Essential Eight للشركات التي لا تملك فريقًا أمنيًا

يظهر إطار Essential Eight في ثلاث حالات: مناقصة حكومية تطلبه، أو عميل كبير يرسل استبياناً عن سلسلة التوريد، أو شركة تأمين سيبراني تسأل عنه في نموذج التجديد. وفي الحالات الثلاث، يكون أمام شخص لم يسمع به من قبل أسبوعان ليفهم معناه.

الإطار في حد ذاته جيد. المشكلة أنه كُتب من قِبل مؤسسات لديها فرق أمنية ولأجلها، والإرشادات الرسمية دقيقة بطريقة تفترض أنك تتقن هذه اللغة أصلاً. وهذه هي الترجمة التي نقدمها لعملائنا.

لمن كُتب إطار Essential Eight

تنشر مديرية الإشارات الأسترالية (Australian Signals Directorate، ASD) إطار Essential Eight، وهو مبني على خبرة ASD نفسها في الاستجابة للحوادث وإنتاج معلومات التهديدات وإجراء اختبارات الاختراق. ويجري تحديثه منذ عام 2017، ويُراجع دورياً مع تغيّر سلوك المهاجمين.

وهو إلزامي للجهات الاتحادية غير المؤسسية. أما لغيرها فهو استرشادي، إلى أن يظهر في عقد. وهذا الفرق مهم لأنه يغيّر معنى "الإنجاز". فإذا كنت تقوم بذلك من أجل مناقصة، فالمعيار هو أدلة يقبلها طرف ثالث. وإذا كنت تقوم به لأنك لا تريد أن تتعرض للاختراق، فالمعيار هو ما إذا كان الضابط يعمل فعلاً. هذان ليسا المشروع نفسه، والخلط بينهما هو ما يجعل الشركات تنفق الكثير على التوثيق وتبقى معرّضة للخطر.

الاستراتيجيات الثماني بلغة واضحة

الترتيب الذي لا يخبرك به أحد

إطار Essential Eight قائمة وليس تسلسلاً، والترقيم ليس ترتيباً للأولويات. فإذا عملت عليه من الأعلى إلى الأسفل، يأتي أصعب الضوابط، وهو التحكم في التطبيقات، أولاً، وهذا هو السبب الأكثر شيوعاً لتوقف هذه المشاريع في الشهر الثاني وعدم استئنافها أبداً.

البدء بالمصادقة متعددة العوامل والنسخ الاحتياطي ليس تنازلاً. فبيانات الاعتماد المخترقة هي السبب الجذري لنحو ربع حالات الاختراق المبلغ عنها إلى OAIC، وارتفعت إشعارات برامج الفدية بنسبة 24% خلال عام 2025. وهذان الضابطان يقفان مباشرة أمام الأمرين الأكثر احتمالاً أن يحدثا لك فعلاً.

ما الذي يتطلبه Maturity Level One (مستوى النضج الأول) فعلاً

هناك أربعة مستويات، من صفر إلى ثلاثة. المستوى صفر يعني وجود نقاط ضعف في وضعك الأمني العام. والمستوى الأول هو خط الأساس، ويستهدف المهاجمين الذين يستخدمون أساليب شائعة ومتاحة على نطاق واسع، أي هجمات انتهازية لا موجّهة. أما المستويان الثاني والثالث فيرتقيان لمواجهة خصوم مستعدين لاستثمار مزيد من الوقت والجهد في هدف بعينه.

توجيه ASD هو الوصول إلى المستوى نفسه في جميع الاستراتيجيات الثماني قبل الارتقاء، والتحقق من ذلك. وهذه هي القاعدة التي تخالفها معظم التقييمات الذاتية. فالشركة التي لديها نسخ احتياطي بمستوى Maturity Level Three وتحكم في التطبيقات بمستوى Maturity Level Zero هي عند Maturity Level Zero. النموذج لا يحسب المتوسط.

أمران في المستوى الأول يفاجئان الناس دائماً:

للتحديثات مهلة زمنية، وهي أقصر من مهلتك. يتوقع المستوى الأول تحديث الخدمات المتصلة بالإنترنت ضمن إطار زمني ضيق، يتقلص إلى نافذة قصيرة جداً عند وجود ثغرة قابلة للاستغلال فعلاً. وعبارة "نحدّث شهرياً" لا تحقق عموماً المستوى الأول للأنظمة المتصلة بالإنترنت. راجع المهل الحالية على cyber.gov.au. فهي تُراجع، والاستشهاد برقم من تدوينة عمرها عامان هو سبب رسوب كثيرين في التقييمات.

العبرة في الاستعادة، لا في النسخ الاحتياطي. يتوقع المستوى الأول الاحتفاظ بالنسخ الاحتياطية وفق متطلبات استمرارية الأعمال، واختبار الاستعادة. ويتوقع أيضاً ألا تتمكن الحسابات غير ذات الصلاحيات من تعديل النسخ الاحتياطية أو حذفها. وهذا البند الأخير هو الذي يوقع الشركات التي تكون "نسختها الاحتياطية خارج الموقع" مجرد مزامنة مع مساحة تخزين سحابية يستطيع مسؤول النطاق مسحها، وهو بالضبط أول ما يفعله مشغلو برامج الفدية.

أين تتعثر الشركات الصغيرة

التحكم في التطبيقات على أجهزة غير مُدارة. إذا كان الموظفون يستخدمون حواسيب محمولة شخصية، فإن التحكم في التطبيقات يكاد يكون مستحيلاً من دون حل إدارة الأجهزة أولاً. وذلك مشروع أكبر. وإدراك ذلك مبكراً يوفّر أشهراً من التخبط.

ذلك التطبيق القديم الوحيد. لدى كل شركة تقريباً واحد: برنامج المحاسبة القديم، أو أداة القطاع من مورّد توقف عن الرد على البريد. يحتاج إلى وحدات ماكرو، أو صلاحيات مسؤول محلي، أو بيئة تشغيل غير مدعومة. وثّق الاستثناء، وعوّض عنه بضوابط حوله (اعزله في مقطع شبكة منفصل، وقيّد من يشغّله)، وكن صريحاً في التقييم. فالاستثناء المعلن يمكن الدفاع عنه؛ أما المخفي فلا.

صلاحيات المسؤول كرمز للمكانة. إن سحب صلاحيات المسؤول الدائمة من شخص يحملها منذ تسع سنوات يحتاج إلى حوار، لا إلى تغيير في الإعدادات. ابدأ بنموذج الحسابات المنفصلة، أي الشخص نفسه بحسابَي دخول، بدلاً من سحب القدرة كلياً. فهذا يمنحك معظم الفائدة الأمنية بمقاومة أقل بكثير.

التعامل معه كمشروع لا كحالة مستمرة. يُقيَّم النضج على أساس الوضع الحالي. فالشركة التي بلغت المستوى الأول في مارس وتوقفت عن التحديث في يونيو ليست عند المستوى الأول في سبتمبر. والضوابط الأسرع تدهوراً هي التحديثات وتضخم الصلاحيات.

ما لا دليل عليه لم يحدث

أياً كان الطرف الذي يطلب، سواء كان مقيِّماً أو عميلاً أو شركة تأمين، فإنه يريد أدلة لا ادعاءات. اجمع الأدلة أثناء العمل؛ فإعادة بنائها لاحقاً تكلّف أضعافاً.

• المصادقة متعددة العوامل: تقرير بالمستخدمين المفعّلة لديهم، إضافةً إلى عدد الاستثناءات وسبب وجود كل منها.
• التحديثات: تقارير امتثال من أداة التحديث تُظهر زمن التحديث مقارنةً بالمهل التي حددتها، لا مجرد نسبة مئوية للوضع الحالي.
• النسخ الاحتياطي: سجل مؤرخ لاختبار الاستعادة. أي نظام، ومن أجرى الاختبار، وكم استغرق، وما الذي تعطل.
• الصلاحيات الإدارية: القائمة الحالية للحسابات ذات الصلاحيات وتاريخ آخر مراجعة.
• وحدات الماكرو والتقوية: إعدادات السياسات المُصدَّرة.
• التحكم في التطبيقات: مجموعة القواعد إضافةً إلى عينة من سجلات التنفيذ المحظور تثبت أنه في وضع الإنفاذ لا في وضع التدقيق.

هذا الفرق الأخير أهم مما يبدو. فالتحكم في التطبيقات المنشور في وضع التدقيق ينتج سجلات جميلة ولا يحظر شيئاً. وهو مرحلة أولى مشروعة، لأنك تحتاج إلى فترة الاستكشاف لمعرفة ما يشغّله الموظفون فعلاً، لكنه ليس الضابط نفسه، وسيسأل المقيِّم عن ذلك.

لا شيء من هذا صعب من الناحية المفاهيمية. إنه بضعة أسابيع من العمل التقني لمعظم الشركات الصغيرة، تحيط بها فترة أطول من الاختبار وجمع الأدلة. والشركات التي تتعثر هي تلك التي تبدأ بالتحكم في التطبيقات، فتكتشف أنه صعب حقاً، وتستنتج أن الإطار كله بعيد المنال. ابدأ بالمصادقة متعددة العوامل واختبار استعادة. وستكون قد عالجت السببين الأكثر احتمالاً لربع سنة سيئ قبل أن تنتهي من قراءة نموذج النضج.