خدمات إيقاف تشغيل مراكز البيانات: الثغرة الأخيرة في خطة الأمن السيبراني الخاصة بك

هل تغطي خطة الاستجابة للحوادث الخاصة بك ما يحدث بعد فصل الخادم عن التيار الكهربائي؟

اسأل مسؤول أمن المعلومات (CISO) عن الجهة المسؤولة عن عملية إيقاف التشغيل. ثم اسأل مدير قسم تكنولوجيا المعلومات. ثم اسأل قسم المشتريات.

ستحصل على ثلاثة إجابات مختلفة — وهذه هي المشكلة.

يقع مجال «إدارة الأصول التقنية» (ITAD) عند نقطة التقاء بين إدارة الأصول التقنية، وأمن المعلومات، وحوكمة الموردين. وهو يتطلب التدقيق في هذه المجالات الثلاثة جميعها. لكن في الواقع العملي، لا يحظى أي منها عادةً بالاهتمام الكامل. فقسم تكنولوجيا المعلومات يعتبر المعدات خارج الخدمة بمجرد فصلها عن الشبكة. أما قسم الأمن فيفترض أن قسم تكنولوجيا المعلومات هو الذي يتولى إدارة التخلص المادي من هذه المعدات. أما قسم المشتريات فيدير العلاقة مع الموردين بناءً على السعر واللوجستيات وقائمة مراجعة للشهادات لم يطلع عليها أحد عن كثب.

والنتيجة هي وجود ثغرة في نهاية برنامج أمني تم إعداده بعناية في جميع جوانبه الأخرى. فكل مرحلة من مراحل خطة الأمن السيبراني الخاصة بك تتمتع بمسؤولية محددة، ومعايير موثقة، وتخصيص ميزانية، وتدقيق دقيق للموردين. كما أن عملية إيقاف تشغيل مركز البيانات تتضمن موعدًا محددًا للتسليم وشهادة إتلاف.

البيانات الموجودة على تلك الأقراص الصلبة لا تميز بينهما.

عندما تنتهي خطة الأمن عند باب غرفة الخادم

لا يتقلص نطاق التهديد عند سحب الأجهزة من الخدمة. بل يتغير شكله. فالأقراص الصلبة المسحوبة من الخدمة لا تزال تحتوي على بيانات الإنتاج. كما أن الخوادم التي تم إيقاف تشغيلها لا تزال تحتفظ بسنوات من المعلومات الحساسة المتراكمة. ولا يختفي الخطر مع المعدات — بل يتبع البيانات، عبر كل يد تلمسها، حتى يتم التأكد من إتلافها.

ومعظم تقييمات مزودي خدمات إدارة أصول تكنولوجيا المعلومات (ITAD) لا تعكس ذلك. فهي تركز على القدرات اللوجستية، والأسعار، وشعارات الاعتماد — ويتم تقييمها من قبل أشخاص يتمثل شاغلهم الأساسي في إخراج المعدات من الموقع في الموعد المحدد. وغالبًا ما لا تُدرج المتطلبات الأمنية التي تحكم كل علاقة أخرى مع الموردين في المؤسسة ضمن محادثات إيقاف التشغيل إلا بعد حدوث خطأ ما.

والنتيجة هي وجود فجوة لا تلاحظها معظم المؤسسات إلا عندما تبدأ في البحث عنها. فمن ناحية باب غرفة الخوادم، هناك نظام أمني متطور، ومن الناحية الأخرى، هناك علاقة مع مورد تتولى إدارة المرافق.

ما الذي يعنيه مصطلح «معتمد» فعليًّا بالنسبة لهذه الفئة من الجمهور

تُعد قوائم الشهادات نقطة انطلاق، وليست حلاً نهائياً. وتُعد شهادات R2 وe-Stewards وNAID AAA شهادات ذات أهمية — فهي تضع معايير أساسية لإجراءات إعادة التدوير والتخلص من البيانات بطريقة مسؤولة. لكنها لا تحدد ما إذا كان المورد يعمل في إطار نظام رسمي لإدارة أمن المعلومات.

هذا سؤال مختلف تمامًا. وبالنسبة لأصحاب المصلحة في مجالي الأمن والامتثال، فهو السؤال الأهم.

معيار ISO 27001 ليس شهادة في مجال إعادة التدوير. إنه شهادة في إدارة أمن المعلومات — وهو نفس المعيار الذي من المرجح أن فرقكم تعمل بالفعل وفقًا له أو تخضع للتدقيق الداخلي بموجبه. ويستلزم الحصول عليه وجود سياسات موثقة، وضوابط وصول، وتقييمات للمخاطر، وإجراءات للاستجابة للحوادث، وعمليات تدقيق مستقلة من قبل أطراف ثالثة. كما يتطلب إثبات أن أمن المعلومات جزء لا يتجزأ من طريقة عمل المؤسسة، وليس مجرد تطبيق انتقائي على عملية واحدة.

بعبارة أخرى، هذا هو المعيار الذي يُطبق عندما يُنظر إلى عملية إيقاف التشغيل باعتبارها وظيفة أمنية وليس وظيفة لوجستية.

لماذا لا تستطيع شركات الخدمات اللوجستية الحصول على شهادة ISO 27001 — وما أهمية ذلك

تعمل غالبية شركات تكنولوجيا المعلومات (ITAD) كشركات لوجستية ووساطة. فهي تقوم بجمع المعدات، وتنسيق النقل، وتوجيه الأصول إلى جهات معالجة خارجية من أجل التدمير واستعادة المواد. وهذا نموذج مشروع — فهذه هي الطريقة التي تعمل بها معظم الشركات في هذا القطاع.

لكن العمليات اللوجستية لا تمتلك نظامًا لإدارة أمن المعلومات يمكن اعتماده. فلا يوجد نظام إداري لأمن المعلومات (ISMS) على مستوى المؤسسة. ولا يوجد إطار عمل لتقييم المخاطر على نطاق المؤسسة. ولا توجد سياسات للتحكم في الوصول تنظم الأصول التي تحتوي على البيانات في كل مرحلة من مراحل معالجتها. وتقتضي المواصفة ISO 27001 كل ذلك — مع ضمان استمرارية ذلك من خلال عمليات تدقيق سنوية مستقلة.

مشكلة سلسلة الحراسة التي لا يتطرق إليها أحد في اجتماع إيقاف التشغيل

قبل انطلاق المشروع التالي، يجدر طرح هذه الأسئلة بشكل صريح:

بعد استلام الأقراص، إلى أين تُنقل فعليًّا؟ ومن يتولى التعامل معها في كل مرحلة؟ وما هي المنشأة التي تقوم بعملية التدمير الفعلي؟ وهل تعمل تلك المنشآت وفقًا لنفس المعايير الأمنية التي يتعهد بها عقد المورد الخاص بك؟ وهل يمكن التحقق من أي من ذلك بوثائق يمكن الاعتماد عليها في حالة إجراء تدقيق؟

في النموذج القياسي لإدارة نهاية دورة حياة الأجهزة (ITAD) — حتى بين الموردين المعتمدين وذوي السمعة الطيبة — فإن الإجابة على معظم هذه الأسئلة تتضمن أطرافًا ثالثة. حيث يتم جمع المعدات وتوجيهها إلى مراحل لاحقة للمعالجة. وكل عملية تسليم تمثل نقطة تحدث فيها فجوة في سلسلة الحراسة الخاصة بك، وتنتهي عندها قدرتك على الرؤية المباشرة.

فيما يتعلق بالتحديث الروتيني لتكنولوجيا المعلومات في الشركات، قد يكون ذلك مقايضة مقبولة. أما في حالة إيقاف تشغيل مركز البيانات — الذي ينطوي على وحدات تخزين عالية الكثافة، ومعدات على مستوى المؤسسات، وبيانات حساسة متراكمة على مدى سنوات عبر مئات أو آلاف الأجهزة — فإن الأمر يختلف تمامًا. فمتطلبات التوثيق اللازمة لإيقاف التشغيل المتوافق مع المعايير تتطلب سلسلة حراسة مستمرة وقابلة للتحقق وجاهزة للتدقيق في كل مرحلة. فشهادة التدمير التي توثق ما أبلغه المعالج النهائي إلى المورد الخاص بك تختلف عن تلك التي توثق ما حدث تحت سقف واحد، وفي إطار أمني موثق واحد، وتخضع للرقابة الكاملة من قبل المورد الذي يرد اسمه في العقد المبرم معك.

ما الذي يتطلبه التدمير الآمن للبيانات فعليًّا على نطاق واسع

على مستوى إيقاف التشغيل، يُعد تدمير البيانات عمليةً — وليس حدثًا. ويجب أن تتم هذه العملية على مراحل وتوثيقها على مستوى الأصول منذ اللحظة التي يتم فيها تجهيز المعدات للإزالة.

يحتاج كل جهاز إلى سجل لتتبع الملكية يبدأ من منشأتكم. ويحتاج كل محرك أقراص إلى وثائق مرقمة تربط عملية التدمير المادي بسجل أصول محدد. ويجب أن تخضع كل خطوة في هذه العملية لرقابة نفس المؤسسة، في إطار نفس الإجراءات الأمنية، دون وجود أي ثغرات في المساءلة بين مرحلة الاستلام ومرحلة التخلص النهائي.

وعندما تشمل تلك العملية عدة موردين ومنشآت متعددة، فإن الوثائق التي يتم استلامها عند انتهاء المشروع تعكس سلسلة من التقارير — وليس سلسلة حيازة. وفي إطار المراجعة التنظيمية أو التحقيق في حالات الانتهاك، فإن هذا التمييز يكتسب أهمية أكبر بكثير من الشهادة نفسها.

كيف يبدو الأمر عندما يُعامل إيقاف التشغيل على أنه وظيفة أمنية

تم تأسيس CompuCycle انطلاقًا من فكرة مختلفة، وهي أن المؤسسات التي توكل إلينا البنية التحتية التي تم إيقاف تشغيلها تستحق نفس مستوى الحوكمة الأمنية في نهاية دورة حياة الأصول، تمامًا كما كانت تطبقه في بدايتها.

وتتجلى هذه الفرضية في طريقة عملنا.

لا يوجد أي موردين في المرحلة النهائية. كل شيء — تدمير البيانات، التقطيع، معالجة البلاستيك الإلكتروني، استعادة المواد — يتم في منشأتنا منشأة واحدة تبلغ مساحتها 130,000 قدم مربع في هيوستن. لا يتم تسليم أصولكم إلى جهة معالجة خارجية. ولا تمر عبر منشآت متعددة أو أيدي متعددة. من لحظة الاستلام وحتى التخلص النهائي، تتكون سلسلة الحراسة من حلقة واحدة فقط. وهذا ليس ميزة تميزنا نروج لها — بل هو قرار هيكلي يتيح مستوى مختلفًا حقًّا من المساءلة. كما يعني أيضًا أنه عندما لا تزال الأصول المُستبدلة تحتفظ بقيمة قابلة للاسترداد، فإن تلك القيمة تبقى ضمن العملية — حيث تُعاد إلى مؤسستكم بدلاً من أن يستحوذ عليها مورد في مرحلة لاحقة لم تقموا بالتحقق منه مطلقًا.

توثيق الأصول بشكل متسلسل منذ لحظة استلامها. يتم وسم كل جهاز وتسجيله في قوائم الجرد وإدراجه في سلسلة حيازة موثقة قبل أن يغادر موقعكم. ويرتبط كل محرك أقراص بسجل تدمير يمكن تتبعه حتى الأصل المحدد، والعملية المحددة، والنتيجة المحددة التي تم التحقق منها. ولا يتم تجميع سجل التدقيق الذي يحتاجه فريق الامتثال لديكم بعد وقوع الحدث، بل يتم إنشاؤه في الوقت الفعلي من قِبل الفريق الذي نفذ العمل.

ISO 27001 — معيار الأمان، وليس مجرد شهادة معاد تدويرها. إن حصولنا على هذه الشهادة يعني أن نظام إدارة أمن المعلومات لدينا يخضع لتدقيق مستمر ومستقل. فالسياسات وضوابط الوصول والإجراءات التي تحكم كيفية التعامل مع بياناتكم تستوفي نفس المعايير التي يُقيَّم على أساسها برنامج الأمان الخاص بكم. وعندما يسأل مسؤول أمن المعلومات (CISO) أو فريق الامتثال لديكم عما إذا كان المورد الذي تتعاملون معه في عملية إيقاف التشغيل يعمل وفقًا لمعايير أمن المؤسسات، فإن الإجابة تكون موثقة وقابلة للتدقيق.

استرداد قيمة الأصول — تم الحصول عليها، ولم تُفقد. تتعامل عملية إيقاف التشغيل القياسية مع المعدات التي تم سحبها من الخدمة على أنها مشكلة تتعلق بالتخلص منها. أما نموذج المنشأة الواحدة المزود بقدرات تجديد داخلية، فيتعامل معها على أنها فرصة للاستفادة منها. حيث يتم تقييم الأجهزة التي لا تزال تتمتع بقيمة وظيفية، ومسح بياناتها وفقًا لمعايير NIST 800-88، ثم إعادة تسويقها — مما يعيد الإيرادات إلى مؤسستكم بدلاً من أن تذهب إلى مورد لاحق لم تقموا أبدًا بالتحقق من مصداقيته. في حالة عمليات إيقاف التشغيل واسعة النطاق، يمكن أن يعوض هذا الاسترداد تكلفة المشروع بشكل ملموس. لا يستطيع معظم موردي خدمات إدارة أصول تكنولوجيا المعلومات (ITAD) تقديم هذه الخدمة لأنهم لا يتحكمون في مصير الأصول بعد استلامها. أما CompuCycle فتتمتع بهذه القدرة.

ثلاثون عامًا من الخبرة التشغيلية. تشمل تقييمات مخاطر الموردين في العلاقات ذات الأهمية الكبيرة عوامل الاستقرار والاستمرارية، وذلك لسبب وجيه. فالشريك الذي يتمتع بثلاثة عقود من العمل المتواصل في منشأة واحدة، ولديه قاعدة عملاء راسخة في القطاعات الخاضعة للتنظيم، يمثل ملف مخاطر يختلف جوهريًا عن شركة لوجستية حديثة العهد.

تم إتلاف البيانات حتى NIST 800-88 و NAID AAA المعايير. هذه هي الأطر التي تستند إليها الهيئات التنظيمية ومدققي الحسابات والفرق القانونية عند تقييم ما إذا كان من الممكن منع حدوث خرق للبيانات. وتقوم شهادة NAID AAA بالتحقق بشكل مستقل من أن تلك الإجراءات تُتبع فعليًّا، وليس مجرد توثيقها. وبالنسبة للمؤسسات العاملة في القطاعات الخاضعة للتنظيم، فإن هذا المزيج مهم: فمعيار NIST 800-88 يحدد الإجراءات التي تم اتخاذها، بينما تثبت شهادة NAID AAA أن جهة خارجية غير المورد الخاص بكم قد قامت بالتحقق منها.

تُعد «كومبوسيكل» واحدة من الشركات القليلة في البلاد المتخصصة في إدارة نهاية دورة حياة تكنولوجيا المعلومات (ITAD) التي نجحت في دمج هذا المستوى من الرقابة والشفافية والمساءلة الموثقة في عملية واحدة — لأن القطاعات التي نخدمها لا تستطيع تحمل تكلفة البديل. 

لا تعتبر قطاعات الرعاية الصحية والخدمات المالية والطاقة والمقاولات الحكومية أمن البيانات من أفضل الممارسات. فوجود ثغرة في سلسلة الحراسة ليس مجرد إزعاج — بل هو حدث ينطوي على مسؤولية قانونية. لقد قمنا ببناء البنية التحتية، وحصلنا على الشهادات، واجتزنا عمليات التدقيق بانتظام، حتى يتوفر لعملائنا دليل موثق في كل مرحلة، وليس مجرد تأكيدات من المورد بعد وقوع الحدث.

إكمال خطة الأمن السيبراني الخاصة بك

السؤال ليس ما إذا كان «إيقاف التشغيل» جزءًا من برنامج الأمن السيبراني الخاص بكم. فهو كذلك — ولطالما كان كذلك. السؤال هو ما إذا كان المورد الذي يدير الخطوة الأخيرة من ذلك البرنامج يخضع لنفس المعايير التي خضعت لها جميع الخطوات التي سبقتها.

وعندما تنظر معظم المؤسسات إلى الأمر عن كثب، تجد أن الإجابة هي «لا». ليس لأن أحداً اتخذ قراراً خاطئاً، بل لأن أحداً لم يُطلب منه اتخاذ هذا القرار أصلاً. فقد تمت إدارة عملية إيقاف التشغيل كخدمة بسيطة: عملية استلام، ثم التخلص من البيانات. أما برنامج الأمان الذي كان يحكم كل مرحلة أخرى من مراحل دورة حياة البيانات، فقد توقف عند باب غرفة الخوادم.

لقد قمنا بوضع تدقيق أمني منظم لعملية إيقاف التشغيل لمساعدة فرق تكنولوجيا المعلومات والأمن والامتثال على سد هذه الفجوة قبل بدء المشروع — وليس بعده. ويتناول هذا التدقيق سلسلة الحراسة، ومؤهلات الموردين، ومدى شمولية الشهادات، ومعايير التوثيق، ونقاط التعرض التنظيمية التي لا تتطرق إليها معظم المناقشات المتعلقة بتخطيط إيقاف التشغيل.

إذا كانت مؤسستك على وشك تنفيذ عملية إيقاف تشغيل المعدات — أو إذا لم تكن متأكدًا من أن مزود خدمات إدارة نهاية دورة حياة تكنولوجيا المعلومات (ITAD) الحالي يفي بالمعايير التي يتطلبها برنامج الأمان الخاص بك فعليًّا — فهذا هو المكان المناسب للبدء. وإذا كنت ترغب في فهم كيفية اندماج هذا الأمر في الصورة الأوسع لمخاطر إدارة نهاية دورة حياة تكنولوجيا المعلومات (ITAD)، فإن مقال «إدارة نهاية دورة حياة تكنولوجيا المعلومات (ITAD) ليست مجرد قرار يتعلق بإعادة التدوير» يستحق القراءة أولاً.

---

تقدم شركة CompuCycle خدمات آمنة ومتكاملة للتخلص من أصول تكنولوجيا المعلومات داخل منشآتها الخاصة منذ أكثر من 30 عامًا، وذلك من مقرها في هيوستن الحائز على شهادة ISO 27001. وهي الشركة الوحيدة في تكساس المملوكة لامرأة والمتخصصة في معالجة النفايات الإلكترونية، والحاصلة على شهادة إدارة أمن المعلومات. ISO 27001 | NAID AAA | R2v3 | e-Stewards