كل عرض لمركز عمليات أمنية مُدار يعد بمراقبة على مدار الساعة. والفروق المهمة لا تظهر إلا حين تسأل ماذا يحدث في الثالثة فجراً عند وقوع شيء حقيقي.
بناء مركز عمليات أمنية داخلي التزام كبير. فتشغيل مقعد واحد على مدار الساعة يتطلب عدة محللين بعد احتساب المناوبات والإجازات والتدريب والتسرب الوظيفي، قبل أن تضيف مهندسين لتشغيل منصة SIEM وقائداً للفريق. ولمعظم المؤسسات، يبقى مركز العمليات المُدار الطريق الأسرع والأكثر واقعية لمراقبة مستمرة وقدرة استجابة مختبرة.
ولذلك فاختيار المزود قرار مهم. إليك الأسئلة التي نطرحها، مجمّعة بحسب ما تكشفه.
الرؤية: ماذا سيرون فعلاً؟
- ما مصادر السجلات المشمولة افتراضياً: الأجهزة الطرفية، والخوادم، وجدران الحماية، ومنصة الهوية، والبريد، والحسابات السحابية، وتطبيقات SaaS، والأنظمة التشغيلية؟
- هل الكشف والاستجابة على الأجهزة الطرفية جزء من الخدمة، أم أنهم يقرؤون السجلات فقط؟
- كيف يتعاملون مع مصادر لم يدمجوها من قبل؟
- ماذا يحدث للرؤية حين تضيف أنظمة أو حسابات سحابية جديدة؟
لا يستطيع مركز العمليات اكتشاف ما لا يصل إليه. وفجوات سجلات الهوية والسحابة هي أكثر أسباب مرور الحوادث دون ملاحظة.
الاكتشاف: ما مدى براعتهم في رصد الهجمات الحقيقية؟
- كيف تُبنى حالات الاستخدام للاكتشاف وتُصان؟ وهل يستطيعون عرض تغطيتها مرتبطة بإطار مثل MITRE ATT&CK؟
- كيف يضبطون القواعد المزعجة حتى لا يغرق المحللون في الإنذارات الكاذبة؟
- ما استخبارات التهديدات التي يستخدمونها، وكيف تغيّر الاكتشاف للمؤسسات في المملكة والخليج؟
- هل يمارسون تعقباً استباقياً للتهديدات، أم يكتفون بالاستجابة للتنبيهات؟
الاستجابة: ماذا يفعلون، لا ماذا يخبرونك فقط؟
هنا تختلف العروض أكثر من أي مكان آخر.
- هل يستطيعون اتخاذ إجراءات احتواء نيابة عنك، مثل عزل جهاز أو تعطيل حساب أو حظر عنوان؟ وتحت أي شروط متفق عليها مسبقاً؟
- ما التزامات زمن الاستجابة للفرز والتصعيد والاحتواء، بحسب الخطورة؟
- بمن يتصلون، وبأي ترتيب، حين يقع أمر حرج خارج ساعات العمل؟
- هل الاستجابة الكاملة للحوادث والتحقيق الجنائي الرقمي مشمولان، أم متاحان بعقد احتياطي، أم ارتباط منفصل؟
الخدمة التي تكتفي بإرسال تنبيه بالبريد مراقبة، لا اكتشاف واستجابة. تأكد مما تشتريه.
البيانات: إلى أين تذهب، ومن يملكها؟
- أين تُجمع سجلاتك وتُعالج وتُخزَّن؟ فلكثير من المؤسسات في المملكة، خاصة الخاضعة لضوابط الهيئة الوطنية للأمن السيبراني، إقامة البيانات داخل السعودية متطلب لا تفضيل.
- من يملك منصة SIEM ومحتوى الاكتشاف والبيانات المخزنة؟ وماذا تتسلم إن غيّرت المزود؟
- كم تُحفظ السجلات، وهل يلبي ذلك احتياجاتك التنظيمية واحتياجات التحقيق؟
- كيف يُضبط الوصول إلى بياناتك ويُدقق لدى المزود؟
الفريق: من يراقب فعلاً؟
- كيف يُنظَّم الفريق، وما خبرة المحللين الذين سيتعاملون مع تنبيهاتك؟
- هل هناك قائد مسمّى يعرف بيئتك؟
- هل لديهم أشخاص داخل المملكة يمكنهم الحضور إلى موقعك خلال حادث خطير؟
- هل يستطيعون العمل مع فرقك بالعربية والإنجليزية؟
التقارير: كيف تعرف أن الخدمة تعمل؟
اطلب نموذجاً للتقرير الشهري قبل التوقيع. ينبغي أن يُظهر أكثر من أعداد التنبيهات. ومن المقاييس المفيدة متوسط زمن الاكتشاف، ومتوسط زمن الاستجابة، ونسبة التنبيهات التي كانت حوادث حقيقية، وتغيّر تغطية الاكتشاف، وتوصيات تحسّن وضعك الأمني. واسأل كم مرة سيجتمعون معك لمراجعته.
دعم الامتثال
إن كنت خاضعاً للضوابط الأساسية للأمن السيبراني أو لإطار البنك المركزي السعودي، فالمراقبة وإدارة الحوادث والاحتفاظ بالسجلات كلها تظهر في تقييماتك. والمزود الجيد يساعدك في إعداد الأدلة: سجلات الحوادث، وتغطية المراقبة، ومقاييس الاستجابة، بصيغة يعرفها المقيّمون.
التشغيل والجوانب التجارية
- كم يستغرق التشغيل الأولي، وماذا يحتاجون من فريقك؟
- ما أساس التسعير: لكل جهاز، أم لكل مستخدم، أم بحسب حجم البيانات، أم رسوم ثابتة؟ وكيف تتغير التكلفة مع نموك؟
- ما الحد الأدنى لمدة العقد، وما شروط الخروج؟
علامات تحذيرية
- إجابات غامضة عن مكان تخزين بياناتك.
- عدم القدرة على اتخاذ إجراءات احتواء، أو عدم الوضوح بشأن توقيتها.
- نماذج تقارير مليئة بإحصاءات الحجم وخالية من الرؤى.
- محتوى اكتشاف يوصف بأنه "خاص" دون أي رؤية لتغطيته.
- وعود بزمن استجابة تتوقف عند "سنبلغك".
جرّب قبل أن تلتزم
حيثما أمكن، شغّل تجربة محددة المدة لإثبات القيمة على شريحة ممثلة من بيئتك. وراقب سرعة التشغيل، وكثرة التنبيهات المزعجة، وطريقة تواصل الفريق حين يجد شيئاً. فبضعة أسابيع من التشغيل الحقيقي ستخبرك أكثر من أي عرض.
يقدم مركز العمليات المُدار لدينا مراقبة واكتشافاً واستجابة على مدار الساعة مع حفظ البيانات داخل المملكة. والسؤال السادس عشر في تقييم النضج المجاني لدينا يسأل كيف تُعالج تنبيهاتك الأمنية اليوم.