لماذا أنظمة OT مختلفة جذرياً عن IT؟ — ولماذا تفشل أدواتك المعتادة في حمايتها
حين يفكّر معظم المهندسين في «الأمن السيبراني»، تتبادر إلى أذهانهم صور مألوفة من عالم IT: جدران نارية، تشفير قواعد البيانات، ومصادقة متعدّدة العوامل. لكنّ المدينة الذكية لا تُدار بالبيانات وحدها، بل بـ التقنية التشغيلية (Operational Technology — OT): محطات معالجة المياه، مضخّات الصرف، أنظمة الإنارة الذكية، وحدات التحكّم في تكييف المباني، إشارات المرور، وأنظمة الـ SCADA التي تُدير الشبكات الكهربائية للأحياء. والفروقات بين العالمَين ليست تجميلية بل بنيوية: ففي حين يُستبدل خادم مركز البيانات كل ثلاث إلى خمس سنوات، تعمل وحدة PLC في محطة مياه عشرين سنة دون استبدال، أي أنّك تتعامل مع أنظمة بُنيت قبل أن يكون «الأمن السيبراني» مفهوماً أصلاً. وبينما تتدرّج أولوية IT وفق نموذج CIA — السرّية أوّلاً ثم السلامة ثم التوفّر — يُقلب الترتيب في OT رأساً على عقب ليصبح AIC، إذ أنّ توقّف محطة مياه ساعةً واحدة قد يعني أزمة لمدينة كاملة. وفي حين يُمكن تحديث خادم Linux ليلة اجازة نهاية الاسبوع، فإنّ إعادة تشغيل وحدة تحكّم في مصنع تكرير قد تتطلّب توقّف الخط ثلاثة أيام وموافقات هندسية متعدّدة. وفوق ذلك، تتحدّث OT لغات قديمة جداً مثل Modbus و DNP3 و BACnet — بروتوكولات صُمّمت في الثمانينيات والتسعينيات دون أيّ اعتبار للأمن: لا تشفير ولا مصادقة ولا توقيع رسائل. النتيجة المؤلمة أنّ أدوات الـ EDR والـ SIEM التقليدية لا تفهم هذه البروتوكولات أصلاً، ولا تستطيع قراءة سجلّات PLC، ولا تعرف أنّ أمراً واحداً عبر Modbus كافٍ لإيقاف مضخّة حرجة. هكذا تكتشف فجأة أنّ كلّ ما اشتريتَه لحماية «شركتك» لا يحمي «مدينتك».
الفجوة الخطيرة بين IT و OT — تشريح حادثة Oldsmar وما تعنيه لمدنٍ مثل نيوم والقدية
في فبراير 2021 حاول مهاجم رفع نسبة هيدروكسيد الصوديوم في مياه شرب مدينة Oldsmar الأمريكية من 100 جزء بالمليون إلى 11,100 جزء بالمليون — جرعة قاتلة. لم يكن هذا اختراقاً متطوّراً: المهاجم دخل عبر برنامج TeamViewer قديم، استخدم كلمة مرور مشتركة بين عدّة محطّات، ولم يكن هناك أيّ فاصل شبكي بين الإنترنت العام وأنظمة الـ SCADA. والدرس ليس أنّ «محطّات المياه ضعيفة» بل أنّ الفجوة بين IT و OT كانت ممراً مفتوحاً للمهاجم، والحماية الفعلية تتطلّب ثلاث طبقات تعمل معاً، أيُّ خللٍ في إحداها يُسقط المنظومة كاملةً: الفصل المعماري عبر عزل شبكات OT عن شبكات IT العامة بنموذج Purdue Reference Model وَ DMZ، ثم المراقبة الخاصّة بـ OT بأدوات مثل Claroty و Nozomi و Dragos تفهم بروتوكولات OT وتُنشئ خط أساس سلوكي، وأخيراً الحوكمة المشتركة التي تضمّ مهندسي عمليات في فريق الـ SOC، لأنّ قراءة سجلّ OT دون فهم العمليّة الصناعية تتحوّل إلى ضوضاء بلا معنى. في السياق السعودي هذه ليست نظرية: مدنٌ مثل نيوم و القدية و الدرعية و روشن ستُشغّل آلاف وحدات OT منذ يومها الأول، من الإنارة الذكية إلى أنظمة التحكّم بالحشود إلى مضخّات الري، وكلّ وحدة منها هي «باب جانبي» محتمل إن لم يُحكم عزله. واختراق واحد لمنظومة الإنارة لن يكون مجرّد خبر أمني، بل حدث بنية تحتية وطنية.
الإطار التنظيمي — IEC 62443 و NIST 800-82، أيُّهما تختار لمشروعك السعودي؟
في عالم IT تتقاتل عشرات الأطر على الانتباه: ISO 27001 و SOC 2 و PCI-DSS و NIST CSF. أمّا في OT فالساحة أكثر هدوءاً وأكثر تخصّصاً، ومعياران يهيمنان عليها. IEC 62443 هو المعيار الدولي الأشمل لأمن أنظمة التحكّم الصناعي، يُقسّم المسؤوليّات بوضوح بين ثلاث جهات: «مالك الأصل» وهو البلدية أو مشغّل المدينة الذكية، و«مُكامل النظام» وهو المقاول الذي يربط المكوّنات، و«مزوّد المنتج» وهو الشركة المصنّعة للـ PLC أو الـ HMI، ويُعرّف مفاهيم أساسية مثل Zones و Conduits التي تُقسّم البيئة إلى مناطق ذات مستويات أمن مختلفة وتُعرّف القنوات الموصِّلة بينها بضوابط صارمة، بحيث تصبح المدينة الذكية وفق IEC 62443 لا شبكةً مسطّحة بل خريطة مناطق طبقية لكلّ منها سياسة وصول وتشفير ومراقبة خاصّة. أمّا NIST 800-82 فأمريكي المنشأ لكنه عالمي الاعتماد، ويُركّز على التطبيق العملي أكثر من المعمارية: كيف تُجري تقييم مخاطر OT، كيف تستجيب لحادثة، وكيف تُدير تحديثات البرمجيات في بيئة لا تحتمل التوقّف. التوصية للسياق السعودي أن تبدأ بـ IEC 62443 كإطار معماري أساسي لأنّه دولي ومعتمد من أرامكو و سابك وأصبح متطلّباً ضمنياً في كثير من المناقصات الكبرى، ثم تستكمله بـ NIST 800-82 لتفاصيل التشغيل اليومي وإدارة الحوادث، مع وضع ECC-2 من الهيئة الوطنية للأمن السيبراني (NCA) وضوابطها الخاصّة بالأنظمة الحسّاسة (CSCC) في الاعتبار لأنّها ملزِمة لكلّ جهة حكومية أو شبه حكومية. التراكب بين الثلاثة ليس عبئاً بل حصن متعدّد الطبقات: IEC للمعمارية، NIST للعمليّات، NCA للامتثال المحلّي.
Zero Trust للـ OT — كيف تُطبّقه عملياً على حالات الاستخدام
«Zero Trust» شعار شائع في عالم IT منذ سنوات، لكنّ تطبيقه في OT يختلف. المبدأ نفسه — «لا تثق بأحد، تحقّق من كلّ شيء» — لكن الترجمة العملية تحتاج تكييفاً. ففي IT يعني الشعار أنّ كلّ طلب وصول إلى تطبيق يُتحقّق منه بهوية المستخدم وحالة الجهاز والموقع، أمّا في OT فلا يمكن أن نطلب «مصادقة متعدّدة العوامل» من وحدة PLC تحاول قراءة قيمة من جهاز استشعار. بدلاً من ذلك يعتمد التطبيق على ثلاث آليّات متكاملة: Microsegmentation التي تُقسّم الشبكة إلى مناطق صغيرة جداً، فنظام Smart Street Lights مثلاً لا يحتاج التحدّث مع نظام Video Surveillance رغم وجودهما في نفس المجال، وعزلهما عبر VLANs و Firewalls داخلية يحدّ من الانتشار الجانبي للهجوم؛ ثم هويّة الجهاز (Device Identity) حيث يحمل كلّ جهاز IoT شهادة رقمية فريدة (PKI)، فالشبكة لا تثق بعنوان MAC وحده بل تتحقّق من الشهادة قبل قبول أيّ اتصال؛ وأخيراً المراقبة السلوكية المستمرّة، فيتحوّل السؤال من «هل الجهاز مُصرَّح له؟» إلى «هل سلوكه اليوم يطابق سلوكه المعتاد؟»، وجهاز استشعار يُرسل قراءة كل خمس دقائق ثم بدأ يُرسل كلّ ثانية = إشارة تحقيق فوري. يُعزَل Smart Energy و Smart Water عزلاً كاملاً عن بقية الشبكة مع قناة Data Diode أحادية الاتجاه للقراءة فقط، وتُمنح Site-wide Video Surveillance و Drone Detection شبكةً منفصلة بهويّة جهاز قوية لأنّ اختراق كاميرا واحدة كان تاريخياً نقطة دخول لكثير من الـ botnets، أمّا Smart Poles فهي نقطة هشاشة كبرى لأنّها تجمع عدّة وظائف (إنارة، Wi-Fi، استشعار بيئي) ما يفرض تطبيق Microsegmentation داخل العمود نفسه لا فقط بين الأعمدة.
SOC الموحّد — النموذج التشغيلي الذي تحتاجه مدنُ نيوم والقدية في 2026
السؤال الأخير : مَن يستجيب حين يحصل الاختراق؟ النموذج التقليدي يضع فريق IT Security في مبنى الإدارة يستلم تنبيهات من SIEM ويُحقّق فيها، وهو نموذج يفشل في المدن الذكية لسبب بسيط: محلّل IT لا يعرف ما إذا كان تنبيه نظام التحكّم بالمياه يعني هجوماً أم مجرّد تعديل صيانة مجدول. النموذج الذي يعمل، والذي تتبنّاه شركات مثل أرامكو و الخطوط السعودية وبدأت تتبنّاه المدن الذكية الكبرى، يُسمّى Converged SOC أو «مركز عمليات أمن مدمج»: فِرَق مدمجة تضمّ محلّلي أمن IT ومهندسي OT ومهندسي شبكات OT معاً ويشتركون في نفس الـ Playbooks، ومنصّات تتحدّث كلتا اللغتَين بحيث تُدمج أدوات SIEM مثل Splunk و Sentinel مع أدوات OT-aware مثل Claroty XDome أو Nozomi Vantage فيظهر تنبيه واحد يجمع سياق IT و OT في شاشة واحدة. وتختلف Playbooks الحوادث جذرياً: عزل خادم Web مشتبه به نقرة واحدة، لكنّ عزل وحدة PLC تتحكّم في مضخّة حرجة قرار هندسي يتطلّب موافقة مدير العمليات أوّلاً، وإلّا عزلتَ المضخّة وأغرقتَ نصف المدينة. وتمارين Tabletop الدورية التي تُحاكي سيناريوهات من نوع «ماذا لو اختُرقت Smart Energy في رمضان وقت الذروة؟» أو «ماذا لو تعطّل Drone Detection أثناء حدث رياضي كبير؟» تكشف الثغرات التنظيمية قبل أن يكتشفها مهاجم حقيقي. خلاصةً للقارئ السعودي: في 2026 وقد دخلت المملكة عام الذكاء الاصطناعي رسمياً، وانطلقت مشاريع نيوم والقدية والدرعية في طور التشغيل، لم يعد الأمن السيبراني لـ OT خياراً تأخّرنا في اتّخاذه، بل شرط بقاء لكلّ مدينة ذكية. والمدن التي ستنجو من العقد القادم ليست التي اشترت أحدث الكاميرات وأذكى الحسّاسات، بل التي بنت منذ اليوم الأوّل فرقاً مُدمجة ومعمارية مُقسَّمة وحوكمة تَفهم أنّ «نقل البيانات إلى السحابة» ليس نهاية القصّة، بل بدايتها.
