# أمن الأنظمة التشغيلية في السعودية: من أين تبدأ مع ISA/IEC 62443 وضوابط OTCC

بقلم فريق سايبرت الاستشاري ١٦ يونيو ٢٠٢٦ قراءة في ٤ دقائق

في هذه الصفحة

1. الأطر التي توجّه العمل
2. الخطوة الأولى: اعرف ما لديك
3. الخطوة الثانية: قسّم إلى مناطق واضبط القنوات
4. الخطوة الثالثة: أحكم الوصول عن بُعد
5. الخطوة الرابعة: تعامل مع التحديثات بواقعية
6. الخطوة الخامسة: راقب بوعي بالأنظمة التشغيلية
7. الخطوة السادسة: خطط للحوادث مع العمليات والسلامة
8. الخطوة السابعة: أدرج الأمن في الموردين والمشاريع
9. أخطاء شائعة

في شبكة المكاتب، يكلّف الحادث الأمني بيانات وتوقفاً عن العمل. أما في مصنع أو محطة ضخ أو محطة كهرباء فقد يكلّف أضراراً مادية ويعرّض الناس للخطر. ومن هذا الفرق يبدأ أمن الأنظمة التشغيلية.

تشمل التقنيات التشغيلية الأنظمة التي تراقب العمليات المادية وتتحكم فيها: أنظمة SCADA، وأنظمة التحكم الموزعة، ووحدات التحكم المنطقية القابلة للبرمجة (PLC)، وأنظمة السلامة الآلية، والشبكات التي تربطها. وتعتمد عليها قطاعات الطاقة والبتروكيماويات والمياه والمرافق والتصنيع في المملكة، وهي متصلة على نحو متزايد بشبكات المؤسسات والخدمات السحابية والموردين عن بُعد.

هذا الاتصال يجلب الكفاءة ومخاطر جديدة. فكثير من بيئات التقنيات التشغيلية صُممت حين كان العزل مفترضاً، فأجهزتها كثيراً ما تفتقر إلى المصادقة، وتعمل بأنظمة تشغيل قديمة، ولا يمكن تحديثها دون توقف مخطط. وتأمينها يحتاج إلى نهج مختلف عن أمن تقنية المعلومات، وإلى نقطة بداية واضحة.

## الأطر التي توجّه العمل

**ISA/IEC 62443** سلسلة المعايير الدولية لتأمين أنظمة الأتمتة والتحكم الصناعية. تحدد مسؤوليات مالكي الأصول ومكاملي الأنظمة ومورّدي المنتجات، وتقدم فكرتين تستحقان التبني مبكراً: تجميع الأصول في *مناطق* ذات احتياجات أمنية متشابهة، وضبط *القنوات* التي تربط بينها. كما تحدد مستويات أمنية تصف قوة الحماية المطلوبة في كل منطقة.

**ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC) من الهيئة الوطنية للأمن السيبراني** تضع متطلبات وطنية للجهات التي تشغّل أنظمة تحكم صناعية ضمن البنية التحتية الوطنية الحساسة. وهي تبني على الضوابط الأساسية للأمن السيبراني وتضيف توقعات خاصة بالأنظمة التشغيلية.

ويتكامل الإطاران جيداً. فضوابط OTCC تخبرك بما هو مطلوب في المملكة، وسلسلة ISA/IEC 62443 تمنحك طريقة مفصلة معترفاً بها دولياً لتصميمه وبنائه.

## الخطوة الأولى: اعرف ما لديك

يبدأ كل برنامج للأنظمة التشغيلية تقريباً بجرد ناقص. فلا يمكنك تقسيم ما لا تعرف بوجوده ولا مراقبته ولا تحديثه.

- استخدم مراقبة **سلبية** للشبكة لاكتشاف الأجهزة والبروتوكولات ومسارات الاتصال دون إرسال حركة إلى المعدات الحساسة.
- سجّل لكل أصل وظيفته وموقعه وإصدار برنامجه الثابت ومورده وأهميته للعملية.
- ارسم الروابط بين التقنيات التشغيلية وتقنية المعلومات، بما فيها غير الموثقة، مثل مودم خلوي لمورد داخل خزانة تحكم.

وتجنّب الفحص النشط على شبكات التحكم الحية ما لم يُختبر ويُعتمد مع فريق العمليات. فأدوات الفحص المعتادة في تقنية المعلومات أوقفت وحدات تحكم وأوقفت الإنتاج من قبل.

## الخطوة الثانية: قسّم إلى مناطق واضبط القنوات

ما زالت الشبكات المسطحة، التي يستطيع فيها حاسوب مصاب في المكتب الوصول إلى وحدة تحكم في أرض المصنع، شائعة. وانطلاقاً من جردك:

- افصل تقنية المعلومات عن التقنيات التشغيلية بمنطقة منزوعة السلاح لكل ما يجب مشاركته، مثل خوادم البيانات التاريخية أو خوادم التحديثات.
- جمّع أصول الأنظمة التشغيلية في مناطق بحسب الوظيفة والأهمية، واجعل أنظمة السلامة في منطقة خاصة محكمة الضبط.
- اسمح فقط بالحركة التي تحتاجها كل قناة، ووثّق السبب.

## الخطوة الثالثة: أحكم الوصول عن بُعد

الوصول عن بُعد، خاصة من الموردين والمكاملين، من أكثر الطرق شيوعاً لوصول المهاجمين إلى الأنظمة التشغيلية. استبدل الاتصالات المباشرة والحسابات المشتركة بما يلي:

- نقطة دخول واحدة مضبوطة، مثل خادم وسيط في المنطقة منزوعة السلاح.
- حسابات فردية بمصادقة متعددة العوامل لكل شخص، بمن فيهم موظفو الموردين.
- وصول يُمنح فقط خلال نوافذ صيانة معتمدة، مع تسجيل الجلسات.

## الخطوة الرابعة: تعامل مع التحديثات بواقعية

لا يمكنك في الغالب تحديث الأنظمة التشغيلية وفق جدول تقنية المعلومات. بل قيّم كل ثغرة بحسب انكشافها الفعلي. وحيث يجب أن ينتظر التحديث توقفاً مخططاً، طبّق ضوابط تعويضية: تقسيم أشد، وبروتوكولات مقيدة، وقوائم سماح للتطبيقات، ومراقبة أدق. وتابع الاستثناءات بمالكين ومواعيد مراجعة حتى لا تصبح دائمة.

## الخطوة الخامسة: راقب بوعي بالأنظمة التشغيلية

انشر مراقبة تفهم البروتوكولات الصناعية، لترصد إعادة برمجة وحدة تحكم، أو أوامر غير معتادة، أو ظهور أجهزة جديدة. وأرسل التنبيهات إلى فريق مركز عمليات يميز بين مهمة صيانة وهجوم، ولا يتخذ إجراءات احتواء تعرّض العملية للخطر.

## الخطوة السادسة: خطط للحوادث مع العمليات والسلامة

يجب أن تُكتب خطة الاستجابة لحوادث الأنظمة التشغيلية مع مهندسي العمليات والسلامة، لا مع فريق الأمن وحده. قرر مسبقاً من يستطيع اعتماد عزل جزء من الشبكة أو إيقاف عملية، وكيف ستشغّل يدوياً عند الحاجة، وكيف ستستعيد وحدات التحكم. واحتفظ بنسخ احتياطية مؤمّنة ومختبرة لمنطق وحدات التحكم وإعداداتها وصور محطات العمل الهندسية.

## الخطوة السابعة: أدرج الأمن في الموردين والمشاريع

ضع متطلبات أمنية في العقود مع المكاملين والموردين، ويُفضَّل أن تشير إلى الأجزاء ذات الصلة من ISA/IEC 62443. فالمشاريع الجديدة والتحديثات أرخص لحظة لتصميم التقسيم والوصول الآمن عن بُعد والمراقبة، بدلاً من إضافتها لاحقاً.

## أخطاء شائعة

- تطبيق أدوات تقنية المعلومات وإجراءاتها كما هي على الأنظمة التشغيلية.
- كلمات مرور مشتركة وافتراضية على وحدات التحكم وواجهات التشغيل.
- استخدام غير مضبوط لوسائط USB لنقل الملفات إلى أرض المصنع.
- افتراض وجود "عزل تام" دون التحقق منه.
- استبعاد فريق العمليات من القرارات التي تمس أنظمته.

أمن الأنظمة التشغيلية يكافئ التقدم الثابت المنسق جيداً أكثر من المشاريع الضخمة دفعة واحدة. ويعمل فريقنا المتخصص في إنترنت الأشياء والتقنيات التشغيلية مع مالكي الأصول في المملكة على التقييمات وتصميم التقسيم والمراقبة الواعية بالأنظمة التشغيلية، دائماً إلى جانب من يديرون العملية.

كيف تساعدك سايبرت

## أمن إنترنت الأشياء والتقنيات التشغيلية

استشارات مصممة لتأمين منظومة أجهزتك المتصلة وشبكاتك وأنظمتك الصناعية، من المستشعرات إلى أنظمة SCADA.

## مقالات أخرى

السحابة والأنظمة التشغيلية ٨ يوليو ٢٠٢٦ قراءة في ٤ دقائق

### أمن السحابة في السعودية: المسؤولية المشتركة وإقامة البيانات وضوابط الهيئة

ما تتحمله أنت في نموذج المسؤولية المشتركة، وكيف تنطبق إقامة البيانات وضوابط الهيئة للحوسبة السحابية، والضوابط التي تبدأ بها.

المرونة والاستجابة ١٨ أكتوبر ٢٠٢٦ قراءة في ٧ دقائق

### خطة الاستجابة لبرامج الفدية للمؤسسات السعودية: أول ٧٢ ساعة

خطة عملية للاستجابة لبرامج الفدية في المؤسسات السعودية: ما تفعله في الساعة الأولى واليوم الأول وأول ٧٢ ساعة، مع الإبلاغ للهيئة وإشعار سدايا.

الحوكمة ٣٠ سبتمبر ٢٠٢٦ قراءة في ٤ دقائق

### ماذا يفعل رئيس أمن المعلومات الافتراضي؟ دليل للمؤسسات السعودية

ما يقدمه رئيس أمن المعلومات الافتراضي، ومن يستفيد منه، وكيف يتوافق مع توقعات الهيئة والبنك المركزي لقيادة أمنية داخلية، وشكل أول ٩٠ يوماً.

## هل أنت مستعد لحماية أعمالك؟

احجز استشارتك الأمنية المجانية اليوم.

---

Canonical page: https://cybrt.sa/ar/ot-security-isa-iec-62443-otcc/
Guide for AI agents: https://cybrt.sa/llms.txt