أمن المعلومات في أنظمة التحكم الآلي (ACS)

نظام التحكم الآلي (ACS) — هو مجموعة منهجية من الأساليب والبرمجيات والأجهزة المستخدمة لتنظيم ومراقبة مختلف العمليات في عمل المؤسسة. وتتميز الأنظمة الآلية التالية:

• الكائنات — ACSO؛

• العملية التقنية — ACSTP؛

• الصناعة —ACSI؛

• المؤسسة — ACSE؛

• القوات — ACST؛

• حركة المرور — ACSRT؛

• وغيرها.

أمن المعلومات (IS) — هو حالة نظام المعلومات التي تُكفل فيها سرية وتوافر وسلامة البيانات المتداولة داخله.

مزايا استخدام أنظمة التحكم الآلي في الصناعة

يتكون نظام التحكم الآلي عادةً من ثلاثة مستويات: لوحة تحكم، ومعدات لمعالجة البيانات، وعناصر أتمتة نموذجية، أي مختلف المستشعرات والموجّهات وأجهزة التحكم وغيرها. يتألف نظام التحكم الآلي من ثلاثة مستويات: لوحة تحكم، ومعدات لمعالجة البيانات، وعناصر أتمتة نموذجية.

من المهم الإشارة إلى أن مشاركة الإنسان في العمل مع نظام التحكم الآلي تُقلَّص إلى الحد الأدنى، لكنها تبقى قائمة: في مرحلة إعداد النظام وعند اتخاذ القرارات المهمة.

يتيح استخدام أنظمة التحكم الآلي للشركات خفض التكاليف التشغيلية بشكل كبير، وزيادة حجم الإنتاج دون فقدان الجودة، ورفع مستوى السلامة في المؤسسة من خلال تقليل تأثير العامل البشري، أي تقليل عدد الأخطاء في عملية الإنتاج. وتُعد مزايا استخدام أنظمة التحكم الآلي سبباً في تزايد شعبيتها في جميع الصناعات.

ووفقاً لشركة Fortune Business Insights، بلغت قيمة سوق الأتمتة الصناعية العالمي نحو 206 مليار دولار في عام 2022، ومن المتوقع أن تصل إلى 395 مليار دولار بحلول عام 2029، بمعدل نمو سنوي مركب يقارب 10%.

ومع ذلك، من المتوقع أن تسهم ابتكارات مثل التحول الرقمي، وظهور تقنية الجيل الخامس اللاسلكية (5G)، وتوسع الواقع المعزز (AR)، واستخدام تقنية التوأم الرقمي، وإنترنت الأشياء الصناعي (IIoT) في تسريع نمو سوق الأتمتة الصناعية العالمي.

اليوم، لا تُستخدم الأنظمة الآلية فقط للتحكم في المعدات الصناعية. فقد أثبتت أنظمة التحكم الآلي جدواها في مجالات الطاقة واللوجستيات والطب والتعليم وأنظمة الإضاءة وأنظمة حركة المرور، وعملياً في جميع مجالات الزراعة والصناعة.

بالإضافة إلى ذلك، تدعم العديد من الأنظمة الآلية وظائف جمع البيانات ومعالجتها من الموقع، مما يسرّع عملية اتخاذ القرار ويقلل أكثر من تدخل الإنسان في العمليات الإنتاجية.

ومع ذلك، فإن الزيادة الملحوظة في تعقيد أنظمة المعلومات في المنشآت الصناعية، وكذلك بنية تقنياتها التشغيلية بما فيها أنظمة التحكم الآلي، وسّعت نطاق التهديدات التي قد يؤدي تحققها إلى عواقب كارثية.

لماذا تحتاج إلى أمن المعلومات في أنظمة التحكم الآلي؟

يتميز التحول الرقمي في الصناعة بمستوى مرتفع من الأتمتة وتزايد الاتصال بالشبكات الخارجية، ما يفتح ثغرات جديدة أمام تهديدات المعلومات: التخريب، والهجمات الإلكترونية، وسرقة البيانات السرية، وغير ذلك.  كل هذا يجعل مسألة ضمان أمن أنظمة التحكم الآلي والبيانات المُعالجة فيها أمراً بالغ الأهمية.

لماذا هذا ضروري؟

كما ذُكر أعلاه، فإلى جانب الأضرار الاقتصادية والمتعلقة بالسمعة، قد تتسبب الهجمات الإلكترونية وتسريبات البيانات على أنظمة التحكم الآلي في وقوع أحداث كبرى، بل كارثية في بعض الأحيان (كتسرب مواد خطرة إلى الغلاف الجوي، أو حرائق، أو انفجارات) بعواقب وخيمة على الموظفين والسكان والبيئة. وفي الوقت نفسه، تُعد العديد من المنشآت، بما فيها منشآت قطاع الطاقة، من مرافق البنية التحتية المعلوماتية الحيوية (CII)، ويُعد ضمان أمن المعلومات في هذه المنشآت إلزامياً بموجب القانون. 

إن تسريبات المعلومات في المؤسسات التي تعالج كميات هائلة من البيانات الشخصية باستخدام أنظمة التحكم الآلي تنطوي على مخاطر مالية ومتعلقة بالسمعة. فالمعلومات الشخصية، وأحياناً الحساسة، الخاصة بالمستخدمين أو المواطنين تحظى باهتمام خاص من الجماعات الإجرامية. وقد يمنح الموظفون عن غير قصد الوصول إلى بيانات سرية لأطراف ثالثة، إما عن طريق الخطأ أو نتيجة هجوم تصيّد احتيالي، أو عن قصد سعياً وراء منفعة شخصية أو بنية خبيثة.

قد تؤدي أي حوادث أمن معلومات إلى تعطل العمليات التقنية التي تُنفَّذ عبر نظام التحكم الآلي.

خصائص تشغيل أنظمة التحكم الآلي في سياق أمن المعلومات

تنتشر معظم أنظمة التحكم الآلي جغرافياً وتتفاعل فيما بينها من خلال تبادل كميات كبيرة من البيانات.

وتتميز أنظمة التحكم الآلي الموزّعة بالخصائص التالية:

• استخدام عدد كبير من الأساليب المختلفة لنقل المعلومات وتخزينها؛

• دمج بيانات من مصادر مختلفة في قواعد بيانات، بعضها موجود في عقد موزّعة عبر الشبكة؛

• استخدام المعلومات التي تُعالجها أنظمة التحكم الآلي من قِبل عدد كبير من المستخدمين؛

• وجود نقص حاد اليوم في الكوادر والبرمجيات المتخصصة في حماية أنظمة التحكم الآلي من التهديدات الإلكترونية.

كما نوقش أعلاه، فإن التقنيات التشغيلية تُحسّن العمليات الإنتاجية بينما تفتح في الوقت نفسه نواقل جديدة للتهديدات الإلكترونية. 

وبناءً على ذلك، فإن الثغرات التالية في أنظمة التحكم الآلي تزيد بشكل كبير من مخاطر حوادث أمن المعلومات.

• طول عمر الخدمة لأنظمة التحكم. عادةً ما يتراوح عمر أنظمة التحكم بين 15 و30 عاماً. وهذا يعني أن بعض الأنظمة طُوِّرت منذ أكثر من عقد من الزمن، وقد أتيح للمهاجمين وقت كافٍ لدراسة جميع الثغرات بعناية.

• الوصول عن بُعد. أدى ربط أنظمة التحكم الآلي بالشبكات اللاسلكية، فضلاً عن إمكانية الاتصال بها عن بُعد، إلى تبسيط عمليات الإدارة مع توسيع نطاق التهديدات بشكل كبير في الوقت نفسه. 

• سهولة العثور على معلومات حول تشغيل الأنظمة الآلية. عادةً ما يعمل عدد كبير من الأشخاص مع هذه الأنظمة: مهندسون، مشغّلون، مديرون، إضافةً إلى المتدربين ومتخصصين آخرين. وهذا الأمر يزيد بشكل كبير من احتمال تسرب المعلومات المتعلقة بالأنظمة الآلية، خاصة مقارنةً بالفترة التي كان فيها الوصول إلى الأنظمة مقتصراً على عدد محدود جداً من الأشخاص الذين وقّعوا اتفاقيات عدم إفصاح.

• العامل البشري. ويقصد به الموظفون الذين ينتهكون، عن قصد أو غير قصد، سياسة أمن المعلومات في الشركة، مثل استخدام وسائط تخزين قابلة للإزالة غير موثوقة، وغير ذلك.

• الوصول المادي. إذا كانت التدابير المقيِّدة للوصول المادي إلى المعدات غير كافية، فهناك مخاطر تخريب أو إتلاف غير مقصود لنظام التحكم الآلي.

إن أخذ الثغرات المذكورة أعلاه بعين الاعتبار سيقلل بشكل كبير من مخاطر التهديدات عند تنظيم نظام أمن المعلومات في المؤسسة. وفي الوقت نفسه، تُظهر الممارسة أن معظم المؤسسات تركز على الحماية من التهديدات الخارجية، وغالباً ما لا تولي اهتماماً للتهديدات المرتبطة بالمخاطر الداخلية — تسريبات البيانات الناجمة عن الموظفين، وتعديل أو إتلاف المعلومات المهمة، وكذلك التخريب أو الإتلاف غير المقصود للمعدات. وكما تُظهر الممارسة، فإن موظفي ومديري المؤسسات هم غالباً الجناة الرئيسيون في التسريبات. إضافة إلى ذلك، غالباً ما ترتكب الأطراف المتعاقدة مع الشركة أفعالاً تؤدي إلى توزيع غير مصرح به للمعلومات السرية.

لماذا يحدث ذلك؟ 

غالباً ما ترتبط تسريبات المعلومات المهمة حول تشغيل أنظمة التحكم الآلي بمستوى وعي منخفض بشكل حرج بقواعد أمن المعلومات لدى الموظفين. فالموظفون يستخدمون كلمات مرور ضعيفة، ولا يتعرفون على مختلف مخططات الاحتيال، وينقلون معلومات ووثائق مهمة إلى أطراف ثالثة بإهمال، ويستخدمون وسائط تخزين قابلة للإزالة غير مفحوصة.

امنع تسريبات المعلومات السرية الناجمة عن الموظفين باستخدام نظام Anexet DLP. جرّب ميزات النظام في النسخة المجانية لمدة 30 يوماً.

تهديدات أمن المعلومات لأنظمة التحكم الآلي

تتسم أنظمة التحكم الآلي، بما فيها تلك المُثبَّتة في مرافق البنية التحتية المعلوماتية الحيوية، بحساسية خاصة حتى تجاه أدنى تهديدات أمن المعلومات، التي لا تُعد في مجالات أخرى انتهاكاً.  وفي الوقت نفسه، نشهد اليوم نقصاً حاداً في الكوادر والبرمجيات المتخصصة في أمن أنظمة المعلومات، والتدابير الحالية المتخذة في المؤسسات غير موثوقة في معظم الحالات وغير قادرة على توفير المستوى المناسب من الحماية. 

عند تنظيم نظام أمن المعلومات، لا يزال كثيرون يركزون بشكل رئيسي على تطبيق أنظمة كشف التسلل ومنعه. غير أنه من المهم الانتباه أيضاً إلى نواقل الهجوم الأخرى.

لنلقِ نظرة أكثر تفصيلاً عليها.

نواقل الهجوم على الأنظمة الآلية

1. لم يمضِ وقت طويل منذ أن كان أمن معلومات أنظمة التحكم الآلي يُكفل، من بين أمور أخرى، عبر تقييد الوصول المادي، أي باستخدام ما يُعرف بـ«الفجوات الهوائية». أما اليوم فإن غالبية أنظمة التحكم الآلي متصلة بالشبكات بشكل أو بآخر لإنجاز المهام التشغيلية. فإذا تمكن متسلل من الوصول إلى الشبكة المؤسسية، فبإمكانه أيضاً الدخول إلى الشبكة التقنية الخاصة بالنظام الآلي.

2. الإهمال. استخدام وسائط تخزين قابلة للإزالة غير مفحوصة وتوصيل مودمات خارجية. فقد تكون الوسائط مصابة ببرمجيات خبيثة، وقد يسمح المودم بالوصول من الشبكة التقنية إلى الإنترنت العام، وهو أمر لا ينبغي أن يحدث.

3. سلاسل التوريد والمؤسسات المتعاقدة. ناقل هجوم آخر يتمثل في المؤسسات المتعاقدة التي تصيّن الأنظمة الآلية ومعدات المعالجة ولديها القدرة على الاتصال بنظام التحكم الآلي عن بُعد. فإذا لم يكن لدى المؤسسات المتعاقدة نظام أمن معلومات متطور، يمكن للمهاجمين اختراق الشبكة التقنية لنظام التحكم الآلي، متجاوزين جميع تدابير أمن المعلومات — مهما كانت دقيقة.

استناداً إلى نواقل الهجوم الموصوفة أعلاه، يمكننا تحديد أكثر تهديدات أمن المعلومات شيوعاً على الأنظمة الآلية.

التهديد رقم 1. اختراق محيط الشبكة التقنية. صُممت معظم أنظمة التحكم الآلي على افتراض أنها ستكون معزولة عن الإنترنت وحتى عن الشبكات المؤسسية. وتُعد هذه الفجوة الهوائية فعالة جداً في الحماية من الأفعال الخبيثة في الأماكن التي تتحقق فيها الأحداث المؤدية إلى الحوادث في الغالب: خوادم SCADA، ومحطات عمل الموظفين، ووحدات التحكم المنطقي القابلة للبرمجة، وغيرها.

التهديد رقم 2. هجمات على أنظمة التشغيل والبرمجيات. وترتبط هذه التهديدات عادةً بانتهاكات سياسة الأمن من قِبل موظفي المؤسسة: النقر على روابط تصيّد احتيالي، واستخدام وسائط تخزين قابلة للإزالة غير مسجّلة، وتثبيت برمجيات غير موثوقة على محطات العمل، وتشغيل نظام وصول عن بُعد غير محمي، وغير ذلك.

للحد من تأثير هذا التهديد، يُوصى بتطبيق نظام تدريب للموظفين على أساسيات أمن المعلومات، وكذلك تحديث البرمجيات المستخدمة في المؤسسة في الوقت المناسب.

التهديد رقم 3. الاختراق عبر الوصول عن بُعد. أصبحت أنظمة التحكم الآلي الحديثة متصلة بشكل متزايد بالشبكة العالمية، ما يبسّط عملية الإدارة بشكل كبير، لكنه يفتح طرقاً جديدة للوصول غير المصرح به إلى بنية المؤسسة. وثمة ثغرة أخرى تؤدي إلى تحقق هذا التهديد، وهي استخدام بروتوكولات اتصال عن بُعد غير آمنة.

التهديد رقم 4. فصل غير قانوني للمعدات عن الشبكة. يتحقق هذا التهديد عندما تكون التدابير المقيِّدة للوصول المادي إلى عناصر نظام التحكم الآلي غير كافية.

التهديد رقم 5. استخدام برمجيات غير مسجّلة. يمكن أن يقوم الموظفون الذين ينتهكون قواعد أمن المعلومات في الشركة بتثبيت برمجيات غير مسجّلة. وقد تحتوي البرمجيات غير الآمنة وغير المفحوصة، وكذلك مكوناتها، على ثغرات تمنح مجرمي الإنترنت وصولاً إلى مكونات النظام.

التهديد رقم 6. الإفصاح عن بيانات الوصول إلى النظام أو فقدانها أو نقلها. يحدث هذا نتيجة خطأ من موظفي المؤسسة. وقد تُنقل بيانات التفويض إلى أطراف ثالثة عمداً أو نتيجة خطأ.

التهديد رقم 7. العطل المادي أو تدمير مكونات النظام. يتحقق في حال عدم كفاية التدابير المقيِّدة للوصول المادي إلى عناصر نظام التحكم الآلي.

التهديد رقم 8. تجنيد موظفين يتمتعون بصلاحيات معينة أو وصول إلى معلومات محمية. يمكن أن يتحقق عبر الابتزاز أو الرشوة وغير ذلك.

التهديد رقم 9. سرقة وسائط التخزين: الأقراص، ومحركات الأقراص المحمولة، والأجهزة ذات الذاكرة الداخلية، وحتى أجهزة الحاسوب بأكملها.

التهديد رقم 10. استخدام المعلومات المتبقية من الذاكرة العشوائية وأجهزة التخزين الخارجية، وكذلك من قطاعات الذاكرة العشوائية التي يستخدمها نظام التشغيل.

التهديد رقم 11. سرقة وسائط البيانات المستخدمة التي لم يتم إتلافها في الوقت المحدد وفقاً للوائح: مختلف الوثائق، ومحركات الأقراص المحمولة، والأقراص المغناطيسية، وغيرها.

التهديد رقم 12. استخدام أجهزة التنصت ووسائل الاعتراض، والمراقبة، والتصوير الفوتوغرافي والفيديو غير المصرح بهما.

التهديد رقم 13. زرع عملاء داخليين أو عناصر داخل الطاقم الوظيفي، يعقبها سرقة أو تخريب للمعلومات المحمية.

التهديد رقم 14. مختلف الأفعال الهادفة إلى تخريب عمل المؤسسة، مثل خلق أجواء متوترة في الفريق من قِبل موظفين غير موالين، والإضرابات، وكذلك تغيير أنماط تشغيل أنظمة التحكم الآلي، وتركيب معدات تُحدث تشويشاً لاسلكياً على الترددات التي تعمل عليها الأنظمة الآلية.

التهديد رقم 15. اعتراض المعلومات المنقولة عبر القنوات الكهرومغناطيسية والصوتية وقنوات الاتصال الأخرى.

مهم! عادةً ما يستخدم المهاجمون، لتحقيق هدفهم، أكثر من طريقة واحدة لاختراق النظام في آن واحد.

كما نلاحظ من القائمة الموضحة أعلاه، فإن معظم تهديدات أمن المعلومات على الأنظمة الآلية تستند إلى العامل البشري وتتسم بطابع متعمّد. لذلك، عند تنظيم نظام أمن المعلومات للأنظمة الآلية، من المستحسن الانتباه ليس فقط إلى التدابير الهادفة للحماية من التهديدات الخارجية، بل أيضاً إلى حماية الأنظمة من الأضرار غير المقصودة والتخريب، وكذلك حماية البيانات المُعالجة فيها من التسريب — بسبب خطأ الموظفين.

---

احمِ بياناتك من التسريب والتعديل والإتلاف باستخدام Anexet DLP.

---

حادثة واقعية في نظام تحكم آلي: خسارة قدرها مليون دولار في شركة EnerVest بسبب التخريب

علم أحد مهندسي الشبكات في شركة EnerVest للطاقة، ومقرها ولاية وست فرجينيا، بأنه على وشك أن يُفصل من عمله، فقام بإعادة ضبط جميع خوادم الشبكة إلى إعدادات المصنع وعطّل النسخ الاحتياطية عن بُعد. ومن المعروف أن ميتشل واجه ملاحقة جنائية بسبب هذه المخالفة. ومع ذلك، لم تتمكن شركة EnerVest نتيجة لذلك من مواصلة عملياتها لمدة 30 يوماً وتكبدت خسائر تجاوزت مليون دولار.

تدابير ضمان سلامة أنظمة التحكم الآلي

توجد ثلاثة أنواع من التدابير لضمان أمن الأنظمة الآلية: تدابير مادية، وتنظيمية، وتدابير برمجية وأجهزة.

تهدف التدابير التنظيمية إلى الحد من تأثير العامل البشري على أمن المعلومات:

• وضع سياسة الأمن (يُشار إليها فيما يلي بـ«SP») واعتمادها وتطبيقها؛

• تعيين أشخاص مسؤولين عن ضمان أمن المعلومات؛

• تحديد صلاحيات وصول الموظفين إلى نظام التحكم الآلي ومكوناته.

ضمان الحماية المادية

تقييد الوصول إلى معدات ومكونات نظام التحكم الآلي ومحطات العمل عبر الأسوار وأنظمة التحكم في الدخول والمراقبة بالفيديو. تركيب نقاط تفتيش وأنظمة إنذار أمنية. ضمان سلامة مكونات النظام في حال وقوع كوارث طبيعية: حرائق، زلازل، فيضانات، وغيرها.

تشفير البيانات

استخدام أساليب التشفير لحماية البيانات المنقولة والمخزنة من الوصول غير المصرح به.

النسخ الاحتياطي

إنشاء نسخ احتياطية للبيانات والبرمجيات الحساسة لإتاحة الاستعادة السريعة في حال حدوث أعطال أو تخريب أو هجمات.

التحديثات البرمجية في الوقت المناسب

تثبيت التصحيحات والتحديثات لمعالجة الثغرات وتحسين أمن النظام.

المراقبة والتدقيق

جمع وتحليل معلومات أحداث النظام لتحديد الأنشطة المشبوهة والتهديدات المحتملة.

تدريب الموظفين 

إجراء ما يُعرف بالتثقيف الإلكتروني، وتنظيم دورات وندوات حول قضايا أمن المعلومات للموظفين العاملين مع نظام التحكم الآلي.

استخدام برامج مكافحة الفيروسات وغيرها من أدوات مكافحة البرمجيات الخبيثة 

من الضروري منع الفيروسات والبرمجيات الخبيثة الأخرى من إصابة نظام التحكم الآلي.

عند توفير تدابير الحماية للأنظمة الآلية، من المهم مراعاة المتطلبات الموصوفة في اللوائح القانونية التنظيمية للجهات الرقابية، وكذلك الاعتماد على معايير الأمن العالمية، التي سنناقشها أدناه.

سلسلة معايير IEC 62443

تستند هذه المعايير إلى نهج قائم على المخاطر وتضع متطلبات لأمن أنظمة التحكم الصناعي. وتصف الوثائق أمن المعلومات كمجموعة من العمليات التي يجب تنفيذها بانتظام في جميع مراحل دورة حياة نظام التحكم الآلي.

في الختام

عند ضمان أمن المعلومات لأنظمة التحكم الآلي، من المهم تنفيذ تدابير لمواجهة التهديدات الداخلية إلى جانب الخارجية. وكما تُظهر الممارسة، فإن النشاط البشري هو الذي يشكل أكبر خطر على أنظمة التحكم الآلي: إهمال الموظفين عند أداء مهامهم، وأنشطة العناصر الداخلية والموظفين غير الموالين للمؤسسة، والتجسس الصناعي، وغير ذلك.

وفي الوقت نفسه، قد تكون المخاطر المحتملة على البيئة والمواطنين الناجمة عن توقف العمليات التقنية أو إتلاف المعدات في المنشآت موضع اهتمام لأجهزة دول أجنبية، خاصة في ظل الوضع الجيوسياسي الراهن في العالم. وهذا ما يجعل مسألة ضمان أمن المعلومات للأنظمة الآلية ذات أهمية خاصة.