عندما تضرب قرصنة أرض المصنع: داخل «درجة الأثر» الجديدة التي قد تغيّر تقارير أزمات الأمن السيبراني إلى الأبد

تخيّل هذا: هجوم سيبراني يضرب مرفق مياه في بلدة صغيرة. عناوين الأخبار تصرخ: «تهديد للبنية التحتية الحيوية!» السياسيون يطالبون بجلسات استماع. الجمهور يذعر. لكن ماذا لو كان الأثر على أرض الواقع، في الحقيقة، صفرًا؟ مرحبًا بك في فوضى تغطية الحوادث السيبرانية الصناعية - حيث تتصادم المصطلحات التقنية والتهويل والمعلومات المضللة. الآن، تعد أداة جديدة كُشف عنها في مؤتمر S4x26 بإعادة النظام إلى هذا الالتباس: «درجة أثر حادث تكنولوجيا العمليات» (OTI) Impact Score، وهو مقياس جماعي صُمّم لتقييم الضرر الحقيقي الذي تسببه الهجمات السيبرانية على الأنظمة الحرجة.

المشكلة: تهويل بلا مضمون

الهجمات السيبرانية الصناعية - فكّر في شبكات الكهرباء ومحطات المياه والمصانع - هي مادة كوابيس العصر الحديث. لكن الحقيقة أن كثيرًا من «الحوادث» المبلّغ عنها لا تترك أثرًا يُذكر في العالم الحقيقي، أو لا تترك أثرًا على الإطلاق. ومع ذلك، فإن التغطية الإعلامية اللاهثة والمبالغات السياسية قد تؤدي إلى هدر الموارد، وإثارة ذعر غير ضروري، وسياسات مبنية على معلومات خاطئة. هذه هي المشكلة التي تتصدى لها درجة OTI Impact Score مباشرة: تحويل الفوضى التقنية إلى أرقام بسيطة يفهمها أي شخص.

الحل: مقياس ريختر عام لكوارث الأمن السيبراني

ابتكرها دان ريتشي من مشروع ICS Advisory Project، وتختزل درجة OTI Impact Score التداعيات المعقدة للحادث في رقم واحد بين 0.0 و10.0. الصيغة؟ اضرب الشدة (مدى سوء الأمر) في الانتشار (مدى اتساعه) في المدة (كم يستمر)، ثم اقسم على 100. يحصل كل عامل على درجة من 1 (تافه) إلى 10 (كارثي). الهدف: أن يصبح الأمر سهلًا مثل التحقق من فئة إعصار أو مقدار زلزال.

لكن من يحدد الرقم؟ ليس لجنة سرية ولا وكالة حكومية. بدلًا من ذلك، تُستمد الدرجة من مساهمات مجتمع مُدقَّق من محترفي الأمن، مع حذف أعلى وأدنى 10% من المشاركات لتقليل الانحياز. النتيجة لقطة سريعة وشفافة يقودها المجتمع للأثر - تصل بينما لا تزال دورة الأخبار تدور.

لماذا الآن؟

وفقًا لمؤسس S4xEvent ديل بيترسون، فإن الحاجة إلى الوضوح ملحّة. يقول: «مرافق مياه صغيرة ذات أثر شبه معدوم تسببت في عناوين عالمية وجلسات استماع في الكونغرس. هذه حرفيًا تسجل 0.0 على مقياس الأثر». وعلى النقيض، حصل هجوم الفدية على Colonial Pipeline، الذي عطّل إمدادات الوقود لملايين الأشخاص، على 3.9 - مرتفع، لكنه بعيد عن نهاية العالم.

ومع ازدياد ترابط الأنظمة الصناعية - وتعقّد التهديدات - تتسابق عمالقة التقنية مثل NVIDIA وAkamai وSiemens وPalo Alto Networks لنشر دفاعات مدعومة بالذكاء الاصطناعي. لكن إلى أن يلحق أسلوب حديثنا عن المخاطر السيبرانية بالواقع، سيظل الالتباس سيد الموقف. درجة OTI Impact Score تجربة جريئة لتحويل الحوار من الخوف إلى الحقائق.

الخلاصة: تجربة أم نقطة تحوّل؟

هل سيصبح «مقياس ريختر» الجديد للهجمات السيبرانية الصناعية عنصرًا ثابتًا في غرف الأخبار وغرف مجالس الإدارة؟ أم سيكون مجرد أداة حسنة النية تضيع وسط الضجيج؟ صانعوه واضحون: ليست للجهات التنظيمية أو خبراء حسابات التأمين، بل للجمهور والصحفيين وصنّاع السياسات الذين يحتاجون إلى سياق سريع وموثوق. ومع تطور التهديدات السيبرانية، يجب أن تتطور أيضًا طرق قياس - وفهم - عواقبها في العالم الحقيقي. في الوقت الراهن، التجربة قائمة، والعالم يراقب.

WIKICROOK

• تكنولوجيا العمليات (OT): تشمل تكنولوجيا العمليات (OT) أنظمة الحاسوب التي تتحكم في المعدات والعمليات الصناعية، وغالبًا ما يجعلها ذلك أكثر عرضة للهجمات من أنظمة تقنية المعلومات التقليدية.
• ICS (أنظمة التحكم الصناعية): أنظمة التحكم الصناعية (ICS) هي أنظمة حاسوبية تؤتمت وتدير البنية التحتية الحيوية مثل محطات الطاقة والمصانع والمرافق.
• الاستعانة بالجمهور: تجمع الاستعانة بالجمهور مدخلات من العديد من المستخدمين عبر الإنترنت لحل مشكلات الأمن السيبراني، واكتشاف الثغرات، وتعزيز استخبارات التهديدات لدى المؤسسات.
• الشدة: تقيس الشدة الأثر المحتمل أو الضرر الناتج عن حادث أمن سيبراني، ما يساعد المؤسسات على تحديد الأولويات والاستجابة للتهديدات بناءً على المخاطر.
• مقياس ريختر: يقيّم مقياس ريختر مقدار الزلازل؛ وفي الأمن السيبراني يُستخدم كاستعارة لقياس أثر أو شدة الحوادث أو الاختراقات السيبرانية.