Summary

  • حدد GAO، حتى يونيو 2026، 117 قاعدة اتحادية نافذة تتضمن متطلبات أمن سيبراني على جهات خاصة في تسعة قطاعات للبنية التحتية الحيوية، صادرة عن 37 هيئة. تضمنت 80 منها نوعاً واحداً على الأقل من ثلاثة أنواع للإبلاغ الاستباقي، وشملت 48 قاعدة إبلاغاً عن الحوادث.
  • قد تتكرر الشروط أو تتعارض في تعريف الحادث والعتبة والموعد والمحتوى والجهة المتلقية. رقم 80 يصنف أنواع المتطلبات ولا يثبت أن شركة واحدة أرسلت 80 بلاغاً مكرراً عن حادث واحد.
  • تقع مهمة تنسيق القواعد على Office of the National Cyber Director، أو ONCD. وعند انتهاء التدقيق في يوليو 2026 لم تكن خطة تنفيذ الاستراتيجية الوطنية الجديدة منشورة لتحدد المسؤوليات والخطوات التالية.

الدقيقة الأولى ليست وقتاً مناسباً لتعلم عناوين البريد الحكومي

عند ظهور إنذار داخل شبكة تشغّل خدمة أساسية، لا يعرف الفريق فوراً ما إذا كان التسلل قد وصل إلى النظام الذي يخدم الجمهور. عليه أن يفحص، ويعزل ما يمكن عزله، ويحافظ على استمرار ما لا يحتمل التوقف. تريد الجهات الرقابية إنذاراً مبكراً حتى ترى المخاطر العابرة للشركات والقطاعات. لكن كل تعريف قانوني مختلف يضيف قراراً آخر في اللحظة التي تكون فيها الأدلة التقنية ناقصة.

يضع تقرير GAO الصادر في يوليو 2026 حجماً لهذا التعقيد. وجد المدققون 117 قاعدة اتحادية قائمة تتصل بالأمن السيبراني لدى شركات في تسعة قطاعات من البنية التحتية الحيوية، وضعتها 37 هيئة. تضمنت 80 قاعدة واحداً على الأقل من ثلاثة أنواع من الإبلاغ الاستباقي: الحوادث، أو الخطط والمعلومات التقنية الأخرى، أو المراجعات والتدقيقات والتقييمات المنجزة. توزعت المتطلبات على 48 قاعدة للحوادث، و52 للخطط والمعلومات التقنية، و25 للتقييمات. قد تقع القاعدة الواحدة في أكثر من فئة، لذلك بلغ مجموع المتطلبات المصنفة داخل الثمانين 125 على الأقل.

صدرت قواعد الحوادث الثماني والأربعون عن 27 هيئة. وفي الوثيقة الأصلية للتدقيق، تظهر نقاط الاحتكاك: ما الذي يعد حادثاً، وما شدة الحدث التي تشغل الالتزام، ومتى يبدأ العد، وما البيانات المطلوبة، وأين تذهب الرسالة. قد يحتاج المشغّل إلى اتخاذ قرار بشأن بلاغين قبل أن يعرف حتى المدى الكامل للاختراق. ويحتاج بعد ذلك إلى تحديث الرواية عندما تظهر حقائق جديدة. اختلاف الساعات ينتج اختلاف النسخ، لا مجرد ازدحام البريد.

رسم GAO حدود الرقم الكبير بوضوح. صنف القواعد بحسب نوع المعلومات المطلوبة ورصد احتمال التكرار أو التعارض. لم يقس أن كل واحدة من القواعد الثمانين فرضت على شركة محددة إرسال نسختين متطابقتين، ولم يحسب مالاً أو وقت استجابة ضاع في حادث فعلي. تحتاج المسألة إلى جدول يطبق على مشغّل محدد وواقعة محددة: ما القواعد التي تغطيه، وما لحظة بدء كل مهلة، وما الحقول التي تطلبها كل هيئة، وأي تسليم تقبله. عندها يمكن فصل السؤال التنظيمي الضروري عن إعادة طلب الحقيقة نفسها.

في المال، خمس عشرة قاعدة قائمة قد تتقاطع

يعرض قطاع الخدمات المالية الحالة الأوضح. قد تخضع شركة لأكثر من قاعدة من بين 15 قاعدة قائمة للإبلاغ عن الحوادث، تبعاً لأعمالها وترخيصها. جهات الإشراف على المصارف والأسواق والسلع وحماية المستهلك لها مسؤوليات مختلفة. لكن الشركة التي تجمع أنشطة عدة تصبح مطالبة بتفسير العلاقة بين تلك المسؤوليات، وهي في الوقت نفسه تحاول فهم الحادث وإيقافه.

نظر التدقيق كذلك في قاعدة عابرة للقطاعات بموجب Cyber Incident Reporting for Critical Infrastructure Act، المعروفة باسم CIRCIA. كانت القاعدة مقترحة في يوليو 2026، ولذلك لم تدخل ضمن 117 قاعدة نافذة. بحثت CISA استثناءً للتقارير المتشابهة جوهرياً يتيح لتسليم واحد أن يفي بالتزامين. الفكرة لا تتحول إلى مسار يعتمد عليه المشغّل إلا إذا حدد النص النهائي من يحق له استخدامه، والبيانات المقبولة، ومسؤولية تحويل البلاغ، والإيصال الذي تعترف به كل جهة.

هناك نسخ أخرى من المشكلة خارج ساعة الطوارئ. قد يرسل متعاقد يقدم خدمات لهيئات اتحادية عدة خطط أمنية أو شهادات تدقيق متشابهة مرات متعددة. وقد يواجه مشغّل في النقل، بحسب نشاطه، طلبات للخطط بموجب ما يصل إلى سبع قواعد اتحادية. ترى كل هيئة الملف الذي وصل إليها. أما الشركة فتحفظ النسخ والتواريخ وتفسيرات الاختلاف وأدلة التسليم. تتراكم كلفة التنسيق في موازنة الجهة الخاضعة، بعيداً عن مقياس أداء الهيئة التي طلبت الوثيقة.

المنسق موجود، وخطة الرحلة غائبة عن السجل العام

أسند الكونغرس إلى ONCD دور تنسيق مواءمة القواعد السيبرانية الاتحادية. وأسفر عمل مجلس الإبلاغ عن الحوادث عن ثماني توصيات قدمتها وزارة الأمن الداخلي في تقرير عام 2023، منها تعريفات نموذجية للحادث ومواعيد الإبلاغ وشروط بدء الالتزام. عمل منتدى للهيئات التنظيمية على بحث التقارب، ثم جعلت الاستراتيجية الوطنية الصادرة في مارس 2026 تخفيف الأعباء غير النافعة وتنسيق الجهات من أولوياتها.

راجع GAO ما وصل إلى التنفيذ. توقف نشاط المنتدى منذ أواخر 2024. وحتى مايو 2026 لم تبلغ وزارة الأمن الداخلي عن حالة العمل على التوصيات الثماني. طلب GAO معلومات من ONCD في سبتمبر 2025 ويونيو 2026 ولم يتلقها حتى نهاية يونيو. وعند إغلاق التدقيق في يوليو لم تكن خطة تنفيذ الاستراتيجية الجديدة قد نشرت. بقيت الأسئلة التشغيلية بلا جواب علني: من يقود توحيد التعريفات، ومن يحسم اختلاف المهل، ومن يقرر أن بلاغاً واحداً وصل قانونياً إلى هيئتين؟

يمكن نشر دليل عملي من دون كشف تفاصيل الهجمات الحساسة. يسجل لكل قاعدة الجهات المشمولة، وواقعة البدء، والموعد، والحقول المطلوبة، والجهة المتلقية، وإمكان إعادة استعمال المعلومات قانونياً، والإيصال الذي تعتمد عليه الشركة. تسمى الجهة المكلفة بتحديثه كلما تغير نص. ثم يختبر تمرين مع مشغّل يعمل في قطاعين الطريق الكامل للبلاغ، مع قياس منفصل لعمل الاحتواء وعمل النماذج. بهذا يصبح ثمن الاختلافات قابلاً للقياس، لا مجرد شكوى عن الأوراق.

تحتاج الدولة إلى معلومات مبكرة عن الهجمات. وتحتاج الجهات التي تحمي الخدمات إلى معرفة ساعة كل التزام قبل أن يبدأ الإنذار. من حق واشنطن أن تطلب البلاغ؛ وعليها أن ترسم الطريق الذي يجعله يصل.

المصادر: صفحة تقرير GAO؛ التقرير الأصلي الكامل.