خدمة 988: ضوابط الأمن تتعثر بين العقود

الخلاصة

حددت وزارة الصحة والخدمات الإنسانية الأمريكية عشرة مجالات للضبط السيبراني في شبكة 988، لكن اتفاقها مع مدير الشبكة لعام 2026 ضم ثلاثة، واتفاق المدير مع المراكز ضم سبعة.
لم يقدم أي مركز من أصل اثني عشر ملفاً فحصه المدققون وثائق الأمن الثلاث المطلوبة قبل الموعد. وظلت خمسة ملفات غير مكتملة في مارس 2026.

ليس لدى المتصل بخط 988 وقت لمعرفة من يملك الخادم ومن يوقع عقد مركز الاستجابة. يريد أن يجد شخصاً يرد. لكن قدرة الشبكة على الوفاء بهذا الوعد تعتمد على تلك التفاصيل المؤسسية. فهناك وكالة اتحادية تشرف، ومدير يدير الشبكة، وشركات اتصال تمرر المكالمات، ونحو 218 مركزاً مستقلاً يقدم المساعدة. تتبع مكتب المساءلة الحكومية الأمريكي انتقال التزامات الأمن بين هذه الأطراف، فوجد أن العبارة التي تبدو واضحة في سياسة اتحادية قد تصبح أضعف في العقد الذي يحكم آخر حلقة.

حدث انقطاع فعلي من قبل. ففي ديسمبر 2022 أصاب هجوم ببرمجيات الفدية بنية أساسية مهمة للشبكة، وتوقفت الخدمة على مستوى البلاد لساعات عدة. وفي يناير 2026 عالج الخط 428 ألف مكالمة. يستقبل أيضاً الرسائل النصية والمحادثات الإلكترونية، ويمكن تحويل الاتصال إلى مركز احتياطي عندما يتعذر على المركز المحلي الاستجابة. لكن مسار التحويل لا يصبح ضماناً بمجرد رسمه؛ يجب اختبار الأنظمة والأشخاص الذين ينفذونه عند الاضطراب.

وضعت وزارة الصحة والخدمات الإنسانية عشرة مجالات أساسية للضبط السيبراني. عند مراجعة اتفاق التعاون بين الوزارة ومدير الشبكة للسنة المالية 2026، وجد مكتب المساءلة ثلاثة منها فقط. وفي اتفاق المدير مع المراكز وجد سبعة. تلك أعداد بنود تعاقدية، وليست نسبة الأجهزة الآمنة. أهميتها أن المطلب غير المكتوب في اتفاق الطرف المنفذ يصعب إلزامه بموعد أو طلب دليل عليه أو تمويل تنفيذه. تستطيع الجهة الاتحادية إعلان معيار كامل بينما يبقى العقد الفعلي ناقصاً.

قال مسؤولون اتحاديون للمدققين إنهم لا يملكون سلطة فرض كل الضوابط مباشرة على الأنظمة غير الاتحادية. في المقابل يستطيع مدير الشبكة إدراجها في شروط مشاركة المراكز. هنا يقع مركز السلطة الحقيقي: واضع المعيار ليس هو من يمسك عقد الدخول الأخير. وإذا لم ينقل الوسيط المطلب كاملاً، ينتقل العبء إلى مركز محلي من دون التزام واضح يمكن قياسه.

حتى الوثائق المطلوبة أصلاً لم تصل بانتظام. فحص مكتب المساءلة اثنتي عشرة قائمة امتثال تخص مراكز محلية. لم يقدم أي منها الوثائق الأمنية الثلاث قبل الموعد. وصلت وثائق سبعة مراكز متأخرة، وظلت ملفات خمسة مراكز غير مكتملة حتى مارس 2026. لا تسمح هذه العينة بحساب معدل وطني يشمل كل المراكز. لكنها تكشف خللاً في إجراء الرقابة نفسه: إذا جاء الدليل بعد موعد الفحص، فلن يستطيع المشرف اتخاذ قرار مستند إليه في ذلك الموعد.

أجرى المدققون فحصاً آخر لضوابط مختارة لدى مدير الشبكة وعشرة مراكز اختيرت لأغراض الدراسة، لا للتعميم الإحصائي. كانت وسيلة المراقبة المستمرة المختارة مطبقة بالكامل. ولم يطبق المدير إرشادات كلمات المرور المحدثة، ونفذ بعض ضوابط التخطيط للطوارئ جزئياً. وفي المراكز التي دُرست كان تطبيق ضوابط الاستجابة للحوادث والتعافي جزئياً. رصد المشكلة، وإدارة الحادث، واستعادة الاتصال ثلاث مهام. نجاح الأولى لا ينجز الأخريين.

تختلف أدوات المراكز وقدراتها. ففي مارس 2026 استخدم 104 مراكز المنصة الموحدة التي يوفرها مدير الشبكة، بينما أمكن لغيرها استخدام أنظمة خاصة بها. وتستخدم جميعها بوابة لتبادل الوثائق. بعض المراكز لديه موظفو تقنية متخصصون، وبعضها يعمل بفريق صغير. يمكن للعقد الموحد أن يحدد الحد الأدنى، لكنه لا يصنع قدرة متساوية على التدريب والنسخ الاحتياطي بمجرد طلب توقيع إضافي.

تظهر المفارقة عند العقوبة. قال المسؤولون إن مشاركة المراكز طوعية، وإن الوسيلة الرئيسية لمعالجة عدم الامتثال هي استبعاد المركز من الشبكة. وأقروا في الوقت نفسه بأن الاستبعاد قد يضعف الخط وخدمات الولايات. بذلك قد يؤدي إنفاذ قاعدة وضعت لحماية الخدمة إلى تقليص عدد المقاعد التي تجيب. أوصى مكتب المساءلة بعشر خطوات، منها استكمال مجالات الضبط في الاتفاقين، وإنجاز قوائم التحقق، وتحديث قواعد كلمات المرور، واشتراط خطط الاستجابة وتدريبها. وافقت الوزارة على التوصيات.

الموافقة بداية إدارية؛ الدليل الحاسم يأتي لاحقاً. نحتاج نصوص الاتفاقات المعدلة، ومواعيد تسليم الوثائق، ونتائج اختبارات تحويل الاتصال واستعادة الخدمة. الدراسة التي شملت عشرة مراكز لا تخبرنا كم مركزاً سيصمد أمام هجوم جديد. ما سيغير الحكم هو سجل يربط كل شرط بمن يطبقه وباختبار يثبت أنه يعمل. الرقم موحد بالفعل؛ المسؤولية تحتاج القدر نفسه من الوضوح.