خطة الاستجابة الوطنية للحوادث السيبرانية
مقدمة
قام المركز الوطني للأمن السيبراني بخلق هذا الإطار وذلك بهدف توضيح دور المركز في
حوادث الأمن السيبراني في مملكة البحرين. حوادث الأمن السيبراني تختلف بشكل كبير في
طبيعتها، وعليه فإن هذه الخطة تعمد إلى التركيز على العناصر المشتركة في معظم الحوادث.
هذه الخطة تنقسم إلى عدة أقسام بغرض معالجة كل مرحلة من مراحل الاستجابة للحوادث بشكل
منفصل.
ولهدف هذا المستند، فإن حوادث الأمن السيبراني تعرّف على أنها حدث يؤثر سلبًا على أصول
تقنية المعلومات (الأنظمة، التطبيقات، المعلومات وغيرها) من ناحية سريتها، تكاملها أو
حتى توافرها. ومن الممكن أن تأتي الحادثة السيبرانية نتيجة لخطأ بشري.
القوانين والمسؤوليات
يتناول هذا القسم أدوار ومسؤوليات موظفي المركز الوطني للأمن السيبراني والجهات الخارجية أثناء الحادث الأمن سيبراني.
-
المركز الوطني للأمن السيبراني
-
إدارة الحوادث
تلقي اشعار تنبيهات خارجية، تفويض التنبيهات إلى المحللين، التنسيق مع المتضررين/الضحايا أثناء الحوادث عند الحاجة.
-
محلل سيبراني
التحليل والتحقق من صحة التنبيهات السيبرانية.
-
محلل الأدلة الرقمية
الاستجابة للحوادث السيبرانية، دعم المحللين السيبرانيين.
-
-
الجهات المتضررة
الإبلاغ عن الحوادث السيبرانية، منح المركز الوطني الصلاحية للوصول للبيانات الأساسية لتحليل الحادث، وحال تم إغلاق الحادث، يتعين على الجهة معالجة أي مشكلات سيبرانية تسببت أو ساهمت في وقوع الحادث السيبراني بشكل ملائم.
-
منظمي القطاعات
الإبلاغ عن الحوادث، وتحديد الأهداف الخاصة بالقطاع للاستجابة للحادث.
التنبيهات السيبرانية
بطبيعة الحال، فإن التنبيهات السيبرانية يتم إنشاؤها من قبل البنية التحتية السيبرانية الخاصة بالمركز الوطني للأمن السيبراني، إلا أنه ومن الممكن تلقي تنبيهات سيبرانية من مصادر خارجية. التنبيهات الداخلية يتم التثبت منها وذلك للتخلص من التنبيهات الزائفة، في حين يتم تمحيص التنبيهات الخارجية لتحديد مصداقيتها.
تقييم التهديدات
ما أن يتم إعلان الحادث، يتم تقييم الخطورة لتحديد مستوى التهديد الناتج من الحادث، العاملان الرئيسيان لتقييم التهديد هما أهمية الكيان المتأثر والأثر (أو التأثير المتوقع) للحادث.
يمكن لمستوى التهديد لحادث أن يتغير عند اكتشاف معلومات إضافية عن الحادث، وعليه فإن الاستجابة للحادث يجب أن تتغير وفقًا لذلك. العوامل التي ترفع مستوى التهديد هي: عدد الجهات/الأفراد المتضررين، تأثير اجتماعي واقتصادي محتمل، ممثل التهديد المشارك، عامل الزمن، وضوحه للجمهور.
تقييم وتصنيف الحادث يتم التعامل معه من قِبَل المركز الوطني.
يعطي المركز الأولوية للحوادث التي تؤثر على الجهات الحكومية والبنية التحتية الوطنية الحساسة. البنية التحتية الحساسة هي الجهات التي تدير الأصول (على سبيل المثال، المرافق والمعدات والعمليات والمعلومات) الأساسية للبلد لممارسة وظائفها والتي تعتمد عليها الحياة اليومية. ضمن هذه البيئة، هنالك عناصر محددة بالغة الأهمية للبلد لدرجة أن اختراقها قد يؤدي إلى خسائر في الأرواح، تتسبب في تأثير يضعف القدرة على تقديم الخدمات الأساسية، أو يتسبب من ناحية أخرى.
خ 1 - حالات الطوارئ السيبرانية الوطنية
التهديدات
تهديدات لحياة الإنسان.
تهديدات للأمن الوطني/القومي.
الاستجابة
تنسيق الاستجابة من خلال المركز وشركاءه، وتكون الاستجابة في موقع الجهة المتضررة.
خ 2 - حوادث سيبرانية عالية الخطورة
التهديدات
تهديد عالي على الجهات الحكومية والبنية التحتية الحرجة.
الاستجابة
الاستجابة من المركز في موقع الجهة المتضررة غالبًا
خ 3 - حادث خطير
التهديدات
تهديد متوسط الخطورة على الجهات الحكومية أو البنية التحتية الحرجة.
تهديد عالي الخطورة على الشركات الكبيرة.
الاستجابة
الاستجابة من المركز عن بعد غالبًا
خ 4 - حادث ذو خطورة متدنية
التهديدات
تهديد متدني الخطورة على الجهات الحكومية أو البنية التحتية الحرجة.
خطورة متوسطة إلى متدنية على الشركات الكبيرة.
أي تهديد على الشركات المتوسطة.
الاستجابة
إرسال تنبيه سيبراني من المركز مع/أو الاستجابة للحادث من خلال المركز عند الحاجة
إشراك الجهات المتضررة
بمجرد الإعلان عن الحادث، يجب الاتصال بالجهة المتضررة من قبل المركز الوطني، اثبتت التجارب أن الحفاظ على علاقة قائمة على مبدأ الثقة المتبادلة مع الجهات ينتج عنه أفضل نتائج ممكنة.
القيادة
خلال حوادث المستوى خ1 وخ2 من المفيد أن تجتمع الأطراف المعنية بشكل منتظم لتواصل واستجابة فعّالة. تشكيل فريقين هو الأمثل:
مجموعة القيادة التكتيكية
-
المركز الوطني للأمن السيبراني
-
شركاء المركز الوطني للأمن السيبراني
-
المساعدة التقنية للجهات المتضررة
هذه المجموعة تلتقي لتحديد التحديات التشغيلية ومناقشة الحلول المحتملة.
مجموعة القيادة الاستراتيجية
-
المركز الوطني للأمن السيبراني
-
المساعدة التقنية للجهات المتضررة
-
الشركاء الآخرين
هذه المجموعة تلتقي للاتفاق على الأهداف، وتحقيق الوعي بالوضع، وكذلك لموائمة السياسات والاستجابات التشغيلية، وللتشاور أيضًا مع خبراء الموضوع (اعتمادًا على طبيعة الحادث والقطاع المتأثر)، ووضع خطة للتعافي. هذه المجموعات لا تجتمع وحسب خلال مراحل الاستجابة للحادث السيبراني، وإنما كذلك خلال مرحلة التعافي.
إنهاء الحادث
نظرًا لتنوع الحوادث واختلافها، فإن شروط الإنهاء تختلف من حادثة لأخرى، عادة، يعتبر الحادث منتهي إذا:
-
تم تحديد التهديد السيبراني
-
جرى احتواء التهديد والتخلص منه
-
تم تحديد السبب الجذري للحادث
بعد إنهاء الحادث، قد يقدم المركز الوطني إرشادات للجهات المتضررة حول كيفية التعافي من الحادث، بالنسبة لحوادث ال خ3 وما فوقها، يجب مشاركة تقرير الحادث مع الجهة المتضررة مع خطة لمعالجة السبب الرئيسي للحادث وتقديم المشورة بشأن كيفية تحسين الوضع السيبراني. قد يقوم أخصائي الاستجابة بإجراء اتصالات متابعة لدعم التعافي من الحادث.