الأمن السيبراني
الأمن السيبراني للتقنيات التشغيلية وأنظمة التحكم الصناعي في المملكة: الامتثال لضوابط OTCC
لا يمكن تأمين البيئات الصناعية كما تُؤمَّن شبكة مكتبية. منهجية عملية للرؤية والتقسيم والمراقبة تحترم السلامة واستمرارية التشغيل.
أبرز النقاط
- ابدأ بالسؤال الذي يجب أن يجيب عنه الاختبار، لا بقائمة عناوين IP.
- يحقق اختبار الصندوق الرمادي عادةً أفضل قيمة مقابل الوقت المستغرق.
- تحمي قواعد الاشتباك عملياتك والمختبرين معًا.
- قارن العروض حسب الجهد والمنهجية والمخرجات — لا حسب السعر اليومي وحده.
لماذا يحدد النطاق قيمة الاختبار
قد ينتج اختباران للاختراق بالميزانية نفسها قيمة مختلفة جذريًا. أحدهما يفحص الأنظمة التي سيستهدفها المهاجمون فعلًا، بوقت ووصول كافيين للتعمق. والآخر يمر سريعًا على قائمة خوادم ويقدم مخرجات أداة فحص آلية. والفرق يُحسم دائمًا تقريبًا قبل بدء الاختبار — في النطاق.
في المملكة، تُجرى اختبارات كثيرة بدافع تنظيمي: فالضوابط الأساسية للأمن السيبراني تتضمن متطلبًا مخصصًا لاختبار الاختراق، ويُتوقع من المؤسسات الخاضعة لرقابة ساما الاختبار بانتظام وفق إطار ساما للأمن السيبراني. والامتثال دافع مشروع — لكن النطاق الجيد يجيب مع ذلك عن سؤال عملي واحد: ما الذي نحتاج إلى معرفته؟
الخطوة 1: حدد الهدف
- الضمان — التأكد من أن النظام جاهز للإطلاق أو لا يزال آمنًا بعد التغيير.
- الامتثال — استيفاء متطلب تنظيمي أو تعاقدي أو متطلب اعتماد بأدلة يمكن الدفاع عنها.
- محاكاة الهجوم — اختبار ما إذا كان خصم واقعي يستطيع تحقيق هدف محدد، مثل الوصول إلى أنظمة الدفع.
- التحقق من الرصد — التحقق من أن فرق المراقبة والاستجابة لديك ستلاحظ وتتصرف.
يحدد الهدف كل شيء آخر: أي الأصول، وأي منهجية، وكم من الوقت، وما الذي يجب أن يقوله التقرير.
الخطوة 2: حدد الأصول بدقة
الغموض في قائمة الأصول هو السبب الأكثر شيوعًا للخلافات والنتائج المخيبة. حدد:
- نطاقات IP الخارجية والنطاقات، مع تأكيد ملكيتها لك أو التصريح باختبارها
- تطبيقات الويب بعناوينها، بما في ذلك أدوار المستخدمين المطلوب اختبارها
- واجهات البرمجة، مع توثيقها أو مجموعة من الطلبات
- تطبيقات الجوال والمنصات ضمن النطاق
- أجزاء الشبكة الداخلية، وهل يبدأ الاختبار من جهاز مستخدم عادي
- الحسابات أو الاشتراكات السحابية، وهل تشمل مراجعة التهيئة
- كل ما هو خارج النطاق صراحة، مع السبب
الخطوة 3: اختر المنهجية
| المنهجية | ما يعرفه المختبر | الأنسب لـ |
|---|---|---|
| الصندوق الأسود | لا شيء سوى الهدف | محاكاة مهاجم خارجي لا يملك معلومات |
| الصندوق الرمادي | بيانات اعتماد لأدوار محددة وتوثيق أساسي | معظم اختبارات التطبيقات والاختبارات الداخلية — أفضل توازن بين الواقعية والعمق |
| الصندوق الأبيض | المعمارية والشيفرة المصدرية والتهيئة | مراجعات عالية الضمان للأنظمة الحرجة |
يبدو اختبار الصندوق الأسود واقعيًا، لكنه ينفق جزءًا كبيرًا من ميزانية ثابتة على اكتشاف يكمله المهاجمون الحقيقيون على مدى أسابيع. أما اختبار الصندوق الرمادي فيتيح للمختبرين قضاء وقتهم في اكتشاف الثغرات وإثباتها.
الخطوة 4: اتفق على قواعد الاشتباك
- نوافذ الاختبار والمناطق الزمنية، بما في ذلك أي فترات حظر
- هل بيئة الإنتاج ضمن النطاق، وما الإجراءات المحظورة فيها — مثل حجب الخدمة أو تعديل البيانات
- تصريح مكتوب من مالك الأصل، ومن أي طرف ثالث يستضيف الأنظمة حيث تشترط سياسته ذلك
- كيفية التعامل مع البيانات الحساسة التي تُصادف أثناء الاختبار وحذفها
- جهات اتصال طوارئ معيّنة لدى الطرفين وإجراء لإيقاف الاختبار
- هل سيُبلَّغ فريق العمليات الأمنية لديك مسبقًا
الخطوة 5: حدد التقارير وإعادة الاختبار
اتفق على المخرجات قبل بدء الاختبار. يتضمن التقرير المفيد:
- ملخصًا تنفيذيًا مكتوبًا للقيادة غير التقنية
- سجل ملاحظات بدرجة الخطورة والأثر على الأعمال والأدلة
- خطوات واضحة لإعادة إنتاج كل ملاحظة
- إرشادات معالجة عملية مرتبة حسب الأولوية
- إعادة اختبار للملاحظات المعالجة ضمن مدة متفق عليها
- خطاب إفادة وصيغة تدعم حزمة أدلتك للهيئة الوطنية للأمن السيبراني أو ساما
كيف تقارن العروض بإنصاف
السعر اليومي هو أقل المقارنات فائدة. اطلب من كل مزود الجهد بالأيام لكل أصل، والمنهجية التي يتبعها — مثل دليل اختبار أمن الويب من OWASP أو PTES أو NIST SP 800-115 — ونموذج تقرير، وخبرة واعتمادات المختبرين المعيّنين، وهل إعادة الاختبار مضمّنة. فالعرض الأرخص الذي يخصص نصف الجهد ليس أرخص.
أخطاء شائعة في تحديد النطاق
- اختبار ما يسهل اختباره فقط. استبعاد أهم الأنظمة لحساسيتها يُفشل الغرض؛ فأدِر المخاطر بقواعد الاشتباك بدلًا من ذلك.
- وقت قليل جدًا للنطاق. ضغط تطبيق معقد في يومين ينتج مخرجات أداة فحص، لا اختبار اختراق.
- إغفال أدوار المستخدمين. عيوب التفويض — وصول مستخدم إلى بيانات آخر — من أخطر الملاحظات، ولا يمكن اكتشافها إلا ببيانات اعتماد لعدة أدوار.
- نسيان واجهات البرمجة والواجهات الخلفية للجوال. تكشف تطبيقات كثيرة عبر واجهات برمجتها أكثر بكثير مما تكشفه واجهة الويب.
- غياب خطة للملاحظات. دون مالكين ومواعيد معالجة متفق عليها مسبقًا، تبقى التقارير دون قراءة وتعود المشكلات نفسها في العام التالي.
الأسئلة الشائعة
كم مرة يجب إجراء اختبار الاختراق؟
مرة واحدة على الأقل سنويًا للأنظمة المهمة، وبعد أي تغيير كبير. وينبغي للجهات الخاضعة للتنظيم اتباع الوتيرة التي تحددها جهتها التنظيمية أو إطارها.
هل يمكن إجراء اختبار الاختراق بأمان على بيئة الإنتاج؟
نعم، بقواعد اشتباك مناسبة. فالمختبرون ذوو الخبرة يتجنبون الإجراءات التخريبية، ويمكن الاتفاق مسبقًا على الخطوات عالية المخاطر أو تنفيذها في بيئة تجريبية.
ما الفرق بين تقييم الثغرات واختبار الاختراق (VAPT) واختبار الاختراق؟
يجمع VAPT بين تقييم واسع للثغرات، مؤتمت في معظمه مع تحقق الخبراء، واختبار اختراق يدوي يستغل الملاحظات ويربطها لإظهار الأثر الفعلي.
فريق التحرير في NAZZTECكتبه وراجعه ممارسون من NAZZTEC. هذه الإحاطة إرشادات عامة وليست مشورة قانونية.
