أين تذهب الساعات الاثنتان والسبعون فعليًا، ساعة بساعة

يصل تنبيه إلى مكتب مؤسسة صباح يوم اثنين: وصول غير معتاد اكتُشف على خادم. من تلك اللحظة، تبدأ عدّاد الساعات الاثنتين والسبعين بالعمل.

اثنتان وسبعون ساعة تبدو وقتًا كافيًا. ما يلي هو سرد ساعة بساعة لأين يذهب هذا الوقت فعليًا، لأنه من دون رؤية هذا التفصيل يصعب فهم لماذا يجب أن يحدث الاستعداد للاختراق قبل أشهر من وقوعه، لا أثناءه.

الساعات الثماني الأولى: هل هذا اختراق فعلًا

المهمة الأولى هي تحديد ما إذا كان التنبيه حقيقيًا. قد يكون إنذارًا كاذبًا، أو عملية صيانة، أو صلاحية مُهيَّأة خطأً.

في هذه المرحلة، يمرّ الفريق التقني على السجلات. إذا لم تكن السجلات جيدة بما يكفي، وهي في معظم المؤسسات ليست كذلك، يتأخر هذا الأمر. من دون معرفة أي حساب وصل إلى أي جدول من أي عنوان، لا يمكن اتخاذ أي خطوة تالية.

النقطة الحرجة الأولى هي هذه: إذا لم تحتفظوا بسجلات، فإن العدّاد يبدأ بالنفاد من هنا، وهذا الوقت لا يُستعاد أبدًا.

الأربع والعشرون ساعة التالية: أي بيانات تأثرت

بمجرد إثبات أن هذا اختراق، يترتب سؤال واحد: ما البيانات الشخصية التي كانت على ذلك الخادم؟

المؤسسة التي لديها جرد محدَّث تجيب عن هذا في عشر دقائق. أما التي ليس لديها فتحاول معرفة ذلك بفحص مخطط قاعدة البيانات، والتحقق من أسماء الجداول، وسحب سجلات عينة، وسؤال المطوّرين. هذا وحده قد يستغرق يومًا كاملًا بسهولة.

النصف الثاني من السؤال أصعب. ماذا يوجد في النسخ الاحتياطية؟ هل توجد نسخة صُدِّرت لأجل تقرير؟ هل حُمِّلت عيّنة في بيئة اختبار؟ إذا لم تكن الإجابات مكتوبة في أي مكان، ينتهي الأمر بالتخمين، وإشعار مبني على تخمين ينتهي به الحال محتاجًا للتصحيح لاحقًا.

الاثنتا عشرة ساعة التالية: كم عدد الأشخاص المتأثرين

بمجرد تحديد النطاق، يجب إنتاج رقم: كم عدد أصحاب البيانات، وأي فئات البيانات، وأي المناطق الجغرافية.

الخطأ الشائع هنا هو تقريب الرقم. قول "نحو عشرة آلاف شخص" لن يؤدي إلى رفض الإشعار، لكن ظهور رقم حقيقي مختلف بشكل جوهري لاحقًا يضرّ بمصداقية رواية المؤسسة. إذا تعذّر إنتاج رقم دقيق، من الأفضل قول ذلك، وذكر السبب، بدلًا من التخمين.

الوقت المتبقي: إعداد الإشعار وتقديمه

الإشعار إلى المجلس يجب أن يغطي متى وكيف وقع الاختراق، وأي فئات البيانات تأثرت، وعواقبه المحتملة، والتدابير المتخذة والمخطط لها.

كتابة ذلك من صفحة فارغة تستهلك ما تبقى من وقت. المؤسسة التي لديها نموذج جاهز تملؤه خلال نصف ساعة. من المخوّل بالتوقيع عليه يجب أن يُحسم مسبقًا أيضًا؛ إذا بدأ ذلك النقاش في هذه المرحلة، فلا وقت له.

إخطار الأشخاص المتأثرين مهمة منفصلة. يتم ذلك في أقرب وقت معقول ممكن بمجرد تحديد الأشخاص المتأثرين؛ وحيث يتعذّر التواصل المباشر، تُستخدم طريقة مناسبة أخرى. اللغة مهمة هنا. رسالة مدفونة في تفاصيل تقنية تمنع الشخص من فهم ما يحتاج فعلًا إلى فعله.

ما يجب أن تحتويه الخطة فعليًا

الدرس المستفاد من الجدول الزمني أعلاه هو هذا: خطة الاستجابة للحوادث لا تكون جيدة إلا بقدر ما فكّرت فيه مسبقًا قبل وقوع الحادث.

تحتاج إلى توزيع واضح للأدوار: من يحدد نطاق الحادث، من يقرر أنه اختراق، من يوقّع الإشعار. الخطة التي تعتمد على شخص واحد تنهار يوم يكون ذلك الشخص في إجازة.

تحتاج إلى عتبة محددة: ما الذي يُعدّ اختراقًا يجب أن يُكتب مسبقًا، وإلا فإن ذلك الجدل يحدث داخل الساعات الاثنتين والسبعين.

تحتاج إلى قاعدة للحفاظ على الأدلة. الدافع الأول غالبًا هو مسح الأنظمة المتأثرة، مما يجعل التحقيق السليم مستحيلًا. يجب أن تنص الخطة صراحة على أن السجلات تُحفظ دون مساس.

تحتاج إلى نماذج تواصل جاهزة، لكل من المجلس والأشخاص المتأثرين.

لا شيء ينتهي عند إرسال الإشعار

الإشعار ليس نهاية الالتزام. يقيّم المجلس ما إذا كانت التدابير التقنية والتنظيمية المتخذة كافية.

تكرار الاختراق في المؤسسة نفسها يُقرأ كدليل على أن تلك التدابير لم تكن كافية. لهذا يجب تسجيل الإجراء التصحيحي المتخذ بعد الاختراق وقياس أثره. جملة "التدابير اللازمة اتُّخذت" ليست، وحدها، دليلًا على شيء.

الشيء الوحيد الذي يستحق فعله اليوم

أعلى إجراء قيمة يمكنكم فعله قبل وقوع اختراق هو بناء الجرد مع تحديد الموقع المادي المرفق: أي قاعدة بيانات، أي جدول، أي حقل، أي نسخة احتياطية تحتفظ بأي بيانات.

إذا كان هذا الجدول موجودًا، تُستعاد فعليًا أول ثلاثين ساعة تقريبًا من الاثنتين والسبعين. وإن لم يكن موجودًا، فمهما كانت الخطة مكتوبة جيدًا، لن يكفي الوقت.