تحديث الشبكات الكهربائية والمرونة السيبرانية في قطاع الطاقة والمرافق

يتسارع تحديث الشبكات الكهربائية في الخليج وأوروبا ومناطق أخرى، مع استبدال شركات المرافق البنية التحتية المتقادمة بأصول مزودة بأدوات قياس رقمية. ويؤدي التكامل بين التقنيات التشغيلية (OT) وأنظمة تقنية المعلومات المؤسسية والتحليلات السحابية إلى نشوء سطح هجوم يتسع مع كل نشر لعدادات ذكية، وكل ربط لمورد من موارد الطاقة الموزعة، وكل تغذية بيانات تحليلية من طرف ثالث. ويعمل خصوم معروفون باهتمامهم بالبنية التحتية للطاقة على تطوير أساليب تستغل مواضع الالتقاء بين البروتوكولات التسلسلية القديمة والشبكات الحديثة القائمة على بروتوكول الإنترنت.

يعرض هذا التقرير إطاراً دفاعياً متعدد الطبقات يناسب الهياكل التشغيلية الشائعة لدى شركات المرافق. ويغطي عمليات منظومة الطاقة الكهربائية الرئيسية، وأتمتة المحطات الفرعية والتوزيع، وإدارة موارد الطاقة الموزعة، وطبقة تقنية المعلومات المؤسسية التي تستخدم البيانات التشغيلية في التخطيط، وبرامج العملاء، والتقارير التنظيمية. ويستند إلى خبرتنا الاستشارية وإلى الإرشادات المنشورة، وينبغي تكييفه مع المتطلبات الوطنية في كل سوق، مثل ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC) الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA) في المملكة العربية السعودية.

يزداد تلاشي الحد الفاصل بين التقنيات التشغيلية وتقنية المعلومات مع تبنّي شركات المرافق أنظمة سحابية لأرشفة البيانات التاريخية لأنظمة التحكم الإشرافي وجمع البيانات (SCADA)، ومنصات للوصول عن بُعد إلى المحطات الفرعية، ونماذج تعلّم آلي تستوعب بيانات القياس عن بُعد في الوقت الفعلي. وكل نقطة تكامل تفتح مسارات شبكية لم تتصورها تقييمات المخاطر القديمة. والمؤسسات التي تعامل أمن التقنيات التشغيلية بوصفه فرعاً من أمن تقنية المعلومات تسيء فهم هذا المجال كلياً. فالسلامة، والموثوقية، وأزمنة الاستجابة الحتمية هي ما يحكم أولويات التقنيات التشغيلية، وعلى ضوابط الأمن السيبراني أن تراعي هذه القيود لا أن تتجاوزها.

تظل قواعد البنية التحتية الحيوية الوطنية خط الأساس التنظيمي لشركات المرافق التي تشغّل أصول منظومة الطاقة. وتشمل هذه القواعد في المملكة العربية السعودية ضوابط الأمن السيبراني للأنظمة التشغيلية الصادرة عن الهيئة الوطنية للأمن السيبراني، ولدى دول مجلس التعاون الأخرى متطلباتها الوطنية الخاصة. كما تنطبق الممارسات الدولية، مثل سلسلة المعايير IEC 62443 الصادرة عن اللجنة الكهروتقنية الدولية. ولا يلغي الانتقال إلى السحابة متطلبات الأدلة الخاصة بالتحكم الإلكتروني في الوصول، وإدارة أمن الأنظمة، وإدارة التغيير، والإبلاغ عن الحوادث. لذا يجب على المؤسسات أن تربط أدوار مزوّد الخدمة السحابية ومسؤولياته بالضوابط المكافئة في الأنظمة المستضافة داخل المنشأة، وأن توثّق هذا الربط. فنماذج المسؤولية المشتركة التي تترك فجوات بين التزامات شركة المرافق وتعهدات المزوّد تُنتج ملاحظات تدقيق تتراكم بسرعة خلال مراجعات الامتثال.

تستحق مسارات جمع الأدلة اهتماماً خاصاً في البيئات الهجينة. فالسجلات المجمّعة من أنظمة الأرشفة التاريخية السحابية، ومنصات تنسيق الحاويات، وأنظمة إدارة المرحّلات المستضافة داخل المنشأة، يجب أن تصب في مستودع أدلة واحد يستطيع المدققون تصفحه دون التنقل بين الأدوات. وينبغي أن تتبع سياسات الاحتفاظ أطول مدة احتفاظ مطلوبة بموجب القواعد الوطنية والسياسات الداخلية. ويقلل الوسم الآلي للأدلة جهد التصنيف اليدوي، ويمنع الثغرات في الوصول إلى الأدلة، وهي ثغرات تؤدي إلى إجراءات إنفاذ خلال مراجعات الامتثال.

تضيف موارد الطاقة الموزعة (DER) ملايين الأجهزة الطرفية عند حافة الشبكة، تتواصل عبر مزيج من الشبكات الخلوية، وشبكات Wi-Fi، وبروتوكولات راديوية خاصة بمورّديها. فكل عاكس شمسي، ووحدة تحكم في تخزين البطاريات، ومنظّم حرارة ذكي، قد يصبح نقطة انطلاق للهجوم إذا اختُرق. وتحدّ من هذه المخاطر ثلاثةُ إجراءات مجتمعة: التحقق من الهوية عند التسجيل، والتحقق من سلامة البرامج الثابتة أثناء التحديث، وعزل شبكات المورّدين. لذا ينبغي لشركات المرافق أن تشترط على مجمّعي موارد الطاقة الموزعة إثبات التزامهم بملفات الأمان في المعيار IEEE 2030.5 الصادر عن معهد مهندسي الكهرباء والإلكترونيات، وتقديم ملخصات سنوية لاختبارات الاختراق، شرطاً لإبرام اتفاقيات الربط بالشبكة.

تستبدل برامج أتمتة المحطات الفرعية المرحّلات الكهروميكانيكية بأجهزة إلكترونية ذكية تتواصل عبر بروتوكولات قائمة على إيثرنت، مثل المعيار IEC 61850 الصادر عن اللجنة الكهروتقنية الدولية. ومع أن هذه الترقيات تسرّع عزل الأعطال وتتيح الإعداد عن بُعد، فإنها تعرّض أنظمة الحماية أيضاً لتهديدات تنتقل عبر الشبكة كانت محصورة في السابق ببيئات المؤسسات. ويتكون الحد الأدنى المقبول من الجاهزية الأمنية للمحطات الفرعية المحدَّثة من مبدّلات شبكية محصّنة بقوائم تحكم في الوصول على مستوى المنافذ، وجدران حماية تفهم البروتوكولات وتفحص رسائل GOOSE الخاصة بأحداث المحطات الفرعية ورسائل MMS الخاصة بمواصفات التصنيع، ومحطات عمل هندسية معزولة مادياً.

تقسّم البنية القابلة للدفاع عنها شبكة شركة المرافق إلى مناطق أمنية محددة بوضوح، تتصل عبر قنوات ربط خاضعة للرقابة. ويضع نموذج Purdue، بعد تكييفه لعمليات شركات الكهرباء، الأجهزة الميدانية ومرحّلات الحماية في أدنى المناطق، وخوادم SCADA وأنظمة الأرشفة التاريخية في المناطق الوسطى، وتطبيقات المؤسسة في المناطق العليا. ويفرض كل حد فاصل بين المناطق قواعد سماح صريحة. أما الشبكات المسطّحة التي تتيح الحركة الجانبية دون قيود بين مراكز التحكم وخوادم البريد الإلكتروني المؤسسية فتمثّل مخاطر متبقية غير مقبولة، يجب معالجتها قبل المضي في مزيد من الرقمنة.

توفّر الصمامات الثنائية للبيانات وبوابات الأمان أحادية الاتجاه عزلاً تفرضه الأجهزة للمناطق التشغيلية الأكثر حساسية. فتتدفق بيانات القياس عن بُعد في الوقت الفعلي إلى الخارج نحو أنظمة التحليلات المؤسسية وتقارير السوق، دون السماح بأي حركة واردة قد تحمل أوامر أو برمجيات خبيثة. وينبغي للمؤسسات التي تنشر هذه الأجهزة أن تتحقق من دعم المورّد للبروتوكولات الصناعية المستخدمة فعلاً، بما فيها بروتوكول DNP3، والمعيار IEC 61850، وبروتوكول ICCP للاتصال بين مراكز التحكم. فالصمامات سيئة الإعداد التي تُسقط بيانات حرجة دون تنبيه تقوّض الأهداف الأمنية والرؤية التشغيلية معاً.

تتطلب إدارة مخاطر سلسلة الإمداد لمكونات أنظمة SCADA وأنظمة التحكم الصناعي تدقيقاً يتجاوز قوائم التحقق التقليدية لمشتريات تقنية المعلومات. فمصدر البرامج الثابتة، وإثبات سلامة الأجهزة، ووثائق منشأ التصنيع أمور جوهرية حين يكون الخصوم قد أثبتوا قدرتهم على زرع أبواب خلفية دائمة في الأنظمة المدمجة. لذا ينبغي لشركات المرافق أن تحتفظ بسجل للمورّدين المعتمدين يتضمن درجات التقييم الأمني، وأن تشترط الإفصاح عن قوائم مكوّنات البرمجيات (SBOM) لجميع المكونات القابلة للبرمجة، وأن تُجري تدقيقات دورية في المصانع للمعدات الواقعة على المسار الحرج.

تتطلب مشاركة البيانات مع مشغّلي الأنظمة المستقلين، ومنظمات النقل الإقليمية، ومزوّدي خدمات الطقس حوكمة رسمية لواجهات برمجة التطبيقات (APIs). وينبغي أن تتلقى منصات التحليلات التابعة لأطراف ثالثة بيانات قياس مجمّعة أو مجهّلة الهوية كلما سمحت الظروف التشغيلية. ويجب أن تحدد العقود التي تحكم هذه التكاملات مهل الإخطار بالاختراقات، ومتطلبات اعتماد المعالجين الفرعيين، وحدود الاحتفاظ بالبيانات. ويمنع تحديد معدل الطلبات ورصد الحالات الشاذة على نقاط النهاية الصادرة لواجهات API سيناريوهات تسريب البيانات بكميات كبيرة، التي قد لا ترصدها ضوابط المحيط القياسية وحدها خلال المراقبة الروتينية.

تجاوز مشهد التهديدات الذي تواجهه شركات الكهرباء برمجيات الفدية الانتهازية بمراحل. فقد نفّذ خصوم مدعومون من دول حملات استطلاع ضد مشغّلي الشبكات في قارات عدة، بحثاً عن موطئ قدم في مركّزات الشبكات الافتراضية الخاصة (VPN)، وخدمات سطح المكتب البعيد المكشوفة، وقنوات الدعم الفني للمورّدين. كما انتقلت مجموعات برمجيات الفدية من هجمات تقتصر على الابتزاز إلى عمليات تستهدف أنظمة السلامة الحرجة لتحقيق أقصى ضغط. وأصبحت برامج معلومات التهديدات المصممة لقطاع الطاقة، سواء أُديرت داخلياً أو جاءت من مراكز تبادل المعلومات وتحليلها الخاصة بالقطاع (ISACs)، توقعاً أساسياً لا قدرة متقدمة.

يختلف التخطيط للاستجابة للحوادث في بيئات التقنيات التشغيلية لدى شركات المرافق اختلافاً جذرياً عن أدلة الإجراءات في تقنية المعلومات المؤسسية. فعزل وحدة تحكم مخترقة في محطة فرعية قد يُحدث خللاً في تنسيق مرحّلات الحماية يتسلسل إلى عمليات فصل للأحمال. لذا يجب أن يشترك في إعداد إجراءات الاستجابة مهندسو الحماية، ومشغّلو المنظومة، ومحللو الأمن السيبراني، مع أشجار قرار صريحة توازن بين إجراءات الاحتواء السيبراني وعواقبها على موثوقية الشبكة. وتمارين المحاكاة النظرية لهجمات سيبرانية مادية منسقة، التي تُجرى مرتين سنوياً على الأقل، تبني لدى الفرق المختلفة استجابة راسخة لا توفرها الخطط المكتوبة وحدها.

يظل تطوير الكوادر عائقاً مزمناً في قطاع المرافق. فمهندسو الحماية نادراً ما يحملون شهادات في الأمن السيبراني، ومحللو الأمن قلّما يفهمون إعدادات المرحّلات أو ديناميكيات تدفق الأحمال. وتحدّ برامج التدريب المتبادل التي يتنقل فيها الموظفون بين التخصصين، مدعومةً بتمارين محاكاة نظرية مشتركة وجداول مناوبة موحّدة، من الافتراضات التي يبنيها كل فريق بمعزل عن الآخر وتسبب الانقطاعات والاختراقات على حدّ سواء. وتفيد شركات المرافق التي تستثمر في أدوار تجمع بين تحليل الأمن والتقنيات التشغيلية بأن متوسط الوقت اللازم لاكتشاف الحوادث لديها أقصر، ودورات التحقيق أقصر كذلك، مقارنة بالمؤسسات التي تبقي الفريقين منفصلين تماماً.

ينبغي أن يُبنى التخطيط الرأسمالي للمرونة السيبرانية على مؤشرات الموثوقية، ووضع التأمين، والتعرض التنظيمي، لا على درجات تهديد مجردة. فلجان الاستثمار تستجيب للمقاييس المرتبطة بالنتائج: انخفاض دقائق الانقطاع غير المخطط له الناجمة عن أحداث سيبرانية، ومسار أقساط التأمين، ومعدلات إغلاق ملاحظات التدقيق. أما طلبات الميزانية القائمة على التخويف، والمعتمدة على روايات اختراق مثيرة دون قياس للأثر على الأعمال، فتفقد مصداقيتها دورة تمويل بعد أخرى. ويحافظ القياس المنضبط للمخاطر، المرتبط بالنتائج التشغيلية، على استمرار الاستثمار مع تغيّر القيادات.

تواصل التزامات الإبلاغ التنظيمي اتساعها. فقد تخضع شركات المرافق لمساءلة الجهة الوطنية المنظمة للطاقة، والجهة الوطنية للأمن السيبراني، والهيئات القطاعية، ولكلٍّ منها جداولها الزمنية ومتطلبات التصنيف وصيغ الأدلة الخاصة بها. ويتيح مسار موحّد لتوثيق الحوادث، يسجّل المؤشرات التقنية، والأثر التشغيلي، وتفاصيل التسلسل الزمني لحظة الاكتشاف، الإبلاغ المتوازي دون ازدواجية في الجهد. والمؤسسات التي تحتفظ بنماذج تقارير معدّة مسبقاً لكل جهة تقلّص التأخر في الإفصاح، وتحدّ من خطر صدور بيانات متضاربة أمام الجهات المختلفة.

الاتجاه واضح. فتلاقي الاستثمار في تحديث الشبكات، وانتشار موارد الطاقة الموزعة، وتصاعد تطور أساليب الخصوم، سيضيّق الإطار الزمني المتاح لشركات المرافق التي ما زالت تعمل ببرامج محدودة لأمن التقنيات التشغيلية. والمؤسسات التي تبني الآن دفاعات متعددة الطبقات، ترتكز على خطوط الأساس التنظيمية وتتجاوز الحد الأدنى للامتثال بكثير، ستعبر هذه المرحلة الانتقالية من موقع قوة تشغيلية. أما المتأخرة فستجد تكاليف المعالجة تتراكم مع اتساع سطح الهجوم والعبء التنظيمي معاً. وتتضمن الملاحق أنماطاً نموذجية لبوابات المنطقة المعزولة (DMZ)، وأدلة لنشر الصمامات الثنائية للبيانات، ومقتطفات من استبيانات المورّدين مصممة لجهات تكامل أنظمة SCADA.