ملخص

لماذا تنتمي هذه القضية إلى ملف المخاطر والمساءلة

تنتمي Colonial Pipeline إلى ملف المخاطر والمساءلة لأنها أظهرت كيف يمكن أن يتحول اعتماد على بنية تحتية خاصة إلى بنية تحتية عامة للاستمرارية في غضون ساعات. تنقل Colonial Pipeline المنتجات البترولية المكررة عبر نظام خطوط أنابيب كبير يخدم الساحل الشرقي وجنوب شرق الولايات المتحدة. عندما أثرت برمجية الفدية على أنظمة الأعمال وأوقفت الشركة عمليات خط الأنابيب، أصبح الحادث أكثر من مجرد حادث إلكتروني مؤسسي. لقد أثر على ثقة إمدادات الوقود، وقواعد الشاحنات، ومواصفات الوقود البيئية، وتخطيط إمدادات الطيران والتجزئة، وتنسيق الحوادث الفيدرالي، والرسائل العامة، والقرارات اليومية للأفراد والشركات الذين يحاولون العثور على البنزين.

يحدد السجل العام التسلسل الواسع. تصف صفحة حادث DOE/CESER علىhttps://www.energy.gov/ceser/colonial-pipeline-cyber-incidentحادث Colonial Pipeline الإلكتروني كاضطراب في قطاع الطاقة ومسألة استجابة فيدرالية. يربط تنبيه CISA AA21-131A علىhttps://www.cisa.gov/news-events/cybersecurity-advisories/aa21-131aالحدث بنشاط برمجية الفدية DarkSide ويقدم إرشادات دفاعية. أعلنت وزارة العدل لاحقاً علىhttps://www.justice.gov/archives/opa/pr/department-justice-seizes-23-million-cryptocurrency-paid-ransomware-extortionists-darksideأنها صادرت عائدات العملات المشفرة المدفوعة بعد الابتزاز، مما جعل استرداد إنفاذ القانون جزءاً من سجل المساءلة العامة. يستخدم ملخص GAO علىhttps://www.gao.gov/blog/colonial-pipeline-cyberattack-highlights-need-better-federal-and-private-sector-preparedness-infographicالحادث لشرح سبب أهمية الاستعداد الفيدرالي والقطاع الخاص.

ليست قضية المساءلة أن Colonial تسببت في حملة الفدية. يتحمل المهاجمون مسؤولية الاختراق الجنائي والابتزاز. قضية المساءلة هي السيطرة المؤسسية: سيطرت Colonial على بيئة التكنولوجيا الخاصة بها، وخيارات التجزئة، وتخطيط استمرارية الأعمال، وأدلة الإغلاق وإعادة التشغيل، والاتصالات العامة، والتنسيق مع الوكالات الفيدرالية، وأدلة الإصلاح الدائم. سيطرت الوكالات الحكومية على الإعفاءات الطارئة، والاتصالات الفيدرالية، وتوجيهات أمن خطوط الأنابيب، وإنفاذ القانون، وسياسة البنية التحتية الحيوية الأوسع. لم يسيطر المجتمعات المتاخمة ومحطات الوقود وسائقو الشاحنات والشركات الصغيرة والسائقون على أي من تلك الروافع تقريباً. لقد تعرضوا للنتيجة.

هذا التوزيع للسيطرة هو سبب أهمية القضية. إذا فشل اعتماد على الوقود، لا يسأل الناس ما إذا كان النظام المتأثر يسمى تكنولوجيا المعلومات أو تكنولوجيا العمليات. يسألون ما إذا كان الوقود سيصل إلى المطارات وسيارات الإسعاف والمسافرين وفرق البناء والمزارع ومركبات التوصيل وتجار التجزئة الصغار. جعل الحادث مرئياً حقيقة مألوفة لكنها غالباً مخفية: الحوكمة الرقمية واللوجستيات المادية أصبحا الآن سطحاً واحداً للاستمرارية. يجب قياس التعافي من الفدية ليس فقط من خلال عودة أنظمة Colonial، بل من خلال ما إذا كانت أدلة إعادة التشغيل والتنسيق الفيدرالي والاتصالات قد قللت من الضرر في المصب.

ما تؤكده المصادر الرسمية

تشمل الحقائق العامة المؤكدة أن Colonial Pipeline تعرضت لحادث فدية في مايو 2021 وأن عمليات خط الأنابيب توقفت. توثق مواد DOE وCISA وTSA وDOJ وFMCSA وPHMSA وEPA والبيت الأبيض وGAO مجتمعة الاستجابة الفيدرالية والإعفاءات الطارئة وسياق الفدية وعواقب أمن خطوط الأنابيب وجهود إنفاذ القانون للاسترداد. يؤكد السجل العام أيضاً أن الحدث أثار قلقاً في سوق الوقود واستجابة حكومية واسعة لأن المشغل المتأثر كان اعتماداً مهماً على خطوط أنابيب المنتجات المكررة.

صفحة DOE/CESER علىhttps://www.energy.gov/ceser/colonial-pipeline-cyber-incidentمفيدة لأن DOE كان قائد قطاع الطاقة الفيدرالي في سجل الاستجابة العامة. إنها تؤطر الحدث كحادث إلكتروني له آثار على أمن الطاقة، وليس فقط كتعطل لشركة واحدة. تنبيه CISA علىhttps://www.cisa.gov/news-events/cybersecurity-advisories/aa21-131aمفيد لأنه يضع الحادث ضمن إرشادات دفاعية لبرمجية الفدية DarkSide ويصف تكتيكات الفدية والتخفيف وتوقعات الإبلاغ. شهادة TSA علىhttps://www.tsa.gov/news/press/testimony/2021/06/15/cyber-threats-pipeline-lessons-federal-response-colonial-pipelineمفيدة لأن تنظيم أمن خطوط الأنابيب والدروس الطارئة أصبحت جزءاً من السجل الكونغرسي.

سجل الإعفاء الطارئ مهم بنفس القدر. الأسئلة والأجوبة من FMCSA علىhttps://www.fmcsa.dot.gov/emergency/questions-and-answers-colonial-pipeline-emergency-fmcsafhwa-may-11-2021تتناول إعفاء ناقلات السيارات المتعلق بنقل الوقود. إشعار PHMSA علىhttps://www.phmsa.dot.gov/news/phmsa-stay-enforcement-colonial-pipeline-operator-qualification-and-employment-testingيتناول مرونة التنفيذ المتعلقة باستعادة Colonial. إعفاء الوقود من EPA علىhttps://www.epa.gov/newsreleases/epa-issues-fuel-waiver-twelve-states-and-district-columbia-impacted-colonial-pipelineيتناول مرونة مواصفات الوقود للولايات المتأثرة ومقاطعة كولومبيا. هذه ليست وثائق أمن إلكتروني بالمعنى الضيق. إنها دليل على أن التعافي من الفدية يعتمد على اللوجستيات والتنظيم البيئي وقدرة النقل والاستمرارية في القطاع العام.

مواد الاستجابة من البيت الأبيض علىhttps://www.whitehouse.gov/briefing-room/statements-releases/2021/05/11/fact-sheet-the-biden-administration-responds-to-colonial-pipeline-incident/وhttps://www.whitehouse.gov/briefing-room/statements-releases/2021/05/12/fact-sheet-biden-administration-announces-further-actions-to-mitigate-colonial-pipeline-supply-disruptions/مهمة أيضاً لأن الحكومة الفيدرالية كانت بحاجة للتواصل مع الولايات والوكالات والصناعة والجمهور أثناء الاضطراب النشط. إعلانات TSA اللاحقة لأمن خطوط الأنابيب علىhttps://www.tsa.gov/news/press/releases/2021/05/27/dhs-announces-new-cybersecurity-requirements-critical-pipelineوhttps://www.tsa.gov/news/press/releases/2021/07/20/dhs-announces-new-cybersecurity-requirements-critical-pipelineتظهر أن الحادث انتقل من الاستجابة إلى الإصلاح التنظيمي.

لا تشمل الحقائق العامة المؤكدة المسار الجنائي الداخلي الكامل. لا تكشف المصادر العامة عن كل بيانات الاعتماد أو المضيف أو قاعدة جدار الحماية أو مسار الوصول عن بعد أو اختبار الاستعادة أو اجتماع الإدارة أو رسالة العميل أو موافقة إعادة التشغيل. الملف العام قوي فيما يتعلق بالاستجابة الفيدرالية وسياق الفدية العام. إنه أضعف فيما يتعلق بسجل القرارات الداخلي لـ Colonial. يجب أن يشكل هذا القيد التحليل.

إغلاق خط الأنابيب جعل تجزئة تكنولوجيا المعلومات سؤالاً عاماً

أحد أهم الاستنتاجات المدعومة في قضية Colonial هو أن تجزئة تكنولوجيا المعلومات وحقوق القرار التشغيلي أصبحت أسئلة ذات مصلحة عامة. وصفت التقارير العامة والتصريحات الرسمية حادث فدية أثر على أنظمة الأعمال وإغلاق خط الأنابيب كإجراء احترازي بينما كانت الشركة تقيم الوضع. لا تدعي المقالة الوصول إلى مخططات التجزئة الداخلية لـ Colonial أو سجلات نظام التحكم. لكنها تقول إن العلاقة بين تكنولوجيا الأعمال والفوترة والجدولة والاتصالات والتشغيل الآمن لخط الأنابيب أصبحت سطح مساءلة مركزي.

تعتمد خطوط أنابيب الوقود على أكثر من المضخات والصمامات. تعتمد على الترشيحات والجدولة والفوترة ومحاسبة المخزون وتجميع المنتجات واتصالات العملاء ومراقبة السلامة وتنسيق الموظفين وسجلات الامتثال والثقة التشغيلية. حتى إذا لم تتلاعب برمجية الفدية مباشرة بمعدات التحكم الصناعي، قد تقرر الشركة أنها لا تستطيع العمل بأمان أو لا تستطيع حساب حركة المنتج بشكل موثوق حتى يتم فهم أنظمة الأعمال والتبعيات التشغيلية. قد يكون هذا القرار حكيماً. لكنه يحمل عواقب على المستخدمين في المصب.

النسخة الخاضعة للمساءلة من ذلك القرار ستحافظ على الأدلة. ما هي الأنظمة التي تأثرت؟ أي منها تم عزله؟ أي الأنظمة التشغيلية تم التحقق من عدم تأثرها؟ أي أنظمة الأعمال كانت مطلوبة لحركة منتج آمنة أو موثوقة؟ ما هي العمليات اليدوية المتاحة؟ ما هي اختبارات إعادة التشغيل التي تم إجراؤها؟ من لديه سلطة إيقاف وإعادة تشغيل عمليات خط الأنابيب؟ ما الوكالات الفيدرالية التي تم إخطارها ومتى؟ كيف تم تحديث العملاء ومسؤولي الولايات؟ لا تجيب المصادر العامة على كل هذه الأسئلة، لذا تبقى مجهولة. لكن الأسئلة مبررة بسطح الضرر العام.

لهذا السبب غير الحادث محادثة السياسة. لم تعامل متطلبات أمن خطوط الأنابيب من TSA بعد الحادث النظافة الإلكترونية كصيانة مكتبية اختيارية. طلبت TSA الإبلاغ، وتعيين منسق إلكتروني، وتقييم الثغرات، وفيما بعد تدابير تخفيف أكثر تحديداً لأصحاب ومشغلي خطوط الأنابيب الحيوية. الدرس العام هو أن الاستعداد الإلكتروني لخطوط الأنابيب يجب أن يكون مدعوماً بالأدلة قبل الاضطراب، لأنه خلال نقص الوقود يجب تجميع الأدلة بينما تتفاعل المجتمعات بالفعل.

جعلت لوجستيات الوقود التعافي مرئياً لأشخاص بعيدين خارج الشركة

كان تعافي Colonial مرئياً لأن لوجستيات الوقود مادية ومحلية وعاطفية. قد يظهر انقطاع السحابة كخطأ في التحميل. يظهر انقطاع خط الأنابيب كمضخات فارغة، وطوابير في محطات الوقود، وقلق بشأن الأسعار، ومحطات مغلقة، وطرق شاحنات معدلة، وخطط طوارئ للمطارات، وشراء هلع. قد تكون بعض هذه التأثيرات ناتجة عن اضطراب الإمداد، وبعضها عن سلوك المستهلك، وبعضها عن عدم اليقين. سؤال المساءلة هو كيف يقلل المشغل والوكالات العامة عدم اليقين قبل أن يخلق ضغطاً يمكن تجنبه.

صفحة بيانات سوق البترول من EIA علىhttps://www.eia.gov/petroleum/توفر سياق البيانات العامة لإمدادات المنتجات المكررة والمخزونات. بيانات EIA ليست مصدراً جنائياً لـ Colonial. إنها تساعد في إظهار سبب قياس لوجستيات الوقود بالمخزونات والتدفقات والمناطق وفئات المنتجات بدلاً من حالة مفتوحة أو مغلقة بسيطة. في اضطراب خط الأنابيب، يحتاج الجمهور إلى معرفة ليس فقط أن خط الأنابيب يعاد تشغيله، بل أين يوجد المنتج، وكم من الوقت يستغرق للوصول إلى المحطات، وأي المنتجات مقيدة، وأي وسائل بديلة يمكنها حمل حجم كافٍ.

توضح الأسئلة والأجوبة الطارئة من FMCSA علىhttps://www.fmcsa.dot.gov/emergency/questions-and-answers-colonial-pipeline-emergency-fmcsafhwa-may-11-2021وإعفاء EPA علىhttps://www.epa.gov/newsreleases/epa-issues-fuel-waiver-twelve-states-and-district-columbia-impacted-colonial-pipelineأن التعافي اعتمد على لوجستيات بديلة. كانت هناك حاجة إلى إعفاء الشاحنات ومرونة مواصفات الوقود والتنسيق بين الولايات والحكومة الفيدرالية لتقليل الضغط بينما عادت خدمة خط الأنابيب. يظهر توقف تنفيذ PHMSA علىhttps://www.phmsa.dot.gov/news/phmsa-stay-enforcement-colonial-pipeline-operator-qualification-and-employment-testingأن الاستعادة نفسها قد تتطلب مرونة تنظيمية عندما يحاول المشغلون الاستئناف بأمان.

بالنسبة للشركات الصغيرة، يمكن أن يكون التأثير العملي شديداً حتى لو لم يكن مرئياً بشكل فردي في السجلات الفيدرالية. قد تعتمد شركة تنسيق الحدائق، أو مقدم رعاية صحية منزلية، أو مورد مطاعم، أو ساعي، أو مقاول، أو مشغل تاكسي، أو خدمة زراعية، أو تاجر تجزئة إقليمي على الوقود بأسعار معقولة وتوفر يمكن التنبؤ به. إذا كان الوقود نادراً، قد يتغيب الموظفون عن العمل، وقد تبطئ التوصيلات، وقد تُلغى مواعيد الخدمة، وقد تتقلص الهوامش. لذا فإن قضية استمرارية خدمة المؤسسات الصغيرة والمتوسطة ليست ملاحظة جانبية. إنها جزء من التكلفة النهائية لفشل البنية التحتية الحيوية.

لا توفر المصادر العامة سجلاً كاملاً لخسائر المؤسسات الصغيرة والمتوسطة. لا تظهر كم عدد الشركات الصغيرة التي خسرت إيرادات، أو دفعت أسعاراً أعلى، أو غيرت عملياتها. هذا مجهول. الاستنتاج المدعوم هو أن عدم اليقين في توفر الوقود فرض تكاليف زمنية وتخطيطية على الأعمال التجارية والمجتمعات في المصب، وأن الاتصال الخاضع للمساءلة يجب أن يكون مصمماً لتقليل تلك التكاليف.

كانت استمرارية القطاع العام ضرورية لكنها ليست بديلاً عن مساءلة المشغل

كانت الاستجابة الفيدرالية واسعة لأن الخدمة المتأثرة كانت حيوية. تصف وثائق الاستجابة من البيت الأبيض التنسيق عبر الوكالات والإجراءات لتخفيف اضطراب الإمداد. نسقت DOE استجابة قطاع الطاقة؛ وتناولت TSA الإشراف على أمن خطوط الأنابيب؛ وتناولت FMCSA مرونة ناقلات السيارات؛ وتناولت EPA إعفاءات الوقود؛ وتناولت PHMSA سياق تنفيذ استعادة خط الأنابيب؛ وسعت DOJ إلى مصادرة العملات المشفرة؛ وأصدرت CISA إرشادات الفدية. هذا يظهر أن استمرارية القطاع العام ليست مكتباً واحداً. إنها نموذج تشغيل متعدد الوكالات تحت الضغط.

هذه الاستجابة من القطاع العام، مع ذلك، لا تمحو مساءلة المشغل. يمكن للإعفاءات الطارئة تقليل الضرر في المصب، لكنها لا تجيب على ما إذا كان المشغل لديه ضوابط إلكترونية كافية، وتجزئة، ونسخ احتياطي، واستجابة للحوادث، واتصالات مع العملاء، وأدلة إعادة التشغيل. يمكن لإنفاذ القانون استرداد الأموال، لكنه لا يثبت إصلاح السيطرة الدائم. يمكن لتوجيهات TSA رفع المتطلبات المستقبلية، لكنها لا تظهر بمفردها كيف تم احتواء الحادث الأصلي داخل أنظمة Colonial. يجب تقييم الاستجابة الحكومية والمساءلة الخاصة معاً.

تحليل GAO علىhttps://www.gao.gov/blog/colonial-pipeline-cyberattack-highlights-need-better-federal-and-private-sector-preparedness-infographicمفيد لأنه يضع الحدث في سياق الاستعداد. الدرس ليس فقط أن الحكومة الفيدرالية يجب أن تتفاعل بشكل أسرع. إنه أن المشغلين الخاصين والوكالات العامة يحتاجون إلى تنسيق ممارس قبل أن تضع الفدية إمدادات الوقود في الأخبار. يشمل ذلك الإبلاغ عن الحوادث الإلكترونية، وقوائم الاتصال، وعتبات القرار، وقوالب الرسائل العامة، وتخطيط اللوجستيات البديلة، وأدلة على أن الضوابط الإلكترونية مرتبطة بالاستمرارية المادية.

للاستمرارية في القطاع العام أيضاً بُعد عدالة. يمكن أن يخلق الإغاثة الطارئة استثناءات للقواعد العادية. قد تكون تلك الاستثناءات ضرورية، لكن يجب أن تكون شفافة ومحددة زمنياً ومرتبطة بالاضطراب المحدد. تساعد وثائق FMCSA وEPA وPHMSA في إنشاء هذا الأثر العام. السؤال الخاضع للمساءلة هو ما إذا كانت المرونة الطارئة قللت الضرر دون تطبيع الاستعداد الضعيف.

دفع الفدية وإنفاذ القانون يتطلبان لغة دقيقة

غالباً ما تهيمن روايات الدفع على حالات الفدية. Colonial ليست استثناءً. ينص إعلان DOJ علىhttps://www.justice.gov/archives/opa/pr/department-justice-seizes-23-million-cryptocurrency-paid-ransomware-extortionists-darksideأن الوزارة صادرت عائدات عملات مشفرة يمكن تتبعها لدفع فدية قامت به Colonial Pipeline لـ DarkSide. هذا سجل رسمي لإنفاذ القانون. يسمح بمناقشة دقيقة للاسترداد وتتبع العملات المشفرة.

يجب still تأطير قضية الدفع بعناية. لا تدعي هذه المقالة الوصول إلى سجلات التفاوض لـ Colonial، أو مداولات مجلس الإدارة، أو مطالبات التأمين الإلكتروني، أو مراجعة العقوبات، أو تحليل المحفظة بما يتجاوز بيان DOJ العام، أو اتصالات إنفاذ القانون. لا تستخدم تقارير الدفع لاستنتاج حقائق مخفية حول وصول المهاجم أو الضوابط الداخلية لـ Colonial. إنها تعامل سجل DOJ كدليل على أن مخاطر دفع الفدية واسترداد إنفاذ القانون أصبحت جزءاً من ملف المساءلة العامة.

قرارات الدفع في الفدية صعبة لأنها تقع بين استمرارية الأعمال، والسلامة العامة، ومخاطر العقوبات، والحوافز الإجرامية، وضرر العملاء، وحفظ الأدلة. يواجه مشغل خط أنابيب الوقود ضغطاً عالياً بشكل خاص لأن التأخير يمكن أن يؤثر على المجتمعات. السؤال الخاضع للمساءلة ليس ما إذا كان الغير سيتخذون نفس القرار بمعلومات غير كاملة. السؤال الخاضع للمساءلة هو ما إذا كانت الشركة حافظت على سجل قرار: مراجعة قانونية، تحليل عقوبات، اتصال بإنفاذ القانون، بدائل تشغيلية، جدوى الاستعادة، تقييم مخاطر البيانات، تحليل ضرر العملاء، وموافقة مجلس الإدارة أو التنفيذيين.

إرشادات CISA للفدية علىhttps://www.cisa.gov/stopransomwareوإطار الأمن الإلكتروني من NIST علىhttps://www.nist.gov/cyberframeworkليسا دليلاً خاصاً بالحالة. إنهما يوفران مفردات عامة للتحضير والكشف والاستجابة والتعافي والحوكمة والتحسين. في حالة مثل Colonial، يجب أن تتصل تلك المفردات بالأدلة. هل كانت النسخ الاحتياطي موجودة وتعمل؟ هل تم تدوير بيانات الاعتماد؟ هل تم تشديد ضوابط الهوية؟ هل تم تغيير ضوابط الوصول عن بعد؟ هل تم تحديث تمارين الطاولة؟ هل تم تخطيط التبعيات بين أنظمة الأعمال وعمليات خط الأنابيب؟ لا تجيب المصادر العامة على كل سؤال.

حقائق مؤكدة، استنتاجات مدعومة، ومجهولات

تشمل الحقائق العامة المؤكدة أن Colonial Pipeline تعرضت لحادث فدية في مايو 2021، وتوقفت عمليات خط الأنابيب، ونسقت الوكالات الفيدرالية استجابة، وصدرت إعفاءات طارئة وإجراءات إنفاذ، ونشرت CISA تنبيهاً حول برمجية الفدية DarkSide، وأعلنت DOJ لاحقاً مصادرة عملات مشفرة يمكن تتبعها لدفع فدية Colonial، وأصدرت TSA متطلبات أمن إلكتروني جديدة لأصحاب ومشغلي خطوط الأنابيب الحيوية بعد الحادث. تشمل الحقائق العامة المؤكدة أيضاً أن الاضطراب خلق مخاوف بشأن إمدادات الوقود كبيرة بما يكفي لتحفيز مواد عامة من البيت الأبيض وDOE وTSA وFMCSA وEPA وPHMSA وDOJ وCISA وGAO.

يشمل الاستنتاج المدعوم الرأي القائل إن أسطح المساءلة كانت حقوق قرار إغلاق خط الأنابيب، والتجزئة بين الأعمال والتبعيات التشغيلية، وأدلة الاستعادة، واستمرارية لوجستيات الوقود، واتصالات العملاء والولايات، وتنسيق الإعفاء الطارئ، وحوكمة قرار الفدية، والتعاون مع إنفاذ القانون، والإصلاح الإلكتروني الدائم. تتبع هذه الاستنتاجات من طبيعة الحادث وسجل الاستجابة الرسمي. لا تتطلب الوصول إلى صور جنائية غير عامة.

تبقى مجهولات كبيرة. لا تكشف المصادر العامة مسار الوصول الأولي الكامل، أو جميع الحسابات المخترقة، أو جميع الأنظمة المتأثرة، أو العلاقة الكاملة بين أنظمة الأعمال والأنظمة التشغيلية، أو عملية القرار الداخلي الدقيقة لإغلاق وإعادة تشغيل خط الأنابيب، أو أدلة النسخ الاحتياطي والاستعادة الكاملة، أو اتصالات العملاء الكاملة، أو جميع رسائل التنسيق على مستوى الولايات، أو إجمالي الخسائر الدقيقة في المصب، أو مواد التفاوض الكاملة على الفدية، أو تفاصيل استرداد التأمين، أو محاضر مجلس الإدارة، أو نتائج التحقق من السيطرة طويلة الأجل.

لا تثبت المصادر العامة أيضاً أن كل نقص في محطة الوقود أو تغير في السعر كان ناتجاً فقط عن قيد إمداد خط الأنابيب بدلاً من مزيج من اللوجستيات والقلق العام وسلوك المستهلك.

لا ينبغي ملء تلك المجهولات بتكهنات دراماتيكية. السجل العام قوي بما يكفي ليقول إن Colonial كانت مسؤولة عن أدلة الاستمرارية والإصلاح. إنه ليس قوياً بما يكفي لادعاء سوء سلوك غير مثبت من قبل أفراد محددين أو لتأكيد حقائق جنائية مخفية. ملف مساءلة عادل يحافظ على هذا الحدود.

كان على الاتصال أن يقلل الذعر، لا مجرد وصف الحالة

للاتصال في البنية التحتية الحيوية واجب خاص: يجب أن يكون دقيقاً بما يكفي للثقة العامة وعملياً بما يكفي لتقليل السلوك غير الضروري. أثناء اضطراب الوقود، يمكن للتصريحات الغامضة أن تكثف التخزين والطوابير الطويلة والقلق بشأن الأسعار والضغط السياسي. التصريحات المفرطة في التحديد يمكن أن تخلق خطراً على السلامة أو الأمن إذا كشفت عن تفاصيل تشغيلية حساسة. لذا فإن مشكلة الاتصال صعبة، لكنها ليست اختيارية.

تظهر صفحات استجابة البيت الأبيض الحكومة الفيدرالية تحاول تأطير الإجراءات والتخفيف. ركزت صفحة حادث DOE معلومات قطاع الطاقة. نشرت EPA وFMCSA وPHMSA إغاثة خاصة بكل وكالة. تواصلت TSA متطلبات أمنية مستقبلية. ساعدت هذه المواد في إنشاء سجل رسمي. لكن العملاء والمجتمعات احتاجوا أيضاً إلى وضوح على مستوى المشغل: ما الذي تم إغلاقه، وما الذي يعاد تشغيله، وما المحطات التي ستستقبل المنتج، وما العملاء الذين يجب أن يتوقعوا تأخيراً، ومتى ستستأنف الجدولة العادية. ليس كل ذلك يمكن أن يكون علنياً، لكن الشركة يجب أن تكون قادرة على إثباته لأصحاب المصلحة المعنيين.

الاتصال العام الجيد سيميز خمس حالات. أولاً، حالة الحادث الإلكتروني: ما هو معروف، وما يجري التحقيق فيه، وما ليس معروفاً بعد. ثانياً، الحالة التشغيلية: أي وظائف خط الأنابيب متوقفة، أو يعاد تشغيلها، أو طبيعية. ثالثاً، حالة اللوجستيات: كم من الوقت يستغرق حركة المنتج بعد إعادة التشغيل وما البدائل المستخدمة. رابعاً، حالة المجتمع: ما إذا كان سلوك الشراء العام يزيد حدة النقص. خامساً، حالة الإصلاح: ما التغييرات الدائمة التي يتم إجراؤها دون كشف تفاصيل حساسة. إذا تم دمج هذه الحالات في رسالة طمأنة واحدة، قد لا تعرف المجتمعات كيف تتصرف.

بالنسبة للشركات الصغيرة، يجب أن يكون الاتصال أكثر تحديداً من الرسائل العادية للمستهلك. تحتاج شركة توصيل، أو مورد وقود للمطارات، أو شركة إنشاءات، أو بائع خدمة طوارئ إلى معلومات تخطيط. إذا لم يتمكن المشغل والوكالات من تقديم توقعات دقيقة، يمكنهم still تقديم إيقاع تحديث، ومسارات اتصال، وفئات أولوية. السجل العام لا يظهر كل رسالة لأصحاب المصلحة، لذا تبقى جودة الاتصال غير معروفة جزئياً.

درس البنية التحتية الحيوية هو حوكمة التبعية

غالباً ما تُلخص قضية Colonial كنداء صحوة للفدية. هذه العبارة واسعة جداً لتكون مفيدة. الدرس الأكثر حدة هو حوكمة التبعية. أصبحت ملكية التكنولوجيا لشركة خاصة اعتماداً لوجستياً عاماً لأن حركة الوقود والجدولة والفوترة وثقة التوصيل والاستجابة للطوارئ كانت مرتبطة معاً. سؤال السيطرة الصحيح ليس فقط ما إذا كانت الشركة لديها مضاد فيروسات أو نسخ احتياطي. إنه ما إذا كانت القيادة تفهم أي الخدمات الرقمية كانت ضرورية للحفاظ على الاستمرارية المادية وأي الأوضاع المتدهورة يمكن أن تبقي الجمهور مزوداً.

تتطلب حوكمة التبعية تخطيطاً. ما الأنظمة الضرورية للعمليات الآمنة؟ ما الأنظمة الضرورية للعمليات التجارية؟ ما الأنظمة الضرورية لاتصالات العملاء؟ ما الأنظمة الضرورية لتقارير التنظيم؟ ما الأنظمة التي يمكن أن تفشل دون توقف التدفق؟ ما الأنظمة التي يجب عزلها عن بعضها؟ ما الحلول اليدوية البديلة الآمنة والممارسة والمراجعة؟ ما الوكالات الخارجية والعملاء الذين يحتاجون إشعاراً؟ ما الموردون الذين يمكنهم توفير نقل بديل؟ يجب الإجابة على هذه الأسئلة قبل وقوع حادث، لأنه أثناء الفدية قد لا يكون لدى الشركة وقت لاكتشاف رسم بياني تبعياتها الخاص.

متطلبات أمن خطوط الأنابيب من TSA بعد الحادث مهمة لأنها تشير نحو حوكمة رسمية. أكد إعلان مايو 2021 علىhttps://www.tsa.gov/news/press/releases/2021/05/27/dhs-announces-new-cybersecurity-requirements-critical-pipelineعلى الإبلاغ عن الحوادث الإلكترونية، ومنسق أمن إلكتروني، وتقييم الثغرات، ومراجعة التخفيف. أضاف إعلان يوليو 2021 علىhttps://www.tsa.gov/news/press/releases/2021/07/20/dhs-announces-new-cybersecurity-requirements-critical-pipelineمتطلبات إضافية. تظهر تحديثات أمن خطوط الأنابيب اللاحقة، بما في ذلكhttps://www.tsa.gov/news/press/releases/2022/07/21/tsa-revises-and-reissues-cybersecurity-requirements-pipeline، أن الإصلاح استمر بعد الحدث المباشر.

لكن التنظيم لا يمكن أن يحل محل معرفة المشغل. يمكن للجهة التنظيمية طلب خطط وضوابط. لا يزال يتعين على المشغل معرفة أنظمته، واختبار نسخه الاحتياطية، وتدريب موظفيه، وتحديد عتبات الإغلاق، وممارسة إعادة التشغيل، وحماية بيانات الاعتماد، وتوثيق التبعيات، والتواصل أثناء التشغيل المتدهور. جعل حادث Colonial تلك المعرفة التشغيلية أصلاً ذا مصلحة عامة.

نقل التكلفة النهائية هو اختبار المساءلة

أقوى اختبار للمساءلة هو نقل التكلفة. هل فرض الحادث تكاليف يمكن تجنبها على الأشخاص والشركات الذين لم يكن لديهم سيطرة على الوضع الإلكتروني لـ Colonial؟ بعض التكاليف كانت مرئية: الوقت الذي قضي في انتظار الوقود، وطرق الشاحنات المعدلة، والإعفاءات الطارئة، واستجابة الوكالات، والقلق العام، واضطراب السوق. تكاليف أخرى كانت مخفية: عدم اليقين في تخطيط الأعمال، وصعوبة تنقل الموظفين، وإلغاء مكالمات الخدمة، وتأخير المخزون، ووقت المديرين، والضرر السمعة لتجار التجزئة للوقود في المصب الذين ألقى العملاء باللوم عليهم.

لا يمكن أن تعزى كل تكلفة نهائية إلى Colonial وحدها. يمكن أن يؤدي الشراء الذعر وسلوك المستهلك إلى تفاقم ظروف النقص. يمكن لديناميكيات سوق البترول العالمية والإقليمية التأثير على الأسعار. تختلف ظروف الولايات والمحليات. لا ينبغي للمقالة المبالغة في السببية. يمكنها still القول إن مشغل البنية التحتية الحيوية يجب أن يقيس ويقلل التكلفة النهائية حيثما يمكن. الهدف من تخطيط الاستمرارية هو منع فشل السيطرة الخاصة من أن يصبح ارتجالاً عاماً.

بالنسبة للمؤسسات الصغيرة والمتوسطة، استمرارية الوقود هي قضية رأس مال عامل. قد لا يكون لدى الشركة الصغيرة المخزن النقدي لدفع تكاليف وقود أعلى، أو إعادة توجيه العمل، أو استيعاب المواعيد الفائتة، أو تخزين المخزون. يمكن لشركة كبيرة غالباً نقل العمل عبر المناطق أو الاعتماد على فرق الطوارئ. قد تخسر الشركة المحلية اليوم ببساطة. هذا الفرق مهم للعدالة. يجب أن يعطي تعافي البنية التحتية الحيوية الأولوية لاتصالات ومسارات لوجستية تقلل عدم اليقين لأقل المستخدمين حماية في المصب.

لا يكشف السجل العام عن برنامج تعويض نهائي من Colonial لمثل هذه التكاليف. هذا ليس دليلاً على عدم حدوث دعم للعملاء أو استجابة تعاقدية. إنها فجوة إثباتية. سيظهر سجل مساءلة أقوى كيف تواصل المشغل مع الشاحنين ومشغلي المحطات وموزعي الوقود وشركات الطيران والولايات والأطراف المتأثرة الأخرى؛ وكيف تتبع استعادة الخدمة حسب الممر والمنتج؛ وكيف تعامل مع المطالبات أو مشكلات الخدمة المتعلقة بالاضطراب.

ما يجب أن يثبته الإصلاح الدائم

يجب أن يثبت ملف الإصلاح الدائم الاحتواء. يجب أن يظهر تاريخ ووقت الكشف، وخطوات العزل، والحسابات المتأثرة، والمضيفين المتأثرين، وأدلة نقطة النهاية والهوية، وحفظ الأدلة الجنائية، وتقييم وقت بقاء المهاجم حيثما معروف، وتدوير بيانات الاعتماد، وتشديد الوصول عن بعد، والتنسيق مع طرف ثالث. يجب أن يشرح أي الأنظمة تم إيقاف تشغيلها ولماذا. يجب أن يحتفظ بتفاصيل كافية للمنظمين والمدققين دون كشف معلومات تشغيلية حساسة للمهاجمين.

ثانياً، يجب أن يثبت وضوح التبعية التشغيلية. يجب أن يظهر العلاقة بين أنظمة الأعمال والجدولة والفوترة واتصالات العملاء وعمليات خط الأنابيب وأنظمة السلامة وموافقة إعادة التشغيل. يجب أن يحدد أي التبعيات تطلبت الإغلاق وأيها لم يتطلب. يجب أن يظهر ما إذا كان التشغيل اليدوي ممكناً وآمناً وموثوقاً تجارياً. إذا لم يكن التشغيل اليدوي مقبولاً، يجب أن يشرح لماذا.

ثالثاً، يجب أن يثبت استمرارية اللوجستيات. يجب أن يخطط العملاء والمحطات والمناطق وفئات المنتجات وتأخيرات التوصيل المتوقعة وخيارات النقل البديلة والإغاثة الوكالات وتوقيت تدفق إعادة التشغيل. يجب أن يظهر كيف نسق المشغل مع DOE وTSA وPHMSA وFMCSA وEPA ومسؤولي الولايات والعملاء. يجب أن يوثق ما المعلومات التي ذهبت للعامة، وما ذهبت للعملاء، وما بقي مقيداً لأسباب أمنية.

رابعاً، يجب أن يثبت حوكمة قانونية ودفع. إذا تم النظر في قرارات دفع الفدية أو اتخاذها، يجب أن يوثق الملف المراجعة القانونية، وفحص العقوبات، والاتصال بإنفاذ القانون، والأساس المنطقي لاستمرارية الأعمال، وسلطة الموافقة، ومعالجة الأدلة بعد الدفع. يظهر سجل مصادرة DOJ لماذا هذا مهم. الدفع ليس فقط قراراً تجارياً؛ إنه قرار إنفاذ قانون وعقوبات وسلامة عامة ومخاطر النظام الإيكولوجي.

أخيراً، يجب أن يثبت إصلاح السيطرة الدائم. يشمل ذلك ضوابط الهوية، ومراجعة الوصول المميز، وتقييد الوصول عن بعد، وتجزئة الشبكة، وسلامة النسخ الاحتياطي، وتمارين الحوادث، وتسجيل الدخول، والمراقبة، وإدارة الثغرات، ومخاطر الطرف الثالث، وتقارير التنفيذيين، وإشراف مجلس الإدارة. يوفر إطار الأمن الإلكتروني من NIST علىhttps://www.nist.gov/cyberframeworkوموارد CISA للفدية علىhttps://www.cisa.gov/stopransomwareمفردات سيطرة عامة. سيحتاج الإثبات الخاص بالشركة إلى أن يأتي من أدلة Colonial الداخلية ومواد مواجهة المنظمين.

يجب قياس الاستعداد قبل نقص الوقود التالي

أصعب درس من Colonial هو أن الاستعداد لا يمكن الحكم عليه فقط بعد إعادة تشغيل خط الأنابيب. بحلول الوقت الذي يرى فيه الجمهور نقص وقود، تكون الشركة والوكالات تعمل بالفعل تحت الضغط. سيكون ملف استعداد قوي موجوداً قبل الاضطراب التالي. سيشمل خرائط التبعية، وقوائم اتصال مختبرة، وافتراضات أولوية إمداد الوقود، ومعايير سير العمل اليدوي، وخطط نقل بديلة، وقوالب إخطار المنظمين، وإيقاعات تحديث العملاء، وتمارين مشتركة تربط استجابة الحوادث الإلكترونية بلوجستيات الوقود. بدون هذه القطع الأثرية، ستبدأ كل استجابة مستقبلية بإعادة بناء الخريطة بينما ينتظر الجمهور.

يجب أن يميز الاستعداد أيضاً بين الاستمرارية المؤسسية والاستمرارية الاجتماعية. قد يكون لدى الشركة خطة استمرارية أعمال تحمي الرواتب والبريد الإلكتروني واتصالات التنفيذيين والمراجعة القانونية وفرق الاستعادة. هذا ضروري لكنه غير كافٍ للبنية التحتية الحيوية. تسأل الاستمرارية الاجتماعية عما إذا كان المستجيبون للطوارئ والمطارات وموزعي الوقود وأسطول الشاحنات والمحطات والشركات الأساسية يمكنهم الاستمرار في العمل بينما النظام الخاص متدهور. يُظهر السجل العام حول إجراءات FMCSA وEPA وPHMSA وDOE والبيت الأبيض وTSA أن الاستمرارية الاجتماعية تطلبت تدخلاً حكومياً.

السؤال الخاضع للمساءلة هو ما إذا كانت خطط المشغل الخاصة جعلت ذلك التدخل أسهل وأسرع وأكثر استهدافاً.

لذلك يجب أن تشمل التمارين الوكالات والعملاء، وليس فقط المستجيبين الداخليين. تمرين الطاولة الذي ينتهي عندما يستعيد تكنولوجيا المعلومات الأنظمة غير مكتمل. سيسأل تمرين على غرار Colonial ماذا يحدث إذا كانت الفوترة غير متاحة، وثقة الجدولة منخفضة، ولا يمكن معالجة ترشيحات العملاء بشكل طبيعي، وقنوات الاتصال الخارجية مضغوطة، ويتسارع اهتمام وسائل الإعلام، ويحتاج مسؤولو الولايات إلى توقعات وقود خاصة بالمنطقة. سيختبر ما يمكن للشركة قوله علناً، وما يمكنها قوله بسرية للعملاء والوكالات، وما الأدلة اللازمة لإعادة التشغيل بأمان.

يجب أن تكون المقاييس أيضاً مقاييس خدمة أعمال، وليست فقط مقاييس تقنية. متوسط الوقت لعزل البرامج الضارة مفيد، لكن مستخدمي الوقود يحتاجون إلى معرفة الوقت لإعادة التشغيل المُتحقق منه، والوقت لحركة المنتج الأولى، والوقت لإعادة تزويد المحطة، والوقت لوضوح جدولة العملاء، والوقت لثقة المخزون الطبيعية. يجب تخطيط التعافي الإلكتروني على النتائج المادية. إذا كان المشغل لا يستطيع ترجمة حالة النظام إلى حالة لوجستية، فإنه لم يحكم التبعية بالكامل.

لا يكشف السجل العام عن تاريخ التمارين الكامل لـ Colonial أو برنامج الاستعداد بعد الحادث. هذا مجهول. الدرس المدعوم أوسع: يجب أن يكون مشغلو البنية التحتية الحيوية قادرين على إظهار للمنظمين والعملاء الرئيسيين أن التمارين الإلكترونية تشمل الاضطراب التشغيلي والاتصالات العامة والإعفاءات الطارئة واللوجستيات البديلة والتكلفة النهائية. تمرين أمني لا يصل أبداً إلى محطة الوقود أو ناقل الشاحنات أو مكتب وقود الطيران أو عميل الشركة الصغيرة ليس كافياً لهذا النوع من التبعية.

حوكمة الأدلة لا تقل أهمية عن إعادة التشغيل نفسها

يمكن لاستجابة الفدية أن تدمر أو تحجب الأدلة إذا تم التسرع في الاستعادة. قد تُمسح الأنظمة، وقد تدور السجلات، وقد تُعاد تعيين بيانات الاعتماد دون حفظ تاريخ المصادقة، وقد تحدث الحلول اليدوية خارج السجلات العادية. في حالة البنية التحتية الحيوية، يكون لفقدان الأدلة عواقب عامة. يحتاج المنظمون إلى معرفة ما حدث. يحتاج العملاء إلى ثقة بأن سبب الانقطاع مفهوم. يحتاج إنفاذ القانون إلى آثار قابلة للاستخدام. تحتاج القيادة الداخلية إلى أدلة كافية لاتخاذ قرارات إعادة التشغيل وتمويل الإصلاح لاحقاً.

يجب أن تبدأ حوكمة الأدلة بقواعد الحفظ. أي السجلات مجمدة؟ أي الصور ملتقطة؟ أي الحسابات معطلة بدلاً من حذفها؟ أي الاتصالات محفوظة؟ أي القرارات موثقة في الوقت الفعلي؟ أي البائعين يتم توجيههم للاحتفاظ بالسجلات ذات الصلة؟ أي سجلات الحلول اليدوية يتم تسويتها لاحقاً؟ هذه أسئلة استجابة حوادث عادية، لكن قضية Colonial تمنحها وزناً للبنية التحتية العامة.

يجب أن تتجنب حوكمة الأدلة أيضاً الدقة الزائفة. إذا كانت الشركة لا تعرف بعد ما إذا كان النظام قد تأثر، يجب أن يقول السجل ذلك. إذا كان قرار إعادة التشغيل يعتمد على حكم مخاطر، يجب أن يحدد السجل عدم اليقين والضوابط التعويضية. إذا كانت بيانات نقص المصب مختلطة مع شراء الذعر العام، يجب أن يفصل الحساب العام قيود خط الأنابيب المعروفة عن سلوك السوق. يمكن أن يحسن عدم اليقين الصادق المساءلة عندما يقترن بإيقاع تحديث وأدلة ملموسة.

أخيراً، يجب أن تنجو حوكمة الأدلة من دورة الإعلام. غالباً ما تحدث أهم قرارات الإصلاح بعد أن ينتقل الاهتمام العام: تخصيص الميزانية، وإعادة تصميم البنية، ومشاريع تشديد الهوية، وتجزئة الشبكة، واختبار النسخ الاحتياطي، ومراجعات مخاطر البائعين، وتقارير التنفيذيين. يتتبع ملف مساءلة جاد تلك الإصلاحات حتى الاكتمال. وإلا يصبح الحادث أزمة أسبوع بدلاً من درس سيطرة دائم.

هذا الذيل الطويل مهم لأن لوجستيات الوقود ليس لديها زر إيقاف مؤقت نظيف. يمكن لمشغل خط الأنابيب إيقاف نظام لأسباب السلامة، لكن الأسر وخدمات الطوارئ والمطارات والمزارع وشركات التوصيل والشركات الصغيرة تستمر في اتخاذ القرارات بينما يعمل المشغل. يجب أن تربط حوكمة الأدلة لذلك إصلاح الأمن الإلكتروني بإصلاح اللوجستيات العملي. يجب أن تظهر كيف تم توصيل معالم الاستعادة للمحطات والعملاء، وكيف تم تحديث عدم اليقين، وكيف تمت مراجعة افتراضات النقل البديلة، وكيف تمت مواءمة التصريحات العامة مع إجراءات الوكالات. بدون هذا الارتباط، قد تبدو إعادة التشغيل كاملة داخل الشركة بينما لا تزال الشبكة النهائية تمتص الارتباك.

يجب أن يحافظ ملف المساءلة أيضاً على عتبة القرار للإغلاقات المستقبلية. إذا واجهت نفس المنظمة حادثاً إلكترونياً آخر، يجب أن تعرف القيادة أي الحقائق تتطلب توقفاً تشغيلياً، وأي الحقائق تتطلب قيوداً تجارية محدودة، وأي الحقائق تسمح بالاستمرار مع المراقبة. لا يمكن ارتجال تلك العتبات بعد ظهور ملاحظة الفدية. يجب أن تكون ممارسة ومعتمدة ومراجعة مع المنظمين حيثما مناسب، ومرتبطة بالأدلة بدلاً من الخوف.

درس المساءلة لمشغلي البنية التحتية

حادث Colonial ليس مجرد قصة عن حادث فدية واحد. إنه تحذير حول كيف تصبح الحوادث الرقمية فشل استمرارية مادية عندما لا يكون لدى مشغلي البنية التحتية أدلة استعادة قابلة للاختبار علناً. قد تستعيد الشركة أنظمتها، لكن المجتمعات تحتاج إلى معرفة ما إذا كانت الاستعادة تحمي الخدمات التي تعتمد عليها. قد تصدر وكالة فيدرالية إعفاءات، لكن لا يزال على المشغل إثبات أنه تعلم من الفشل. قد تستعيد وكالة إنفاذ القانون عملات مشفرة، لكن استرداد الأموال ليس استرداد الثقة.

يظهر الحادث أيضاً أن البنية التحتية الحيوية ليست مملوكة فقط للحكومة. يمكن للمشغلين الخاصين السيطرة على أصول يؤدي تعطيلها إلى استجابة طارئة عامة. هذا يخلق نموذج مساءلة مشترك. يدين المشغلون بالاستعداد والأدلة والاتصال والإصلاح. تدين الوكالات بالتنسيق والمرونة الطارئة القانونية ووضوح التنظيم والرسائل العامة. يستحق العملاء والمجتمعات معلومات كافية للتخطيط دون ذعر.

أقوى نسخة من قصة مساءلة Colonial هي بالتالي أضيق من النسخة الدراماتيكية. لا تحتاج إلى ادعاءات غير مدعومة حول اختراق نظام تحكم سري أو أفراد محددين. تقول إن السجل العام يؤكد إغلاق خط أنابيب ناتج عن فدية، واستجابة طوارئ فيدرالية، وقلق بشأن إمدادات الوقود، ومصادرة عملات مشفرة من إنفاذ القانون، ومتطلبات أمنية بعد الحادث. تقول إن السجل العام يدعم تحليل مساءلة يركز على قرارات الإغلاق، وتخطيط التبعيات، وأدلة الاستعادة، واستمرارية اللوجستيات، والإصلاح الدائم. تقول إن مجهولات كبيرة تبقى لأن السجلات الجنائية والتشغيلية الخاصة ليست عامة.

تلك القصة المقاسة كافية. سيطرت Colonial Pipeline على اعتماد وقود حيوي. عندما وضعت الفدية ذلك الاعتماد تحت الضغط، كان على المجتمعات والشركات في المصب أن تثق في عملية تعافي لم يتمكنوا من رؤيتها. اختبار المساءلة هو ما إذا كانت الشركة والوكالات العامة يمكنها تحويل تلك الثقة إلى أدلة: أدلة الاحتواء، وأدلة إعادة التشغيل الآمنة، وأدلة استمرارية اللوجستيات، وأدلة اتخاذ القرار القانوني، وأدلة الاتصال، وأدلة على أن فشل البنية التحتية الخاصة لم ينقل بتكتم تكلفة يمكن تجنبها للجمهور.