إدارة التصحيحات: الواجب المُهمَل بين الروتين اليومي والهجمات

كان هناك شيء مشترك في موجات الهجمات الكبيرة خلال السنوات الأخيرة: لم تستغل ثغرات أمنية غير معروفة، بل... ثغرات أمنية معروفة منذ فترة طويلة، حيث يتوفر لها تحديث. سواء كانت ثغرات Exchange أو Log4j — كان المهاجمون أسرع من عمليات التحديث لدى الضحايا. لذلك، إدارة التصحيحات ليست مسألة إدارية بحتة، بل هي أرخص وسيلة دفاع فعالة موجودة.

لماذا يفشل تطبيق التحديثات في الممارسة العملية

• غياب الجرد: ما لا يعرفه أحد، لا يمكن لأحد أن يحدّثه. خاصةً الخوادم القديمة، والطابعات، وأجهزة جدران الحماية (Firewall)، والبرمجيات التي تعمل "في مكان ما" دون رقابة.
• الخوف من الانقطاع: تُؤجَّل التحديثات لأن إعادة التشغيل خلال ساعات العمل غير ممكنة — ثم لا تُجرى لاحقًا أبدًا.
• غموض المسؤوليات: يفترض مزوّد الخدمة أن العميل هو من يقوم بذلك؛ بينما يفترض العميل أن مزوّد الخدمة هو من يتكفل به.
• غياب الدليل: يتم تطبيق التحديثات، لكن لا أحد يستطيع إثبات متى كان كل نظام على أي مستوى تحديث.

الحد الأدنى للمعايير لعملية موثوقة

• جرد كامل: كل جهاز، وكل تطبيق، وكل برنامج أساسي (Firmware) — يُسجَّل تلقائيًا، وليس عبر إدارة يدوية باستخدام Excel.
• فحص الثغرات الأمنية: بشكل دوري وأutomated، بدلاً من انتظار رسائل البريد الإلكتروني من الموردين.
• أولويات بناءً على قابلية الاستغلال: ليست كل ثغرة متساوية. المعيار الحاسم هو ما إذا كان الهجوم موجودًا بالفعل في العالم الحقيقي (انظر قوائم الثغرات المستغلة المعروفة)، وليس فقط التقييم النظري.
• التحديثات الحرجة خلال 72 ساعة، وكل ما عدا ذلك ضمن نافذة الصيانة المخططة — مع حلقة اختبار قبل النظام الإنتاجي.
• التوثيق: التاريخ، النظام، النتيجة. هذا هو دليل امتثالكم لـ NIS2 في الوقت نفسه.

NIS2 تحوّل "يجب" إلى إلزام

تتطلب التنفيذ الألماني لقانون NIS2 إجراءات إدارة مخاطر وفقًا لأحدث التقنيات — ويشمل ذلك صراحةً التعامل مع الثغرات الأمنية. يجب على الشركات المتأثرة أن لا تلتزم بالعملية فحسب، بل إثبات عند الطلب يمكن. الإدارة العليا تتحمل المسؤولية عن ذلك شخصياً.

ما الذي يتكفّل به المُقدِّم في هذا الصدد

يتولى شريك خدمات الإدارة (Managed-Service) تحديداً المهام التي تفشل داخلياً: جرد الأصول، قياس نقاط الضعف، نشر الحلول المُختبرة خلال نافذة الصيانة، والتوثيق الشامل. يحتفظ قسم تقنية المعلومات الداخلي بالسيطرة الكاملة على التطبيقات المتخصصة والموافقات — بينما يعمل الباقي كمقاسات أداء قابلة للقياس، وليس مجرد نوايا حسنة.

تنبيه: لا يُغني هذا المقال عن الاستشارة القانونية. يهدف إلى تقديم تصنيف أولي؛ أما الفحص الرسمي لوضعكم فيجب أن يكون على يد خبراء متخصصين.

← جميع الأدلة