توحيد الأمن المادي والسيبراني: خارطة طريق عملية للمنشآت في الإمارات

تجوّل في أي منشأة حديثة في الإمارات وعدّ الأنظمة الأمنية: كاميرات المراقبة، ولوحات التحكم بالدخول، والبوابات والحواجز، وأجهزة الاتصال الداخلي، ولوحات الإنذار. كل واحد منها اليوم جهاز يعمل ببروتوكول الإنترنت على شبكة. ومع ذلك، في معظم المؤسسات يتبع الأمن المادي لإدارة المرافق، ويتبع الأمن السيبراني لتقنية المعلومات، والمساحة بينهما هي حيث تقع الحوادث الحقيقية.

لماذا يشكل الفصل بين الجانبين ثغرة

كاميرا الشبكة حاسوب صغير بعدسة: تشغّل برامج ثابتة، وتكشف خدمات شبكية، وكثيراً ما تصل من المصنع ببيانات دخول افتراضية. وعندما يشتري فريق المرافق الكاميرات ويركبها مقاول التجهيز، لا يطبق أحد الانضباط الذي تطبقه تقنية المعلومات على أي جهاز آخر: لا سجل أصول، ولا سياسة كلمات مرور، ولا تحديثات للبرامج الثابتة، ولا مراقبة. والنتيجة موثقة جيداً؛ فقد استُخدمت كاميرات وأجهزة تسجيل مخترقة كنقاط دخول إلى شبكات الشركات وجُندت في شبكات الهجمات على نطاق واسع.

والانكشاف يسري في الاتجاه المعاكس أيضاً. فالمهاجم الذي يصل إلى خادم التحكم بالدخول لا يحتاج إلى كسر الباب؛ يكفيه أن يفتحه. الأمن المادي يعتمد على سلامة الأنظمة التي تشغّله، وهذا يجعله مسألة سيبرانية سواء وافق الهيكل التنظيمي أم لا.

خارطة طريق قابلة للتطبيق

1. ابنِ سجل أصول موحداً. أدرج كل جهاز أمني له عنوان شبكي: الكاميرات، وأجهزة التسجيل، ووحدات التحكم، والقارئات، وأجهزة الاتصال الداخلي، ووحدات تحكم الحواجز. سجّل الطراز وإصدار البرنامج الثابت والموقع ومالك بيانات الدخول وواجهة الإدارة. تُفاجأ معظم المؤسسات مرتين: بعدد الأجهزة الموجودة فعلاً، وبعدد ما يعمل منها حتى الآن بكلمة مرور المركّب الافتراضية.

2. جزّئ الشبكة. مكان الأنظمة الأمنية شبكات محلية افتراضية خاصة بها، مفصولة عن شبكة الشركة بقواعد جدار ناري لا تسمح إلا بالحركة التي تحتاجها الأنظمة فعلاً. فليس للكاميرا سبب للوصول المباشر إلى الإنترنت، وليس لجهاز في قسم الحسابات سبب للوصول إلى وحدة تحكم الأبواب. التجزئة تحوّل الكاميرا المخترقة من اختراق للشبكة إلى حادث محصور.

3. أدخل الأجهزة في دورة التحديثات. ينبغي أن تتبع تحديثات البرامج الثابتة للكاميرات ووحدات التحكم نفس دورة تحديث الخوادم: مالك مسؤول، وجدول زمني، وآلية اختبار، وسجل موثق. وحيث توقف المورد عن إصدار التحديثات، فهذا مدخل لخطة الاستبدال لا مبرر لتجاهل الجهاز.

4. راقب المجالين من مكان واحد. وجّه أحداث الأنظمة الأمنية، مثل انقطاع جهاز أو محاولات دخول فاشلة متكررة أو تغييرات في الإعدادات، إلى نفس منظومة المراقبة المستخدمة لبقية بيئة تقنية المعلومات. فالنمط المهم، مثل انقطاع كاميرا قبل لحظات من حدث فتح باب عنوة، يبقى غير مرئي عندما يراقب النظامين فريقان مختلفان على شاشتين مختلفتين.

5. عيّن مالكاً واحداً للمخاطر الموحدة. سواء أوكلت المهمة لتقنية المعلومات أو المرافق أو وظيفة أمنية مستقلة، فالمهم أن يملك دور واحد سجل الأصول والمعايير وإجراءات الحوادث في المجالين معاً. وللمؤسسات الساعية إلى ISO 27001 أو معايير ضمان المعلومات الإماراتية، فإن ضوابط الأمن المادي والبيئي مشمولة أصلاً في النطاق؛ وتوحيد الملكية يحوّل متطلب امتثال إلى ميزة تشغيلية.

من أين تبدأ

لا تحاول تنفيذ الخطوات الخمس دفعة واحدة. يأتي سجل الأصول أولاً لأن كل ما عداه يعتمد عليه، ويمكن إنجازه عادةً في أيام. والتجزئة هي التغيير التقني الأعلى قيمة، وغالباً ما تتحقق بمعدات التحويل الموجودة. أما الخطوات المتبقية فمسألة إجراءات، ونجاحها رهن بالملكية لا بالتقنية.

قد تسمع فرق المرافق هذا الطرح باعتباره تمدداً من تقنية المعلومات على أراضيها. والواقع عكس ذلك: يصبح الأمن المادي أكثر موثوقية عندما تُصان بنيته التحتية بنفس صرامة أي نظام حرج آخر، ويكسب فريق المرافق سجل أدلة لكل حادث بدل قرص صلب قد يكون سجّل وقد لا يكون.

إذا أردتم تقييماً لوضع أنظمة المراقبة والتحكم بالدخول لديكم على الشبكة، يجري فريق النجمة للتقنيات تدقيقات أمنية موحدة في أنحاء الإمارات؛ اتصلوا على +971 6 524 0331 أو أرسلوا استفساركم.