انتقلت مخاطر الأمن السيبراني للتقنيات التشغيلية من هامش سجلات المخاطر في قطاع الطاقة إلى صميم تخطيط استمرارية الأصول. مع تقارب تقنيات التشغيل وتقنيات المعلومات عبر خطوط الأنابيب وشبكات الكهرباء ومحطات الغاز الطبيعي المسال وشبكات الخدمات اللوجستية، تغيّر ملف التعرض للمخاطر في البنية التحتية المادية تغيراً جذرياً. ما كان يُعدّ في السابق مسألة حوكمة تقنية بات اليوم مدخلاً مباشراً في نمذجة تكاليف الاستمرارية، واكتتاب التأمين، وقرارات تخصيص رأس المال. ولا يمكن فهم هذا التحول دون استيعاب أن مخاطر الأمن السيبراني للتقنيات التشغيلية باتت تُسعَّر الآن بوصفها مخاطرة من الدرجة الأولى على صعيد الاستمرارية. إن مجالس الإدارة وكبار المشغلين الذين لم يُعيدوا بعد تسعير هذا التعرض يحملون نقطة عمى هيكلية.
لماذا باتت مخاطر الأمن السيبراني للتقنيات التشغيلية تكلفة استمرارية للمشغلين
لعقود من الزمن، كانت بيئات التقنيات التشغيلية في قطاعي الطاقة والصناعة تُعامَل باعتبارها معزولة بطبيعتها. أوجد العزل الهوائي لأنظمة التحكم الصناعية، والبروتوكولات الخاصة، والفصل المادي عن شبكات الشركات، افتراضاً عملياً بأن التهديدات السيبرانية تمثّل في معظمها شاغلاً يخص تقنيات المعلومات. لم يعد هذا الافتراض قائماً.
أذاب تقارب OT/IT — المدفوع بالمراقبة عن بُعد ومنصات الصيانة التنبؤية وتكامل البيانات في الوقت الفعلي — الحدودَ التي كانت تحمي الأجهزة الميدانية وأنظمة التحكم من التهديدات الشبكية. باتت أجهزة الاستشعار ووحدات التحكم المنطقية القابلة للبرمجة وأنظمة SCADA تتواصل عبر بنية تحتية مشتركة. وكل نقطة تكامل هي في الوقت ذاته نقطة تعرض.
تتمثل النتيجة في أن الاختراق الناجح لم يعد يتوقف عند حدود سرقة البيانات. فهو قادر على تعطيل العمليات المادية، وتفعيل استجابات أنظمة السلامة، أو إجبار المشغلين على إيقاف تشغيل منضبط يحمل تبعات فورية على الإيرادات والالتزامات التعاقدية. يجب أن تدمج تكلفة الاستمرارية — التي كانت تُنمذَج سابقاً حول أعطال المعدات وأحداث الطقس أو اضطرابات سلسلة التوريد — التوقف عن العمل الناجم عن الهجمات السيبرانية بوصفه سيناريو موثوقاً ومتكرراً.
أنظمة التحكم الصناعية بوصفها الحدود الجديدة لاستمرارية الأصول
تقع أنظمة التحكم الصناعية عند تقاطع إدارة العمليات المادية والاتصال الرقمي. لا يُفضي اختراقها إلى خسارة بيانات مجردة — بل إلى فشل تشغيلي قابل للقياس. بالنسبة لمشغلي البنية التحتية للطاقة، يعني ذلك أن تخطيط المرونة السيبرانية يجب أن يُدمج في الأطر ذاتها المستخدمة للموثوقية الميكانيكية واستمرارية الإمداد. إن معالجتهما بوصفهما تخصصين منفصلين يُفرز ثغرات حوكمية يُدركها الخصوم والمكتتبون على حدٍّ سواء.
كيف يُعيد تقارب OT/IT تشكيل أسواق التأمين ورأس المال
كانت أسواق التأمين السيبراني من بين أوائل الجهات المؤسسية التي أعادت تسعير التعرض للتقنيات التشغيلية. فالمكتتبون الذين كانوا يُطبّقون في السابق صياغة بوليصة سيبرانية شاملة على أصول الطاقة باتوا يُطبّقون معايير خاصة بالتقنيات التشغيلية — تشمل تقييم تجزئة الشبكة، وممارسات إدارة التصحيحات لأنظمة التحكم القديمة، وقدرات الاستجابة للحوادث الممتدة إلى البيئات التشغيلية.
الاحتكاك الناجم عن ذلك بالغ الأثر. يواجه المشغلون الذين يفتقرون إلى رؤية كافية للتقنيات التشغيلية، أو يمتلكون جرداً غير موثق للأصول، أو يعتمدون برامج أمنية تمحورت حول تقنيات المعلومات، استثناءات في التغطية وارتفاعاً في الاحتجازات وزيادات في الأقساط تؤثر مباشرة على اقتصاديات المشاريع. وفي بعض الحالات، يرفض المؤمنون تقديم تغطية لفئات أصول بعينها في غياب ضوابط أمنية موثّقة للتقنيات التشغيلية.
تبدأ أسواق رأس المال في اتباع المنطق ذاته. يدمج مُقرضو البنية التحتية والمستثمرون المؤسسيون تقييمات المرونة السيبرانية في أطر التحقق المعمّق لأصول الطاقة. لم يعد السؤال ما إذا كانت المنشأة تمتلك سياسة للأمن السيبراني — بل ما إذا كانت هذه السياسة تعالج بيئة التقنيات التشغيلية بالصرامة ذاتها المُطبَّقة على سلامة الأصول المادية.
الفجوة بين وضعية أمن تقنيات المعلومات ومرونة التقنيات التشغيلية
أجرى كثير من مشغّلي قطاع الطاقة استثمارات ضخمة في أمن تقنية المعلومات على مستوى المؤسسات، إذ باتت جدران الحماية وأنظمة الكشف عن التهديدات في نقاط النهاية ومراكز عمليات الأمن أمراً شائعاً. غير أن هذه الضوابط صُمِّمت في الأصل لبيئات تقنية المعلومات، ولا تنطبق مباشرةً على سياقات التقنية التشغيلية. فأنظمة التحكم الصناعية القديمة كثيراً ما تعجز عن استيعاب عوامل الأمان الحديثة، كما أن دورات تصحيح الثغرات تُقاس بالسنوات لا بالأسابيع، وهو أمر معتاد في هذه البيئات. فضلاً عن ذلك، تفرض متطلبات التوافر قيوداً صارمة، إذ يُعدّ الأسلوب المعتاد في تقنية المعلومات القاضي بعزل النظام المخترق وإعادة تهيئته أمراً غير مقبول من الناحية التشغيلية.
يتمحور اهتمام المكتتبين والمستثمرين وتدقيقهم حول هذه الفجوة القائمة بين الوضع الأمني لتقنية المعلومات والمرونة الحقيقية للتقنية التشغيلية. والمشغّلون الذين يخلطون بين المفهومين عرضةٌ لمواجهة احتكاك متزايد مع تطور معايير السوق.
أُطر الحوكمة التي لم تعد صالحة للغرض
صُمِّمت هياكل الحوكمة التي ورثتها معظم شركات الطاقة لعالمٍ كانت فيه مخاطر الأمن السيبراني ومخاطر التشغيل تُدار بصورة منفصلة؛ إذ كان المسؤولون الرئيسيون عن أمن المعلومات يتولّون ملف الأمن السيبراني، فيما كان مديرو العمليات يتولّون ملف استمرارية الأصول. وكان التنسيق بين الوظيفتين نادراً على صعيد لغة المخاطر وخطوط الإبلاغ والرؤية على مستوى مجلس الإدارة.
جعل التقارب بين التقنية التشغيلية وتقنية المعلومات هذا الفصلَ خطراً هيكلياً. فحين يكون بمقدور حادثة سيبرانية أن تتسبب مباشرةً في توقف الإنتاج، لا يمكن حصر هذه المخاطرة ضمن مسار حوكمة تقنية المعلومات وحده. وتحتاج مجالس الإدارة إلى تقارير متكاملة تربط التعرض السيبراني بمقاييس استمرارية التشغيل ونماذج تقدير الأثر المالي وكفاية التغطية التأمينية.
يُعزّز الضغط التنظيمي هذا التحوّل. فالأطر التنظيمية في الولايات المتحدة والاتحاد الأوروبي والمملكة المتحدة تشترط بصورة متزايدة على مشغّلي قطاع الطاقة إثبات مرونتهم السيبرانية الخاصة بالتقنية التشغيلية، لا مجرد الامتثال للمعايير العامة للأمن السيبراني. ويتجه المسار التنظيمي نحو الإفصاح الإلزامي عن المخاطر السيبرانية الجوهرية المؤثرة في استمرارية التشغيل، مما يرفع مستوى الرهانات الحوكمية إلى حدٍّ أبعد.
إعادة تسعير استمرارية الأصول في مواجهة مخاطر الأمن السيبراني للتقنيات التشغيلية
يتمثّل الأثر العملي على مشغّلي البنية التحتية للطاقة في أن تخطيط استمرارية الأصول بات يستلزم مجموعة جديدة من المدخلات. إذ يجب دمج نمذجة السيناريوهات السيبرانية — التي تشمل الاختراق وبرامج الفدية والاختراق عبر سلسلة التوريد المؤثر في التقنية التشغيلية — في خطط استمرارية الأعمال واختبارات الإجهاد المالي وأطر تقييم الأصول.
هذا ليس تمريناً نظرياً. فقد أثبتت الحوادث التي طالت البنية التحتية للطاقة في السنوات الأخيرة أن الاضطراب التشغيلي الناجم عن الهجمات السيبرانية ينطوي على تكاليف مقارنة بتلك الناجمة عن الأعطال الكبرى في المعدات. وتتجلّى الجداول الزمنية للتعافي والالتزامات التنظيمية بالإخطار والتداعيات على السمعة بأساليب لم تستوعبها نماذج الاستمرارية التقليدية.
يتمثّل الضرورة الاستراتيجية لمجالس الإدارة والفرق التنفيذية في التعامل مع مخاطر الأمن السيبراني للتقنية التشغيلية باعتبارها مخاطرة من الدرجة الأولى على صعيد الاستمرارية ورأس المال، لا مجرد مركز تكلفة تقني. ويعني ذلك دمج المرونة السيبرانية في قرارات إدارة الأصول وعمليات التحقق المعمّق في عمليات الاندماج والاستحواذ وهياكل تمويل المشاريع وتخطيط الاستثمار في البنية التحتية على المدى البعيد. إن تعرّض قطاع الطاقة لهذه الفئة من المخاطر ليس في تراجع، بل سيتعمّق التقارب بين البنية التحتية المادية والرقمية، وستتضاعف تكلفة التقليل من شأن هذا التعرّض وفق ذلك.
