لماذا أصبح خطر الأمن السيبراني الصناعي تحدياً حوكميّاً؟

• تُعيد زيادة الترابط بين الأنظمة تشكيل الطريقة التي تنتقل بها المخاطر التشغيلية عبر المؤسسات والموردين والبنية التحتية العامة.
• وفي هذا السياق، أصبح التعامل مع المخاطر السيبرانية الصناعية يمثل تحدياً يتعلق بالمرونة والقدرة على الصمود، مع تداعيات تتجاوز حدود المؤسسة الواحدة بكثير.
• وهناك ثلاث طرق لفهم وإدارة المخاطر السيبرانية الصناعية يمكن أن تساعد في التعامل مع هذا التحول.

كانت الأنظمة الصناعية – مثل بيئات التصنيع والطاقة والنقل والتعدين وغيرها من العمليات التي تستخدم أنظمة رقمية لمراقبة أو التحكم في العمليات المادية – تُصمم في السابق لتعمل بشكل معزول. أما اليوم، فهي أصبحت متصلة بشكل متزايد بمنصات المؤسسات وبيئات الحوسبة السحابية وأنظمة الأطراف الخارجية.

وتكمن أهمية ذلك في أن الاتصال الصناعي لم يعد يقتصر على تحسين الكفاءة أو تحديث الأنظمة رقمياً، بل أصبح يعيد تشكيل الطريقة التي تنتقل بها المخاطر التشغيلية بين المؤسسات والموردين والبنية التحتية العامة. فما كان يُنظر إليه سابقاً على أنه حادث تقني محلي قد يتحول الآن إلى اضطراب واسع النطاق، خصوصاً عندما تعتمد الخدمات الحيوية على أنظمة مترابطة تعمل ضمن قيود مشتركة.

كما أن الحوادث السيبرانية لم تعد تقتصر آثارها على حدود المؤسسة. فقد تؤدي إلى تعطيل العمليات المادية أو الخدمات الوطنية الحيوية، وتُحدث تأثيرات متسلسلة تمتد عبر قطاعات متعددة. ومع تزايد الترابط، أصبحت إدارة المخاطر السيبرانية تمثل تحدياً يتعلق بالمرونة والقدرة على الصمود، وله آثار تتجاوز المؤسسة الواحدة.

من التعرض المؤسسي إلى المخاطر النظامية

تدعم الأنظمة الصناعية خدمات حيوية مثل الطاقة والنقل والتصنيع. وهي تزداد ترابطاً رقمياً وتشغيلياً بشكل مستمر. كما يتزايد التقارب بين تكنولوجيا المعلومات (IT) والتكنولوجيا التشغيلية (OT) – وهي الأدوات المستخدمة لمراقبة وإدارة الأجهزة المادية والعمليات الصناعية والبنية التحتية – عبر القطاعات الرئيسية. ووفقاً لتقرير «التوقعات العالمية للأمن السيبراني 2026» الصادر عن المنتدى الاقتصادي العالمي، فإن هذا الأمر يزيد من مستويات التعرض للمخاطر ويجعل تعزيز المرونة أكثر إلحاحاً.

وبالتالي، لم يعد الأمن السيبراني يقتصر على حماية المؤسسات الفردية، بل أصبح يتعلق بشكل متزايد بالحفاظ على استقرار الأنظمة التي تدعم المجتمع والاقتصاد. فقد تمتد آثار الاضطرابات إلى الموردين والشركاء والاقتصادات الوطنية. لكن بينما تتطور البيئات الصناعية بسرعة كبيرة، فإن نماذج الحوكمة تتكيف بوتيرة أبطأ.

وغالباً ما تكون ملكية المخاطر موزعة بين فرق الهندسة والعمليات والتكنولوجيا والشركاء الخارجيين. كما تُوزع المسؤوليات بشكل مشترك دون تحديد واضح للمساءلة. ولا يزال مستوى الرؤية والإشراف لدى القيادات العليا غير متسق، خاصة عندما تكون التكنولوجيا التشغيلية منفصلة عن هياكل تكنولوجيا المعلومات التقليدية.

وتتضح هذه الفجوة في البيانات الحديثة. فـ16% فقط من المؤسسات التي تعمل في بيئات صناعية ترفع تقارير مشكلات أمن التكنولوجيا التشغيلية إلى مجالس إدارتها، و20% فقط لديها فرق مخصصة لأمن التكنولوجيا التشغيلية، بينما تسند 36% فقط المسؤولية المباشرة عن أمن التكنولوجيا التشغيلية إلى رئيس أمن المعلومات. وتمثل هذه الفجوة الحوكمية مشكلة ذات أبعاد نظامية لأن الاضطرابات الصناعية يمكن أن تمتد آثارها إلى ما هو أبعد من المؤسسة نفسها.

وتكشف هذه الأرقام عن تفاوت في مستويات النضج المؤسسي، كما تسلط الضوء على ضعف هيكلي في كيفية إدارة العديد من المؤسسات للمخاطر السيبرانية الصناعية. فعندما يكون الإشراف محدوداً، والمسؤوليات غير واضحة، والاعتماديات التشغيلية غير مفهومة بالكامل، تصبح المرونة هدفاً نظرياً أكثر منها قدرة مجربة. وفي البيئات المترابطة، لا تبقى الحوكمة الضعيفة محصورة داخل وظيفة أو موقع واحد.

ولا يقتصر هذا التحدي على التكنولوجيا التشغيلية فقط. فقد أظهر تحليل حديث للإفصاحات استند إلى أبحاث شركة EY وأبرزه منتدى كلية الحقوق بجامعة هارفارد أن 78% من الشركات لا تزال تضع الإشراف على الأمن السيبراني بشكل أساسي ضمن مسؤوليات لجنة التدقيق، بينما تكشف 73% من الشركات عن امتثالها لأطر خارجية مثل ISO 27001. ويُعد ذلك تقدماً إيجابياً، لكنه يشير أيضاً إلى أن العديد من مجالس الإدارة لا تزال تعتمد على هياكل صُممت للإشراف العام، وليس للتعامل مع التعقيد الخاص بالمخاطر السيبرانية في البيئات التشغيلية المترابطة.

كما يركز المنظمون بشكل متزايد على الحوكمة. فقد فرضت قواعد الإفصاح السيبراني التي أصدرتها هيئة الأوراق المالية والبورصات الأمريكية (SEC) عام 2023 على الشركات المدرجة الإبلاغ عن الحوادث الجوهرية، وتقديم إفصاحات سنوية حول إدارة المخاطر السيبرانية واستراتيجياتها وحوكمتها.

وبذلك أصبح الأمن السيبراني قضية أمنية وحوكمية في آن واحد، إضافة إلى كونه مسألة تتعلق بشفافية الأسواق.

مشكلة تتعلق بالمرونة والقدرة على الصمود

تُعد المخاطر السيبرانية الصناعية معقدة ليس فقط بسبب تزايد التهديدات، ولكن أيضاً لأن البيئات التشغيلية نفسها تفرض قيوداً جوهرية. فدورات حياة الأصول الطويلة، وضعف الرؤية، وإمكانية وصول الأطراف الخارجية المدمجة داخل الأنظمة، وظروف التشغيل الحساسة للسلامة، كلها عوامل تجعل المعالجة السريعة للمشكلات أكثر صعوبة مقارنة ببيئات تكنولوجيا المعلومات التقليدية.

وتشير الإرشادات المشتركة لوكالة الأمن السيبراني وأمن البنية التحتية الأمريكية إلى أن القرارات التجارية يمكن أن تؤثر على أمن التكنولوجيا التشغيلية، وأن تبني منظور أمني خاص بالتكنولوجيا التشغيلية يعزز الأمن واستمرارية الأعمال في الوقت نفسه.

وهذا يحول التحدي من مجرد قضية تتعلق بالضوابط إلى قضية نظامية أوسع. فعلى نطاق واسع، تعتمد المرونة بدرجة أقل على وسائل الحماية الموجودة في المواقع الفردية، وبدرجة أكبر على قدرة المؤسسة على اتخاذ قرارات متسقة عبر بيئات موزعة تختلف في مستويات النضج والاعتماديات والقيود. وهذا يوضح الأهمية الكبيرة للحوكمة عندما يتعلق الأمر بالمخاطر السيبرانية الصناعية.

ومن هذا المنطلق، لا تعني المرونة مجرد القدرة على استعادة التكنولوجيا بعد تعطلها، بل تعني أيضاً الحفاظ على جودة القرارات وأولويات الاستمرارية والثقة التشغيلية أثناء فترات تدهور الأنظمة. ويكتسب هذا التمييز أهمية خاصة في البيئات الصناعية، حيث إن استعادة النظام لا تعني بالضرورة استعادة الثقة في التشغيل الآمن للعمليات.

وهذا يفسر استمرار معاناة مجالس الإدارة في التعامل مع هذه القضايا. فبحسب مجلة هارفارد بيزنس ريفيو، رغم أن مجالس الإدارة أصبحت أكثر اهتماماً بالأمن السيبراني، فإنها غالباً ما تفتقر إلى الخبرة اللازمة، أو تتعامل مع الذكاء الاصطناعي بشكل منفصل عن الأمن، أو تخلط بين الامتثال التنظيمي والمرونة الحقيقية. وفي البيئات الصناعية، يمكن لهذه الثغرات أن تتطور بسرعة من مجرد تعرض للمخاطر السيبرانية إلى اضطرابات تشغيلية واسعة.

بناء المرونة في مواجهة المخاطر السيبرانية الصناعية

إذا كان هذا التحدي يتعلق بالحوكمة، فإن الاستجابة له لا يمكن أن تقتصر على إضافة المزيد من الضوابط الأمنية. بل يتطلب الأمر تغييراً في طريقة فهم وإدارة المخاطر السيبرانية الصناعية عبر ثلاثة محاور:

1. الانتقال من الملكية المجزأة للمخاطر إلى حوكمة واضحة عبر الحدود التنظيمية

في العديد من البيئات الصناعية، تتوزع المسؤوليات بين وظائف مختلفة لا تشترك دائماً في الأولويات أو منطق اتخاذ القرار نفسه. ومع ازدياد ترابط الأنظمة، تحتاج المؤسسات إلى نماذج حوكمة تحدد بوضوح كيفية تقاسم المسؤوليات، وكيفية حل المفاضلات، وكيفية اتخاذ القرارات عندما تؤثر الاضطرابات على العمليات والمرونة في الوقت نفسه.

2. الانتقال من الإشراف القائم على الضوابط إلى الإشراف القائم على سيناريوهات المخاطر

في البيئات الصناعية المترابطة، تعتمد المرونة بدرجة أقل على وجود الضوابط الفردية، وبدرجة أكبر على فهم القيادة لكيفية انتشار الاضطرابات عبر الأصول والخدمات والموردين والقطاعات المختلفة. ويتطلب ذلك تجاوز المراجعات التقليدية للضوابط والانتقال إلى حوكمة قائمة على السيناريوهات الواقعية التي تعكس الاعتماد المتبادل وظروف التشغيل الحقيقية.

3. تحويل الثقة الداخلية إلى ضمانات مستقلة

في الحالات التي يمكن أن تؤدي فيها الاضطرابات إلى آثار تشغيلية أو اقتصادية أو مجتمعية واسعة، لا يكفي الاعتماد على التقييم الذاتي. إذ تحتاج المؤسسات إلى آليات تختبر قدرة الحوكمة على الصمود تحت الضغط، ومدى فعالية التنسيق عبر البيئات الموزعة، وصحة الافتراضات المتعلقة بالمرونة مع تطور الأنظمة. وقد يشمل ذلك عمليات تدقيق خارجية وتقييمات مستقلة توفر لمجالس الإدارة تحققاً موضوعياً ورؤية أعمق حول فعالية استراتيجيات المرونة.

تطور حوكمة المخاطر السيبرانية الصناعية

لا تحل هذه التغييرات محل الضوابط التقنية، بل تضعها في سياقها الصحيح. ففي الأنظمة الصناعية، أصبحت المرونة على نطاق واسع تتحدد بشكل متزايد بجودة الحوكمة المحيطة بالتكنولوجيا، وليس بالتكنولوجيا وحدها.

ولذلك، فإن التحدي الذي يواجه قادة الأعمال أكبر من الأمن السيبراني بمعناه الضيق. فلابد أن تتطور نماذج الحوكمة وآليات التحقق وهياكل المساءلة بالسرعة الكافية لمواكبة واقع العمليات المترابطة.

وفي الأنظمة الصناعية، ستُقاس المرونة بشكل متزايد بمدى قدرة المؤسسات على إدارة التعقيد وحوكمته قبل أن تختبرها الاضطرابات فعلياً.

المصدر