كيف يمكن لمرافق المياه حماية أنظمة التحكم من الهجمات السيبرانية؟

تحمي مرافق المياه أنظمة التحكم عبر تقليل الاتصالات المكشوفة، وفصل معدات التشغيل عن شبكات الأعمال، وضبط الوصول عن بُعد، ومراقبة التغيرات غير المعتادة، وحفظ نسخ احتياطية مختبرة، والتدرب على التشغيل اليدوي الآمن. ولا تقتصر الغاية على منع الدخول، بل تشمل منع حساب أو جهاز مخترق من تغيير المعالجة أو إيقاف المضخات أو إخفاء الإنذارات أو تأخير الاستعادة.

لماذا يختلف أمن مرافق المياه؟

تستخدم المنشأة تقنية المعلومات للبريد والفوترة وبيانات العملاء والعمل المكتبي. وتستخدم تقنية التشغيل (OT) لمراقبة المضخات والآبار والخزانات والصمامات والجرعات الكيميائية والترشيح والضغط والصرف والتحكم فيها. لذلك يستطيع الحادث السيبراني التأثير في المعلومات والخدمة المادية معاً.

تتقدم الإتاحة والسلامة على السرية غالباً في بيئة التشغيل. قد يبدو إطفاء جهاز مخترق فوراً مناسباً في مكتب، لكنه قد يكون خطراً إذا كان يدير الضغط أو المعالجة. يجب فهم العملية وحدودها الآمنة وعواقب الانقطاع قبل تطبيق استجابة تقنية اعتيادية.

مم تتكون بيئة التحكم؟

قد تشكل هذه المكونات معاً نظام تحكم صناعي (ICS). تختلف الأسماء بين المرافق، لكن سؤال الأمن واحد: ما المسار الذي ينقل البيانات أو الأوامر من منطقة أقل ثقة إلى المعدات المادية؟

ابدأ بقائمة أصول مبنية على أدلة

لا يمكن حماية جهاز مجهول. تشمل القائمة الطراز والبرنامج الثابت والموقع والوظيفة والمالك والأهمية ونسخة الإعداد وحالة الدعم وعلاقات الاتصال وكل طريق للوصول عن بُعد. ويجب أن تضم أجهزة الراديو والموجهات الخلوية التي يركبها المقاول، لا مشتريات فريق التقنية فقط.

يكون الاكتشاف السلبي للشبكة أكثر أماناً عادة من الفحص النشط لبروتوكولات تشغيل هشة. تساعد ملفات الإعداد وجداول المحولات والرسوم الهندسية وقواعد الجدران النارية وسجلات الشراء والجولات الميدانية على مطابقة القائمة. ويجب تحديثها كعملية تشغيل، لا إنتاجها مرة لأجل تدقيق.

أزل وحدات التحكم من الإنترنت العام

ينبغي ألا تعرض وحدة PLC أو شاشة التشغيل واجهة إدارتها مباشرة للإنترنت. تجعل محركات البحث عن الأجهزة والفحوص الآلية المستمرة المعدات المكشوفة سهلة الاكتشاف. وقد تحول كلمة مرور افتراضية أو خدمة قديمة التعرض إلى سيطرة من دون برمجية خبيثة متقدمة.

إذا لزمت المراقبة البعيدة، فتمر عبر طريق مدار يشمل جداراً نارياً ومنطقة عازلة ومحطة قفز محصنة ومصادقة قوية وقواعد تسمح بالبروتوكولات والوجهات الضرورية فقط. لا يعد العنوان غير المعلن أو المنفذ غير المعتاد وسيلة حماية.

افصل الشبكات لتحديد العواقب

يقسم الفصل البيئة إلى مناطق حسب الوظيفة والثقة. لا يصل مستخدم الأعمال مباشرة إلى وحدات التحكم، ولا تشارك الخدمة المواجهة للإنترنت شبكة مفتوحة مع SCADA. ويمكن تقسيم العمليات الحرجة بحيث لا يتيح اختراق محطة رفع صرف الوصول تلقائياً إلى معالجة مياه الشرب.

ترفض الجدران بين المناطق الاتصالات افتراضياً وتسمح بالمسارات الموثقة. وقد يرسل سجل العمليات بيانات مختارة إلى الخارج عبر وسيط، بينما تخضع الأوامر الداخلة لضبط أقوى. ولا ينجح الفصل إذا بقيت مسارات بديلة، مثل Wi-Fi وحاسوب المورد والمودم الخلوي والخادم المتصل بشبكتين ورابط الصيانة المؤقت.

اجعل الوصول عن بُعد استثناءً مرئياً

يسرع الدعم البعيد إصلاح العطل، ولا سيما في مرفق صغير لا يوظف كل التخصصات. لكنه يصنع طريقاً عالي القيمة إلى المحطة. تشمل الممارسة الأفضل:

• حساباً منفرداً لكل شخص بدلاً من حساب مورد مشترك؛
• مصادقة متعددة العوامل مقاومة للتصيد حيث تدعمها التقنية؛
• موافقة قبل الجلسة وانتهاء تلقائياً بعدها؛
• محطة قفز تسجل الاتصال والإجراءات الإدارية؛
• تقييد الوصول بالأصل والبروتوكول والمدة المطلوبة؛
• استخدام جهاز مورد مدار وخاضع لفحوص مناسبة؛
• إلغاء الوصول فور تغير الموظف أو العقد.

تشفر الشبكة الخاصة الافتراضية الطريق، لكنها لا تجعل المستخدم أو حاسوبه أو الوجهة موثوقة. هي جزء من الضبط وليست التصميم كله.

احم الهوية ومنطق التحكم

تُغير كلمات المرور الافتراضية، وتقلل الحسابات المشتركة، وتطابق الصلاحيات الأدوار. تحتاج برمجة PLC ومحطة الهندسة إلى حماية أقوى من المراقبة للقراءة فقط. وحيث تدعم المعدات، تفيد توقيعات المنطق وحماية الكتابة والمفاتيح المادية وأوضاع التشغيل التي تمنع التعديل العابر.

تحتفظ المنشأة بخط أساس معتمد لمنطق PLC والقيم وحدود الإنذار والبرامج الثابتة وبرمجيات المحطات. قد يكشف اختلاف غير متوقع العبث أو تغيير صيانة غير موثق. ويجب أن تكون إدارة التغيير عملية كي لا يتجاوزها المشغل عند الحاجة العاجلة.

حدّث حسب المخاطر لا بشكل أعمى

قد تضم أجهزة التشغيل القديمة ثغرات خطرة، لكن تحديثاً غير مختبر قد يوقف العملية أو يبطل دعم المورد. يتتبع البرنامج الجيد الثغرة والتعرض، ويختبر التغيير في بيئة ممثلة حيث يمكن، وينسق التوقف، ويوثق الضوابط البديلة عندما يتعذر التحديث فوراً.

يخفض إزالة الإنترنت وتقييد البروتوكولات وعزل الجهاز غير المدعوم ومراقبة حركته الخطر إلى حين الاستبدال. أما عبارة «لا نستطيع التحديث الآن» فيجب أن تنتج معالجة موثقة وموعداً، لا قبولاً دائماً.

ارصد التغير الذي يهم العملية

تجمع مراقبة OT الإشارة السيبرانية والتشغيلية. تشمل التنبيهات جهازاً جديداً، واتصالاً من منطقة غير متوقعة، وبرمجة خارج نافذة الصيانة، وفشل دخول متكرر، وتغير المنطق أو البرنامج الثابت، وتعطيل الإنذار، وتواتر أوامر غير معتاد، أو قيمة ضبط خارج النطاق.

تمنح بيانات العملية السياق. يكون أمر المضخة المخالف لمستوى الخزان وحالة الصمام والجدول وقراءات الحساسات المتكررة أهم من حزمة شبكة غريبة وحدها. وترسل السجلات إلى مكان لا يستطيع المهاجم على محطة العمل المتضررة محوه.

النسخة الاحتياطية يجب أن تعيد التشغيل لا الملفات فقط

تشمل مجموعة الاستعادة منطق PLC ومشاريع شاشات التشغيل وإعداد SCADA والسجل والوصفات وضبط الشبكة والتراخيص والبرامج الثابتة والمفاتيح وبرامج الهندسة وتعليمات إعادة بناء العتاد. تحفظ نسخ خارج الاتصال أو تحمى من الحساب نفسه الذي يدير الإنتاج.

الاختبار ضروري. النسخة التي لا تُحمّل على قطعة غيار متاحة، أو تحتاج إلى ترخيص منتهي، أو تفتقد البرنامج الثابت الصحيح ليست قدرة استعادة. وتقيس التمارين زمن استعادة الحد الأدنى من الخدمة الآمنة.

التشغيل اليدوي طبقة مرونة

ليس التشغيل اليدوي عبارة مطمئنة. يحتاج المشغل إلى إجراءات حديثة وأدوات تحكم قابلة للوصول ومقاييس عاملة وطاقم واتصالات وتدريب. ويجب أن يعرف العمليات التي تعمل يدوياً ومدتها وأخذ العينات والاشتراطات ومتى يلزم الإيقاف أو إخطار السكان.

يكشف التدريب اعتماديات مخفية. قد يصعب الوصول إلى صمام يدوي، أو تعتمد لوحة محلية على الشبكة المعطلة، أو يغيب الموظف الوحيد الذي يتذكر الإجراء. ينبغي أن تشمل التمارين فقد الرؤية البعيدة والقراءات الزائفة وعدم توفر المورد وتعطل شبكة الأعمال في الوقت نفسه.

استجب من دون الإضرار بالدليل أو السلامة

1. أكد الحالة المادية. استخدم قراءة مستقلة وملاحظة المشغل قبل الثقة بشاشة مخترقة.
2. ثبت العملية. انتقل إلى وضع معروف وآمن أو إلى التشغيل اليدوي وفق الإجراءات الهندسية.
3. احتو بحذر. اعزل المسار المتضرر من دون إيقاف غير متحكم فيه.
4. احفظ الأدلة. احتفظ بالسجلات وصور الأجهزة والإعدادات والأوقات والاتصالات.
5. نسق. أشرك الإدارة والهندسة والصحة العامة والطوارئ والمنظمين والجهات الأمنية والمتخصصين حسب الحاجة.
6. استعد من حالة موثوقة. تحقق من المنطق والحسابات وقواعد الشبكة وسلوك العملية قبل إعادة الاتصال.

يفصل التواصل العام الحقائق المثبتة عن التحقيق. لا يعني اختراق التحكم تلقائياً تلوث المياه، كما لا يجعل غياب الضرر الصحي الفوري الحادث بسيطاً.

تحذير حديث من مرافق أميركية

وصل نشاط خبيث في 2026 إلى تقنية تشغيل مرافق مياه في سبع ولايات أميركية على الأقل. أُعلن تأثر أكثر من 30 نظاماً في مينيسوتا وتسعة في ميشيغان، وانتقل بعض المشغلين إلى التحكم اليدوي، من دون ضرر معلن لمياه الشرب أو الصحة العامة. يوضح تقرير نيو تقنية عن الحوادث أهمية حماية الأجهزة والتدرب على البديل اليدوي.

بقي الإسناد العلني غير محسوم في التغطية المصدرية. تشابه الأسلوب مع جهة معروفة سياق مفيد وليس دليلاً، وينبغي معالجة الضعف المكشوف بغض النظر عن اسم المهاجم لاحقاً.

ماذا يرتب المرفق الصغير أولاً؟

1. العثور على التعرض المباشر للإنترنت وإزالته؛
2. تغيير الإعدادات الافتراضية وتأمين الوصول بحسابات فردية ومصادقة متعددة؛
3. فصل شبكة الأعمال عن التشغيل بقواعد جدار مقيدة؛
4. نسخ منطق وحدات التحكم والإعدادات الحرجة خارج الاتصال؛
5. توثيق اتصالات الموردين والأجهزة الخلوية؛
6. اختبار التشغيل اليدوي وجهات اتصال الطوارئ؛
7. إضافة المراقبة وتمويل استبدال المعدات غير المدعومة.

تساعد الخدمات المشتركة والدعم الإقليمي والبرامج الحكومية ومزودو الأمن، لكن يبقى المرفق مسؤولاً عن معرفة من يصل إلى العملية وماذا يحدث عند الفشل.

النموذج الذهني

تخيل منظومة المياه سلسلة أبواب ضغط بين الإنترنت والعملية المادية. تكشف قائمة الأصول مواقعها، ويحد الفصل عدد الأبواب التي يمكن عبورها، وتتحقق الهوية ممن يفتحها، وترصد المراقبة الحركة الغريبة، وتحافظ النسخ والتشغيل اليدوي على الخدمة إذا فشلت عدة أبواب. تأتي المرونة من الطبقات، لا من منتج أمني واحد.