مرحلة الاحتواء (Containment). الإجراءات الفورية: فصل الجهاز عن الشبكة فيزيائيًا (كابل الإنترنت + Wi-Fi)، إيقاف مشاركة الملفات الشبكية من الجهاز، الحصول على نسخة من ذاكرة الجهاز (Memory Dump) قبل إيقافه للتحليل. الهدف: منع انتشار البرنامج الخبيث لأجهزة أخرى على الشبكة.

عوامل القرار: (1) هل يوجد نسخة احتياطية حديثة لاستعادة الملفات دون دفع؟ (2) مدى تأثير الانقطاع على حياة المرضى (أجهزة حيوية). (3) لا ضمان أن الدفع يسترد الملفات. البديل الأفضل منذ البداية: نسخ احتياطية منتظمة معزولة عن الشبكة الرئيسية (Offline Backup) — Ransomware لا يستطيع تشفير ما لا يصله.

الخطر = الاحتمالية × الأثر. رغم أن (أ) احتماليته أقل، أثره الكارثي (غرامات GDPR، فقدان الثقة، دعاوى قضائية) يجعل قيمة الخطر أعلى بكثير. الأولوية: معالجة (أ) أولًا لأن الأضرار غير القابلة للتعافي تستحق استثمارًا وقائيًا أكبر، حتى لو احتمالها أقل.

RTO: أقصى وقت يصمده البنك بدون النظام (مثلًا 4 ساعات). RPO: أقصى قدر من البيانات يمكن فقدانه (مثلًا 1 ساعة). تصميم النسخ: RPO ساعة واحدة يعني نسخ احتياطي كل ساعة. RTO 4 ساعات يعني يجب الاستعداد لاستعادة النظام خلال 4 ساعات من أحدث نسخة — هذا يُحدد مدى استثمار المصرف في سرعة البنية التحتية للاستعادة.

تمرين الطاولة: جلسة محاكاة يناقش فيها الفريق سيناريو هجوم افتراضي خطوة بخطوة دون تنفيذ فعلي — ‘ماذا سنفعل لو حدث X؟’. أهميته: يكشف ثغرات في خطة الاستجابة، يُوضح من يقرر ماذا عند الأزمة، يُدرّب الفريق على الضغط النفسي، يُحدد التنسيق بين الأقسام — كل ذلك قبل أن تكون التكلفة حقيقية.

مبرر حين: تكلفة المعالجة تفوق قيمة الأصل المحمي، أو الثغرة لها احتمالية منخفضة جدًا وأثر محدود. غير مسؤول حين: الثغرة تمس بيانات شخصية لعملاء (التزام قانوني بالحماية)، أو قد تؤثر على سلامة أشخاص (أجهزة طبية). القبول يجب أن يكون قرارًا واعيًا موثقًا وليس إهمالًا.

التعافي من الكوارث (DR): يركز على الجانب التقني — استعادة الأنظمة والبيانات والبنية التحتية. BCP أشمل: يتناول كيف تستمر العمليات التجارية كلها أثناء وبعد الكارثة — ليس فقط التقنية بل أيضًا الموظفون، الاتصالات، المكان البديل. DR جزء من BCP.

خطورته: APT يهدف للتجسس طويل الأمد لا التدمير السريع، مما يجعله صامتًا ويصعب اكتشافه بالأدوات التقليدية. مؤشرات الاختراق (IoCs): حركة شبكية غير معتادة في أوقات غريبة، اتصالات بعناوين IP مجهولة، حسابات تستخدم في أوقات غير عادية، ملفات تعريف تغيّرت دون مبرر.

الافتراض بالاختراق: بدلًا من بناء كل الجهد على منع الدخول، نفترض أن المهاجم وصل بالفعل ونُصمم الأنظمة لتحديد الضرر وعزله وسرعة الكشف. التأثير: الاستثمار في: مراقبة مستمرة (SIEM)، اكتشاف حركات جانبية داخل الشبكة، أتمتة الاستجابة، حماية كل جهاز على حدة (Endpoint Detection).

SIEM: منصة تجمع وتحلل سجلات الأحداث (Logs) من جميع أجهزة الشبكة (جدران نارية، خوادم، نقاط نهاية) في مكان واحد وتبحث عن أنماط مشبوهة. قيمته: تحويل ملايين الأحداث اليومية إلى تنبيهات ذات أولوية، كشف هجمات معقدة تمتد عبر أجهزة متعددة، توثيق الحادثة للتحليل الجنائي لاحقًا.

الخطوات: (1) ما حدث بالضبط وكيف؟ (2) ما أول مؤشر كان يجب أن يُنبّه الفريق؟ (3) ما السياسة أو الأداة التي كان وجودها يمنع الحادثة؟ (4) تحديث الخطط والأدوات. تُهملها لأن بعد الأزمة الضغط يعود لـ’العودة للعمل الطبيعي’ ولا وقت ولا رغبة في مراجعة مؤلمة قد تكشف أخطاء إدارية.

يُحدد القسط بناءً على: تقييم الوضع الأمني الحالي (هل يوجد MFA؟ تدريب موظفين؟ خطة استجابة؟)، قطاع الشركة (الصحة والمالية أعلى خطرًا)، حجم وحساسية البيانات، سجل الحوادث السابقة. قد يرفض التغطية: إن أخفقت الشركة في اتخاذ إجراءات أمنية أساسية متفق عليها (مثل عدم تطبيق تحديث أمني معروف) أو في حال الإهمال الواضح.