التدقيق يطلب تطبيق الأمن السيبراني وفق TRBS 1115 الجزء 1 — ما الذي ينطبق علينا في ألمانيا؟

أول مكان سينظرون إليه هو وحدات الصيانة عن بُعد. هل الـ VPN أو المودم الخلوي الذي يتصل به مصنّع الماكينة للصيانة يصل مباشرة إلى شبكة أمان الماكينة؟ إذا كانت شبكة المكتب المؤسسي وخط الإنتاج (OT) على نفس الـ VLAN فافصلوهما فوراً فيزيائياً أو منطقياً.

في ورشة القوالب عندنا في بافاريا وفيها 18 ماكينة تلقّينا تحذيراً مشابهاً. دفعنا 4.200 EUR لمستشار خارجي، وجهّز لنا مخطط الشبكة وتحليل المخاطر في يومين. المفتش نظر فقط في التقرير الذي يثبت أن مفتاح الوصول عن بُعد يبقى مغلقاً وأن الإيقاف الطارئ لا يمكن تعطيله بالبرمجيات، وأُغلق الملف.

لا تدفعوا 6.500 EUR على الفور. اكتبوا إلى مصنّعي الماكينات واطلبوا لكل موديل البنية الأمنية وإقرار المخاطر السيبرانية الموجودين في ملف مطابقة CE. يمكنكم البدء بإرفاق النشرة الفنية التي يوفّرها المصنّع بتقييم المخاطر الحالي لديكم.

المفتشون في الفترة الأخيرة يكتبون عبارة TRBS 1115 في كل تقرير كأنها قالب جاهز. إذا كانت مرحّلات الأمان في ماكيناتكم تعمل بكابلات تلامس جاف تقليدية ولا يمكن تجاوزها عبر PLC بطريقة سيبرانية، فيمكنكم الاعتراض موضحين أن النظام خارج النطاق.

قواعد TRBS ذات طبيعة معيارية تقنية، لكنها وفقاً للمادة 3 من BetrSichV تُنتج أثر القرينة (Vermutungswirkung). عندما توثّقون أنكم اتخذتم التدابير المطابقة لهذه القاعدة تُعتبرون قد أدّيتم مسؤوليتكم القانونية؛ وإلا فقد تنشأ مسؤولية الإهمال في حال وقوع حادث عمل محتمل.

هناك ثلاثة ملفات ملموسة سيرغب المفتش في رؤيتها على مكتبه: 1) مصفوفة إدارة كلمات المرور وإثبات تغيير كلمات مرور إعدادات المصنع، 2) تذاكر الخدمة المؤقتة التي فُتحت لمصنّعي الماكينات من أجل إذن الوصول عن بُعد، 3) سجل الصيانة الذي يتضمن الفحوصات السيبرانية التي تُجرى مرة على الأقل سنوياً.

في ورشتنا ركّبنا سدادات سيليكون على منافذ USB خلف شاشات الـ CNC ومنعنا الموظفين من شحن هواتفهم. لما شاف موظف التفتيش هذا فهم أننا آخذين الموضوع بجدية، وما سأل حتى عن تفاصيل كثيرة.

لا تخافوا، ما يطلبون منكم أمن سيبراني بمستوى البنوك. الهدف هو منع برنامج فدية من تجاوز حد دوران الماكينة وقذف القطعة على المشغّل.. ولما تفهمون المنطق، جمع المستندات بياخد منكم كم يوم.

مررت بهذا الطريق، دعني أشرح. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

صححوا لي إن أخطأت.

أنصح بعدم العجلة. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أحسنت، بارك الله في جهدك. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

أتمنى أن يفيدك هذا.

أتفق مع هذا. على كل حال فعل الجميع لشيء ما لا يعني أنه صحيح.

هذا كل شيء، أرجو المعذرة إذا أطالت.

عانيت من نفس الشيء.

تشتت النقاش، دعني ألخصه. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أوافق.

ما كُتب هنا يطابق تماماً ما عشناه. محاولة فعل هذا بمفردك هي أغلى الطرق.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أنا أيضًا متحمس لمعرفة ذلك.