كان لدى مورّد بنية تحتية سحابية وأحد عملائه من المؤسسات، وهو شركة خدمات مالية، برنامجان ناضجان للاستجابة للحوادث يخضعان لتمارين منتظمة. وعندما تأكد وقوع خرق يمس بيئة البيانات السحابية لشركة الخدمات المالية، فعّلت المؤسستان خطط IR لديهما في آن واحد. ومضت الخطتان بالتوازي ودون تعارض خلال الخطوات الست الأولى: الإخطار، والتصعيد، والاحتواء الأولي، وبدء التحقيق. وعند الخطوة السابعة، دخلت الخطتان في تعارض مباشر. فقد وجّهت خطة IR لدى المورّد، التي وُضعت مع اعتبار أفضل ممارسات التحليل الجنائي أولويةً رئيسية، فريقَ IR إلى الحفاظ على جميع الأنظمة المتأثرة بحالتها الراهنة لأخذ نسخ جنائية منها قبل أي نشاط إصلاح أو استعادة. أما خطة استمرارية الأعمال لدى شركة الخدمات المالية، التي أحالت إليها خطة IR لديها، فاشترطت استعادة الأنظمة المالية الأساسية إلى حالة التشغيل خلال أربع وعشرين ساعة من أي انقطاع. وكانت استعادة الأنظمة تتطلب تحديدًا نوع نشاط الإصلاح الذي تحظره خطة IR لدى المورّد إلى حين إتمام الحفظ الجنائي. كان الطرفان يتبعان خطتيهما بشكل صحيح. فقد كان اشتراط المورّد للحفظ الجنائي معقولًا وقابلًا للدفاع عنه قانونيًا. وكان اشتراط العميل لاستعادة الخدمة ملزمًا تعاقديًا وتنظيميًا. ولم تُصمَّم أي من الخطتين مع معرفة بمتطلبات الأخرى. واكتُشف التعارض في الوقت الفعلي أثناء حادث نشط. واستغرق الأمر ثماني ساعات من التفاوض للتوصل إلى حل وسط: يُجرى التصوير الجنائي للأنظمة غير الحرجة أولًا، بما يتيح استعادة الأنظمة الحرجة مع الحفاظ على الأدلة من أهم المصادر الجنائية.
ما إخفاقات الاستجابة المنسقة حقًا؟
إخفاقات الاستجابة المنسقة هي الأعطال التي تقع في الاستجابة المشتركة للحوادث عندما تتضمن خطط IR لدى المورّد والعميل أهدافًا متعارضة أو إجراءات غير متوافقة أو جداول زمنية غير متوافقة لا يمكن التوفيق بينها دون تفاوض أثناء حادث نشط. فقد تكون الخطط الفردية ممتازة تصميمًا وتنفيذًا. لكن إخفاق التنسيق ينشأ عند نقطة التقاء خطتين وُضعت كل منهما باستقلال عن الأخرى، حين تُطبقان في آن واحد على حادث مشترك.
إن فجوة نقاط التقاء الخطط هي المشكلة البنيوية. فخطط IR لدى المورّد توضع لتلبية متطلباته التشغيلية والقانونية والتنظيمية. وخطط IR لدى العميل توضع لتلبية متطلباته التشغيلية والقانونية والتنظيمية. وكلتا مجموعتي المتطلبات مشروعة. ولا تُصمَّم أي من الخطتين مع معرفة شاملة بمتطلبات الأخرى. وعندما تُفعَّل الخطتان في آن واحد أثناء حادث مشترك، فإن نقطة الالتقاء بينهما، أي النقاط التي تنص فيها كلتا الخطتين على إجراءات تمس الأنظمة والقرارات نفسها، هي حيث تنشأ التعارضات.
يُعد التعارض بين التحليل الجنائي والاستعادة أكثر أنماط إخفاق التنسيق شيوعًا. فأفضل ممارسات التحقيق الجنائي تركز على الحفظ، أي إبقاء الأنظمة المتأثرة في حالتها المخترقة لتمكين جمع الأدلة. أما متطلبات استمرارية الأعمال فتركز على الاستعادة، أي إعادة الأنظمة إلى حالة التشغيل بأسرع ما يمكن. وهذان الهدفان في توتر مباشر بالنسبة للأنظمة المتأثرة. فالمورّد الذي تعطي خطة IR لديه الأولوية للحفظ الجنائي، والعميل الذي تشترط SLA التعاقدية لديه الاستعادة خلال أربع وعشرين ساعة، يتبعان خطتين صحيحتين لا يمكن تنفيذهما معًا دون حل وسط. واكتشاف هذا التعارض أثناء حادث نشط يضيف ساعات من التفاوض إلى الجدول الزمني للحادث.
- أهداف متعارضة عند نقطة التقاء الخطط: الحفظ الجنائي مقابل SLA الخاصة بالاستعادة
- خطط وُضعت دون معرفة بمتطلبات الطرف الآخر: توجيهات غير متوافقة بشأن القرارات المشتركة
- تفاوض في الوقت الفعلي أثناء حادث نشط: اكتشاف التعارض في أسوأ لحظة
- لا مراجعة مشتركة للخطط: تُوضع الخطط وتُختبر كلٌّ على حدة
- اتفاقيات مستوى الخدمة التعاقدية وأفضل ممارسات IR في تعارض مباشر: كلاهما مشروع، وكلاهما يُطبق في آن واحد
لماذا يهم هذا
تكتسب إخفاقات الاستجابة المنسقة أهمية في TPRM لأن النتيجة التي يحققها العميل في حادث مشترك تعتمد على جودة الاستجابة المنسقة، والاستجابة المنسقة التي تُحل فيها تعارضات الخطط في الوقت الفعلي أثناء حادث نشط تُفضي إلى نتيجة أسوأ بكثير من استجابة منسقة حُددت فيها التعارضات وحُلت مسبقًا عبر التخطيط المشترك. فالساعات الثماني من التفاوض في السيناريو الافتتاحي كانت ثماني ساعات تتجاوز SLA التعاقدية للعميل، وكان يمكن تجنبها بمراجعة مشتركة للخطط مدتها ثلاثون دقيقة.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو عدم إجراء مراجعة مشتركة للخطط لتحديد تعارضات نقاط الالتقاء قبل وقوع الحوادث. فكل خطة تُراجع ويُتمرن عليها على حدة. أما نقطة الالتقاء بينهما فلا تُراجع إلا حين يكشف حادثٌ التعارض.
- مراجعة الخطط الفردية دون مراجعة مشتركة
- عدم تحديد تعارضات نقاط الالتقاء قبل وقوع الحوادث
- تعارضات بين SLA وأفضل ممارسات IR لم يُتفاوض عليها مسبقًا
- تمرين المحاكاة المشترك لا يتضمن سيناريوهات أهداف متعارضة
- لا حلول متفاوض عليها مسبقًا لأنماط التعارض المعروفة
كيف تبدو الممارسة الجيدة
تُجري برامج التنسيق الناضجة مراجعة مشتركة للخطط في علاقات المورّدين الحرجة، فتحدد تحديدًا نقاط الالتقاء التي تنص فيها الخطتان على إجراءات للأنظمة والقرارات نفسها، وتتفاوض مسبقًا على حلول لأنماط التعارض الشائعة قبل أن تفرض الحوادث التفاوض في الوقت الفعلي.
- مراجعة مشتركة للخطط: تحديد نقاط الالتقاء ورصد التعارضات
- حلول متفاوض عليها مسبقًا للتعارضات الشائعة: أولوية الحفظ الجنائي مقابل الاستعادة
- تمرين محاكاة مشترك يتضمن سيناريوهات أهداف متعارضة
- أحكام تعاقدية تعالج حل التعارضات: أي المتطلبات له الأولوية
- وثيقة بروتوكول نقاط الالتقاء: إجراءات متفق عليها مسبقًا للقرارات المشتركة
الأدوات
تخطيط IR المشترك: NIST SP 800-61، ومنصات إدارة الحوادث المشتركة
توفر منصات إدارة الحوادث المشتركة التي تتيح التوثيق المشترك للخطط واتفاقيات بروتوكولات نقاط الالتقاء أداةً للتعاون قبل وقوع الحوادث من أجل المراجعة المشتركة للخطط. وبالنسبة لممارسي TPRM، فإن اقتراح تمرين مراجعة مشتركة للخطط في علاقات المورّدين الحرجة، يركز تحديدًا على مراجعة الخطتين بحثًا عن التوجيهات المتعارضة عند نقاط القرار المشتركة، يوفر الاستثمار في التنسيق الذي يمنع التفاوض في الوقت الفعلي أثناء الحوادث.
تحديات الحوكمة
يتمثل تحدي الحوكمة في المراجعة المشتركة للخطط في إشراك المورّد. فطلب مراجعة مشتركة لخطتي IR يقتضي أن يشارك المورّد خطة IR لديه، وهو ما قد يتردد في فعله لأسباب تتعلق بالسرية، وأن يستثمر الوقت في تمرين مشترك. ويتمثل حل الحوكمة في مراجعة محددة النطاق تركز تحديدًا على نقاط الالتقاء التي تتضمن فيها الخطتان توجيهات متعارضة، بدلًا من تبادل كامل للخطط.
- اطلب مراجعة مشتركة لنقاط التقاء الخطط، تركز على نقاط القرار المشتركة
- تفاوض مسبقًا على أولوية الحفظ الجنائي مقابل الاستعادة في الخروقات الجسيمة
- ضمّن سيناريوهات التعارض في تمرين المحاكاة المشترك
- وثّق حلولًا متفقًا عليها مسبقًا لأنماط التعارض الشائعة
- ضمّن العقد أحكامًا لحل التعارضات: أي المتطلبات له الأولوية
إذا كنت فريقًا صغيرًا
بالنسبة للمورّد الأعلى مخاطرة لديك، أجرِ محادثة واحدة: أخبره أن خطة استمرارية الأعمال لديك تشترط [جدولًا زمنيًا محددًا للاستعادة] للأنظمة التي يستضيفها، واسأله عمّا إذا كان ذلك يتعارض مع أي اشتراط للحفظ الجنائي في خطة IR لديه بشأن الخروقات الجسيمة. فهذا السؤال الواحد يكشف التعارض بين الحفظ الجنائي والاستعادة، وهو أكثر إخفاقات التنسيق شيوعًا، قبل وقوع الحادث الذي يكشفه. وإذا وُجد تعارض، فتفاوض على حله مسبقًا. وإذا لم يوجد تعارض، فوثّق هذا التأكيد.
- اسأل المورّد عمّا إذا كانت SLA الاستعادة تتعارض مع إجراء الحفظ الجنائي لديه
- تفاوض على حل التعارضات مسبقًا: من له الأولوية
- ضمّن الحل المتفق عليه مسبقًا في العقد أو في ملحق الأمن
- اختبر الحل في تمرين المحاكاة المشترك
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل يتعارض اشتراط الحفظ الجنائي في خطة الاستجابة للحوادث لديكم مع SLA الخاصة باستمرارية أعمالنا التي تشترط استعادة الخدمة خلال أربع وعشرين ساعة، وهل يمكننا التفاوض مسبقًا الآن على حل هذا التعارض بدلًا من التفاوض عليه أثناء حادث نشط؟»
ما تتوقعه دليلًا
- مدة اشتراط الحفظ لأغراض التحليل الجنائي
- تعارض معترف به مع SLA الاستعادة لدى العميل
- حل متفاوض عليه مسبقًا للتعارض
- تمرين محاكاة مشترك يتضمن سيناريو تعارض
ينبغي أن يُطرح على المورّد الذي لديه خطة IR ناضجة سؤال التعارض المحدد. فنضج الخطة الفردية يخضع للتقييم. أما التعارضات عند نقاط التقاء الخطط فتتطلب مراجعة مشتركة. والساعات الثماني من التفاوض هي ثمن اكتشاف التعارض أثناء الحادث.
كيف تُثبت ذلك
- سجلات المراجعة المشتركة لنقاط التقاء الخطط
- توثيق حلول التعارض المتفاوض عليها مسبقًا
- سجلات تمارين المحاكاة المشتركة
- أحكام تعاقدية لحل التعارضات
الخلاصة الرئيسية
خطتان ناضجتان. خرق واحد. ثماني ساعات من التفاوض عند الخطوة السابعة حيث تعارضتا. لا يمكن تلبية اشتراط المورّد للحفظ الجنائي واشتراط SLA للاستعادة خلال أربع وعشرين ساعة لدى العميل معًا للأنظمة نفسها. كلاهما متطلب مشروع. ولم تُصمَّم أي من الخطتين مع معرفة بمتطلبات الأخرى. واكتُشف التعارض في الوقت الفعلي أثناء الحادث. وكانت مراجعة مشتركة مدتها ثلاثون دقيقة كفيلة بكشفه. وكان حل متفاوض عليه مسبقًا كفيلًا بتجنب الساعات الثماني. إن نضج الخطة الفردية شرط أساسي. أما المراجعة المشتركة لنقاط التقاء الخطط فهي الاستثمار في التنسيق الذي يحوّل النضج الفردي إلى فعالية منسقة.