Architectural Implications of the UK Cyber Security and Resilience Bill
تجادل هذه الورقة بأن مشروع قانون الأمن السيبراني والمرونة في المملكة المتحدة يستلزم التحول من الأمن المرتكز على المحيط إلى بنية "الثقة الصفرية"، حيث تقدم رسمًا خرائطيًا منهجيًا لأحكام القانون مع المتطلبات الهيكلية وإطار عمل مرجعيًا لمساعدة المؤسسات على تحقيق الامتثال أثناء التعامل مع الالتزامات التنظيمية المتداخلة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
الصورة الكبيرة: كتاب قواعد جديد للسلامة الرقمية
تخيل أن العالم الرقمي في المملكة المتحدة عبارة عن مدينة ضخمة وصاخبة. لسنوات، كان لدى المدينة كتاب قواعد يسمى "لوائح NIS" (من عام 2018) يخبر الشركات بكيفية إغلاق أبوابها وحراسة بواباتها.
الآن، تقدم الحكومة كتاب قواعد جديداً، أكثر صرامة بكثير يسمى قانون الأمن السيبراني والمرونة (CS&R).
يجادل مؤلف هذه الورقة، جوناثان شيلبي، بأنه لا يمكنك مجرد "ترقيع" أقفالك القديمة لتتبع هذه القواعد الجديدة. القواعد الجديدة مختلفة تماماً لدرجة أنها تجبرك على إعادة بناء تصميم أمن المدينة بالكامل. إذا حاولت استخدام أسلوب "جدار القلعة" القديم في الأمن، فستفشل. أنت بحاجة إلى طريقة تفكير جديدة تسمى "الثقة الصفرية" (Zero Trust).
المشكلة: "جدار القلعة" قد انكسر
الطريقة القديمة (أمن المحيط):
تخيل قلعة من العصور الوسطى. تبني جداراً ضخماً حولها. أي شخص خارج الجدار هو تهديد؛ وأي شخص داخل الجدار هو موثوق به. إذا سمح الحارس لسائق توصيل (مورد) بالدخول من البوابة، يمكن لهذا السائق التجول في أي مكان داخل القلعة، ولمس سيف الملك، وحتى فتح الخزانة، لأنه "داخل الجدار".
لماذا تفشل الآن:
يقول القانون الجديد: "لا يهمنا ما إذا كنت داخل الجدار. إذا كنت سائق توصيل، أو مزود خدمة سحابية، أو مركز بيانات، فأنت لا تزال غريباً حتى نثبت أنك آمن في كل ثانية تمر".
وقعت الكوارث الأخيرة (مثل اختراقات Capita و NHS المذكورة في الورقة) تحديداً لأن المتسللين دخلوا عبر مورد موثوق، وتجولوا بحرية عبر "القلعة"، وتسببوا في أضرار جسيمة. لم يمنع "الجدار" القد م دخولهم.
الحل الجديد: مدينة "الثقة الصفرية"
تجادل الورقة بأن الطريقة الوحيدة لاتباع القانون الجديد هي اعتماد بنية الثقة الصفرية (ZTA).
التشبيه: المطار عالي الأمن
فكر في نموذج الأمن الجديد مثل مطار دولي عالي الأمن، وليس قلعة.
- لا يتم الوثوق بأحد تلقائياً: حتى لو كنت موظفاً (داخل "الجدار")، لا يزال يتعين عليك إظهار هويتك عند كل نقطة تفتيش.
- افحص، ثم افحص مرة أخرى: أنت لا تظهر هويتك عند البوابة فحسب، بل تظهرها عند خط الأمن، وفي الصالة، وعند بوابة الطائرة.
- على أساس الحاجة إلى المعرفة: لا يمكنك الدخول إلى قمرة القيادة لمجرد أن لديك بطاقة تعريف. أنت بحاجة إلى تصريح خاص لتلك الغرفة المحددة، ولهذا الوقت المحدد.
- راقب الجميع: الكاميرات وأجهزة الاستشعار تراقب كل حركة. إذا تصرف شخص ما بشكل غريب، يتم إيقافه فوراً.
التغييرات الأربعة الكبرى التي يفرضها القانون
تحدد الورقة أربعة أجزاء محددة من القانون الجديد تجبر على هذا التغيير:
1. توسيع نطاق "من هو مَن" (مزودي الخدمات المُدارة والموردين)
- القانون: لم يعد الأمر يقتخص بشركتك فقط. إذا استعنت بشركة لإدارة تكنولوجيا المعلومات الخاصة بك (مثل مزود الخدمة السحابية)، فإن هذه الشركة مسؤولة قانونياً أيضاً.
- الحل: لا يمكنك مجرد توقيع عقد يقول "كن آمناً". أنت بحاجة إلى "حارس رقمي" يتحقق من هوية المورد في كل مرة يحاول فيها لمس أنظمتك. إذا انخفض مستوى أمنهم، يقوم الحارس بطردهم فوراً.
2. "زر الذعر لمدة 24 ساعة" (الإبلاغ)
- القانون: إذا حدث اختراق، يجب عليك إبلاغ الحكومة في غضون 24 ساعة. ويجب تقديم تقرير كامل في غضون 72 ساعة.
- الحل: لا يمكنك الانتظار حتى اجتماع أسبوعي لتدرك أنه تم اختراقك. يجب أن يكون نظامك الأمني مثل كاشف الدخان الذي يصرخ فوراً ويتصل بفرقة الإطفاء تلقائياً. يجب أن تعرف ما حدث، ومن تأثر، ومدى سوء الأمر، كل ذلك في غضون يوم واحد.
3. شبكة "سلسلة التوريد"
- القانون: أنت مسؤول عن سلامة موردي مورديك.
- الحل: تحتاج إلى خريطة توضح بالضبط كيف تتدفق البيانات بينك وبين كل من تعمل معهم. إذا تعرض مورد صغير للاختراق، يجب أن تعرف على الفور ما إذا كان هذا الاختراق قد انتقل إليك.
4. "التجاوز في حالات الطوارئ" (سلطات الحكومة)
- القانون: يمكن للحكومة أن تأمرك بتغيير إعدادات الأمن الخاصة بك فوراً إذا ظهر تهديد وطني.
- الحل: لا يمكن لنظامك الأمني أن يكون جامداً. يجب أن يكون مثل المنزل الذكي حيث يمكنك تغيير الأقفال أو قطع الكهرباء عن غرف معينة بنقرة واحدة، فوراً، دون كسر المنزل بأكمله.
المخطط التوجيهي: كيف تبني ذلك
تقدم الورقة مخططاً من 5 أجزاء لبناء مدينة الأمن الجديدة هذه:
- الهوية (بطاقة التعريف): كل شخص وكل روبوت (برنامج) يحتاج إلى هوية رقمية. لا أحد يدخل بدونها، ويتم التحقق منها باستمرار.
- الشبكة (الغرف المقسمة): بدلاً من أرضية واسعة مفتوحة، ينقسم المبنى إلى غرف صغيرة مغلقة. للانتقال من المطبخ إلى غرفة النوم، تحتاج إلى مفتاح.
- البيانات (الخزنة): المعلومات الحساسة مغلقة داخل خزائن. لا يمكنك فتح الخزنة إلا إذا كنت تملك الهوية الصحيحة والسبب الصحيح.
- العمليات (غرفة التحكم على مدار الساعة): فريق (أو روبوت) يراقب جميع الكاميرات على مدار الساعة. إذا رأوا شيئاً مريباً، يتصرفون قبل وقوع الضرر.
- الحوكمة (لوحة التحكم): شاشة للمديرين (مجلس الإدارة) تظهر في الوقت الفعلي مدى أمان المبنى. لا مزيد من التخمين؛ إنهم يرون الحقيقة.
"لمسة الخدمات المالية"
إذا كنت بنكاً، فلديك مشكلة مزدوجة. يجب عليك اتباع قانون المملكة المتحدة الجديد و قانون DORA الخاص بالاتحاد الأوروبي.
- الخبر الجيد: تقول الورقة: "لا تبنوا نظامين أمنيين مختلفين". ابنوا نظاماً واحداً فائق القوة يلبي أشد القواعد صرامة في كليهما. هذا أرخص وأكثر أماناً على المدى الطويل.
خارطة الطريق: كيف تصل إلى هناك
لا يمكنك بناء ناطحة سحاب في يوم واحد. تقترح الورقة خطة من 3 مراحل:
- المرحلة الأولى (الأساس - من 0 إلى 12 شهراً): تأكد من عمل سجلاتك (كاميرات المراقبة). تأكد من معرفة مكان كل بياناتك. قم بإعداد "زر الذعر" للإبلاغ عن الاختراقات.
- المثلة الثانية (الهيكل - من 12 إلى 24 شهراً): ابدأ في إغلاق الغرف (التقسيم). توقف عن استخدام المفاتيح الكبيرة "التي تمنح وصولاً شاملاً" (VPN) وابدأ في استخدام تصاريح محددة ومحددة زمنياً.
- المرحلة الثالثة (اللمسات النهائية - من 24 إلى 36 شهراً): اجعل النظام ذكياً. استخدم الذكاء الاصطنا-عي لرصد السلوك الغريب. تأكد من أن مورديك يثبتون باستمرار أنهم آمنون.
الخلاصة لقادة الأعمال
تخبر الورقة مسؤولي أمن المعلومات (CISOs) والرؤساء التنفيذيين (CEOs): توقفوا عن التفكير في هذا كـ "قائمة تحقق للامتثال".
الأمر لا يتعلق بملء نموذج لتجنب الغرامة. هذا يتعلق بالبقاء.
- الغرامات ضخمة (تصل إلى 4% من إجمالي إيراداتك العالمية).
- يمكن للحكومة أن تأمرك بإغلاق أجزاء من عملك إذا لم تكن آمناً.
- الطريقة القديمة في فعل الأشياء (بناء الجدران والثقة في كل من بالداخل) قد انتهت.
الخلاصة:
للبقاء والنجاة من القانون الجديد، يجب أن تتوقفوا عن بناء القلاع وتبدأوا في بناء مدن ذكية، مقسمة، ومفحوصة باستمرار. إنها مهمة كبيرة، لكنها الطريقة الوحيدة للبقاء آمناً في المستقبل.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.