمليات الأمنية الذي لا تتغير مؤشراته أبدًا لا يتحسن.

الأسئلة الشائعة

فريق التحرير في NAZZTECكتبه وراجعه ممارسون من NAZZTEC. هذه الإحاطة إرشادات عامة وليست مشورة قانونية.