السياق
القيد الحقيقي على عمليات الأمن السيبراني في المملكة ليس الميزانية ولا الوعي. إنه الكوادر. تجاوز الطلب على المراقبة على مدار الساعة والاستجابة للحوادث حجم المحللين المؤهلين المتاحين، بينما أصبحت التوقعات التنظيمية تفترض وجود قدرة كشف واستجابة يتعذر على معظم الجهات توفيرها داخلياً. والنتيجة فجوة متسعة بين ما اشترته المؤسسات وما تستطيع تشغيله فعلياً.
كان أحد مزودي الرعاية الصحية العامل في عدة مواقع في قلب هذه الفجوة. لديه منصة SIEM ولا يملك قدرة كشف. والتمييز بين الأمرين شائع ويستحق التوضيح المباشر. السجلات تصل، وتكاليف التخزين قائمة، والتنبيهات تصدر باستمرار، ولا أحد يحقق فيها — لأن الشخصين المسؤولين عن الأمن يديران أيضاً مكتب الخدمة.
بلغ إجهاد التنبيهات حداً جعل مراجعة لوحة التحكم تتم أسبوعياً. وعملياً كانت الجهة تجمع أدلة على حوادث لن تعلم بها إلا بعد وقوعها. الأنظمة السريرية ضمن النطاق، وبيانات المرضى ضمن النطاق، والتزامات حماية البيانات تنطبق على كليهما.
المنهج
بدأت ITBuilders بتقليص ما يُجمع. وهذا يبدو مخالفاً للبديهة لدى معظم أصحاب المصلحة، وهو صحيح في الغالب. قُيّمت مصادر السجلات وفق قيمتها الكشفية لا وفق اكتمالها، ونُقل نحو ثلثها إلى الاحتفاظ الأرشيفي فقط. انخفض حجم الاستيعاب، وانخفضت الضوضاء معه.
تلا ذلك تطوير حالات الاستخدام، مبنية على التهديدات التي تنطبق على هذه البيئة تحديداً: إساءة استخدام بيانات الاعتماد للوصول السريري عن بُعد، والحركة الجانبية انطلاقاً من محطات العمل الإدارية، وخروج البيانات من أنظمة السجلات بأحجام أو في أوقات غير معتادة. كُتبت كل حالة استخدام ومعها مسار استجابة موثق قبل تفعيلها. فالكشف بلا إجراء محدد ليس إلا تنبيهاً، والتنبيهات كانت أصل المشكلة.
جرى الضبط على مدى فترة أساس محددة مقابل حركة بيانات حقيقية، وبُنيت العتبات من نشاط حميد مؤكد لا من الإعدادات الافتراضية. فالعمل السريري في الورديات الليلية يولّد سلوكاً يبدو عدائياً في أي مجموعة قواعد عامة. وإدراك ذلك في الأسبوع الثالث أقل كلفة بكثير من إدراكه أثناء تحقيق.
وُسّعت التغطية بعدها إلى نموذج يعمل على مدار الساعة، بفرز متدرج يستوعب الحجم، وتصعيد محصور بالنشاط الذي يستلزم قراراً من الجهة نفسها. وبقي الفريق الداخلي ضمن الحلقة في كل ما يمس العمليات السريرية، لأن الحكم على إمكانية عزل نظام أثناء يوم عمل يعود للجهة لا لمزود الخدمة.
وُثقت أدلة الاستجابة واختُبرت. كشف تمرينان مكتبيان مع مسؤول العمليات السريرية عن ارتباط غير موثق — إجراء عزل كان سيوقف سير عمل تشخيصي. أُعيدت صياغته قبل أن تدعو الحاجة إليه.
تحمل ITBuilders اعتماد Fortinet Engage Partner Specialization — Security Operations. وفي سوق تُشترى فيه المراقبة كخدمة بشكل متزايد، يجيب هذا الاعتماد عن السؤال الذي لا يستطيع المشتري حسمه من خلال عرض فني: هل قُيّمت كفاءة المزود في المنصة من جهة غير المزود نفسه.
ما الذي تغير
ما تغير هو موقع الجهة من عامل الوقت. تُكتشف الحوادث الآن أثناء وقوعها لا تُعاد تركيبها بعدها. ويمكن الوفاء بمتطلبات الإبلاغ التنظيمي بأدلة موثقة على الكشف والاستجابة. وعاد الفريق المكون من شخصين إلى العمل الذي لا يستطيع غيرهما القيام به.
استمرارية التشغيل
تُشغّل ITBuilders هذه القدرة بشكل مستمر — الفرز، والضبط مع تغير البيئة، ومراجعة أدلة الاستجابة، وإنتاج التقارير التي تعتمد عليها وظيفة الالتزام لدى الجهة. هندسة الكشف ليست مشروعاً له تاريخ انتهاء. حالات الاستخدام تتآكل مع تغير التطبيقات، ومجموعة قواعد غير مصانة تنتج اللوحة نفسها التي كانت تُراجع أسبوعياً. استمرارية التشغيل هي المُخرج الحقيقي.
