اشتباه اختراق:
أول أربع وعشرين ساعة

أربع مراحل — والترتيب أهمّ من السرعة

وهذه الخريطة تُطبَع وتُعلَّق قبل أن يقع شيء:

وهذا المقال عن الاستجابة لا الوقاية. أمّا حماية الدخول فمفصَّلة في المصادقة متعددة العوامل لحماية الحسابات المالية، والصلاحيات في تسلّل الصلاحيات في الأنظمة المالية.

ستّ إشارات تستدعي التعامل كحادث

ولأن كثيرًا منها يُفسَّر بسذاجة أول مرّة:

والإشارة الثانية أكثرها كلفةً وأقلّها إثارةً للشكّ: رسالة تطلب تحديث حساب المورّد البنكي قبل تحويل. وهي احتيال شائع لا يحتاج اختراقًا تقنيًّا أصلًا — وقد فُصِّل في كيف يمنع النظام المحاسبي التلاعب المالي؟.

والقاعدة عند الشكّ: عامِله كحادث حتى يثبت العكس. فكلفة التعامل الزائد ساعة عمل، وكلفة التأخّر قد تكون أيامًا من البيانات.

الاحتواء: أوقِف الانتشار لا الجهاز

ولأن أكثر الأخطاء تقع في هذه الساعة:

1. أوقِف الحسابات المشتبه بها — تعطيل لا حذف.
2. واعزل الجهاز عن الشبكة — انزع السلك أو أطفئ الاتصال.
3. ولا تُطفِئ الجهاز — فالإطفاء يمحو ما في الذاكرة.
4. وغيّر كلمات المرور الإدارية من جهاز آخر سليم.
5. وأوقِف أي تحويل مالي معلَّق حتى يتّضح الأمر.
6. وابدأ سجلًّا زمنيًّا — ما شوهد ومتى ومن فعل ماذا.

والخطوة الأخيرة تبدو ثانوية وهي أثمن ما تخرج به: سجلّ زمني مكتوب. فبعد أسبوع لن يتذكّر أحد متى ظهرت أول علامة — وهذا التاريخ هو ما يحدّد نطاق ما تأثّر.

ما الذي تأثّر فعلًا؟

ولأن الاستعادة قبل معرفة النطاق تُعيد المشكلة معها:

والسؤال الأخير يُغفَل فتُعاد الكرّة: استعادة بينما الوصول ما زال قائمًا تعني أن ما استُعيد سيُصاب مرّة أخرى. فالاحتواء يسبق الاستعادة دائمًا.

وكل هذا يعتمد على وجود سجلّات تُقرأ — وقد فُصِّل في سجلّ التدقيق في نظام ERP. ومن لا يملك سجلًّا لا يستطيع الإجابة عن أي سؤال منها.

من نسخة تعرف أنها سليمة

ولأن أخطر ما في الاستعادة أن تُعيد المشكلة معها:

1. اختر نسخة أقدم من أول أثر — لا آخر نسخة.
2. وافحصها قبل الاعتماد — لا تُعِدها مباشرةً على الإنتاج.
3. وأعِد إدخال ما بين النسخة والحادث — من المستندات الورقية والبريد.
4. وثبّت الثغرة قبل العودة — وإلّا تكرّر الأمر.
5. وراقِب أسبوعًا بعد العودة — فبعض ما يبقى يظهر متأخّرًا.

والخطوة الثالثة أشقّها ولا بديل عنها: فجوة بين آخر نسخة سليمة ولحظة الحادث تُملأ يدويًّا. وهنا تظهر قيمة المستندات الورقية والبريد — وقد فُصِّل العمل اليدوي المؤقّت في خطّة الاستمرار عند انقطاع النظام.

من يُبلَّغ؟ ومتى؟

ولأن قرار الإبلاغ يُتَّخذ تحت ضغط فيجب أن يكون معدًّا سلفًا:

والصفّ الأخير لا يُجتهَد فيه: متطلّبات الإبلاغ النظامية تختلف بنوع البيانات والنشاط — وتحديدها لحالتك يُسأل عنه مختصّ قانوني، ويُعرَف قبل الحادث لا أثناءه.

والصفّ الأول له صياغة تحمي من الارتباك: «هذا ما نعرفه، وهذا ما لا نعرفه بعد، وهذا ما نفعله الآن» — ثلاث جمل تُغني عن تقرير لا يمكن كتابته في تلك الساعة.

ما يُفعَل في الأسبوع التالي

ولأن الحادث الذي لا يُنتِج تغييرًا يتكرّر:

1. اكتب ما حدث بالتسلسل — من السجلّ الزمني لا من الذاكرة.
2. وحدّد كيف دخل — كلمة مرور؟ رابط؟ صلاحية زائدة؟
3. وأغلِق الباب نفسه في كل مكان — لا في موضع الحادث وحده.
4. وراجِع قائمة المستخدمين كلّها — لا الحساب المصاب فقط.
5. وحدّث ورقة الاستجابة بما تعلّمته.

ولا تُنسَ الناحية الإنسانية: من وقع في الخطأ لا يُشهَّر به. فمنشأة تعاقب من فتح رابطًا خاطئًا تضمن أن أحدًا لن يُبلِغ في المرّة القادمة — وهذا أخطر من الحادث نفسه.

ورقة واحدة تُكتَب قبل أن تحتاجها

ولأن كل ما سبق يعتمد على أشياء تُعدّ سلفًا:

والبند الأخير يمنع فوضى شائعة: موظّف يشرح الحادث لعميل بحسن نيّة فيُنتِج قلقًا أوسع من الحادث. والصياغة الخارجية تصدر من شخص واحد.

وهذه الورقة تُراجَع مع تمرين الاستعادة السنوي — فهما وجهان لاستعداد واحد.

وما الذي لا نَعِدك به؟

ونقولها صراحةً لأن هذا الباب يُباع فيه كثير من الوهم: لا نظام يمنع الاختراق — ولا نحن ولا غيرنا.

والصفّ الأخير هو أخطر ما يُصدَّق: أكثر ما يصيب المنشآت الصغيرة ليس هجومًا موجَّهًا — بل رسالة عامّة وصلت لآلاف وفتحها واحد. ولهذا فالأساسيات — كلمة مرور قوية وعامل ثانٍ ونسخة مجرَّبة — تمنع أكثر ما يقع فعلًا.

والنصيحة التي تقلّل ما تشتريه منّا: لا تشترِ أداة أمنية قبل أن تراجع صلاحياتك. فمراجعة من يملك ماذا تُنجَز في ساعتين بلا ريال — وتُغلِق أوسع باب في أكثر المنشآت.

قائمة الاستجابة

وتُطبَع وتُحفَظ في مكان يُوصَل إليه بلا نظام:

وابدأ بسطر واحد اليوم: من يقود الاستجابة ومن بديله؟ فإن لم يكن لهذا السؤال جواب مكتوب، فأول عشر دقائق في أي حادث ستضيع في البحث عنه.

اقرأ أيضًا