اكتشف مورد معالجة بيانات الدفع لدى شركة تقنية مالية حادثًا أمنيًا الساعة 8 صباح يوم اثنين، إذ رصدت منصة EDR لديه نشاط PowerShell غير اعتيادي على خادم في مجموعة خوادم معالجة المدفوعات. وصنّف محلل SOC لدى المورد الحادث على أنه P2 استنادًا إلى المؤشرات الأولية: لا وصول مؤكد إلى البيانات، ونطاق محدود للنشاط غير الاعتيادي، وتقييم أولي يرجّح أن النشاط ربما يمثل نصًا برمجيًا للأتمتة سيئ الإعداد لا هجومًا. وتضمّن إجراء الاستجابة لحوادث P2 لدى المورد فترة تحقيق مدتها اثنتا عشرة ساعة قبل التصعيد إلى P1 في حال التأكيد، على أن يجري إخطار العميل وفق إجراء P2 بعد ست وثلاثين ساعة إذا تأكد أن الحادث حدث أمني حقيقي يمس بيانات العملاء. وعند الساعة الثانية عشرة، أكد التحقيق أن النشاط خبيث، وهو هجوم قائم على بيانات الاعتماد استهدف خادم الدفع. وصُعّد الحادث داخليًا إلى P1، لكن إخطار العميل ظل يتبع الجدول الزمني لإجراء P2 لأن عملية إعادة التصنيف تطلبت موافقة إدارية لم تُستكمل حتى الساعة الثلاثين. وجرى إخطار العميل عند الساعة السادسة والثلاثين. وأدرك الفريق التنظيمي لدى شركة التقنية المالية فور تلقي الإخطار أن التزامه بالإخطار عن الحوادث وفق PCI-DSS كان ساريًا منذ الاكتشاف الأولي لدى المورد عند الساعة صفر. فلم يتبقَّ لديه سوى ست وثلاثين ساعة لإتمام إخطار يشترط PCI-DSS إجراءه خلال اثنتين وسبعين ساعة من علم «الطرف المسؤول» بالحادث.
ما هي مشكلة تصعيد الحوادث عبر الموردين حقًا؟
تصعيد الحوادث عبر الموردين هو تحدي ضمان تصعيد الحوادث الأمنية في بيئات الموردين التي تمس بيانات العملاء إلى العميل، وإلى السلطات التنظيمية، ضمن مُهل تفي بالالتزامات التنظيمية للعميل، لا بمجرد اتفاقيات مستوى الخدمة الداخلية لإدارة الحوادث لدى المورد. فأُطر إدارة الحوادث لدى الموردين تصنّف الحوادث حسب الجسامة وتحدد اتفاقيات مستوى خدمة للاستجابة مُعايَرة وفق الأولويات التشغيلية للمورد. وقد لا تتوافق هذه التصنيفات والاتفاقيات الداخلية مع مُهل الإخطار التنظيمية التي تنطبق على بيانات العميل.
مشكلة عدم اتساق التصنيف هي جوهر إخفاق التصعيد. إذ تصنّف فرق إدارة الحوادث لدى الموردين الحوادث بناءً على أثرها التشغيلي في بيئة المورد، كتعطل الخدمة وتوافر الأنظمة وجسامة اختراق البيانات المؤكد. وقد لا تصنّف الحادث بناءً على انعكاساته على التزامات الإخطار التنظيمية للعميل، والتي قد تنشأ عن أي وصول إلى بيانات خاضعة للتنظيم بصرف النظر عن الأثر على الخدمة أو تأكيد التسريب. فالحادث الذي يصنّفه المورد P2 لأنه لم يؤكد بعد تسريب البيانات قد يكون بالفعل قد أطلق ساعة الإخطار البالغة اثنتين وسبعين ساعة وفق GDPR لدى العميل، من خلال الوصول الأولي غير المصرح به إلى نظام يحتوي على البيانات الشخصية للعملاء.
مشكلة الإخطار المتسلسل هي بُعد التوقيت التنظيمي. إذ تشترط المادة 33 من GDPR إخطار السلطة الرقابية خلال اثنتين وسبعين ساعة من «علم» المتحكم بخرق البيانات الشخصية. ويعلم المتحكم عادةً عندما يُخطره المعالج، ويعلم المعالج عندما يكتشف فريقه الأمني الحادث. والفجوة بين اكتشاف المعالج وإخطار المتحكم، التي تحددها إجراءات التصعيد والإخطار الداخلية لدى المورد، تحدد مباشرة كم يتبقى من نافذة الاثنتين والسبعين ساعة عندما يتلقى العميل الإخطار. والمورد الذي يُخطر عند الساعة السادسة والثلاثين يترك للعميل ست وثلاثين ساعة لإخطار يتطلب مراجعة قانونية وتقييمًا للنطاق وتقديمًا تنظيميًا.
- تصنيف المورد لا يؤدي إلى إخطار فوري للعميل: إجراءات P2 مع إخطار متأخر للعميل
- بدء الساعة التنظيمية عند اكتشاف المورد للحادث، إذ يسري التزام العميل أثناء تحقيق المورد
- تأخيرات إعادة التصنيف: عمليات الموافقة الداخلية تُبطئ التصعيد
- غياب مساهمة العميل في تصنيف الحوادث، فالمورد يحدد أولوية الإخطار منفردًا
- عدم إدراج المهلة التنظيمية للعميل في معايير P1 لدى المورد، فالمورد لا يعرف ما الذي يجعل الحادث P1 بالنسبة للعميل
لماذا يهم هذا
يكتسب تصعيد الحوادث عبر الموردين أهميته بالنسبة إلى TPRM لأن الالتزامات التنظيمية للعميل يحددها القانون، لا تصنيف المورد للحادث. إذ تحدد GDPR وPCI-DSS ومتطلبات الإبلاغ عن الحوادث في الخدمات المالية ومتطلبات الإخطار بالاختراق الخاصة بالقطاعات مُهلًا للإخطار تبدأ من أحداث مُحفِّزة محددة، وتسري هذه المُهل من وقت علم الطرف المعني، لا من وقت تلقي العميل إخطار المورد. والموردون الذين تؤخر إجراءات التصعيد الداخلية لديهم إخطار العميل يستهلكون النافذة التنظيمية المتاحة للعميل.
فجوة معايرة SLA التعاقدية هي موضع إصلاح الحوكمة. فالعقود التي تشترط إخطار المورد «خلال اثنتين وسبعين ساعة من تأكيد اختراق البيانات» تترك تحديد ما يُعد «مؤكدًا» لتقدير المورد، وقد يأتي ذلك في وقت متأخر كثيرًا عن اللحظة التي بدأت فيها الساعة التنظيمية للعميل. أما العقود التي تشترط الإخطار خلال أربع وعشرين ساعة من اكتشاف المورد أي وصول غير مصرح به إلى أنظمة تحتوي على بيانات العملاء، فتربط مُحفِّز الإخطار بالحدث الذي يُطلق الساعة التنظيمية بدلًا من ربطه بنتيجة تحقيق المورد.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو عدم إدراك أن ساعة الإخطار التنظيمية للعميل تبدأ عند اكتشاف المورد للحادث، لا عند إخطار المورد. فاتفاقيات مستوى الخدمة الخاصة بالإخطار التي تبدو سخية بالقيم المطلقة قد تكون غير كافية عندما تستهلك معظم النافذة التنظيمية للعميل.
- عدم إدراك أن الساعة التنظيمية للعميل تبدأ عند اكتشاف المورد للحادث
- SLA إخطار مُعايَرة وفق إجراءات المورد لا وفق الموعد النهائي التنظيمي للعميل
- عدم تحديد مُحفِّز التصنيف، أي ما يُعد P1 من المنظور التنظيمي للعميل
- غياب مساهمة العميل في معايير P1، فالمورد يحدد التصعيد دون مُحفِّزات تنظيمية خاصة بالعميل
- عدم اختبار SLA الإخطار مقابل أشد المتطلبات التنظيمية صرامة لدى العميل
كيف تبدو الممارسة الجيدة
تحدد أُطر التصعيد الناضجة معايير P1 تدمج المُحفِّزات التنظيمية للعميل، بحيث يُعد أي وصول غير مصرح به إلى أنظمة تحتوي على بيانات عملاء خاضعة للتنظيم P1 تلقائيًا بصرف النظر عن تأكيد التسريب، وتُضمّن العقود الإخطار الأولي خلال ساعات من الاكتشاف لا خلال أيام.
- مُحفِّزات P1 خاصة بالعميل: أي وصول غير مصرح به إلى أنظمة تحتوي على بيانات خاضعة للتنظيم
- إخطار أولي خلال ساعات من الاكتشاف، لا خلال أيام
- إدراج المهلة التنظيمية في SLA، بحيث يجب أن يترك الإخطار للعميل وقتًا كافيًا للوفاء بالتزامه
- عدم اشتراط إتمام التحقيق لتفعيل الإخطار الأولي
- تزويد المورد بالسياق التنظيمي للعميل، فيعرف المورد أي المُحفِّزات تُعد P1 بالنسبة للعميل
الأدوات
إدارة الحوادث: PagerDuty وServiceNow Security Incident Response
يمكن إعداد منصات إدارة الحوادث المزودة بمسارات عمل لإخطار العملاء بحيث تُطلق مسارات تصعيد خاصة بكل عميل عند تصنيف حوادث تمس أنظمة بيانات العملاء. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كانت منصة إدارة الحوادث لدى المورد تتضمن إعدادات تصعيد خاصة بالعملاء يطرح سؤالًا محددًا حول تصميم التصعيد.
تحديات الحوكمة
يتمثل تحدي الحوكمة في التصعيد عبر الموردين في استقلالية المورد في التصنيف. فالموردون لن يقبلوا أن يُملي العميل عليهم نظام تصنيف الحوادث الداخلي لديهم. والنهج التعاقدي، القائم على تحديد مُحفِّزات ومُهل للإخطار مستقلة عن تصنيف المورد، يحقق هدف العميل دون أن يتطلب من المورد تغيير إطار التصنيف الداخلي لديه.
- تعريف مُحفِّز الإخطار بأنه الحدث لا التصنيف: أي وصول غير مصرح به إلى بيانات خاضعة للتنظيم
- تحديد SLA للإخطار الأولي: بالساعات لا بالأيام
- معايرة SLA وفق أشد المتطلبات التنظيمية صرامة لدى العميل
- تزويد المورد بمؤشرات P1 الخاصة بالعميل، أي ما يُصعَّد فورًا بالنسبة لهذا العميل
- اختبار مهلة الإخطار مقابل الموعد النهائي التنظيمي مع هامش احتياطي
إذا كنت فريقًا صغيرًا
راجع أشد متطلبات الإخطار التنظيمي صرامة لديك، سواء الاثنتين والسبعين ساعة في GDPR، أو مهلة الإخطار في PCI-DSS، أو الإبلاغ عن الحوادث في الخدمات المالية. ثم راجع SLA إخطار المورد. واحسب الفجوة: إذا أخطر المورد في نهاية SLA الخاصة به، فكم يتبقى من الوقت للعميل لإجراء إخطاره التنظيمي الخاص؟ وإذا كانت الإجابة أقل من أربع وعشرين ساعة لأي مورد من الفئة 1، فإن SLA الإخطار تحتاج إلى إعادة تفاوض.
- حساب الوقت المتبقي للعميل بعد انقضاء SLA إخطار المورد
- إعادة التفاوض حيث يكون الوقت المتبقي غير كافٍ للامتثال التنظيمي
- تعريف مُحفِّز الإخطار بأنه الحدث لا التصنيف: أي وصول غير مصرح به
- تزويد المورد بمُحفِّزات التصعيد الخاصة بالعميل
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«وفق عملية إدارة الحوادث الحالية لديكم، إذا اكتشف SOC لديكم وصولًا غير مصرح به إلى الخادم الذي يحتفظ ببيانات الدفع الخاصة بنا الساعة 8 صباح الاثنين، فما الجدول الزمني لإخطارنا، وهل يترك لنا ذلك الجدول وقتًا كافيًا للوفاء بالتزامنا بالإخطار التنظيمي خلال اثنتين وسبعين ساعة؟»
ما تتوقعه دليلًا
- معايير تصنيف الحوادث للأنظمة ذات الصلة بالعميل
- مهلة الإخطار الأولي من وقت الاكتشاف
- تأكيد أن SLA الإخطار مُعايَرة وفق الموعد النهائي التنظيمي للعميل
- معايير P1 الخاصة بالعميل
ينبغي أن يُطرح على المورد الذي لديه SLA محددة لإدارة الحوادث سؤال السيناريو المحدد: اكتشاف الحادث الساعة 8 صباح الاثنين، فمتى يُخطَر العميل؟ فالإجابة تكشف ما إذا كانت هذه الاتفاقية تترك وقتًا كافيًا للاستجابة التنظيمية.
كيف تُثبت ذلك
- سجلات معايرة المُهل التنظيمية
- تحليل مدى كفاية SLA الإخطار
- توثيق معايير P1 الخاصة بالعميل
- التوثيق التعاقدي لمُحفِّزات التصعيد
الخلاصة الرئيسية
تبدأ الساعة التنظيمية عندما يكتشف المورد الحادث. ويسري التزام العميل بالإخطار من وقت اكتشاف المورد، لا من وقت تلقي العميل إخطار المورد. والمورد الذي يُخطر عند الساعة السادسة والثلاثين يترك للعميل ست وثلاثين ساعة لإخطار يتطلب مراجعة قانونية وتقييمًا للنطاق وتقديمًا تنظيميًا. فـSLA التي تبدو كافية بمعزل عن غيرها تستهلك النافذة التنظيمية في الواقع العملي. عرّف مُحفِّز الإخطار بأنه الحدث: أي وصول غير مصرح به إلى بيانات خاضعة للتنظيم. وحدد SLA الإخطار الأولي بالساعات. وعايرها وفق الوقت الذي يحتاجه العميل بعد تلقي الإخطار للوفاء بالتزامه. واختبرها بالسيناريو التالي: اكتشاف صباح الاثنين، فمتى يقدم العميل إخطاره التنظيمي؟