الخلاصة

  • يتعين على الإدارات ترتيب الخدمات الحيوية بحسب أثر الاختراق وإرسال القائمة إلى أداة Enterprise Portfolio Management التابعة لـ Treasury Board of Canada Secretariat قبل 30 نوفمبر.
  • ستراعي Treasury Board of Canada Secretariat وShared Services Canada وCanadian Centre for Cyber Security المخاطر والاعتماديات والقدرة عند تنسيق أولويات التنفيذ والدعم.

التحليل

دخل إشعار تنفيذ سياسة الأمن (SPIN) الفيدرالي حيز النفاذ في الأول من أكتوبر. وهو يحول برنامجاً واسعاً للاستعداد السيبراني إلى قرار محدد: أي الخدمات العامة سيكون من الأصعب استمرارها إذا تعرضت أنظمتها للاختراق؟ يطلب الإجراء IDT-1 من الإدارات مراجعة الخدمات الحيوية والأنظمة التي تدعمها، وترتيبها بحسب الأثر التشغيلي أو القانوني أو المالي أو المتعلق بالسمعة، ثم إرسال قائمة مرتبة إلى أداة Enterprise Portfolio Management (EPM) التابعة لـ Treasury Board of Canada Secretariat بحلول 30 نوفمبر. ويقول الإشعار إن القائمة ستدعم تحديد الأولويات مركزياً وتخطيط Shared Services Canada، ولا ينص على نشرها.

يهدف الترتيب إلى وصل استمرارية الخدمة بالعمل التقني. كما يطلب الإشعار قوائم حديثة للتطبيقات، ومخططات للأنظمة ومسارات الهجوم، ورؤية للأصول المتصلة بالإنترنت. ويساعد ذلك على ربط كل خدمة بأنظمة الهوية والشبكات والتطبيقات والموردين الذين يتوقف عليهم استمرارها أو استعادتها. وتشمل الخطة الأوسع حصر الأصول، والاستجابة للثغرات، وتعزيز الهوية والشبكات، والرصد والاستعداد للتعافي.

توزيع الأدوار واضح. ستحدد Treasury Board of Canada Secretariat (TBS)، مع Shared Services Canada (SSC) وCanadian Centre for Cyber Security، أولويات التنفيذ والدعم استناداً إلى المخاطر السيبرانية والاعتماديات والقدرة على التسليم. تقدم SSC خدمات تقنية مشتركة، لكن الإدارات تظل مسؤولة عن المعلومات والأصول الفيدرالية حتى عند الاستعانة بطرف ثالث أو مقدم خدمة مُدارة. لذلك يجب إدراج متطلبات الأمن في المشتريات والعقود وإدارتها المستمرة؛ فالبنية المشتركة لا تنقل مسؤولية الخدمة.

عندما لا تكفي القدرة لمعالجة كل الخدمات معاً، يوصي الإشعار بالبدء بما لا يزيد على ثلاث خدمات عالية الأولوية ثم التوسع إلى البقية. إنها توصية بالترتيب وليست سقفاً دائماً. ويعتمد التنفيذ على وجود مبرر موثق لاختيار المجموعة الأولى وعلى بقاء الاعتماديات ظاهرة خلال التوسع.

يشمل HRD-6 وكلاء الذكاء الاصطناعي ضمن الكيانات غير البشرية إلى جانب حسابات الخدمة وهويات الآلات. ويطلب مالكاً واضحاً وغرضاً موثقاً وإدارة لدورة الحياة ومراجعات للصلاحيات، مع تقليل الوصول الدائم وبيانات الاعتماد الثابتة. والسؤال العملي هو: من يتحمل مسؤولية الهوية الآلية التي تصل إلى نظام حيوي، ومن يستطيع إلغاء الوصول، وكيف يراجع النشاط؟ وتقدم إرشادات Canadian Centre for Cyber Security سياقاً حول حدود الاستقلالية وضبط الوصول والتسجيل والاختبار والتدخل؛ لكنها لا تثبت وقوع حادث محدد.

كما تعتزم TBS التحقق النشط من حدود الشبكة الحكومية والأنظمة المتاحة للجمهور، ومتابعة التقدم، والتواصل مع كبار المسؤولين إذا لم تنفذ الإجراءات المطلوبة. ويصف الملحق A مؤشراته بأنها مقترحة، مثل تحديث القوائم وتسجيل مالكي الكيانات غير البشرية؛ ولا يقدم نتائج حالية. وعليه، فإن الموعد الأول هو 30 نوفمبر، ثم تأتي أهمية معرفة كيف تتحول القوائم إلى أولويات وأدلة تنفيذ.

المصادر