طلوب مننا نصنف الحوادث بـ "تصنيف" (Taxonomy) — دا ايه اصلاً وليه بيصعب الاستجابة؟

متكبرش الموضوع في دماغك. افتح جدول بيانات (Excel/Sheets) وحط أعمدة: "التاريخ"، "الفئة"، "مستوى الشدة"، "الأصل المتأثر"، و"الإجراء المتخذ". مش هتملى آلاف السطور يومياً؛ سجل بس الحوادث الملموسة اللي اتدخلتوا فيها فعلياً مرة كل أسبوع أو شهر.

إحنا من سنتين عملنا تصنيف فيه 15 فئة، الفريق بقا يقضي الوقت في ملء النماذج بدل ما يشتغل ومتوسط وقت الاستجابة نط من 30 دقيقة لساعتين. السنة اللي فاتت قللنا الفئات لـ 3 عناوين أساسية بس، ونسبة الالتزام بالتسجيل وصلت 100%.

لو اعتبرت كل محاولة SSH فاشلة حادثة، هتقضي الليل كله تقفل في التذاكر. طيب افصل بين الـ Log العادي والحدث اللي يستاهل يدخل التصنيف وباقي الأمور هتتحل لوحدها.

السبب الحقيقي إن المراجعين وشركات التأمين بيطلبوا التصنيف هو إنهم عايزين يشوفوا هل هتقدر تعمل تحليل للسبب الجذر (Root cause analysis) لو حصلت كارثة ولا لأ. يعني لما يحصل تسريب بيانات، بدال ما تقول "السيستم باظ"، تقول "وصول غير مصرح به بسبب هندسة اجتماعية"، هم محتاجين اللغة دي منك.

وانت بتسجل، امشي على 3 فلاتر ذهبية: 1) هل أمان أو سلامة البيانات اتأثرت؟ 2) هل الخدمة المقدمة للعميل اتعطلت؟ 3) هل الوضع استدعى إشعار قانوني أو تعاقدي مهلت محددة؟ لو إجابة التلات أسئلة "لأ"، يبقى دا مش أزمة محتاجة تصنيف، دا مجرد Log سيستم روتيني.

هل شركة التأمين طالبه معيار معين في نموذج التقديم (زي ISO 27035 أو NIST SP 800-61) ولا طالبين مجرد منهجية محددة داخلية؟ في الغالب بيكون كافي جداً تعمل وثيقة خاصة بيك.

شركات الاستشارات الكبيرة بيسوقوا للموضوع كأن شركة من 5 أفراد محتاجة تعمل مركز عمليات أمنية (SOC) شغال 24 ساعة. في معظم تدقيقات العملاء، لما توريهم جدول بسيط من صفحة واحدة وتقول "إحنا بنصنف الحوادث كده" بيقفلوا الموضوع على طول.

في أول تدقيق لينا اتخضينا ونقلنا وثيقة تصنيف حلف الناتو اللي 40 صفحة من النت لكن المراجع ضحك وقالنا "هو انتو بتطبقوا دا بجد؟". البساطة دايماً هي أضمن حاجة.

لدي سؤال، ولا أريد الخروج عن صلب الموضوع. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

لو كنت مكانك، لسلك هذا المسار.

عانيت من نفس المشكلة قبل عامين. فعل الجميع لشيء ما لا يعني أنه صحيح.

أتمنى أن يفيدك هذا.

أخذت ملاحظة، شكرًا لك.

بالضبط، بل إن هذا الجانب غير معروف بشكل كافٍ. بصراحة الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

أنت محق.

أرجو المعذرة، لكن هذا لا ينطبق في كل الحالات. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

الخطأ المرتكب من جانب تصنيف الحوادث السيبرانية قابل للإصلاح عادةً، لكنه مكلف. هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

موضوع في الوقت المناسب تمامًا.

هناك فخ هنا، لا أريد المرور عليه دون ذكره. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.