الاستجابة للحوادث: أول ساعة تحدد حجم الخسارة

قبل الحادثة

1. قائمة اتصال محدثة: من يبلغ، ومن يقرر، ومن يتحدث خارجيا.
2. تحديد مسبق لمن يملك صلاحية فصل نظام عن الشبكة بلا انتظار موافقات.
3. نسخ احتياطية مختبرة ومعروفة الموقع وزمن الاستعادة.
4. سجلات مفعلة ومحفوظة مدة كافية — بلا سجلات لا تحقيق.
5. جهة خارجية متعاقد معها مسبقا للاستجابة إن لم يكن لديك فريق.

الساعة الأولى

الأولوية للاحتواء لا للفهم: اعزل الأنظمة المصابة عن الشبكة، وأبطل الحسابات المشتبه بها، وغير بيانات الوصول الحرجة، وأوقف التكاملات التي قد تنشر الأثر. والفهم الكامل يأتي لاحقا.

ولا تطفئ الأجهزة المصابة: كثير من الأدلة في الذاكرة وتضيع بالإطفاء. اعزلها عن الشبكة وأبقها تعمل.

التحقيق

• حدد نقطة الدخول الأولى ووقتها — بدونها قد تنظف وتعود الإصابة.
• حدد نطاق الوصول: ما الحسابات والأنظمة والبيانات التي مسها.
• ابحث عن آليات البقاء: حسابات مضافة، ومهام مجدولة، وقواعد إعادة توجيه بريد.
• وثق كل خطوة بوقتها — التوثيق يخدم التحقيق والإبلاغ النظامي معا.

التواصل

حدد مسبقا من يتحدث ومع من: الموظفون، والعملاء، والشركاء، والجهات النظامية. والصمت الطويل يفسر سوءا، والتصريح المتسرع بمعلومات ناقصة يضطر للتراجع. والصيغة العملية: نعلم بالحادثة، ونعمل على احتوائها، وسنحدثكم في وقت محدد.

بعد الحادثة

اجتماع مراجعة بلا لوم أشخاص: ما الذي سمح بالدخول، ولماذا لم يكتشف مبكرا، وما الذي أبطأ الاستجابة. ثم قائمة إصلاحات بمالك وتاريخ. والحادثة التي لا ينتج عنها تغيير ستتكرر — وثقافة اللوم تضمن أن تخفى المرة القادمة.

أسئلة شائعة

متى نبلغ الجهات النظامية؟

بحسب متطلبات قطاعك ونوع البيانات المتأثرة، وكثير من الأطر يفرض مهلا قصيرة. واعرف التزاماتك مسبقا واكتبها في الخطة، فالبحث عنها أثناء الأزمة يأكل الوقت الحرج.

هل نستعين بجهة خارجية؟

مفيد جدا للتحقيق العميق والتعامل مع الحوادث الكبيرة، والأفضل التعاقد المسبق فلا تتفاوض على العقد أثناء الأزمة. والفريق الداخلي يبقى مسؤولا عن الاحتواء الفوري والقرار.

كيف نختبر الخطة؟

بتمرين طاولة: اعرض سيناريو واسأل كل مسؤول ماذا سيفعل الآن. وهذا يكشف الفجوات في ساعتين بلا مخاطرة، ويستحق التكرار سنويا وبعد أي تغيير كبير في الفريق أو الأنظمة.