ميرسك أظهرت كيف استطاع NotPetya أن يجعل استمرارية الإيرادات تحت السيطرة التشغيلية

ملخص

• اضطراب NotPetya في ميرسك يُظهر أن استمرارية الإيرادات في اللوجستيات العالمية تعتمد على السلطة الرقمية بقدر اعتمادها على الأصول المادية. فالسفن والحاويات والرافعات والشاحنات قد تكون موجودة بينما الأنظمة التي تقبل الحجوزات وتفتح البوابات وتوجّه البضائع وتُعلم العملاء تكون غير متاحة أو غير موثوقة.
• أفادت ميرسك أن البرنامج الخبيث دخل عبر برنامج يُستخدم للإقرار الضريبي الأوكراني، وجعل التطبيقات والبيانات غير متاحة، وأجبر على توقفات احترازية، وأثر بشكل رئيسي على الأنشطة المتعلقة بالحاويات، بينما ظل التحكم في السفن سليماً.
• قدرت الشركة لاحقاً الأثر المالي على الربحية بما يتراوح بين 250 و300 مليون دولار أمريكي، معظمها خسارة مؤقتة في الأعمال خلال شهري يوليو وأغسطس، بالإضافة إلى تكاليف الاستعادة والتكاليف التشغيلية الاستثنائية. هذا الرقم هو قياس من الشركة، وليس التكلفة النهائية الكاملة على العملاء والموانئ وسائقي الشاحنات ووكلاء الشحن والهيئات العامة.
• المسؤولية لا تتعلق بمعرفة ما إذا كانت ميرسك قد تسببت في NotPetya. الإسناد الرسمي والاتهامات اللاحقة أشارت إلى جهات عسكرية روسية. القضية هي معرفة أي الأدلة أظهرت أن تجزئة الشبكة، واستعادة الهوية، والإجراءات اليدوية الاحتياطية، والتواصل مع العملاء، والاستعادة النظيفة كان بإمكانها الحفاظ على قنوات الإيرادات حية بعد وصول برنامج خبيث مدمر إلى الشركة.
• مسألة التحكم الدائم هي ما إذا كان بإمكان مشغل عالمي الانتقال إلى خدمة آمنة وقابلة للتحقق ومرئية للعملاء دون الاعتماد على البقاء العرضي لنسخة هوية أو رسائل مرتجلة لا يمكن تسويتها لاحقاً.

تتوقف الإيرادات حيث فشلت السلطة الرقمية

غالباً ما تُلخص تجربة NotPetya في ميرسك كشركة شحن عالمية فقدت أجهزة الكمبيوتر الخاصة بها. هذه الصياغة تقلل من الآلية التجارية. كان الانقطاع كبيراً لأن إيرادات الشحن تتولد من سلسلة من السلطة الرقمية: عميل يحجز شحنة، وصندوق يُقبل، وبوابة محطة تؤكد الحركة، ومعلومات الشحنة تنتقل مع الحاوية، والفواتير وتحديثات الحالة تتبع، والعملاء يقررون ما إذا كان بإمكانهم الوثوق بالحجز التالي. عندما تفشل الأنظمة التي تأذن بهذه الخطوات، تصبح استمرارية الإيرادات مشكلة تحكم تشغيلي.

يقدمعرض المستثمرين للربع الثاني من 2017من ميرسك أوضح وصف أساسي. أعلنت الشركة أن البرنامج الخبيث دخل عبر برنامج يُستخدم للإقرار الضريبي في أوكرانيا، وجعل التطبيقات والبيانات غير متاحة، وأثر بشكل رئيسي على Maersk Line وAPM Terminals وDamco. كما أشارت إلى أن عدة أنظمة أُوقفت كإجراء احترازي، وأن العديد من الحلول اليدوية طُبقت، وأن التحكم الكامل في السفن بقي قائماً، وأنه لم يُبلغ عن أي انتهاك لبيانات طرف ثالث أو فقدان للبيانات. هذه الحدود مهمة. لا ينبغي تضخيم الحادثة إلى فقدان وهمي للتحكم في السفن، ولا ينبغي التقليل منها على أنها مجرد عطل في حاسوب مكتبي.

يُظهر تقرير المحطة السبب. أشارتحديث 30 يونيو 2017من APM Terminals إلى أن خدمات البوابات كانت تتوسع في عدة موانئ. خدمة البوابة هي وحدة إيرادات واستمرارية. إذا تعذر على شاحنة الدخول، أو تعذر تحرير حاوية، أو تعذر على محطة تأكيد المعاملة الصحيحة، فقد تكون المنشأة المادية موجودة بينما الوظيفة التجارية مقيدة. سؤال الاستعادة ليس 'هل الرافعات واقفة؟' بل 'أي الحركات يمكن قبولها وتنفيذها وفوترةها وشرحها للعملاء بأمان وقانونية؟'

قامالتقرير المرحلي للربع الثالث من 2017من ميرسك بتحديد هذا الاضطراب التشغيلي. قدرت الشركة أثراً على الربحية يتراوح بين 250 و300 مليون دولار أمريكي، مرتبطاً بشكل رئيسي بـ Maersk Line في الربع الثالث. حددت خسارة مؤقتة في الأعمال في يوليو وأغسطس، وتكاليف استعادة، وتكاليف تشغيلية استثنائية. وقد أبقىالتقرير السنوي لعام 2017الحدث في السجل المالي طويل الأجل.

هذا القياس مهم لكنه غير كامل. إنه يسجل الأثر المالي الذي أقرته ميرسك. لكنه لا يلتقط كل شاحنة تنتظر في محطة، أو كل وكيل شحن يعيد توجيه البضائع، أو كل عميل يتعامل مع عدم اليقين، أو كل سلطة عامة تدير الازدحام، أو كل مورد صغير كانت دورته النقدية تعتمد على الحركة. استمرارية الإيرادات لمشغل عالمي هي أيضاً استمرارية للشركات الصغيرة التي تعتمد على وعود الخدمة من المشغل.

وبالتالي فإن مسؤولية المستوى الثاني هي الخط الفاصل بين كارثة حتمية بسبب برنامج خبيث مدمر وانقطاع أعمال يمكن التحكم فيه. ميرسك لم تختر NotPetya. لكن المشغلين الحيويين يختارون تجزئة الشبكة، ونسخ الهوية الاحتياطية، والعودة اليدوية المحلية، وإجراءات المحطة، والتواصل مع العملاء، وتمارين الاستعادة. هذه الخيارات تحدد ما إذا كانت أضرار البرنامج الخبيث تتحول إلى انقطاع قصير، أو جفاف طويل في الإيرادات، أو مشكلة خدمة عامة أوسع.

البرمجيات الخبيثة المدمرة غيّرت اقتصاديات الاستعادة

بدا أن NotPetya يطلب دفع فدية، لكن التصريحات الرسمية والإجراءات القضائية اللاحقة وصفته بأنه برنامج خبيث مدمر. بيان الإسناد لعام 2018 من المملكة المتحدةبيان الإسناد لعام 2018من المملكة المتحدة نسب NotPetya إلى الجيش الروسي وذكر أنه تظاهر بأنه عملية إجرامية بينما كان هدفه الأساسي هو التعطيل. ثم وجهت وزارة العدل الأمريكية لائحة اتهام إلى ستة ضباط من GRU في حملة شملت NotPetya، كما هو موصوف فيهذا الإعلان لعام 2020. لوائح الاتهام ليست إدانات، لكن الإسناد والاتهامات تشكل إطار المسؤولية.

البرمجيات الخبيثة المدمرة تغير اقتصاديات الاستعادة لأن الدفع ليس طريقاً موثوقاً لاستعادة الأنظمة. يجب على القادة إعادة بناء الثقة، وليس مجرد التفاوض. يجب أن يقرروا أي الأجهزة والهويات وبيانات الدخول وحالات التطبيقات وأجزاء الشبكة وقنوات الاتصال نظيفة بما يكفي لاستخدامها. يجب عليهم الحفاظ على الأدلة أثناء استعادة الأعمال. يجب أن يقرروا متى تكون العمليات اليدوية آمنة. يجب أن يخبروا العملاء بما يمكن أن يتحرك، وما لا يمكن، وأي الالتزامات لا تزال سارية.

التقرير الفني من Microsoft حول Petyaفي ذلك الوقت وصف قدرات تشبه الدودة، بما في ذلك سرقة بيانات الدخول واستغلال ثغرة SMB التي تم تصحيحها بـ MS17-010، بالإضافة إلى مسار هجوم عبر سلسلة التوريد يشمل برنامج التحديث M.E.Doc.التحليل الفني الشبكي اللاحق من Microsoftركز على الحركة الجانبية المتطورة وإساءة استخدام بيانات الدخول. هذه المصادر لا تقدم خريطة جنائية دقيقة لميرسك. إنها تظهر لماذا لا يمكن لثغرة واحدة غير مصححة أن تفسر الحدث. امتيازات الهوية، والثقة في البرمجيات، وإمكانية الوصول الشبكي، وسرعة الاحتواء كلها كانت عوامل مهمة.

مشكلة الحوكمة هي مشكلة مجالات الفشل. قد تحتاج شركة عالمية لتشغيل برنامج مطلوب محلياً في بلد معين. هذا لا يعني أن البرنامج المحلي يجب أن يكون قادراً على التأثير على الخدمات العالمية للهوية والشحن والحجز والمحطات والمالية دون حواجز قوية. الحدث المدمر يختبر ما إذا كانت الضرورة الإقليمية تمتلك سلطة عالمية. إذا كانت كذلك، فإن استمرارية الإيرادات تعتمد على أمان القناة الإلزامية الأقل مرونة.

فترة التكلفة في تقارير ميرسك تظهر أيضاً أن الاستعادة الرقمية واستعادة الإيرادات تسيران بسرعتين مختلفتين. يمكن للتطبيقات أن تعود قبل العملاء. يمكن للمحطات أن تعيد فتح أبوابها قبل حل المتراكمات. يمكن لخدمة العملاء الرد على المكالمات قبل أن تتوفر لديها حالة موثوقة. يمكن أن تتأخر الفواتير بعد أن تبدأ الشحنة في التحرك. الحجز الذي لم يُقبل في يوليو لا يصبح إيراداً في أغسطس لمجرد أن خادماً تم إعادة بنائه. لهذا السبب فإن إشارة تقرير الربع الثالث إلى خسارة أعمال مؤقتة مهمة جداً. إنها تربط التحكم التشغيلي بالاعتراف بالإيرادات.

لا ينبغي لمعيار المسؤولية أن يسأل ما إذا كان بإمكان ميرسك منع جميع آثار NotPetya. بل ينبغي أن يسأل ما إذا كانت الشركة قادرة على إثبات أن سطح التحكم الرقمي كان مجزأً بما يكفي وقابلاً للاستعادة وشفافاً للحفاظ على قنوات الإيرادات حية في ظروف كان على قادة الأمن أن يتخيلوها مسبقاً: برنامج خبيث مدمر، وإساءة استخدام بيانات الدخول، واختراق برامج إقليمية، وانتشار عالمي.

استعادة الهوية كانت شرطاً أساسياً للتحكم في الإيرادات

أشهر تفاصيل استعادة ميرسك تأتي من إعادة بناء صحفية لاحقة.تحقيق WIRED في NotPetyaأفاد أن وحدة تحكم نطاق غير متصلة في غانا حافظت على معلومات الهوية اللازمة للاستعادة بعد أن تم مسح وحدات تحكم نطاق أخرى متزامنة. هذه الرواية هي تقرير سردي يعتمد على مقابلات، وليس التقرير الجنائي الرسمي لميرسك. يجب أن يُنسب على هذا الأساس. ومع ذلك فإن أهميته هائلة لأنه يحدد الهوية كشرط أساسي للتحكم في الإيرادات.

الهوية ليست سلعة إدارية في اللوجستيات العالمية. إنها تقرر أي الموظفين والأنظمة وحسابات الخدمة والمحطات والتطبيقات والشركاء يمكنهم التصرف. بدون هوية موثوقة، لا تستطيع الشركة إعادة تشغيل وظائف الحجز والمحطة والمالية والعملاء والدعم بثقة. إعادة بناء التطبيقات دون إعادة بناء الهوية يشبه استعادة إضاءة مستودع دون معرفة من هو المخول بالإفراج عن البضائع.

قصة غانا، إذا قرئت فقط كحظ، تفقد درس التحكم. وحدات التحكم في النطاق المتكررة والمتصلة مباشرة ليست مطابقة لهوية قابلة للاستعادة. النسخ المتزامنة تساعد في حالة العطل المادي العادي. لكنها قد تفشل معاً إذا وصلت حالة تدميرية أو اختراق بيانات الدخول إلى نفس المستوى الإداري. بنية الهوية القابلة للاستعادة تتطلب نسخاً احتياطية معزولة، واستعادة مختبرة، وحسابات مميزة محمية، وطريقة لإعادة بناء الثقة في بيئة نظيفة. استمرارية الإيرادات تعتمد على هذه الضوابط لأن كل وظيفة تجارية فوق الهوية تنتظرها.

دليل تخطيط الطوارئ من NIST، SP 800-34 Rev. 1، يوفر مفردات عامة للمعالجة البديلة، وخطط الاستعادة، والإجراءات اليدوية، والاختبارات.توصيات المركز الوطني للأمن السيبراني (NCSC) في المملكة المتحدةللتخفيف من البرمجيات الخبيثة وبرامج الفدية تركز أيضاً على النسخ الاحتياطية المحمية، واختبارات الاستعادة، والاستعادة النظيفة. هذه المصادر لم تكتب للحكم على ميرسك في 2017. إنها تصف الأدلة التي ينبغي لمجلس الإدارة أن يطلبها بعد أن رأى كيف يمكن لفقدان الهوية أن يصبح فقداناً للإيرادات.

الاستعادة النظيفة تتطلب أيضاً معرفة بالإعدادات. مسارات الشبكة، وقواعد جدار الحماية، وأنظمة المحطات، وخدمات الحجز، وبوابات العملاء، والعمليات المالية، واتصالات الشركاء يجب إعادة بنائها بالترتيب الصحيح. قد تمتلك شركة نسخاً احتياطية للبيانات لكنها قد تواجه صعوبة إذا لم تستطع إعادة بناء البيئة التي تجعل البيانات قابلة للاستخدام. في شبكة الشحن، قد يكون ترتيب الاستعادة الصحيح هو التواصل مع العملاء، ثم قبول الحجوزات، ثم فتح البوابات، ثم معالجة البضائع الخطرة، ثم الأمور المالية وخدمات الحالة، مع اختلافات محلية حسب الميناء.

الدليل على المسؤولية هو التكرار. هل استعادت المنظمة الهوية من نسخ معزولة في بيئة نظيفة؟ هل اختبرت ما إذا كانت المحطة قادرة على معالجة مجموعة محدودة من المعاملات بينما الهوية المركزية معطلة؟ هل تحققت من أي قنوات العملاء تعمل بدون بيئة الشركة العادية؟ هل قاست الأثر على الإيرادات في الساعة لانقطاعات الحجز والإفراج والفوترة؟ بدون هذه الاختبارات، قد تعرف الشركة أنها تستطيع إعادة بناء الخوادم لكنها لا تعرف ما إذا كان بإمكانها الاستمرار في الكسب بأمان أثناء إعادة البناء.

التواصل مع العملاء كان جزءاً من الاستمرارية

الاستعادة التشغيلية أثناء هجوم برمجيات خبيثة مدمرة لا تنتهي عند عودة أول تطبيق داخلي. العملاء بحاجة لمعرفة ما إذا كان ينبغي عليهم الحجز، أو إعادة التوجيه، أو الانتظار، أو استلام البضائع، أو الدفع، أو استخدام تعليمات يدوية. إذا كانت قنوات الاتصال غير متاحة أو غير موثوقة، تصبح الخدمة غير مؤكدة حتى عندما تكون بعض المحطات والمكاتب تعمل.

التحديثات العامة من ميرسك للمستثمرين والمحطات هي دليل على التواصل الخارجي تحت الضغط. كانت عامة وبالضرورة غير مكتملة، لكنها ساعدت العملاء والمستثمرين والشركاء على فهم أن التحكم في السفن بقي سليماً، وأن الأنشطة المتعلقة بالحاويات تأثرت، وأن حلولاً يدوية موجودة، وأن الاستعادة كانت تدريجية. هذا النوع من التواصل ليس نشاطاً سمعة ناعمة. إنه يوجه قرارات العملاء التي قد تحافظ على الإيرادات أو تستنزفها.

رواية WIRED وصفت موظفين يستخدمون البريد الإلكتروني الشخصي والمراسلات والورق وقنوات مرتجلة لمواصلة العمل. الارتجال قد يكون ضرورياً في الأزمات. لكنه قد يخلق أيضاً مشاكل في النزاهة والتسوية. تعليمات الإفراج اليدوي، أو بريد إلكتروني لعميل، أو جدول بيانات يمكن أن يحافظ على حركة الشحن، لكن يجب ربطها لاحقاً بالفوترة والمسؤولية والجمارك والأمان وسجلات العملاء. إذا كان الأثر اليدوي ضعيفاً، فقد تؤدي استعادة الإيرادات إلى نزاعات بعد انتهاء العطل المرئي.

السلطات العامة هي أيضاً جزء من سلسلة التواصل هذه. الموانئ والجمارك وخفر السواحل وهيئات تنظيم النقل بالشاحنات ومديرو الطوارئ المحليون قد يحتاجون لفهم قدرة المحطة والحالة السيبرانية.القرار MSC.428(98)والمبادئ التوجيهية MSC-FAL.1/Circ.3من المنظمة البحرية الدولية تضع المخاطر السيبرانية البحرية في إطار إدارة السلامة. هذه الوثائق لا تصف حادثة ميرسك، لكنها تعزز فكرة أن الاستمرارية السيبرانية هي جزء من الحوكمة التشغيلية البحرية.

توجيهات قطاع الموانئ تسير في نفس الاتجاه.توصيات ENISA لإدارة المخاطر السيبرانية في الموانئودليل مرونة الموانئ من الأونكتادتتعامل مع الموانئ كنظم مترابطة. عمل البنك الدولي علىأنظمة مجتمع الموانئيظهر كيف يدعم التبادل الرقمي المشترك التجارة الحديثة. وبالتالي فإن عطل الناقل يمكن أن يصبح مشكلة تنسيق بين الجهات الخاصة والعامة.

يجب قياس التواصل مع العملاء بمصطلحات تشغيلية. ما هي الخدمات المتاحة؟ أي الموانئ لديها قيود على البوابات؟ أي أنواع البضائع متوقفة؟ أي النماذج اليدوية أو جهات الاتصال البديلة صالحة؟ أي التعليمات السابقة يجب تجاهلها؟ كيف سيتم تسوية المعاملات اليدوية؟ متى سيصدر التحديث التالي؟ كيف ينبغي للشركات الصغيرة التي تفتقر إلى متخصصين في اللوجستيات أن تفسر الرسالة؟ الشركة التي تجيب على هذه الأسئلة تحمي إيراداتها بإعطاء العملاء سبباً لعدم التحول عنها.

العودة اليدوية كانت تتطلب حدوداً

أفادت ميرسك أنه تم تطبيق العديد من الحلول اليدوية. هذه العبارة سهلة الإعجاب وصعبة الحوكمة. العودة اليدوية في اللوجستيات ليست مجرد ورق يحل محل الشاشات. إنها وضع تحكم محدود. يجب أن تقرر أي المعاملات آمنة، وأيها يتطلب تأكيداً مركزياً، وأي البضائع لا يمكن أن تتحرك، ومن يمكنه الموافقة على الاستثناءات، وكيف سيتم تسوية كل إجراء عندما تعود الأنظمة.

مخاطر الإيرادات مباشرة. محطة لا تستطيع الإفراج إلا عن مجموعة فرعية من البضائع قد تحافظ على بعض الإيرادات وثقة العملاء. محطة تفرج عن بضائع دون إذن مناسب قد تخلق إخفاقات في المسؤولية أو الأمان أو الجمارك أو الفوترة. حجز مقبول يدوياً دون تأكيد السعة قد يخلق وعداً لا تستطيع الشبكة الوفاء به. لا يمكن للعودة اليدوية أن تكون وسيلة للتحكم في الاستمرارية إلا إذا كانت حدودها معروفة.

هنا حيث يختلف سياق الشحن البحري عن العديد من حوادث المكاتب. للحركة المادية عواقب تتعلق بالسلامة والقانونية. البضائع الخطرة، الشحنات المبردة، الوضع الجمركي، الوزن، الملكية، سلطة الإفراج، وتخطيط السفن لا يمكن تقديرها إلى أجل غير مسمى. مسألة التحكم ليست ما إذا كان بإمكان الموظفين الارتجال. بل هي ما إذا كانت المنظمة قد أقرت مسبقاً أوضاعاً متدهورة آمنة يمكن للموظفين تنفيذها دون اختراع القواعد أثناء العطل.

أعمال مكتب محاسبة الحكومة الأمريكية حول الأمن السيبراني البحري، بما في ذلكGAO-25-107244، تظهر قلقاً عاماً مستمراً بشأن المرونة السيبرانية لنظام النقل البحري.الجدول الزمني لتطبيق القاعدة النهائية للأمن السيبرانيلخفر السواحل الأمريكي يعكس نفس الاتجاه. هذه التطورات اللاحقة للقطاع العام لا ينبغي أن تُقرأ بأثر رجعي كواجبات محددة على ميرسك في 2017. إنها تظهر لماذا تطور القطاع نحو حوكمة سيبرانية أكثر وضوحاً.

العودة اليدوية تؤثر أيضاً على الشركات الصغيرة. نظرة عامة لمنظمة التعاون الاقتصادي والتنمية (OCDE) حولالشركات الصغيرة والمتوسطة والتجارةتشير إلى أن الشركات الصغيرة تعتمد على البنية التحتية التجارية لكنها غالباً ما تكون قدرتها محدودة على استيعاب الاضطرابات. نشرة حقائق من CISA حولتقليل مخاطر سلسلة توريد تكنولوجيا المعلومات والاتصالات للشركات الصغيرة والمتوسطةتقدم نقطة استمرارية مماثلة بمصطلحات تكنولوجية. عندما تتعطل الأنظمة الرقمية لمشغل لوجستي كبير، قد لا تملك الشركة التابعة له النفوذ أو المعلومات اللازمة لتخفيف الخسارة.

مغزى المسؤولية هو أن المشغلين الحيويين يجب أن يختبروا الأوضاع اليدوية ليس فقط للبقاء الداخلي ولكن أيضاً لملاءمة العملاء. هل يستطيع شاحن صغير فهم العملية البديلة؟ هل يستطيع سائق شاحنة التحقق من الإفراج؟ هل يستطيع وكيل شحن تسوية الرسوم؟ هل تستطيع سلطة ميناء تخطيط سعة البوابات؟ هل يستطيع عميل أن يثبت لاحقاً أن تعليمات ما كانت صالحة؟ العودة اليدوية التي تعمل فقط للمطلعين هي تحكم استمراري محدود.

الخط المالي بين الهجوم والانقطاع

الإسناد إلى جهات عسكرية روسية يحدد المسؤولية عن الهجوم المدمر. لكنه لا يجيب على سؤال كيف يجب فهم الخسارة المالية داخل المنظمة الضحية. رقم الأثر الذي أعلنته ميرسك والذي يتراوح بين 250 و300 مليون دولار أمريكي جمع بين خسارة الأعمال وتكاليف الاستعادة والتكاليف الاستثنائية. كل جزء يتوافق مع سؤال تحكم مختلف.

خسارة الأعمال تسأل ما إذا كان لدى العملاء بدائل قابلة للتطبيق وما إذا كان بإمكان ميرسك الاستمرار في قبول العمل. تكاليف الاستعادة تسأل كم كلفت إعادة بناء الموجودات الرقمية وما إذا كانت البنية جعلت الاستعادة النظيفة أصعب أو أسهل. التكاليف التشغيلية الاستثنائية تسأل كم من اليد العاملة والمعالجة اليدوية والدعم الخارجي والعمليات المؤقتة كانت ضرورية للإبقاء على الخدمات متحركة. نفس الحدث الخبيث يمكن أن ينتج توليفات مختلفة من التكاليف حسب الاستعداد.

هنا حيث يمكن لـ 'عمل حربي' أو إسناد لدولة أن يحجب دون قصد انقطاعاً قابلاً للتحكم. الحدث المدمر المرتبط بدولة هو كارثي، لكن خسارة الإيرادات بعد الدخول تتشكل بواسطة التجزئة، واستعادة الهوية، والنسخ الاحتياطية، والأوضاع اليدوية، والاتصالات، والعلاقات مع الموردين، والتمارين. المهاجم يتحكم في الهجوم. المشغل يتحكم في جزء من نصف قطر الانفجار ومسار الاستعادة. كلا العبارتين يمكن أن تكونا صحيحتين.

توصيات Ready.gov لاستمرارية الأعمالتضع الاستمرارية حول الوظائف الحيوية والموظفين والعملاء والموردين واستراتيجيات الاستعادة.إرشادات Shields Up من CISA لقادة الشركات والرؤساء التنفيذيينتركز على الاستعداد على مستوى القيادة في مواجهة مخاطر سيبرانية متزايدة. هذه موارد عامة عامة، وليست استنتاجات خاصة بميرسك. إنها تصف ما يجب أن تشمله محادثة الاستمرارية على مستوى مجلس الإدارة: ليس فقط ما إذا كانت النسخ الاحتياطية موجودة، ولكن أي الخدمات الحيوية يمكن أن تستمر في العمل وكيف ستتخذ القيادة القرارات في حالة عدم اليقين.

بالنسبة لمشغل بحري، يجب أن تشمل لوحة قيادة استمرارية الإيرادات توفر الحجوزات، وتدفق البوابات، ووضوح حالة الشحن، وإمكانية الوصول إلى جهة اتصال العملاء، واستمرارية الفواتير والمدفوعات، والتنسيق الجمركي والأمني، وإزالة المتراكمات. كما يجب أن تشمل مقاييس الثقة: مدى سرعة استئناف العملاء للحجوزات وما إذا كانت الالتزامات اليدوية قد سويت دون نزاع. هذا سرد أغنى من 'تمت استعادة الأنظمة'.

استعادة ميرسك نالت إعجاباً واسعاً لسرعتها وإصرارها. الإعجاب يجب ألا يمنع التعلم الأكثر صرامة. إذا كانت نسخة هوية غير متصلة مركزية في الاستعادة، فالسؤال التالي هو ما إذا كانت استعادة الهوية المستقلة مصممة الآن بدلاً من أن تكون عرضية. إذا حافظت الحلول اليدوية على حركة البضائع، فالسؤال التالي هو ما إذا كانت هذه الحلول موثقة الآن ومختبرة ومحدودة. إذا استمرت خسارة الإيرادات بعد الاستعادة التقنية، فالسؤال التالي هو أي الخدمات تخلق أكبر خطر لتحول العملاء أثناء الأعطال المستقبلية.

وحدات خدمة الإيرادات يجب تسميتها مسبقاً

درس استمرارية الإيرادات من ميرسك يكون أوضح إذا لم تُعتبر الشركة كتلة واحدة بل مجموعة من وحدات الخدمة التي تكسب الإيرادات أو تحافظ عليها أو تخسرها بسرعات مختلفة. وظيفة التحكم في السفن، وبوابة الحجز، وبوابة المحطة، ونظام حالة الشحن، وسجل البضائع الخطرة، وقناة خدمة العملاء، وعملية الفوترة، وواجهة مصرفية كلها تساهم في الاستمرارية. ليست لها نفس أولوية الاستعادة ولا نفس البديل اليدوي.

لذلك يجب أن تسمي خطة الاستمرارية على مستوى مجلس الإدارة وحدات خدمة الإيرادات قبل حادث سيبراني. بالنسبة للشحن البحري، قد تكون الوحدة الأولى هي قبول الحجوزات: هل تستطيع الشركة قبول مهام جديدة، وتسعيرها، وتأكيدها، وحجز السعة؟ الثانية قد تكون استلام البضائع: هل تستطيع محطة أو مستودع قبول الحاويات وتوثيق العهدة؟ الثالثة قد تكون الإفراج عن البضائع: هل تستطيع المنظمة التحقق من أن الحاوية يمكن أن تغادر؟ الرابعة قد تكون وضوح الحالة: هل يستطيع العملاء والشركاء معرفة ما حدث؟ الخامسة قد تكون الفوترة والدفع: هل تستطيع الشركة الفوترة بدقة واستلام الأموال؟ كل وحدة لديها تحمل مختلف للتأخير.

الأثر المالي الذي أبلغت عنه ميرسك يظهر لماذا هذه الفروق مهمة. خسارة الأعمال المؤقتة في يوليو وأغسطس تشير إلى أن الشركة خسرت أعمالاً تتجاوز العطل التقني الفوري. عميل لا يستطيع الحجز، أو لا يستطيع رؤية شحنته، أو لا يستطيع الوثوق بالتعليمات قد يستخدم ناقلاً آخر أو يؤخر الشحن. بمجرد اتخاذ هذا القرار، قد لا تعود الإيرادات. الاستعادة التقنية يمكن أن تكون سريعة بمعايير الهندسة ومع ذلك بطيئة بمعايير اختيار العملاء.

بوابات المحطات هي وحدة خدمة ملموسة بشكل خاص. البوابة لا تفتح ببساطة. إنها تتحقق من الهوية، والحجز، والحاوية، والجمارك، والمعدات، والأمان، وشروط الإفراج. إذا كانت هذه التحققات غير متاحة، فقد تقلل المحطة حركة المرور، أو تستخدم إجراءات يدوية، أو توقف بعض الحركات. تحديث APM Terminals في 30 يونيو بشأن توسيع خدمات البوابات كان بالتالي إشارة استعادة مهمة. لقد أشار إلى السوق أن مواقع محددة كانت تنتقل من عملية مقيدة إلى حالة خدمة أوسع.

وضوح حالة الشحن هو وحدة خدمة أخرى. العملاء لا يدفعون فقط مقابل الحركة؛ إنهم يدفعون مقابل معرفة الحركة. عندما لا يستطيع مصنع أو بائع تجزئة أو وكيل شحن رؤية أين توجد الشحنة، قد يقومون بتكوين مخزون احتياطي، أو إعادة توجيه، أو دفع تكاليف شحن معجل، أو إبلاغ عملائهم بالتأخير. حادث سيبراني يعطل وضوح الحالة يمكن أن يسبب خسارة اقتصادية حتى عندما تكون الشحنة آمنة مادياً. استمرارية إيرادات المشغل تعتمد على الحفاظ على حالة موثوقة بما يكفي لمنع العملاء من اتخاذ إجراءات دفاعية.

وظائف الفوترة والدفع يمكن أن تتأخر عن الاستعادة المادية. التقارير المالية لميرسك أقرت بتكاليف الاستعادة والتكاليف التشغيلية الاستثنائية، لكن خطة الاستمرارية يجب أن تسأل أيضاً كيف تؤثر أخطاء الفوترة، والفواتير المتأخرة، والرسوم المتنازع عليها، والمعاملات اليدوية على تحويل النقد. إذا لم تسوَّ حركات البوابات اليدوية أو الحجوزات بشكل صحيح، فقد تحافظ الشركة على الخدمة بينما تخلق تسربات إيرادات لاحقة أو نزاعات مع العملاء. لذلك يجب أن تتضمن خطة استمرارية الإيرادات التسوية كخدمة من الدرجة الأولى، وليس تنظيماً محاسبياً بعد الطوارئ.

نموذج وحدة الخدمة يساعد أيضاً في تخصيص موارد الاستعادة النادرة. إذا كانت استعادة الهوية هي عنق الزجاجة، يمكن للقادة أن يقرروا أي الوحدات تتلقى هوية نظيفة أولاً. إذا كانت المحطة تستطيع بأمان إجراء إفراج عند الوصول يدوياً ولكن ليس قبولاً للتصدير، يمكن لاتصالات العملاء أن تذكر ذلك. إذا تمت استعادة الحجز لبعض الخطوط دون غيرها، يمكن للفرق التجارية الحفاظ على الإيرادات بصدق بدلاً من الإفراط في الوعود. الدقة تحمي الثقة.

الفشل الشائع في الاستمرارية السيبرانية هو قول 'أنظمة حيوية' دون تحديد الفعل التجاري الذي يدعمه كل نظام. تجربة NotPetya في ميرسك تظهر ضعف هذه اللغة. الفعل الحيوي لم يكن مجرد تشغيل الخوادم. بل كان قبول البضائع، ونقلها، والإفراج عنها، وفوترةها، وشرحها. تصبح استمرارية الإيرادات قابلة للحوكمة فقط عندما تُسمى هذه الأفعال.

إعادة البناء النظيف يتطلب ترتيباً تجارياً، وليس تقنياً فقط

البرمجيات الخبيثة المدمرة تجبر الفرق التقنية على إعادة البناء بترتيب يستعيد الثقة. قادة الأعمال غالباً ما يرون هذا الترتيب كتأخير لأن خدمة العملاء الأكثر وضوحاً قد لا تعود أولاً. ملف ميرسك يوضح لماذا يجب تخطيط الترتيب. إذا كانت الهوية وتجزئة الشبكة والسلطة الإدارية غير موثوقة، فإن إعادة تشغيل نظام موجه للعملاء قد يخلق ثقة زائفة أو يعيد إدخال اختراق.

إعادة البناء النظيف لها سلسلة من التبعيات التقنية. إنشاء اتصالات نظيفة. استعادة هوية موثوقة. إعداد أدوات إدارية. استعادة حدود الشبكة. التحقق من صحة النسخ الاحتياطية. إعادة بناء البنية التحتية المركزية. استعادة التطبيقات. إعادة ربط الشركاء. مراقبة التكرار. هذا التسلسل مألوف لدى المستجيبين، لكن استمرارية الأعمال تتطلب ترجمة موازية. أي التزامات العملاء يمكن اتخاذها في كل خطوة؟ أي القرارات الداخلية يمكن الوثوق بها؟ أي وحدات خدمة الإيرادات يمكن أن تعمل بأمان قبل الاستعادة الكاملة؟

الاعتماد على الهوية مركزي لأنه يحدد تقريباً كل وحدة تجارية. موظف الحجز يحتاج إلى وصول. مشغل المحطة يحتاج إلى تصريح. بوابة العملاء تحتاج إلى توثيق. العملية المالية تحتاج إلى مستخدمين وحسابات خدمة. تكامل الشريك قد يعتمد على شهادات ومفاتيح وجلسات موثوقة. إذا كانت طبقة الهوية غير مؤكدة، فإن كل خدمة مستعادة ترث عدم اليقين. لهذا السبب أصبحت قصة وحدة تحكم النطاق في غانا في رواية WIRED لا تنسى: لقد جعلت القيمة التجارية للهوية القابلة للاستعادة مرئية.

الترتيب التجاري قد يختلف عن الملاءمة التقنية. قد يفضل فريق تقني استعادة تطبيق كبير لأن التبعيات جاهزة. لكن الشركة قد تحتاج إلى خدمة أصغر أولاً لأنها تخبر العملاء أي البضائع متاحة. قد تحتاج محطة إلى عملية بوابة محدودة قبل بوابة عملاء كاملة. قد تحتاج المالية إلى عملية مؤقتة لحسابات القبض قبل إعادة بناء كاملة لنظام تخطيط موارد المؤسسة. هذه الخيارات تتطلب سلطة متفق عليها مسبقاً لأن وسط حدث خبيث مدمر هو وقت سيء للتفاوض على الأولويات من الصفر.

إعادة البناء النظيف تتطلب أيضاً قاعدة للبيانات القديمة. النسخة الاحتياطية قد تحتوي على بيانات تجارية نظيفة، وبيانات دخول مخترقة، وإعدادات قديمة، أو برنامج خبيث. استعادة كل شيء بسرعة يمكن أن تكون خطيرة. استعادة القليل جداً يمكن أن تجعل العمليات عمياء. خطة ناضجة تصنف البيانات حسب الثقة والإلحاح: كائنات الهوية، وحالة الشحن، وسجلات اتصالات العملاء، والتزامات الحجز، والفواتير، وإعدادات المحطة، والسجلات. كل فئة لها هدف نقطة استعادة وطريقة تحقق.

نفس الخطة يجب أن تشمل إعادة ربط الشركاء. الشحن البحري ليس عملاً مغلقاً. الناقلون يتصلون بالمحطات، وأنظمة مجتمع الموانئ، والمنصات الجمركية، والبنوك، وموردي السكك الحديدية، وسائقي الشاحنات، ووكلاء الشحن، والعملاء. بعد برنامج خبيث مدمر، إعادة ربط الشركاء هو قرار ثقة. قد يحتاج الشركاء إلى تأكيد أن البيئة المستعادة نظيفة. قد يحتاج المشغل إلى تأكيد أن التعليمات اليدوية المرسلة أثناء العطل كانت شرعية. إعادة الربط المتسرعة يمكن أن تنشر عدم اليقين؛ إعادة الربط البطيئة يمكن أن تخسر الإيرادات. التوازن يجب أن يُخطط له.

هنا حيث تكون توجيهات الأمن السيبراني البحري للقطاع العام ذات قيمة. وثائق المنظمة البحرية الدولية (OMI) وENISA لا تخبر ميرسك بالضبط كيف تستعيد نطاقاً أو نظام حجز. إنها تضع المخاطر السيبرانية كجزء من حوكمة السلامة ونظام الموانئ. هذا الإطار يدفع قادة الأعمال إلى معاملة الاستعادة النظيفة كانضباط تشغيلي بدلاً من تنظيف تقني بحت.

مبدأ الغرفة النظيفة يؤثر أيضاً على تواصل القادة. يجب على القادة مقاومة قول 'لقد عدنا' دون تحديد أي الأفعال التجارية عادت. رسالة أفضل هي المتدرجة: بقي التحكم في السفن سليماً؛ بعض البوابات قيد التشغيل؛ الحجوزات متاحة لخطوط محددة؛ حالة العميل جزئية؛ قد تتأخر الفوترة؛ المعاملات اليدوية ستُسوى. هذه اللغة قد تبدو أقل طمأنة، لكنها أكثر موثوقية. في حدث استمرارية الإيرادات، الثقة الجزئية الدقيقة أفضل من اليقين العام الزائف.

اختيارات العملاء هي جزء من نموذج الخسارة

الأثر المالي الذي أبلغت عنه ميرسك تضمن خسارة أعمال مؤقتة. هذه العبارة تستحق اهتماماً أكبر لأنها تصف اختيار العميل في حالة عدم اليقين. قد لا ينتظر العميل حتى يستعيد المشغل جميع أنظمته. قد يعيد توجيه الشحنة، أو يقسم الشحنات، أو يستخدم ناقلاً آخر، أو يؤجل الإنتاج، أو يقبل تكاليف أعلى في مكان آخر. هذه الخيارات عقلانية من وجهة نظر العميل ومكلفة من وجهة نظر المشغل.

اختيار العميل يعني أن نموذج خسارة الإيرادات يجب أن يشمل تآكل الثقة. كلما طالت مدة افتقار العميل إلى حالة، أو تأكيد حجز، أو معلومات عن البوابات، أو تقديرات استعادة موثوقة، زاد احتمال بحثه عن بدائل. العميل لا يحتاج إلى الاعتقاد بأن المشغل مهمل. هو فقط بحاجة إلى حماية التزاماته الخاصة. في اللوجستيات، عدم اليقين بحد ذاته تكلفة لأن قرارات الإنتاج والتجزئة والمخزون في المراحل التالية تعتمد على التوقيت.

الشركات الصغيرة تشعر بعدم اليقين هذا بشكل مختلف عن كبار الشاحنين. الشاحن الكبير قد يكون لديه وكلاء شحن متعددون، ومخزون احتياطي، وقوة تفاوضية. المصدر أو المستورد الصغير قد يكون لديه حجز واحد، أو طلب موسمي، أو نافذة تدفق نقدي. إذا لم يستطع رؤية ما إذا كانت الشحنة ستتحرك، فقد يواجه غرامات أو خسائر في المبيعات لا تظهر أبداً في البيانات المالية للناقل. وثائق CISA و OCDE حول استمرارية الشركات الصغيرة والمتوسطة والتجارة تساعد في تفسير لماذا تصبح المرونة السيبرانية لمشغل كبير مرونة تجارية لشركة أصغر.

اختيار العميل يؤثر أيضاً على الأنظمة العامة. إذا قام العديد من الشاحنين بإعادة التوجيه في نفس الوقت، فقد ينتقل الازدحام من محطة أو ميناء إلى آخر. قد ينتظر سائقو الشاحنات، وقد تفشل أنظمة المواعيد، وقد يُعاد جدولة التخليص الجمركي، وقد تمتص الاقتصادات المحلية التأخيرات. وبالتالي فإن عطلاً سيبرانياً لمشغل خاص يمكن أن يخلق تكاليف تنسيق خارجية. لهذا السبب تعالج التوصيات المتعلقة بالأمن السيبراني للموانئ والشحن بشكل متزايد الحوادث السيبرانية كمشاكل مرونة للنظام بدلاً من مسائل تقنية معلومات خاصة.

يمكن للمشغل أن يقلل من تآكل الثقة بتواصل موثوق ومجزأ. العميل الذي يقرر إعادة التوجيه أو لا يحتاج إلى معرفة حالة الخدمة المتعلقة بشحنته، وليس فقط وضع الاستعادة العام للشركة. إذا كان الميناء مفتوحاً جزئياً، يحتاج العميل إلى معرفة أي المعاملات ممكنة. إذا تأخرت أنظمة الحالة، يحتاج إلى معرفة متى يتوفر تأكيد يدوي. إذا تأخرت الفواتير، يحتاج إلى معرفة كيف سيتم حل النزاعات. المعلومات المحددة تمنع العملاء من افتراض الأسوأ.

تآكل الثقة يعتمد أيضاً على التعلم المرئي بعد الحادث. قد يعود العملاء إذا اعتقدوا أن الحدث كان استثنائياً وأن المشغل تحسن. قد ينوعون إذا اعتقدوا أن بنية المشغل لا تزال هشة. الأدلة العامة بعد الحادث يمكن أن تؤثر بالتالي على الإيرادات المستقبلية حتى بعد الفترة المالية المباشرة. شركة تظهر استعادة هوية مختبرة، وأوضاعاً يدوية محدودة، وقنوات عملاء أوضح يمكن أن تحول حادثاً خطيراً إلى إشارة مرونة. شركة تعتمد فقط على إعادة بناء بطولية تطلب من العملاء أن يثقوا بالحظ مرة أخرى.

هذه هي النقطة الأخيرة حول استمرارية الإيرادات. الخسارة المالية لـ NotPetya لم تكن فقط تكلفة الأجهزة الميتة. بل كانت تكلفة ثقة متقطعة في خدمة تنسيق عالمية. الأجهزة كانت الوسيلة؛ اختيارات العملاء كانت النتيجة التجارية. التحكم التشغيلي مهم لأنه يحمي هذه الخيارات قبل أن تختفي.

التمارين يجب أن تشمل الانحراف التجاري

تمارين الاستعادة السيبرانية غالباً ما تتوقف عند استعادة الخدمة التقنية. تمرين استمرارية الإيرادات يجب أن يستمر حتى تستقر الحالة التجارية. بالنسبة لنوع نشاط ميرسك، هذا يعني اختبار ما إذا كانت الحجوزات تستأنف، وطوابير البوابات تفرغ، والعملاء يثقون بتحديثات الحالة، والمعاملات اليدوية تُسوى، والفواتير تُصدر، والأعمال المحولة تعود. يجب أن يسأل التمرين كم من الإيرادات تُفقد في كل ساعة من عدم اليقين، وليس فقط كم من الخوادم تبقى غير متصلة.

الانحراف التجاري هو الحركة التدريجية للعملاء، والبضائع، واهتمام الموظفين، وثقة الشركاء بعيداً عن المشغل المتأثر. يمكن أن يبدأ قبل أن يتعطل المشغل تماماً ويستمر بعد أن تتم استعادة الأنظمة تقنياً. قد يتحوط العميل بالحجز في مكان آخر. قد يعدل شريك الميناء افتراضات السعة. قد يخبر وكيل الشحن عملائه بتوقع تأخير. هذه الخيارات يمكن أن تكون عقلانية وقابلة للعكس، أو أن تصبح دائمة. تواصل المشغل وتصميم الخدمة المتدهورة يؤثران على المسار الذي يختاره العملاء.

لذلك يجب أن تشمل التمارين فرق المبيعات، وخدمة العملاء، وعمليات المحطات، والمالية، والقانونية، والاتصالات، والشؤون العامة، وليس فقط البنية التحتية والأمن. يجب أن يُلزم السيناريو القادة بنشر حالات خدمة جزئية، وتقرير أي فئات البضائع تستمر يدوياً، واختيار متى يقبلون حجوزات جديدة، وتحديد أولوية استعادة الهوية، وتسوية السجلات اليدوية. كما يجب أن يشمل جهات فاعلة في المراحل التالية: شاحن صغير يسأل عما إذا كان ينبغي إعادة التوجيه، وسلطة ميناء تسأل عن حالة البوابات، ووكيل شحن يسأل عما إذا كان التأكيد اليدوي معتمداً.

يجب أن تكون النتيجة مجموعة من العتبات التجارية. في أي نقطة تعلق الشركة الحجوزات الجديدة بدلاً من خلق وعود غير موثوقة؟ في أي نقطة توصي ببدائل للعملاء؟ في أي نقطة تنشر قيوداً محددة بالميناء؟ في أي نقطة تنتقل من القبول اليدوي إلى السيطرة على المتراكمات؟ هذه العتبات صعبة لأنها قد تضحي بإيرادات قصيرة الأجل. لكنها أيضاً تحافظ على الثقة بتجنب وعود لا تستطيع خطة التحكم المتدهور الوفاء بها.

لقد أظهر NotPetya أن برنامجاً خبيثاً مدمراً يمكن أن يحول شركة لوجستيات إلى منسق أزمات. استمرارية الإيرادات تعتمد على جودة هذا التنسيق بينما الأنظمة العادية غير موثوقة. التمارين التي تشمل الانحراف التجاري تجعل هذا الاعتماد مرئياً قبل الحدث المدمر التالي.

ملاحظة طباعية

الغموض المتبقي ومسألة المسؤولية

الملف العام لا يكشف عن مسار الانتشار الكامل لميرسك، أو حالة التصحيحات، أو بنية الهوية، أو تجزئة الشبكة، أو تصميم النسخ الاحتياطية، أو السجل الداخلي لقرارات الاستعادة. لا يثبت التكلفة الإجمالية التي تحملها العملاء أو شركاء الموانئ أو سائقو الشاحنات أو وكلاء الشحن أو الهيئات العامة. لا يتحقق بشكل مستقل من محتوى كل حل يدوي. لا يثبت كيف تم اختبار الضوابط اللاحقة.

هذه الفجوات تدعو إلى الحذر، لا إلى الصمت. الملف المعروف قوي بما يكفي لدعم الدرس المركزي في المسؤولية. لقد شهدت ميرسك حدثاً خبيثاً مدمراً لم يسيطر على السفن لكنه عطل سطح التحكم الرقمي للوجستيات الحاويات. حافظت الشركة على التحكم في السفن، واستخدمت حلولاً يدوية، وأعادت البناء بسرعة، وأبلغت عن أثر مالي كبير. لقد تعلم النظام الأوسع أن حركة البضائع تعتمد على هوية قابلة للاستعادة، وتواصل مع العملاء، وسلطة المحطة، واستعادة نظيفة للخدمة.

الاختبار المستقبلي هو ما إذا كانت استمرارية الإيرادات تُعامل كمتطلب هندسي وحوكمة قبل الأزمة التالية. يجب أن يعرف المشغل العالمي أي الخدمات الرقمية تولد إيرادات في الساعة، وأي مكونات الهوية يجب أن تنجو بشكل مستقل، وأي وظائف المحطة يمكن أن تعمل في وضع متدهور، وأي رسائل العملاء مرخصة مسبقاً، وأي السجلات اليدوية يمكن تسويتها، وأي الشركاء العامين يحتاجون إلى الحالة في الوقت المناسب. لقد جعل NotPetya هذه المسألة مرئية. الجواب المسؤول هو الدليل على أن الحدث المدمر التالي سيجد مجال فشل أصغر ومحدداً بشكل أفضل.