هل شركتك مستعدة لأي هجمات إلكترونية؟

ملخص: الحديث عن الاستعداد لما هو غير متوقع أسهل بكثير من التنفيذ. وفي حالة الهجمات الإلكترونية، لدى العديد من الشركات نقاط ضعف في دفاعاتها واستجاباتها قد يستغلها المخترقون. يمكن للعديد من الشركات الاستفادة من تنظيم تدريبات على التعامل مع المواقف غير المتوقعة وتدريبات محاكاة نظرية تختبر خطة استجابة الشركة على كافة المستويات. فمن شبه المؤكد أن هذه التدريبات ستكشف عن ثغرات في الأمن وخطط الاستجابة ومدى معرفة الموظفين بأدوارهم. وفي حين أن الاستثمار في ميسّرين من خارج الشركة لإجراء هذه التدريبات سيسمح غالباً بإجراء اختبارات أكثر صرامة بمعزل عن الديناميات الداخلية، إلا أن هناك إرشادات يمكن للمؤسسات التي ترغب في تنفيذ تدريبات داخلية اتباعها للاستعداد بشكل أفضل لأي هجمة إلكترونية.

دائماً ما تحدث الهجمات الإلكترونية في أوقات غير متوقعة على الإطلاق. وعندما تحدث فإنها تحدث بسرعة. ومسؤولية الاستجابة المناسبة لها لا تقع على عاتق فريق الأمن السيبراني فحسب، فلكل فرد في المؤسسة دور يؤديه. فهل فريقك مستعد؟ وهل يعرف ما ينبغي فعله وما لا ينبغي فعله؟ والأهم من ذلك، هل تدرب الفريق بأكمله على استجابته لتلك الهجمات؟ يتعين على الجميع، مجلس الإدارة والمسؤولين التنفيذيين والمدراء وأعضاء الفريق، معرفة أدوارهم ومسؤولياتهم والعمل على حل أي مشكلات محتملة تتعلق باستجاباتهم قبل أن تفرض أي هجمة إلكترونية مباشرة ضغطاً هائلاً على المؤسسة.

هناك طريقة سهلة لتحديد ما إذا كانت خطة الاستجابة للحوادث ناجحة وما إذا كان فريقك يعرف أدواره: وهي الاختبار. ومع ذلك، أظهرت دراسة استقصائية أجراها "معهد بونيمون" (Ponemon Institute) أن 47% من المؤسسات لم تقيِّم مدى استعداد فِرق الاستجابة للحوادث، ما يعني أن المرة الأولى التي تختبر فيها الشركات خططها ستكون في أسوأ وقت ممكن؛ أي في منتصف الهجمة الإلكترونية. المخترقون يختبرون دفاعاتك واستجاباتك على نحو ثابت ومستمر، ولذلك يجب أن تقوم بالأمر ذاته.

من خلال عملنا في مساعدة المؤسسات، العامة والخاصة والكبيرة والصغيرة والمحلية والدولية، على الاستعداد للهجمات الإلكترونية، وجدنا أن التدريب على التعامل مع المواقف غير المتوقعة وتدريبات المحاكاة النظرية هي طريقة رائعة للاستعداد للأسوأ.

التدريب على التعامل مع المواقف غير المتوقعة وتدريبات المحاكاة النظرية

تخيل ما سيحدث في غرفة الطوارئ عقب حادث سيارة. عند وصول المرضى المصابين بجروح خطيرة، يجب أن يكون طاقم الطوارئ على عِلم بما يجب فعله وكيفية فعله تحديداً. ولا يمكنهم التعلم في الوقت نفسه الذي تحدث فيه الأزمة. الشيء نفسه ينطبق على المسؤولين في المناصب التنفيذية العليا والإدارة العليا. للتأكد من اتساقهم مع خطط الشركة ودرايتهم بها خلال الهجمات الإلكترونية، فإنهم يحتاجون إلى التدرب مسبقاً وتكوين ذاكرة عضلية حول كيفية الاستجابة. وسيناريوهات محاكاة الهجمات تساعد المؤسسات على التحقق من سلامة خططها وإعداد قادة الشركة.

تستغرق المشاركة الفعالة بضعة أسابيع من التخطيط، وتعمل بشكل أفضل عند استخدام مواقف وسيناريوهات واقعية. عادة ما نعد مقاطع فيديو تحاكي شركة تتعرض لانتقادات في نشرة الأخبار المسائية مع حضور الصحفيين وطلبهم إجراء مقابلة مع الرئيس التنفيذي أو مقاطعة مؤتمر صحفي تعقده الشركة للسؤال عن الهجمة الإلكترونية. كما أننا نحاكي مواقع الإنترنت المظلم حيثما يمكن للمسؤولين التنفيذيين رؤية ملكيتهم الفكرية الأكثر قيمة يتم بيعها في مزاد علني لمن يدفع أعلى سعر، وسعر أسهمهم يسقط كالصخرة.

تتمثل الخطوة الأولى في التأكد من وجود أهداف تعليمية واضحة وتحديد عواقب الهجمات الإلكترونية التي سيكون لها تأثير سلبي خطير على المؤسسة. يساعد التدريب على التعامل مع المواقف غير المتوقعة وتدريبات المحاكاة النظرية المؤسسات على تحديد نقاط الضعف والمخاطر التي يجب معالجتها، كما أن هذه التدريبات تُظهر للمؤسسة حجم المخاطر وأهمية الموارد الأمنية والاستثمارات، وتختبر الخطط بطريقة تساعد الجميع على الاستعداد. حدوث أشياء غير متوقعة هو أمر شبه مؤكد، ولكن معرفة ما يجب فعله هو ما يساعد المسؤولين التنفيذيين على الاستجابة عند حدوث ما هو غير متوقع فعلياً.

يخدم كل اختبار هدفاً مختلفاً. تُجرى تدريبات المحاكاة النظرية من وقت لآخر وتختبر القدرة الإدارية والاستجابة على مستوى الفريق، أما تدريبات التعامل مع المواقف غير المتوقعة فهي تدريبات منتظمة تختبر الأشخاص والعمليات والتقنيات للتأكد من استجابتهم بشكل مناسب للأزمات ومن أن هناك خطط طوارئ قائمة في حالة عدم نجاح خط الاستجابة الأول. إذا تم اختراق النُظم الرقمية التي تدعم المؤسسة، من المهم أن تكون هناك خطط اتصال وتشغيل بديلة ونسخ احتياطية وموارد طوارئ محددة يمكن سد الثغرات بها إلى حين استعادة العمليات والنُظم العادية. فبدون إجراء هذه الاختبارات، تصبح الشركات عرضة لأي شيء يمكن التفكير فيه عندما يتم اختراق نُظمها الرئيسية، ويمكن أن يؤدي ذلك إلى تعطُّل أعمالها بشكل كبير مثلما حدث مؤخراً في "بنك سانتاندر" (Santander Bank) ومدينة بالتيمور ووزارة الخزانة الأميركية.

التدريبات الأربعة الأكثر فعالية

إذاً، من أين يجب أن تبدأ؟ هذا يعتمد على الأشخاص والأشياء التي ترغب في اختبارها. وجدنا أن هناك 4 أنواع من التدريبات على التعامل مع المواقف غير المتوقعة وتدريبات محاكاة نظرية تُعد الأكثر فعالية.

يختبر كل نهج مذكور أعلاه جزءاً مختلفاً من خطط الشركة. إذ إن إجراء تدريبات محاكاة نظرية لفريق مسؤولي الإدارة التنفيذية العليا سيساعدهم في التدرب على خطة الاستجابة الحالية للشركة واختبار خطط الطوارئ البديلة في حالة حدوث ما هو غير متوقع. وفعل الشيء نفسه مع أعضاء مجلس الإدارة سيوفر فرصاً مماثلة. ففي نهاية المطاف، تساعد تدريبات المحاكاة النظرية والتدريب على التعامل مع المواقف غير المتوقعة في زيادة الوعي وبناء قيم وسلوكيات ومعتقدات حول أهمية مشاركة الجميع في الحفاظ على أمن المؤسسة. والأهم من ذلك أن كل اختبار يساعد الشركات على اكتشاف ما لن ينجح في خطتها، ويمنحها الوقت لإصلاحه قبل أن تحتاج إلى وضعها موضع التنفيذ.

ما الذي ستكتشفه مؤسستك على الأرجح

تدريبات المحاكاة النظرية الجيدة تجعل المشاركين ينخرطون بعمق في هجمة إلكترونية حتى يشعروا بتأثير القرارات التي يتخذونها ومدى فعالية خطط الشركة. ونتيجة لذلك تكتشف معظم المؤسسات بعض الأمور عن خططها لم تكن واضحة في السابق، مثل:

الخطط المعيبة وغير القابلة للإدارة: أدركت إحدى شركات التصنيع أن خطتها للاستجابة للحوادث كانت مكتوبة في 400 صفحة ولم يقرأها أحد من قبل. عندما تنهال عليك مكالمات المساهمين والصحفيين مطالبين بمعلومات، ولا يعرف موظفوك ما يجب عليهم فعله، ويسرق المجرم السيبراني غيغابايتات من البيانات أو يشفّر أجهزة الكمبيوتر الخاصة بك حتى لا يتمكن الموظفون من العمل، فهذا ليس الوقت المناسب الذي يتعين فيه على كل مسؤول تنفيذي أن يقرأ وثيقة من 400 صفحة، قد يستفيد من 5 أو 6 صفحات منها فقط، لتحديد الإجراءات التي يجب اتخاذها.

معرفة مَن الذي يجب الاتصال به: في تدريب آخر، كان الحل الأول للأزمة هو "سيتصل شخص ما بمحسن الذي سيعالج المشكلة من خلال التحقق من هذا البرنامج". على الرغم من ذلك، كان هناك شخص واحد يعرف محسن، ولم يكن محسن يعرف أنه المسؤول عن ذلك، كما أن البرنامج لم يعمل على النحو الذي افترضه الشخص. فهذا المستوى من التفاصيل هو الذي يزيد من قيمة التدريب إلى أقصى حد.

مخاطر جديدة غير متوقعة: في أوقات أخرى يمكن لهذه الاختبارات مساعدة الشركات في إدراك المخاطر التي لم تفكر فيها مطلقاً، فضلاً عن التخطيط لها. في عام 2018، أجرينا العديد من تدريبات المحاكاة النظرية وكان السيناريو المستخدم في التدريبات يتضمن عدم صلاحية عدة مواقع فعلية للمؤسسة للعمل داخلها، وكان على المؤسسة الانتقال إلى سيناريو العمل من المنزل بالكامل. فقد أعددنا هذه المؤسسات بشكل غير متعمد لحقيقة الوضع الحالي في ظل جائحة "كوفيد-19" (على الرغم من أن بعض المؤسسات في ذلك الوقت لم تصدق أن هناك موقفاً يمكن أن يحدث فيه ذلك).

آثار تتجاوز نطاق استمرارية الأعمال: تعد تدريبات المحاكاة النظرية أداة مفيدة لتسليط الضوء على الآثار التي تتجاوز نطاق استمرارية الأعمال. في مؤسسة مالية كبيرة للغاية، وضعنا تدريباً مع سيناريو فقدَ فيه العملاء الثقة في التعامل التجاري مع المؤسسة. وقد أوقف أحد المسؤولين في المناصب التنفيذية العليا التدريب في منتصفه وقال: "لقد دمر [أي ميسّر تدريبات المحاكاة النظرية الذي يتظاهر بأنه مجرم سيبراني] شركتنا بسيناريو واحد منطقي! إذاً، نحن بحاجة إلى زيادة الاستثمار في الأمن السيبراني".

الدافع للاستثمار في الأمن السيبراني: في دراسة حديثة أجرتها شركة "أوسترمان ريسرتش" (Osterman Research) قال 45% من المشاركين بعد أحد تدريبات المحاكاة النظرية أنهم تمكنوا من زيادة الميزانيات المخصصة للأمن. وقد أُنفق معظم هذه الميزانية على توفير حلول إضافية وتدريب القوى العاملة. وسلطت هذه الدراسة نفسها الضوء على أن 78% من العاملين في مجال الأمن السيبراني يرون أن تدريبات المحاكاة النظرية والتدريب على التعامل مع المواقف غير المتوقعة جعلت مؤسساتهم أفضل استعداداً للاستجابة للتهديدات السيبرانية المستقبلية.

ما الذي ينبغي لمؤسستك فعله بعد ذلك؟

الاستعانة بمصدر خارجي لإعداد تدريبات على التعامل مع المواقف غير المتوقعة أو تدريبات محاكاة نظرية يمكن أن تؤدي إلى زيادة الفوائد. فالتدريبات المصممة داخلياً غالباً ما تفتقر إلى وضع سيناريوهات لحوادث مفاجئة وغير متوقعة. وبعد وضع خطط الاستجابة، يواجه أعضاء الفريق الداخلي صعوبة في تصور أشياء غير متوقعة. علاوة على ذلك، قد يواجه أعضاء الفريق صعوبة في تحدي زملائهم وكبار المسؤولين التنفيذيين، ما يؤدي إلى التفكير الجماعي أو خروج أعضاء الفريق عن الموضوع بدلاً من اختبار استجاباتهم وأفكارهم. ولكن القادة من خارج الشركة ليس لديهم الافتراضات نفسها ولا يجتمعون للنقاش أو للعمل على حل المشكلات اعتماداً على ذاكرة المؤسسة وعاداتها. يمكن أن يؤدي الضغط من أجل الحصول على تفاصيل واكتشاف العيوب في الخطط إلى تقييد العاملين داخل الشركة، ولكنه أمر متوقع وضروري لإجراء تدريب فعال.

في حين أن هناك مزايا لجلب أشخاص من خارج الشركة (ونعتقد أن الأمر يستحق التكلفة)، إلا أنه يمكن للشركات تنظيم هذه الاختبارات بمفردها. فيما يلي بعض أفضل الممارسات لتنظيم تدريباتك وإجرائها:

1- احرص على جمع الأشخاص المناسبين معاً. حدد مواعيد الجلسات مسبقاً بمدة طويلة وأعلِم المسؤولين التنفيذيين أنها إلزامية. قد يكون جمع الأشخاص في الغرفة نفسها أو في مكالمة عبر برنامج "زووم" لمدة 2-4 ساعات أمراً صعباً.

2- ضع جدولاً زمنياً لسيناريو محتمل لمؤسستك وشارك المعلومات بعناية. اختر هجمة إلكترونية تبدو منطقية بالنسبة إلى نوع مؤسستك، لأن التدريب الذي يحاكي موقفاً واقعياً قد يواجهه فريقك سيكون أكثر إثارة للاهتمام. وحدد ما إذا كانت الهجمة الإلكترونية ستحدث على مدار ساعات أم أيام أم أسابيع، وتأكد من إخبار الفريق بالكيفية التي تسرِّع بها الوقت في أثناء التدريب. تحدث الهجمات الحقيقية بمرور الوقت، ولذلك فإن تطورات الأحداث مهمة للتدريب. ويتعين على المشاركين اتخاذ أفضل قرار ممكن في ضوء المعلومات التي بحوزتهم، في كل مرحلة من الجدول الزمني. لا تقدم للمشاركين جميع المعلومات التي يودون الحصول عليها في أي وقت. فهذا يساعدهم على إدراك ما يحتاجون إلى معرفته عند وقوع حادثة حقيقية.

3- ضع السيناريو بحيث يكون لكل عضو في الفريق دور يؤديه. من السهل للغاية إخبار شخص آخر بما يجب عليه فعله، ولكن في بعض الأحيان يكون من الصعب فهم ما يجب عليك فعله أو تصوره. غالباً ما تشتمل خطط الاستجابة على مهام يتعين على أدوار وظيفية محددة الاضطلاع بها (ما ينبغي للرئيس التنفيذي القيام به، وما ينبغي للرئيس التنفيذي للمعلومات القيام به، وما ينبغي للرئيس التنفيذي لشؤون الموارد البشرية القيام به، وما إلى ذلك). شارك خطة الاستجابة الكاملة للمؤسسة مع أعضاء الفريق مسبقاً إن أمكن حتى يعرفوا أنها موجودة (ونأمل أن يقرؤوها). وجهِّز نسخة مختصرة ومخصصة لكل مشارك تحتوي فقط على أدوار ذلك المشارك ومسؤولياته لمساعدته في أن يكون مستعداً قدر الإمكان.

4- ناقش خطط العمل في كل فترة توقف في الجدول الزمني. بعد إخبار المشاركين بجزء من السيناريو، امنحهم فرصة لمناقشة ما سيقترحون فعله. واسألهم ما إذا كان ما يفعلونه يتوافق مع خطة الشركة للاستجابة للحوادث أم أنهم يرتجلون. وإذا كانوا يرتجلون، فهل هذا لأن الخطة ليست مرضية بالنسبة إليهم وينبغي تحسينها؟ واحرص على أن يدوِّن شخص ما الملاحظات حتى لا تضيع الأفكار المستقاة من تلك المناقشات.

5- تدرَّب قبل تدريب الفريق بأكمله. أفضل التدريبات يجب أن تكون مدروسة جيداً وتختبر خطط الاستجابة الحالية للمؤسسة والارتجالات. استعد لذلك عن طريق إجراء تدريب محاكاة نظري قصير وجهاً لوجه مع كل مسؤول تنفيذي بشكل فردي في مكتبه أو في مكالمة خاصة. واشرح لهم دورهم كما هو موضح في خطة الاستجابة الحالية. سيؤدي هذا إلى تفادي عدم مشاركة المسؤول التنفيذي في التدريب الجماعي لأنه يخشى إحراج نفسه. ففي حين أن مشاركته يمكن أن تكون قوة دافعة للتغيير، إلا أن عدم علمه بدوره غالباً ما يؤدي إلى نتائج عكسية وينتج عنه توجيه أصابع الاتهام أو مغادرة الغرفة أو انتهاج أي سلوك آخر مشحون عاطفياً.

أفادت الشركات التي تجري تدريبات للتعامل مع المواقف غير المتوقعة وتدريبات محاكاة نظرية أنها أفضل استعداداً للهجمات الإلكترونةي وللأزمات السيبرانية وأن فِرقها أصبحت أكثر ترابطاً في مواجهة حالات الطوارئ. يمكن الشعور بجدوى تكاليف تدريبات المحاكاة النظرية بسرعة، فالنتيجة هي زيادة مرونة الاستجابة للأزمة وجودتها، ما يمكن أن يحد من التأثير المالي على المؤسسة بما يصل إلى ملايين الدولارات. لقد حان الوقت لجدولة جلسات تدريب لفريقك.

إقرار: هذا البحث مدعوم جزئياً بأموال مقدمة من فريق بحوث "الأمن السيبراني في كلية سلون للإدارة بمعهد ماساتشوستس للتكنولوجيا" (CAMS) في "كلية سلون للإدارة" التابعة لمعهد ماساتشوستس للتكنولوجيا "و"بوسطن كونسلتينغ جروب" (Boston Consulting Group). شارك جميع المؤلفين بقدر متساوٍ.