Johnson Controls تحوّل حادثة فدية تكنولوجيا المباني إلى سؤال استمرارية

ملخص

• سجل عام مؤكد:أخبرت Johnson Controls المستثمرين في نموذج 8-K لشهر سبتمبر 2023 أن حادثة أمنية سيبرانية عطلت أجزاءً من البنية التحتية لتكنولوجيا المعلومات الداخلية والتطبيقات. وفي نموذج 8-K لشهر نوفمبر 2023 وإيداعات لاحقة، وصفت الشركة وصولاً غير مصرح به وتسريب بيانات وبرمجية فدية أثرت على جزء من البنية التحتية الداخلية لتكنولوجيا المعلومات، وقالت إن الحادثة عطلت الوصول إلى بعض تطبيقات الأعمال التي تدعم العمليات والوظائف المؤسسية، وأفادت بأن التطبيقات والأنظمة المتضررة قد تم استعادتها لاحقًا. (نموذج 8-K لسبتمبر 2023،نموذج 8-K لنوفمبر 2023،نموذج 10-Q للربع الأول من السنة المالية 2024)
• قضية استمرارية:تبيع Johnson Controls وتدعم أنظمة أتمتة المباني والتدفئة والتهوية وتكييف الهواء والحرائق والأمن والخدمات الرقمية للمباني. لا تشير الإيداعات العامة إلى أن أنظمة التحكم في المباني في مواقع العملاء قد تم الاستيلاء عليها. لكنها تظهر أن طبقة البنية التحتية الداخلية وتطبيقات الأعمال للمورد كانت مهمة لخدمة العملاء والعمليات والإفصاح والاستجابة للحوادث وثقة المنتج وضمان الاسترداد. (أتمتة المباني والتحكم من Johnson Controls،نظام أتمتة المباني Metasys،OpenBlue)
• حدود البيانات والأدلة:كشفت الشركة عن تسريب بيانات، لكنها لم تنشر تقريرًا جنائيًا كاملاً يحدد ناقل الدخول ووقت المكوث وهوية المهاجم وقائمة التطبيقات ومجموعة بيانات العملاء وتسلسل الاستعادة وتصميم التجزئة أو التحقق المستقل مما تم كشفه وما لم يتم كشفه. وهذا يعني أن السجل المحاسبي يجب أن يفصل بين الحقائق التي كشفتها الشركة والتكهنات الخارجية، بما في ذلك أي طلب فدية تم الإبلاغ عنه إعلاميًا أو إسناد الفاعل.
• التقييم:كان الفاعلون الإجراميون مسؤولين عن الوصول غير المصرح به والابتزاز. سيطرت Johnson Controls على العديد من متغيرات العواقب: الهندسة المعمارية، حوكمة الهوية، تجزئة الشبكة، جاهزية النسخ الاحتياطي، استعادة التطبيقات، تواصل العملاء، إفصاح المستثمرين، معالجة التأمين، وإصدار الأدلة. سيطرت الوكالات العامة وأصحاب المرافق والمتكاملون على خطط استمرارية منفصلة لتشغيل المباني عندما تصبح الطبقة الرقمية لمورد رئيسي غير مؤكدة.

تكنولوجيا المباني هي بنية تحتية عندما يكون المبنى عامًا

Johnson Controls ليست شركة برمجيات أحادية الغرض. إنها مورد عالمي للأنظمة التي تساعد في تشغيل المباني: معدات التدفئة والتهوية وتكييف الهواء، أتمتة المباني، كشف الحرائق، الأمن، إدارة الطاقة، والخدمات الرقمية للمباني. تصف صفحات منتجاتها أتمتة المباني والتحكم كوسيلة لتشغيل التدفئة والتهوية وتكييف الهواء والإضاءة والحرائق والأمن والأنظمة الأخرى من طبقة إدارة مشتركة. تصف مواد Metasys منصة أتمتة للمراقبة والتحكم والتحسين عبر معدات المباني. تؤطر مواد OpenBlue الخدمات الرقمية للمباني حول العمليات المتصلة والتحليلات والأداء. (أتمتة المباني والتحكم من Johnson Controls، نظام أتمتة المباني Metasys، OpenBlue)

سياق المنتج هذا لا يثبت أن حادثة الفدية لعام 2023 اخترقت أنظمة المباني لدى العملاء. الإيداعات لا تقول ذلك. يشرح سياق المنتج لماذا أصبحت الحادثة سؤال استمرارية بدلاً من انقطاع عادي في المكاتب الخلفية. عندما يجلس المورد داخل النظام البيئي للصيانة والمراقبة والخدمة للمستشفيات والمدارس والمكاتب والمختبرات والمباني البلدية والمرافق الأخرى، يمكن أن يؤدي الاضطراب في تطبيقات أعماله إلى إبطاء الدعم وإرسال الخدمة وضمان المنتج وتحديثات البرامج ومعالجة الضمان والفواتير وسير عمل الوصول عن بعد والمشتريات وثقة العملاء.

حتى إذا استمر نظام التحكم المحلي للعميل في العمل، لا يزال يتعين على مدير المخاطر لدى العميل أن يسأل ما إذا كانت تذاكر الدعم وسجلات الخدمة وطلب قطع الغيار وضمان البرامج وإشعارات الحوادث وشركاء التكامل يعملون من أنظمة موثوقة.

تساعد إرشادات البنية التحتية الحيوية في شرح الرهانات دون المبالغة في القضية. تحدد CISA المرافق التجارية والمرافق الحكومية والرعاية الصحية والصحة العامة كقطاعات بنية تحتية حيوية ذات نماذج ملكية مختلفة وعواقب تشغيلية. قد يخدم مورد تكنولوجيا المباني القطاعات الثلاثة، بالإضافة إلى التعليم والممتلكات التجارية الخاصة. وهذا يضع المورد في مسار التبعية للمنظمات التي لا تستطيع بسهولة إغلاق الغرف أو العيادات أو المختبرات أو مرافق الاحتجاز أو مراكز العمليات الطارئة أو الحرم الجامعي بينما يحل البائع فدية داخلية. (قطاع المرافق التجارية CISA، قطاع المرافق الحكومية CISA، قطاع الرعاية الصحية والصحة العامة CISA)

لذلك فإن الإطار المسؤول ضيق ولكنه جاد. يدعم السجل العام تحليل استمرارية المورد. لا يدعم الادعاء بأن أنظمة أتمتة المباني لدى العملاء تم تشغيلها بشكل ضار من قبل المهاجمين. يدعم سؤال مساءلة حول كيفية فصل مورد المباني العالمي بين الاختراق الداخلي والخدمات الموجهة للعملاء، وكيف ينقل عدم اليقين، وكيف يستعيد التطبيقات التي تدعم العمليات الميدانية، وكيف يثبت أن البيانات المسربة لا تشكل خطرًا ماديًا أو خصوصية في المراحل اللاحقة.

يبدأ التسلسل الزمني العام بإفصاح المستثمرين

أول مرساة عامة دائمة هي نموذج 8-K لـ Johnson Controls في 27 سبتمبر 2023. أخبرت الشركة المستثمرين أنها تعرضت لانقطاعات في أجزاء من البنية التحتية الداخلية لتكنولوجيا المعلومات والتطبيقات نتيجة لحادثة أمنية سيبرانية. وقالت إنها بدأت تحقيقًا مع خبراء أمن سيبراني خارجيين، ونسقت مع شركات التأمين، ونفذت خطط إدارة الحوادث والاستجابة. كما حذرت من أن الحادثة قد تؤثر على العمليات التجارية والنتائج المالية. (نموذج 8-K لسبتمبر 2023)

هذا الإيداع مهم لسببين. أولاً، يضع الحدث في طبقة تكنولوجيا المعلومات الداخلية والتطبيقات للشركة بدلاً من اختراق موثق علنيًا لعناصر تحكم العملاء. ثانيًا، يظهر أن Johnson Controls فهمت الحدث على أنه ذو صلة تشغيلية منذ البداية. لم تصف الشركة تنبيهًا منعزلاً للبرمجيات الخبيثة. وصفت انقطاعًا في البنية التحتية والتطبيقات وأشارت المستثمرين إلى تأثيرات محتملة على الإيرادات والنفقات التشغيلية ونتائج العمليات.

أضاف نموذج 8-K الصادر في 13 نوفمبر 2023 أهم توضيح تقني واستمرارية. قالت Johnson Controls إن الحادثة تم اكتشافها في البداية خلال عطلة نهاية الأسبوع في 23 سبتمبر 2023 بعد انقطاعات في بعض الأنظمة. وصفت وصولاً غير مصرح به ونشر برمجية فدية من قبل طرف ثالث إلى جزء من البنية التحتية الداخلية لتكنولوجيا المعلومات. كما قالت إن الحادثة تسببت في انقطاع وتقييد الوصول إلى أجزاء من تطبيقات الأعمال التي تدعم جوانب من العمليات والوظائف المؤسسية. أفادت الشركة أن معظم الأنظمة والتطبيقات المتضررة قد تم استعادتها بحلول ذلك الوقت، بينما استمرت بعض الانقطاعات. (نموذج 8-K لنوفمبر 2023)

وسع التقرير السنوي للسنة المالية 2023 سجل مخاطر البيانات. ذكرت Johnson Controls أنها خلال الربع الرابع من السنة المالية 2023 تعرضت لحدث أمن سيبراني يتكون من وصول غير مصرح به وتسريب بيانات ونشر برمجية فدية من قبل طرف ثالث إلى جزء من البنية التحتية الداخلية لتكنولوجيا المعلومات. وقالت إن الشركة كانت تحلل البيانات التي تم الوصول إليها أو تسريبها أو المتأثرة. كما ناقشت المخاطر الناجمة عن السرقة الفعلية أو المتصورة أو الفقدان أو الاستخدام الاحتيالي أو سوء استخدام بيانات العملاء أو الموظفين أو غيرها. (نموذج 10-K للسنة المالية 2023)

ثم ربط نموذج 10-Q للربع الأول من السنة المالية 2024 الحادثة بعواقب مالية. قالت Johnson Controls إن الانقطاعات والقيود على الوصول استمرت في الجزء المبكر من الربع الأول من السنة المالية 2024، وأنها استعادت التطبيقات والأنظمة المتضررة، وأن التأثير التقريبي على صافي الدخل للربع من الإيرادات والنفقات المفقودة والمؤجلة بلغ 27 مليون دولار، صافي تعويضات التأمين. (نموذج 10-Q للربع الأول من السنة المالية 2024)

بحلول التقرير السنوي للسنة المالية 2024، ظلت الحادثة جزءًا من سرد المخاطر. كررت Johnson Controls أن حادثة سبتمبر 2023 تضمنت وصولاً غير مصرح به وتسريب بيانات ونشر برمجية فدية إلى جزء من البنية التحتية الداخلية لتكنولوجيا المعلومات، وحذرت من أنها تكبدت وقد تستمر في تكبد تكاليف كبيرة، بما في ذلك استثمارات البنية التحتية أو جهود المعالجة. (نموذج 10-K للسنة المالية 2024)

هذا التسلسل الزمني مضغوط. يخبر الجمهور متى تم اكتشاف الحدث، وما هي فئة الوصول التي حدثت، وما هو نوع البرمجيات الخبيثة التي تم نشرها، وأي طبقة واسعة تأثرت، وأن تطبيقات الأعمال تعطلت، وأن البيانات تم تسريبها، وأن الأنظمة تم استعادتها لاحقًا، وأن التكاليف المالية كانت جوهرية بما يكفي لقياسها.

لا يخبر الجمهور كيف دخل الفاعل، أو المدة التي كان فيها الفاعل قادرًا على الوصول، أو ما إذا كانت البيانات المسروقة تتضمن رسومات المباني أو بيانات اعتماد العملاء، أو أي تطبيقات الأعمال كانت غير متاحة، أو أي العملاء عانوا من تأخيرات، أو ما إذا كان قد تم تفويت أي التزامات على مستوى الخدمة، أو ما هو الفدية التي تم طلبها، أو ما إذا تم دفع الفدية، أو كيف تحققت الشركة من الاستعادة.

"تكنولوجيا المعلومات الداخلية" لا تزال قريبة من عمليات المباني

يمكن لعبارة "تكنولوجيا المعلومات الداخلية" أن تكون مطمئنة، وهي كذلك في العديد من النواحي. شبكة المؤسسة للمورد ليست نفس وحدة تحكم أتمتة المباني المحلية لدى العميل. حدث فدية في تطبيقات المؤسسة لا يصبح تلقائيًا اختراقًا لتكنولوجيا التشغيل. ولكن بالنسبة لمورد تكنولوجيا المباني، فإن تكنولوجيا المعلومات الداخلية ليست جزيرة غير ضارة. يمكنها دعم الإرسال والدعم الفني وبوابات العملاء والمخزون وإدارة المشاريع ووثائق المنتج وسير عمل تسجيل الأجهزة وخدمات المراقبة عن بعد والفواتير وترخيص البرامج وأنظمة الضمان وتنسيق الثغرات وأنظمة الهوية.

هذا التمييز هو مركز سؤال المساءلة. لا ينبغي للسجل أن يدعي اختراقًا مباشرًا لنظام تحكم العميل عندما لا تدعم الإيداعات العامة ذلك. لكن لا ينبغي أيضًا أن يقبل "تكنولوجيا المعلومات الداخلية" كما لو كانت لا تستطيع التأثير على مالكي المباني. توضح محفظة منتجات Johnson Controls العامة أنها توفر أنظمة وخدمات رقمية تستخدم لمراقبة وأتمتة وصيانة المباني. يمكن للاضطراب في طبقة المورد أن يخلق عدم يقين حتى عندما يحتفظ موظفو المنشأة المحليون بالسيطرة المادية. (الحلول الرقمية لـ Johnson Controls، خدمات Johnson Controls)

المثال العملي هو استمرارية الخدمة. إذا كان مستشفى أو جامعة أو منشأة بلدية تعتمد على متكامل Johnson Controls للصيانة وتوجيه البرامج الثابتة والوصول إلى إشعارات المنتج وقطع الغيار والإصلاح الطارئ أو المراقبة، فإن انقطاع المورد يصبح مشكلة فرز. قد يظل المبنى آمنًا، ولكن يمكن أن تتدهور أوقات الاستجابة ورؤية أوامر العمل وقنوات خدمة العملاء ودليل سلامة المنتج. قد يحتاج مديرو المرافق إلى التحول إلى الإجراءات المحلية وأشجار الهاتف للبائع والسجلات الورقية والمقاولين البديلين والفحوصات اليدوية أو اتفاقيات الخدمة الطارئة.

يضيف الاعتماد على الخدمة السحابية طبقة أخرى. يمكن للخدمات المتصلة للمباني مركزة التحليلات ولوحات القيادة والإشعارات والدعم عن بعد. هذه الميزات قيمة لأنها تقلل من أعباء التوظيف المحلية وتجعل إدارة المحافظ الموزعة أسهل. في حدث فدية، يطرح نفس المركزية سؤالاً صعبًا: ماذا يحدث عندما يضطر البائع إلى عزل الأنظمة أو تعطيل الخدمات أو إعادة بناء التطبيقات بينما لا يزال العملاء بحاجة إلى ضمان أن المباني تعمل ضمن معايير السلامة والأمن والراحة؟

لا يوفر السجل العام خريطة استمرارية لكل عميل على حدة. لا يذكر أي من الأنظمة الموجهة للعملاء في Johnson Controls كانت غير متاحة، أو كم من الوقت تدهورت بوابات العملاء، أو ما إذا كان أي مبنى قد اضطر إلى تغيير الإجراءات التشغيلية. هذا الغياب بحد ذاته ذو صلة. بالنسبة لبائع يشمل عملاؤه المرافق العامة والمباني عالية العواقب، يجب أن تكون أدلة الاسترداد أكثر من مجرد بيان أن التطبيقات الداخلية تم استعادتها. تشمل الأدلة ذات الصلة قنوات الخدمة وإشعارات الثغرات وإشعارات تأثير البيانات ومسارات الاتصال الطارئ وتجزئة العملاء وتفسير موثوق لأي أنظمة العملاء كانت منفصلة عن البيئة المخترقة.

الكشف أثبت الجوهرية قبل أن يثبت السببية

تم تصميم إيداعات هيئة الأوراق المالية والبورصات (SEC) للإفصاح للمستثمرين، وليس لتشريح تشغيلي كامل. هذا القيد مهم هنا. تثبت إيداعات Johnson Controls أن الحادثة كانت حقيقية، وأنها تضمنت برمجية فدية وتسريب بيانات، وأن التطبيقات تعطلت، وأنه كان لها تأثير مالي كمي للربع الأول. لا تثبت سلسلة السببية الكاملة من سلوك المهاجم إلى كل تأخير تشغيلي أو تأثير على العميل.

تم تقديم نموذج 8-K لسبتمبر 2023 قبل إطار عمل الكشف السيبراني الحالي في نموذج 8-K البند 1.05 من SEC بالنسبة لمعظم المصدرين. اعتمدت SEC قواعد الكشف السيبراني هذه في يوليو 2023، بهدف تحسين الكشف في الوقت المناسب والمتسق عن حوادث الأمن السيبراني الجوهرية وإدارة مخاطر الأمن السيبراني. (إعلان قاعدة الكشف السيبراني لـ SEC، القاعدة النهائية لـ SEC) كشفت Johnson Controls عن الحدث بموجب إطار الكشف المتاح لها في ذلك الوقت، وقدمت الإيداعات اللاحقة مزيدًا من التفاصيل.

يظهر هذا التسلسل نمطًا شائعًا في مساءلة برمجيات الفدية. يسمع المستثمرون مبكرًا أن العمليات والنتائج المالية قد تتأثر. يسمع العملاء، عبر القنوات العامة أو الخاصة، أن بعض الأنظمة متوقفة أو متدهورة. يتعامل الموظفون الميدانيون والمتكاملون مع عدم اليقين في الوقت الحالي. في وقت لاحق فقط يحصل الجمهور على لغة أكثر دقة: وصول غير مصرح به، برمجية فدية، تسريب بيانات، تطبيقات مستعادة، تقديرات التكلفة، ومخاطر مستمرة. يتحسن سجل الكشف العام بمرور الوقت، لكن القرارات التشغيلية تحدث قبل اكتمال السجل.

لهذا السبب فإن "لا تأثير طويل الأجل جوهري" و "استجابة جيدة للحوادث" ليسا نفس الادعاء. ربما تكون Johnson Controls قد احتوت الحدث، واستعادت التطبيقات، وحددت الأثر المالي بالنسبة لحجمها. كما كان عليها إدارة فترة لم يتمكن خلالها العملاء والموظفون من ملاحظة ما حدث بشكل كامل. خلال تلك الفترة، تم توزيع عبء عدم اليقين عبر مالكي المرافق وفرق الخدمة وعملاء القطاع العام والمستثمرين وشركات التأمين السيبراني والأطراف المقابلة.

يجب قراءة تأثير الربع الأول البالغ 27 مليون دولار بعناية. وصفت Johnson Controls الرقم بأنه التأثير التقريبي على صافي الدخل من الإيرادات والنفقات المفقودة والمؤجلة، صافي تعويضات التأمين. هذا مفيد لكنه غير كامل. لا يقيس تأخير العملاء أو عمالة المرافق العامة أو العمل الإضافي للمتكاملين أو الحلول البديلة للمشتريات أو وقت الاستجابة للحوادث من قبل العملاء أو تكاليف تعديل شركات التأمين أو أعمال إدارة المخاطر الناجمة عن البيانات المسربة. الرقم هو تقدير محاسبي للشركة، وليس إجمالي التكلفة الاجتماعية للحادثة.

تسريب البيانات غير المشكلة

الكشف عن تسريب البيانات لا يقل أهمية عن الكشف عن برمجية الفدية. برمجية الفدية دون تسريب هي مشكلة توفر واستعادة بشكل أساسي، وإن كانت لا تزال خطيرة. برمجية الفدية مع التسريب تخلق مشكلة ثانية: من تعرض، وماذا تعرض، وما الذي يمكن أن تمكنه البيانات، وكيف ستخطر الشركة الأطراف المتضررة. تقول الإيداعات العامة لـ Johnson Controls إن البيانات تم تسريبها، لكنها لا تنشر جرد بيانات أو مصفوفة إخطار أو تقرير جنائي مستقل نهائي.

بالنسبة لمورد تكنولوجيا المباني، فإن سؤال الحساسية لا يقتصر على المعلومات الشخصية العادية. قد تتضمن سجلات العملاء بيانات الموظفين أو المعلومات التجارية أو قوائم الاتصال بالمرافق أو العقود أو سجلات الخدمة أو سجلات المشاريع أو الرسوم التخطيطية أو ملاحظات التكوين أو تذاكر الدعم أو جداول الصيانة أو التفاصيل التشغيلية الحساسة أمنيًا. لا يثبت السجل العام أن هذه الفئات سُرقت. يثبت أن الشركة كانت تحلل البيانات المسربة أو المتأثرة وأن خطر إساءة استخدام بيانات العملاء أو الموظفين أو غيرها كان جوهريًا بما يكفي للمناقشة.

هذا التمييز مهم. يمكن للتعليق العام حول حوادث تكنولوجيا المباني أن يقفز بسرعة إلى صور مخططات الطوابق والشارات والكاميرات وعناصر التحكم في المباني. معيار الأدلة المسؤول أكثر صرامة. إذا لم تحدد الإيداعات الفئات المسروقة، فلا ينبغي لمقال عام أن يتظاهر بمعرفتها. السؤال المسؤول بدلاً من ذلك هو ما إذا كانت Johnson Controls تمتلك تصنيف البيانات وضوابط الاحتفاظ وعملية إخطار العملاء والأدلة الجنائية اللازمة للإجابة على هذه الأسئلة بسرعة للعملاء الذين قد تكون مبانيهم ذات وظائف سلامة عامة أو خدمة عامة.

تنطبق نفس المشكلة على الهوية والوصول. إذا كان المورد يوفر دعمًا عن بعد أو خدمات سحابية، يحتاج العملاء إلى الثقة في أن الهويات والمفاتيح والشهادات والحسابات المميزة وقنوات الخدمة منفصلة ومتحقق منها. لا تصف الإيداعات العامة تلك البنية. تؤكد أهداف أداء الأمن السيبراني عبر القطاعات من CISA على تدابير مثل أمان الحساب وإدارة الثغرات وتخطيط الاستجابة للحوادث وأمان البيانات وإدارة مخاطر الطرف الثالث. إنها ليست نتائج خاصة بـ Johnson Controls، لكنها معيار عام مفيد لأنواع الأدلة التي يجب أن يتوقعها العملاء بعد حدث فدية للمورد. (أهداف أداء الأمن السيبراني عبر القطاعات CISA)

يساعد إطار الأمن السيبراني NIST 2.0 أيضًا في تنظيم السؤال. يضيف الحوكمة كوظيفة أساسية إلى جانب تحديد وحماية وكشف واستجابة واستعادة. بالنسبة لشركة في موقف Johnson Controls، فإن الحوكمة ليست مجرد سياسة على مستوى مجلس الإدارة. إنها القدرة على معرفة أي الأنظمة تدعم أي التزامات العملاء، وما هي البيانات المحتفظ بها، وأي الخدمات يجب أن تستعيد أولاً، ومن لديه السلطة لتعطيل أو عزل الوظائف الموجهة للعملاء، وكيف يتم توصيل أدلة الاسترداد. (إطار الأمن السيبراني NIST)

التجزئة كانت عنصر التحكم الصامت

تشير الإيداعات العامة إلى جزء من البنية التحتية الداخلية لتكنولوجيا المعلومات، وليس جميع الأنظمة في كل مكان. هذه عبارة مهمة. تشير إلى أن البيئة المتضررة كانت محدودة، لكنها لا تشرح الحدود. التجزئة هي التحكم الخفي الذي يحدد ما إذا كانت برمجية الفدية تبقى انقطاعًا تجاريًا داخليًا أم تنتشر إلى عمليات العملاء أو أنظمة المنتج أو بيئات تطوير البرمجيات أو مخازن الهوية أو منصات الخدمة عن بعد.

التجزئة الفعالة ليست مجرد مخطط شبكة. تتضمن حدود الهوية والحسابات الإدارية وفصل النسخ الاحتياطي وتبعيات التطبيقات ووصول البائع والتسجيل وضوابط الوصول المميز وحيازة السحابة وحسابات الخدمة وإجراءات التشغيل الطارئة. تتضمن أيضًا قرارات الأعمال حول أي الأنظمة مسموح لها بالتواصل مع المنصات الموجهة للعملاء، وأي الأنظمة يمكن عزلها دون تعطيل الخدمة، وكيف تعمل الفرق المحلية عندما تكون التطبيقات المركزية غير متاحة.

تؤكد إرشادات StopRansomware من CISA على النسخ الاحتياطية والاستعادة المختبرة والمصادقة متعددة العوامل وأقل امتياز وتجزئة وإدارة الثغرات وتخطيط الاستجابة للحوادث والتواصل. لا تثبت الإرشادات ما فعلته Johnson Controls أو لم تفعله. لكنها تحدد عائلات التحكم التي تهم عندما يصل فاعل برمجية فدية إلى الأنظمة الداخلية. (دليل StopRansomware من CISA)

في هذه الحادثة، أدلة التجزئة عامة فقط بالاستدلال. قالت Johnson Controls لاحقًا إن التطبيقات والأنظمة المتضررة قد تم استعادتها. لم تنشر مسار الوصول الأولي أو قائمة التطبيقات المتضررة أو ترتيب الاستعادة أو الحدود العازلة بين تكنولوجيا المعلومات المؤسسية وبيئات المنتج أو بيئات العملاء. لم تنشر ما إذا كانت أي خدمات سحابية قد تم أخذها دون اتصال كإجراء احترازي. لم تحدد فئة البيانات المسربة. بدون تلك الأدلة، يمكن للتقييم العام أن ينسب الفضل للشركة في الكشف عن الحادثة والتكاليف، لكن لا يمكنه التحقق بشكل مستقل من قوة التجزئة.

يجب أن يهتم العملاء بهذه الفجوة. لا يحتاج مالك المنشأة العامة إلى كل تفصيل جنائي، لكنه يحتاج إلى إجابة موثوقة لمجموعة أصغر من الأسئلة: هل كانت أنظمتي قابلة للوصول من البيئة المخترقة؟ هل تم كشف بيانات اعتمادي أو رسوماتي أو تذاكري أو جهات اتصالي؟ هل تغير أي مسار دعم عن بعد؟ هل تأثر أي عملية تحديث أو استشارة للمنتج؟ هل أرقام الخدمة الطارئة والإجراءات اليدوية حديثة؟ هذه أسئلة استمرارية، وليست مجرد أسئلة أمن سيبراني.

اتصال العملاء يحمل مخاطره الخاصة

اتصال العملاء أثناء حادثة فدية لمورد مباني صعب لأن الكثير من التحديد يمكن أن يكشف تفاصيل أمنية، بينما القليل جدًا يخلق شائعات وعملًا مكررًا. قد يكون لدى المورد العالمي آلاف العملاء بعقود مختلفة ومكاتب خدمة محلية ومتكاملين وشركاء قنوات وهيئات تنظيمية ومتطلبات تأمين. مشكلة الاتصال لا تحل بإيداع عام للمستثمرين.

توفر الإيداعات العامة خط الأساس، لكنها موجهة للمستثمرين. قد يحتاج مالكو المرافق إلى محتوى تشغيلي أكثر: هل بوابات الخدمة تعمل؟ كيف تتصل بالدعم الطارئ؟ هل لدى الفنيين الميدانيين وصول إلى أوامر العمل؟ هل الفواتير وأوامر الشراء متأخرة؟ هل استشارات أمان المنتج لا تزال سارية؟ هل المراقبة عن بعد متدهورة؟ هل هناك أي بيانات عميل تتطلب إجراءً وقائيًا؟

لهذا السبب يهم الاعتماد على السحابة. يمكن للخدمات السحابية والخدمات المُدارة أن تجعل الدعم أسرع في الأوقات العادية، لكنها يمكن أن تجعل اتصال العملاء أكثر تعقيدًا في الأوقات غير العادية. قد لا يعرف العميل ما إذا كان انقطاع لوحة القيادة ناتجًا عن مبنى العميل أو مشكلة اتصال أو خدمة سحابية أو إجراء عزل من المورد أو حادثة لدى متكامل. عندما تكون أنظمة المورد نفسه مخترقة، فإن أول مهمة للعميل هي فصل سلامة المبنى عن عدم يقين البائع.

لدى Johnson Controls موارد أمن سيبراني وأمان منتج عامة، بما في ذلك صفحات لأمان المنتج واستشارات الأمان. هذه الموارد مهمة لأنها تخلق قناة عامة للثغرات وإشعارات المنتج والضمان. (أمان منتج Johnson Controls، استشارات أمان Johnson Controls) اختبرت حادثة الفدية لعام 2023 وظيفة مختلفة ولكن ذات صلة: ما إذا كانت الشركة تستطيع استخدام القنوات الموثوقة لشرح انقطاع المؤسسة وتحليل البيانات واستمرارية العملاء دون خلق ضمان زائف.

لا يوجد دليل عام على أن Johnson Controls فشلت في التواصل مع العملاء حيث كان مطلوبًا. السجل العام أيضًا لا يوفر سجل اتصال مفصل. هذا يترك مشكلة مساءلة متبقية. بالنسبة للموردين في أسواق المباني المجاورة للسلامة، يجب قياس المعيار ليس فقط بما إذا كانت الشركة قد قدمت إلى هيئة الأوراق المالية والبورصات، ولكن بما إذا كان العملاء المتأثرون قد تلقوا معلومات محددة وقابلة للتنفيذ وخاصة بالدور تسمح لهم بإبقاء المباني عاملة واتخاذ قرارات الإفصاح الخاصة بهم.

استمرارية القطاع العام ليست وظيفة البائع وحده

لا يمكن لعملاء Johnson Controls من القطاع العام الاستعانة بمصادر خارجية لجميع الاستمرارية إلى البائع. يجب على المستشفى أو المنطقة التعليمية أو الوكالة البلدية أو السلطة العامة التي تستخدم أنظمة المباني الحفاظ على إجراءات محلية لتشغيل المساحات الحيوية أثناء انقطاعات البائع والحوادث السيبرانية وفشل الاتصالات. يتضمن ذلك تجاوزات محلية وجهات اتصال طارئة مختبرة وإجراءات ورقية وقطع غيار وترتيبات خدمة بديلة ومراقبة مستقلة حيثما كان ذلك مناسبًا وسلطة واضحة لموظفي المرافق.

لكن هذا لا يعفي المورد. استمرارية البائع والعميل متحدتان. إذا كانت المنشأة العامة تعتمد على الخدمة السحابية للبائع أو الدعم عن بعد أو عقد المراقبة أو الأجزاء الخاصة، فإن البائع يتحكم في المعلومات التي لا يستطيع العميل توليدها بمفرده. يمكن للعميل الحفاظ على التراجع المحلي، لكنه لا يستطيع تحديد ما إذا كانت البيانات المسربة للبائع تتضمن تذاكر الخدمة الخاصة به أو ما إذا كانت هوية الوصول عن بعد للبائع قد تم كشفها. يجب على المورد تقديم الأدلة أو الإخطار.

سياق الرعاية الصحية والصحة العامة حساس بشكل خاص. تعتمد المرافق على الظروف البيئية والتحكم في الوصول وأنظمة الحريق والسلامة الحياتية وأوامر عمل الصيانة والتبريد والمختبرات ومناطق رعاية المرضى. قد لا يهدد انقطاع البائع المرضى فورًا، لكنه يمكن أن يضيف عبء عمل إلى فرق المرافق التي تدير بالفعل الأولويات السريرية. ينطبق نفس المنطق على المدارس والمكاتب الحكومية ومرافق الطوارئ: عمليات المباني هي بنية تحتية خلفية حتى تفشل أو تصبح غير مؤكدة.

هنا تنقسم المساءلة. سيطر الفاعلون الإجراميون على الاختراق والابتزاز. سيطرت Johnson Controls على بنية المؤسسة وحوكمة البيانات والاسترداد وضمان العملاء. سيطر عملاء القطاع العام على شروط المشتريات وخطط الاستمرارية والعمليات المحلية. أثر المنظمون وشركات التأمين على التوقعات بشأن الإفصاح والمطالبات والمخاطر. لم يسيطر أي فاعل واحد على العواقب بأكملها، لكن عدة فاعلين سيطروا على ما يكفي لدرجة أن الحدث لا ينبغي اختزاله إلى "عصابة برمجية فدية فعلتها."

التأمين والمحاسبة جزء من سجل الحوكمة

تذكر إيداعات Johnson Controls التنسيق مع شركات التأمين وتقول لاحقًا إن تأثير الربع الأول البالغ 27 مليون دولار كان صافي تعويضات التأمين. هذه ليست تفاصيل جانبية. يمكن للتأمين السيبراني تشكيل الاستجابة للحوادث من خلال تمويل العمل الجنائي والمشورة القانونية وتكاليف الاسترداد ونفقات الإخطار ومطالبات انقطاع الأعمال. يمكنه أيضًا تشكيل الأدلة التي يتم جمعها وكيفية تصنيف التكاليف.

استرداد التأمين مفيد للمساهمين، لكنه لا يجيب على سؤال المساءلة التشغيلية. يمكن أن تكون التكلفة مؤمنة وتمثل فشل تحكم أو انقطاع عمل أو عبء على العميل أو فجوة استعادة يمكن منعها. على العكس من ذلك، فإن فاتورة استجابة كبيرة لا تثبت بحد ذاتها ضعف الأمان. قد تعكس عملًا جنائيًا حذرًا أو إعادة بناء البنية التحتية أو إخطار العملاء أو التعزيز بعد الحادثة. لا تسمح الإيداعات العامة بحكم نظيف في أي من الاتجاهين.

العدسة الأكثر فائدة للمساءلة هي ما يمكن وما لا يمكن أن يظهره السجل المحاسبي. يؤكد تأثير 27 مليون دولار العواقب المالية. يشير إلى أن الحادثة أثرت على توقيت الإيرادات ونفقات الاستجابة بما يكفي لتكون ذات أهمية في تقرير ربع سنوي. لا يظهر التكلفة الإجمالية قبل التأمين، أو التوزيع بين البائعين الجنائيين والتكاليف القانونية واستثمارات البنية التحتية والطلبات المفقودة والإيرادات المؤجلة وائتمانات العملاء والعمل الإضافي للموظفين أو المراقبة المستقبلية. كما لا يظهر ما إذا كانت أي تكاليف للعملاء أو القطاع العام قد تم تحويلها خارج حسابات Johnson Controls.

يُظهر استمرار مناقشة التقرير السنوي للسنة المالية 2024 للتكاليف الكبيرة المحتملة والمعالجة والمطالبات القانونية أو إجراءات الإنفاذ أن الحدث ظل قضية حوكمة بعد الاستعادة التقنية. هذا طبيعي لبرمجية فدية مع تسريب بيانات. لا ينتهي الحدث عندما تعود التطبيقات. ينتهي فقط بعد أن تتمكن الشركة من حساب البيانات والإخطار حيثما مطلوب وحل المطالبات وتعزيز الأنظمة وإظهار أن الاستعادة لم تترك تعرضًا خفيًا.

التشريح المفقود هو فجوة الأدلة الرئيسية

الأدلة العامة جيدة بشكل غير عادي بمعنى واحد: إيداعات Johnson Controls أوضح من العديد من كشوف برمجيات الفدية للشركات العامة لأنها تذكر في النهاية وصولاً غير مصرح به وتسريب بيانات وبرمجية فدية وتأثيرها على البنية التحتية الداخلية لتكنولوجيا المعلومات وتعطيل تطبيقات الأعمال والاستعادة والتأثير الكمي. هذا ذو معنى. يعطي المستثمرين والعملاء أكثر من مجرد تسمية "حادثة أمنية" غامضة.

الأدلة لا تزال غير مكتملة. لا يحدد السجل العام المهاجم، على الرغم من أن التقارير الإعلامية واستخبارات التهديدات ناقشت فاعلي برمجية فدية محتملين وطلبات فدية. لا يوفر سجل محكمة أو إسناد إنفاذ القانون أو كشف دفع فدية أو تقرير جنائي مستقل أو قائمة فئات البيانات. لا يشرح ما إذا كانت الشركة قد دفعت أو رفضت طلبًا. لا يوفر إحصائيات إخطار العملاء. لا يظهر ما إذا كانت الأنظمة المتضررة تشمل بوابات العملاء أو إرسال الخدمة أو المراقبة عن بعد أو عمليات أمان المنتج أو أنظمة التطوير أو البنية التحتية للهوية.

قد تكون هذه الإغفالات ضرورية قانونيًا أو تشغيليًا. غالبًا ما تتجنب الشركات نشر التفاصيل التي يمكن أن تساعد المهاجمين أو تضر بالتحقيقات. مع ذلك، يؤثر الغياب على المساءلة. بدون تشريح أو حزمة ضمان عميل مكافئة، لا يمكن للمراقبين الخارجيين تقييم ما إذا كانت الحادثة حدثًا مؤسسيًا محصورًا بإحكام أو فشلًا أوسع لمنصة الأعمال أو فشلًا في حوكمة البيانات أو خليطًا من ذلك.

لهذا السبب يجب أن تظل الادعاءات محدودة. من العدل أن نقول إن Johnson Controls تعرضت لحادثة فدية مع تسريب بيانات وتعطيل لتطبيقات الأعمال. من العدل أن نقول إن دورها في تكنولوجيا المباني جعل الحادثة مصدر قلق لاستمرارية المورد لأصحاب المباني وعملاء القطاع العام. ليس من العدل، على أساس الأدلة العامة وحدها، أن نقول إن المهاجمين سيطروا على مباني العملاء، أو أن فئة محددة من العملاء تعرضت، أو أن ضعفًا تقنيًا محددًا تسبب في الاختراق، أو أن Johnson Controls انتهكت واجبًا قانونيًا.

حمل المتكاملون جزءًا من عبء الضمان

نادرًا ما يتم تسليم تكنولوجيا المباني من قبل مركز شركة واحد يتحدث مباشرة إلى كل مشغل مبنى. عادة ما يتم تركيبها وصيانتها وتوسيعها من خلال الفروع المحلية والمتكاملين والمقاولين وفرق المشاريع وأقسام المرافق لدى العملاء. هذا يجعل مساءلة الحوادث أكثر توزيعًا مما يشير إليه رسم بياني بسيط للبائع والعميل. إذا تدهورت التطبيقات المركزية، قد لا تزال الفرق المحلية قادرة على خدمة المباني. لكن قد تضطر إلى القيام بذلك مع وصول غير كامل لأوامر العمل ورؤية متأخرة لقطع الغيار ومسارات تصعيد مخفضة وملاحظات يدوية وهواتف بديلة وعدم يقين بشأن سجلات العملاء الحالية.

هذه الطبقة المحلية مهمة لأن العديد من المرافق تختبر استمرارية البائع من خلال الأشخاص الذين يصلون إلى الموقع. لا تميز المنطقة التعليمية بالضرورة بين تكنولوجيا المعلومات المؤسسية لـ Johnson Controls ومكتب الخدمة المحلي والمقاول من الباطن ومتكامل أتمتة المباني عندما يحتاج إنذار مبرد أو مشكلة التحكم في الوصول إلى اهتمام. يسأل العميل ما إذا كان يمكن حل المشكلة، وما إذا كان الفني لديه التاريخ الصحيح، وما إذا كانت قناة الخدمة موثوقة، وما إذا كان هناك أي قيود مرتبطة بالحادثة تغير الإجراءات العادية.

في حدث فدية، يصبح المتكاملون أيضًا مترجمين للأدلة. قد يتلقون تعليمات مركزية حول ما يجب قوله، وأي الأنظمة يجب استخدامها، وأي الاتصالات عن بعد يجب تجنبها، وأي إجراءات طارئة يجب اتباعها، أو أي أسئلة العملاء يجب تصعيدها. إذا كانت هذه التعليمات متأخرة أو غامضة، يمكن للموظفين المحليين عن غير قصد إنشاء رسائل غير متسقة. قد يُقال لعميل واحد إن أنظمة المكاتب الخلفية فقط هي التي تأثرت. قد يُقال لآخر أن يتوقف عن الوصول عن بعد. قد لا يتلقى آخر أي تفاصيل تشغيلية على الإطلاق. حتى إذا كانت جميع التصريحات بحسن نية، يصبح التناقض جزءًا من الضرر لأن العملاء يجب أن يقرروا أي المعلومات يثقون بها.

هذا ليس ادعاءً بأن شبكة متكاملة Johnson Controls فشلت. السجل العام لا يظهر ذلك. إنه ادعاء حول أين تقع أعمال الاستمرارية. يجب على المورد الذي لديه عملاء من المرافق العامة أن يعامل اتصال الخدمة الميدانية والمتكاملين كجزء من الاستجابة للحوادث، وليس كمهمة علاقات عامة في المراحل اللاحقة. وهذا يعني إعداد أشجار الرسائل ومسارات الدعم الطارئ وإجراءات أوامر العمل دون اتصال والتحقق من هوية الفنيين وقواعد التصعيد الخاصة بالعميل وطريقة للتوفيق بين العمل اليدوي بعد عودة التطبيقات.

تنطبق نفس النقطة على ضمان أمان المنتج. يمكن لصفحة أمان المنتج المركزية نشر الاستشارات ومسارات الاتصال، لكن العملاء المحليين قد يسألون الفرق الميدانية ما إذا كانت استشارة تتعلق بمبناهم أو إصدار وحدة التحكم الخاصة بهم أو تكوين الوصول عن بعد أو عقد الخدمة المُدارة. أثناء حدث فدية مؤسسي، تحتاج تلك الفرق الميدانية إلى خط موثوق بين معلومات ثغرات المنتج ومعلومات حوادث المؤسسة. وإلا فقد يخلط العملاء بين كشف فدية مؤسسي وبين اختراق منتج، أو يقللون من رد الفعل لأنهم يفترضون عدم تورط أي منتج.

أقوى أدلة الاسترداد ستشمل بالتالي جاهزية الشريك والمتكامل، وليس فقط الاستعادة المركزية. ستظهر أن فرق الخدمة المحلية تعرف أي الأنظمة موثوقة، وكيفية التحقق من هوية الفني، وكيفية توثيق الخدمة اليدوية، وكيفية الإجابة على أسئلة كشف البيانات، وكيفية الانتقال من الوضع المتدهور إلى العمليات العادية. هذه هي الطبقة العملية حيث يصبح حادث فدية تكنولوجيا المباني إما قابلاً للإدارة أو مشكلة استمرارية مدفوعة بالشائعات.

كيف ستبدو أدلة الاسترداد الجيدة

سيكون لسجل الاسترداد المفيد لهذا النوع من الحوادث عدة طبقات. أولاً، سيحدد البيئة المتضررة في فئات واضحة دون كشف تفاصيل قابلة للاستغلال: تطبيقات المؤسسة، خدمات الهوية، أنظمة دعم العملاء، أنظمة تطوير المنتج، الخدمات السحابية، أدوات الدعم عن بعد، إرسال الخدمة، الأنظمة المالية، ومستودعات البيانات. ثانيًا، سيشرح أي الخدمات الموجهة للعملاء كانت غير متاحة أو متدهورة ولأي مدة. ثالثًا، سيذكر ما إذا كانت بيانات اعتماد العملاء أو معلومات المنشأة أو سجلات الخدمة أو غيرها من بيانات العملاء الحساسة قد تم كشفها، مع قنوات إخطار للأطراف المتضررة.

رابعًا، سيصف ضمان الاستعادة: ما إذا كانت الأنظمة أعيد بناؤها أو استعيدت من النسخ الاحتياطي أو تحقق منها طرف ثالث أو رُصدت لاستمرار التواجد أو رُوجعت لإساءة استخدام الحسابات المميزة. خامسًا، سيشرح تدابير استمرارية العملاء، بما في ذلك مسارات الدعم الطارئ والتراجع الميداني للخدمة واستمرارية استشارات أمان المنتج والتوجيه للمرافق التي تعتمد على الخدمات السحابية للبائع. سادسًا، سيفصل بين التأثير المالي على مستوى الشركة والعواقب التشغيلية على العملاء أو القطاع العام.

هذه ليست مطالب غير واقعية لكل حادثة. إنها متناسبة مع دور المورد الذي يمكن لمنتجاته وخدماته دعم المساحات المادية. قد يكون بائع البرمجيات كخدمة مدينًا بشفافية حالة المنصة. مدين مورد تكنولوجيا المباني بذلك وأكثر: ضمان أن الطبقة الرقمية التي تدعم المباني قد تم فصلها عن أي طبقة مؤسسية مخترقة وأن العملاء يعرفون ماذا يفعلون بينما يبقى عدم اليقين.

هذا المعيار للأدلة يتماشى مع التوجيهات العامة بدلاً من النظر بأثر رجعي مبتكر. تؤكد مواد CISA حول برمجيات الفدية وأهداف الأداء على تخطيط الاستجابة والنسخ الاحتياطي والتحكم في الوصول والتجزئة واتصالات الحوادث والاسترداد. يؤكد إطار NIST على وظائف الحوكمة والاسترداد. تؤكد قواعد كشف SEC على معلومات الحوادث الجوهرية في الوقت المناسب للمستثمرين. لا يتطلب أي من هذه المصادر من الشركة نشر دليل اللعب الكامل، لكنها معًا تحدد توقعًا عامًا بأن الحوادث السيبرانية الخطيرة يجب شرحها بمصطلحات تشغيلية، وليس وصفها فقط كأحداث إجرامية. (دليل StopRansomware من CISA، أهداف أداء الأمن السيبراني عبر القطاعات CISA، إطار الأمن السيبراني NIST، القاعدة النهائية لـ SEC)

المساءلة تتبع السيطرة

لا ينبغي معاملة حادثة Johnson Controls على أنها مسرحية أخلاقية حول شرير واحد أو إدانة بسيطة لشركة واحدة. تشير الحقائق العامة إلى وصول إجرامي غير مصرح به وبرمجية فدية. هذه هي المسؤولية الأولى. لكن تحليل المساءلة يسأل سؤالاً مختلفًا: من كان لديه سيطرة عملية على المخاطر التي جعلت الحادثة ذات عواقب؟

سيطرت Johnson Controls على تجزئة المؤسسة وحوكمة الهوية والاحتفاظ بالبيانات وتصميم النسخ الاحتياطي واستعادة تطبيقات الأعمال واستمرارية دعم العملاء وحوكمة الإفصاح وتنسيق التأمين واستثمار المعالجة. سيطر مجلس إدارتها وتنفيذيها على كيفية حوكمة مخاطر الأمن السيبراني ومدى سرعة تحويل عدم اليقين إلى معلومات قابلة للتنفيذ. سيطرت فرقها التقنية والبائعون على التحقيق والاحتواء والاستعادة. سيطرت مؤسساتها ومنظمات العملاء على كيفية تلقي مالكي المباني والمتكاملين والفرق الميدانية للتوجيه.

سيطر العملاء على المشتريات والتراجع المحلي ومتطلبات العقود وخطط التشغيل الطارئة. سيطرت الوكالات العامة والكيانات المنظمة على توقعات الاستمرارية الخاصة بهم وإجراءات التصعيد. سيطرت شركات التأمين على أجزاء من السداد وطلب الأدلة. سيطر المنظمون على توقعات الإفصاح والإنفاذ. يمكن لكل من هؤلاء الفاعلين أن يشير إلى دور فاعل آخر، لكن لا يمكن لأي منهم أن يقول بشكل معقول إن الحدث كان غير ذي صلة بسيطرتهم الخاصة.

أهم درس ليس أن كل نظام مبنى يجب أن يكون مفصولاً عن كل خدمة بائع. توفر تكنولوجيا المباني المتصلة قيمة حقيقية. الدرس هو أن تكنولوجيا المباني المتصلة تحول مرونة البائع إلى جزء من مرونة المنشأة. إذا كان حدث فدية داخلي للبائع يعطل تطبيقات الأعمال ويسرب البيانات، يحتاج مالك المبنى إلى إجابات تتطابق مع العمليات، وليس مجرد جوهرية المساهمين.

أعطت إيداعات Johnson Controls للسوق حقائق ذات معنى. لم تعط الجمهور سجل استمرارية كامل. هذه الفجوة هي النتيجة المركزية للمقالة. في تكنولوجيا المباني، الاسترداد ليس مجرد استعادة التطبيقات الداخلية. الاسترداد هو إثبات للعملاء أن المباني وقنوات الخدمة والهويات والبيانات وضمان المنتج ظلت جديرة بالثقة بينما كان المورد يعيد بناء الأنظمة من حولهم.