المرونة السيبرانية هي مفهوم مألوف لدى معظم المؤسسات. يتم تعريفها على أنها القدرة على تحمل الأحداث السلبية والتعافي منها والتي لديها القدرة على التأثير على أنظمة المعلومات وموارد تكنولوجيا المعلومات في المؤسسة.
بطبيعة الحال، ليست المستشفيات غريبة على هذه الحاجة، ومعظمها لديها إجراءات توقف متطورة للحفاظ على رعاية المرضى في حالة تأثر السجلات الصحية الإلكترونية ونظام أرشفة الصور والاتصالات والأنظمة السريرية الأخرى بحادث.
ولكن في حين أن إجراءات التوقف عن العمل وإجراءات الاستجابة للحوادث الأخرى التي تساعد في دعم المرونة السيبرانية غالبًا ما تتضمن مكونات أمن المعلومات، فليس من غير المألوف أن نجد أن المنظمات غالبًا ما تنسى طرح سؤال مهم: ما مدى المرونة التي تتمتع بها منظمتي إذا تعرضت إحدى أدوات أو ضوابط الأمن السيبراني الخاصة بي لحدث سلبي؟
إذا فقدت مؤسسة رعاية صحية فجأة قياس عن بعد EDR، أو فشل جدار الحماية في العمل أو تعرضت لهجوم غير متوقع جعل النظام عرضة للخطر، فهل هناك ما يكفي من المرونة السيبرانية عبر عناصر التحكم الأمنية لضمان بقاء المؤسسة محمية؟
في حين أن قضايا مثل الأخيرة حدث CrowdStrike الذي أدى إلى تعطيل أنظمة Microsoft في جميع أنحاء العالملقد جلبت هذه القضية إلى قمة أذهان العديد من المستشفيات، ومن المهم أن نتذكر أن الضوابط لا تفشل فقط في الأحداث الكبرى.
في الحقيقة، تفشل ضوابط الأمان في كل الأوقات – وأن المهاجمين غالبًا ما يكونون ماهرين في تجاوز أدوات الأمان الشائعة.
تحتاج المستشفيات إلى تطوير استراتيجيات وبنى أمنية قوية تأخذ في الاعتبار حالات فشل التحكم من أجل ضمان بناء برنامج أمني يتمتع بالقدر الكافي من المرونة لتحمل الأحداث السلبية وحماية المرضى تحت رعايتهم.
من أجل تحقيق مستوى فعال من المرونة السيبرانية لضوابط الأمن، ينبغي لمنظمات الرعاية الصحية أن تبدأ في التفكير في دمج بعض الأساليب المفصلة أدناه:
قياس فعالية التحكم
إن العديد من المعايير التي تتبعها صناعة الأمن اليوم مفيدة لتحديد الحد الأدنى من الخطوط الأساسية لضوابط الأمن اللازمة للحفاظ على أمان المؤسسة، ولكن أحد القيود المفروضة على هذه المعايير هو أنها تميل إلى التركيز على وجود الضوابط وليس فعالية الضوابط.
إن القدرة على التحقق من وجود جدار حماية تختلف كثيرًا عن تقييم فعالية مجموعة قواعد جدار الحماية تجريبيًا ضد سلوك المهاجم مثل تسريب البيانات أو إنشاء القيادة والتحكم.
تبني مناهج مثل الأمن القائم على الأدلة يمكن أن يساعد المنظمات على تقييم فعالية عناصر التحكم الخاصة بها ضد تقنيات المهاجمين ومساعدتها في تحديد جميع المجالات التي لا تعمل فيها عناصر التحكم كما هو مقصود.
وهذا أمر بالغ الأهمية بشكل خاص لأن عناصر التحكم تفشل في كثير من الأحيان أكثر مما تدركه العديد من المؤسسات، حيث تشير إحدى الدراسات إلى أن عناصر التحكم مثل EDR تعمل فقط على إيقاف الهجمات 39% من الوقت.
إن مثل هذه الأساليب لقياس الأمن تشكل أهمية بالغة، وذلك لأنه من خلال تحديد نقاط الضعف نستطيع غالباً أن نجد أفضل الفرص للتحسين. إن ضمان عمل الضوابط التي نطبقها بمستوى مقبول من الفعالية يشكل الخطوة الأولى نحو مرونة الضوابط، حيث يضمن ذلك عدم فشل دفاعاتنا منذ البداية.
إزالة الالتفافات
فيما يتعلق بما ورد أعلاه، فإن المشكلة الشائعة مع العديد من أدوات التحكم الأمنية هي أنه حتى إذا تم إثبات أن عنصر التحكم يتمتع بمستوى عالٍ من الفعالية ضد تقنيات المهاجم الشائعة، فغالبًا ما يكون لدى المهاجمين وسائل لتجاوز عناصر التحكم في كتيبات التشغيل الخاصة بهم مثل التمهيد في الوضع الآمن لتجاوز EDR أو استخدام نفق DNS لإخفاء الأوامر والتحكم وتجاوز تصفية الخروج.
باعتبارنا متخصصين في الأمن، يتعين علينا تحديد جميع الطرق المختلفة التي يمكن من خلالها تجاوز عناصر التحكم والعمل على القضاء عليها. في حالة الوضع الآمن، ربما نقوم بحظر تنفيذ أمر bcdedit وفي حالة نفق DNS ربما نضيف عناصر تحكم لمنع البحث عن المجالات التي لا يتم تصنيفها على أنها آمنة أو إنشاء عمليات اكتشاف لطلبات أو استجابات DNS غير المعتادة في الحجم.
على الرغم من أن التجاوزات قد تختلف من أداة إلى أخرى، إلا أنه لا توجد أداة أمان مثالية، ويمكن تجاوز كل أداة بطريقة ما. وكلما كنا أكثر استباقية في تحديد التجاوزات وإزالتها، كلما تمكنا من ضمان إجبار المهاجمين على التعامل مع فعالية أدوات التحكم لدينا، بدلاً من اتخاذ طريقة سهلة للالتفاف عليها.
بعد كل شيء، فإن التحكم الذي يمكن تجاوزه بسهولة لا يعد بمثابة تحكم كبير ولن يوفر قدرًا كبيرًا من المرونة ضد الهجوم.
إدارة الثغرات الأمنية
عندما تفكر أغلب مؤسسات الرعاية الصحية في إدارة الثغرات الأمنية، فإنها تفكر في تحديد جميع الأماكن التي قد تكون هناك حاجة فيها إلى التصحيح ووضع الخطط لتطبيق التصحيح الناقص في الوقت المناسب. وفي حين أن التصحيح يعد من أفضل الممارسات الأمنية الحاسمة ويجب القيام به أينما أمكن، فلا ينبغي للمستشفيات أن تعتمد على التصحيح وحده كوسيلة للحفاظ على أمان الأنظمة.
تحتاج المنظمات إلى البدء في توسيع تعريف إدارة الثغرات الأمنية لتشمل أكثر من مجرد التصحيح، والبدء في طرح السؤال حول الضوابط التعويضية التي يمكن تطبيقها للتخفيف من الاستغلال الناجح لهذه الثغرة الأمنية.
على سبيل المثال، إذا نظرنا إلى ثغرة أمنية مثل Log4J في سياق عناصر التحكم التعويضية، يمكننا أن نرى أنه من أجل استغلال هذه الثغرة الأمنية بنجاح، يلزم إجراء اتصالات LDAP خارجية. وبالتالي، فإن تطبيق تصفية الخروج على نظامنا يعد عنصر تحكم تعويضيًا يمكن استخدامه للتخفيف من حدة Log4J.
لذلك، إذا أردنا تصحيح Log4J وتطبيق تصفية الخروج، فسنجد أننا لم نمتلك فقط نظام تحكم في الدفاع المتعمق للحماية ضد Log4J، ولكننا قمنا أيضًا بتحسين مرونتنا السيبرانية ضد أي يوم صفر مستقبلي قد يتطلب أيضًا اتصالات خارجية.
علاوة على ذلك، فإن هذه الأنواع من الفوائد بعيدة كل البعد عن كونها فريدة من نوعها بالنسبة للتخفيف من حدة Log4J، كما أن تعطيل موزع الطباعة على الأنظمة حيث لم تكن هناك حاجة إليه استجابة لـ PrintNightmare سيكون مثالاً آخر على أن التحكم التعويضي يحمي أيضًا من استغلال الثغرات الأمنية المستقبلية في موزع الطباعة في نظام التشغيل Windows.
إن طرح سؤال التحكم التعويضي يسمح لنا بتحديد وبناء أنظمة الحماية والأمان المناسبة للنظام اللازمة للتخفيف من نقاط الضعف المستقبلية التي قد لا يكون لها تصحيح.
مع تزايد استخدام الأيام صفر لاختراق المؤسسات، نحتاج إلى تجاوز الاكتفاء بالتصحيح فقط وبناء هياكل صلبة يمكنها حماية المؤسسات في حالة عدم وجود تصحيح أو تجاوز أداة.
الدفاع في العمق
إن الدفاع المتعمق هو أفضل الممارسات الراسخة في مجال الأمن، ولكن لا يتم تحليله دائمًا بعمق كافٍ من خلال عدسة فشل فئة كاملة من عناصر التحكم أو من عدسة فشل سلسلة التوريد.
إن تحليل أنماط الفشل يصبح أكثر أهمية مع محاولات البائعين بشكل متزايد لإغراء المؤسسات بالوعد بأن “منتجي يمكنه القيام بكل هذا على لوحة زجاجية واحدة”. على سبيل المثال، في ضوء حدث CrowdStrike الأخير، فليس من غير المعقول أن نطرح السؤال التالي: ماذا لو فقدنا الوصول إلى EDR والكشف الذي يوفره؟
هل تمتلك المنظمة دفاعًا عميقًا كافيًا بحيث لا نغفل عن مشكلة أمنية في نقطة النهاية؟ ربما تمتلك المنظمة مصدرًا ثانويًا للكشف عبر نظام MDR أو XDR يوفر طبقة من الدفاع العميق، أو ربما يتم الاستفادة من تسجيل Sysmon وجمع السجلات كمجموعة كشف ثانوية؟
يجب أن يتم وضع الدفاع العميق بطريقة لا توفر طبقات من الأمان فحسب، بل طبقات مرنة من الأمان في حالة فقدان فئة كاملة من التحكم، أو الأسوأ من ذلك، فقدان مجموعة كاملة من الأمان بسبب بائع مشترك. يجب تحليل مجموعات التحكم لتحديد نقاط الفشل الفردية التي قد تجعل المنظمة عمياء أو غير قادرة على إيقاف الهجوم وتطبيق الدفاع العميق بطريقة من شأنها تخفيف التأثير.
تنوع النظام
عندما نأخذ في الاعتبار استراتيجيات الدفاع المتعمق كما هو موضح أعلاه، يتعين علينا أن ننتبه إلى وجود بعض التنوع المدمج في مجموعات التحكم الأمني.
في حين أن هناك مزايا أكيدة لامتلاك لوحة زجاجية واحدة، مثل إمكانية خفض التكاليف، وتبسيط الإدارة، وتحسين التكامل بين الوظائف المختلفة، وما إلى ذلك، فمن المهم أن نضع في الاعتبار أن الحصول على كل شيء من مصدر واحد لديه أيضًا القدرة على تفاقم أي فشل.
قد يشكل هذا فشلاً كبيراً على جانب سلسلة التوريد حيث قد يتم فقدان وظائف أمنية متعددة في وقت واحد إذا واجه البائع مشكلة، ولكن قد يتسبب أيضًا في حدوث المزيد من حالات الفشل الأساسية اليومية.
إذا اشترينا المجموعة بأكملها من البائع أ، ولم يكن لدى البائع أ حتى الآن طريقة لاكتشاف التهديد الجديد، فمن المحتمل أن نفشل في اكتشاف التهديد على جميع المستويات.
إذا كان لدينا بعض التنوع في مجموعات المنتجات (على سبيل المثال، وجود EDR وXDR من بائعين مختلفين، أو وجود علامات تجارية مختلفة لجدران الحماية الداخلية والمحيطية، وما إلى ذلك)، فهناك فرصة متزايدة لاكتشاف التهديد حتى لو لم يتمكن البائع أ من ذلك. يعد توحيد النظام أمرًا منطقيًا في العديد من الحالات. يحتاج فقط إلى القيام بذلك بطريقة تحافظ على المرونة حيثما لزم الأمر.
عدم الثقة
وفي حين يمكن تطبيق مبدأ الثقة الصفرية والتقنيات المختلفة مثل التجزئة الدقيقة التي يشملها باعتبارها ضوابط تعويضية للمساعدة في تحقيق العديد من الأهداف التي ناقشناها بالفعل، فمن الجدير تسليط الضوء عليها بشكل منفصل أيضًا.
عندما يتم تطبيق مبادئ الثقة الصفرية على إرشادات تقوية النظام وهندسة النظام، فإنها تصبح طريقة رائعة لبناء المرونة الأمنية في الأنظمة.
إن مبدأ الثقة الصفرية يفترض في الأساس أن كل شيء يمكن المساس به ويعمل على التخفيف من حدة التهديدات بشكل استباقي من خلال ضمان حصول كل شخص وكل جهاز على أقل قدر ممكن من الوصول من أجل القيام بعمله. إن إرساء عقلية الثقة الصفرية واستخدام مبادئ الثقة الصفرية من شأنه أن يعمل على تحسين مرونة الأنظمة الأمنية.
ورغم أنه لا ينبغي اعتبار القائمة أعلاه شاملة من حيث ما يمكن القيام به لتحسين مرونة ضوابط الأمن، فإنها ينبغي أن تساعد في تحديد بعض الطرق الرئيسية التي يتعين بها أخذ مرونة الأمن في الاعتبار في استراتيجيات وهندسة الأمن التي تستخدمها أنظمة الرعاية الصحية.
من الأهمية بمكان لسلامة المرضى أن يتم تصميم مجموعات التحكم الأمني لتكون مرنة بما يكفي لتحمل برامج الفدية وغيرها من الهجمات الإلكترونية التي تؤدي إلى أحداث سلبية لرعاية المرضى.
في جبل سيناء جنوب ناسو.
من المقرر أن يقام منتدى HIMSS للأمن السيبراني في مجال الرعاية الصحية في الفترة من 31 أكتوبر إلى 1 نوفمبر في واشنطن العاصمة تعرف على المزيد وقم بالتسجيل.
