قد يبدأ الحادث الأمني في مركز البيانات بإنذار باب أو محاولة دخول مشبوهة أو بطاقة مفقودة أو جلسة Remote غير موثوقة أو تعطيل كاميرا أو تغيير إعداد غير مصرح به أو تسلل مادي. يجب أن تحمي الاستجابة الأشخاص والخدمات الحرجة مع المحافظة على الأدلة اللازمة لفهم الحدث.
حدد أنواع الحوادث ومستوياتها
يجب أن تميز الإجراءات بين Event وIncident وMajor Incident. يمكن أن يعتمد التصنيف على السلامة والدخول للمناطق المحمية والحسابات الحساسة وأثر العملاء وفقد المراقبة وأثر الخدمة والمتطلبات التنظيمية.
حدد قيادة للحادث
يجب أن يقود شخص مسؤول التنسيق بين الأمن والمرافق وIT والإدارة والجهات الخارجية. التعليمات المتعارضة أثناء الحادث قد تزيد المخاطر التشغيلية ومخاطر فقد الأدلة.
احتوِ الحدث دون تدمير الأدلة
قد يتطلب الاحتواء تعطيل Credential أو حساب Remote أو إغلاق منطقة أو فصل واجهة إدارة مخترقة أو وضع حراسة على نقطة دخول. يجب أن تكون الإجراءات متناسبة ومسجلة.
احفظ الأدلة مبكراً
قد تشمل الأدلة سجلات Access Control وCCTV وسجلات BMS/EPMS/DCIM وAudit Logs للخوادم والشبكة والصور وحالة المعدات وإفادات الشهود. يجب إعطاء الأولوية للأنظمة ذات فترة الاحتفاظ القصيرة قبل الكتابة فوق البيانات.
حافظ على توقيت دقيق
تصبح مقارنة الأدلة أسهل عندما تكون الساعات متزامنة. يفضل أن تستخدم أنظمة الأمن وCCTV وAccess Control والخوادم والشبكات ومنصات المرافق مصدراً موحداً للوقت.
تواصل بالحقائق المؤكدة
يجب أن تفصل الرسائل المبكرة بين الحقائق والافتراضات، وأن تذكر الأثر المعروف وحالة الاحتواء والمخاطر الحالية وموعد التحديث التالي دون تخمين الدافع أو السبب.
الاستعادة يجب أن تكون مضبوطة
إعادة حساب أو فتح منطقة أو إعادة ربط نظام إدارة يجب أن تتم فقط بعد فهم سبب كون ذلك آمناً. ويجب أن تتحقق الاستعادة من المراقبة والتسجيل والضوابط وليس فقط عودة الخدمة.
المراجعة بعد الحادث
- إنشاء Timeline موثوق.
- تحديد السبب الجذري والعوامل المساهمة.
- مراجعة سرعة الكشف.
- تحديد فشل ضوابط الوصول أو المراقبة.
- تحديث الإجراءات والتدريب.
- متابعة الإجراءات التصحيحية حتى الإغلاق.
- فحص الأنظمة المشابهة لنقطة الضعف نفسها.
الخلاصة
يجب أن تجمع الاستجابة للحوادث الأمنية بين استقرار التشغيل والانضباط في حفظ الأدلة. يجب احتواء التهديد بسرعة دون فقد السجلات اللازمة للتحقيق والامتثال والتحسين. الأدوار الواضحة والتوقيت المتزامن والإجراءات المتدربة تحسن جودة الاستجابة بشكل كبير.
المراجع وقراءات إضافية
- ISO/IEC 27001:2022 والتعديل 1:2024.
- ISO/IEC 27002:2022.
- ISO/IEC 22237-6:2024.
