ما الذي تفرضه قواعد سنغافورة الجديدة على مشغّلي البنية التحتية الحيوية؟

وتكتسب هذه الخطوة أهمية خاصة لأن المهاجمين قد يستخدمون الأنظمة الأقل حماية بوابةً للوصول إلى البنية التحتية الحيوية. وقد قالت سنغافورة إن جهات التهديد تستهدف بشكل متزايد الأنظمة غير المصنفة كبنية تحتية حيوية لهذا السبب تحديداً.

2. الأمن السيبراني يصبح مسؤولية مجلس الإدارة بأكمله

تنقل القواعد المعدّلة مسؤولية الأمن السيبراني من قسم تقنية المعلومات أو مسؤول تنفيذي محدد إلى مجلس الإدارة والإدارة العليا بأكملها، التي ستُطلب منها مراقبة مخاطر الاختراق وقدرة المؤسسة على التعافي.

ويجب على مجالس الإدارة الاحتفاظ بإطار موثّق للمرونة السيبرانية يتناول:

• مستوى المخاطر السيبرانية الذي تقبل المؤسسة بتحمّله؛
• إجراءات الحد من المخاطر وإدارتها؛
• ترتيبات محتملة لنقل المخاطر؛
• أولويات التعافي والقدرات اللازمة لتحقيقه.

كما يجب مراجعة هذا الإطار مرة واحدة على الأقل سنوياً.

وبذلك يتحول التعافي السيبراني إلى مسؤولية حوكمة دورية، لا إلى إجراء امتثال يُنجز مرة واحدة. كما يحدد ذلك دور أعضاء مجلس الإدارة في تقرير حجم المخاطر المقبولة وكيفية استمرار المؤسسة في العمل بعد وقوع حادث خطير.

3. توسيع الرقابة إلى الأنظمة المتصلة

سيُطلب من مالكي أنظمة CII مراقبة الأنظمة التي تتصل بالبنية التحتية الحيوية أو تتبادل البيانات معها أو تقدم لها الدعم. وتشمل المتطلبات المحدّثة أيضاً تعزيز هندسة الشبكات، وإدارة المراقبة والرصد، ووضع خطط شاملة لتمارين الأمن السيبراني والاستجابة المنسّقة للحوادث.

وعملياً، سيحتاج المشغلون إلى إعداد خريطة أكثر اكتمالاً للاعتماديات التقنية والتشغيلية. فقد تتطلب الأنظمة الواقعة خارج التصنيف الرسمي لبنية CII تدقيقاً أكبر إذا كانت توفر مساراً للوصول إلى الخدمات الحيوية أو قد تؤثر في استعادتها بعد الهجوم.

4. شهادة Level 5 للأنظمة غير المصنفة التي تدعم التشغيل

يتعين على مالكي أنظمة CII الحصول، بحلول نهاية 2027، على شهادة Cyber Trust Mark (CTM) Level 5 للأنظمة غير المصنفة كبنية تحتية حيوية التي يسيطرون عليها وتدعم أعمالهم أو خدماتهم. ويمد هذا الشرط نطاق ضمانات الأمن إلى ما هو أبعد من الأنظمة المصنفة رسمياً كبنية حيوية.

ويُعد المستوى الخامس أعلى درجات إطار Cyber Trust في سنغافورة. ويغطي البرنامج مجالات تشمل الأمن السيبراني التقليدي، وأمن الحوسبة السحابية، وأمن التكنولوجيا التشغيلية، وأمن الذكاء الاصطناعي.

والمقصود هو تقليص الفجوة بين نظام CII المحمي بدرجة عالية والبنية المؤسسية المحيطة به، التي قد تتشارك معه بيانات الدخول أو أدوات الإدارة أو الشبكات أو عمليات التعافي.

لماذا تشدد سنغافورة القواعد الآن؟

الذكاء الاصطناعي يقلص الوقت المتاح للدفاع

تقول وكالة CSA إن تحديث المدونة يستهدف التهديدات المستمرة المتقدمة والهجمات المدعومة بالذكاء الاصطناعي. ويمكن للذكاء الاصطناعي أن يمنح المهاجمين سرعة ونطاقاً ودرجة تعقيد أكبر، ما يزيد الضغط على المؤسسات لاكتشاف النشاط المشبوه مبكراً والاستجابة عبر بيئتها التقنية بأكملها، بدلاً من الاعتماد على حدود حماية ضيقة.

لذلك لا تقتصر الاستجابة التنظيمية على إضافة أداة تقنية جديدة، بل تجمع بين الرصد والحوكمة والشهادات والتمارين، حتى تتمكن الجهات المشغّلة من تحديد التهديدات واتخاذ قرارات سريعة واستعادة الخدمات الحيوية إذا فشلت إجراءات الوقاية.

هجوم UNC3886 أبرز القيمة الاستراتيجية لقطاع الاتصالات

استهدفت حملة UNC3886 في 2025 شركات الاتصالات السنغافورية الأربع الكبرى. ووصفت سنغافورة النشاط بأنه حملة متعمدة ومحددة الأهداف ومخطط لها جيداً، نفذتها جهة تتمتع بقدرات متقدمة.

كما صنفت CSA مجموعة UNC3886 باعتبارها جهة تهديد مستمرة متقدمة مدعومة من دولة، وتستخدم أساليب معقدة، من بينها استغلال الأدوات الموجودة أصلاً داخل الأنظمة وثغرات يوم الصفر، مع استهداف أصول استراتيجية عالية القيمة مثل البنية التحتية الحيوية.

وردّت سنغافورة عبر عملية CYBER GUARDIAN، وهي جهد منسق شاركت فيه جهات حكومية وشركات الاتصالات. وقالت السلطات إن العملية نجحت في احتواء الحادث من دون انقطاع خدمات الاتصالات، كما لم تجد أدلة على اختراق بيانات العملاء.

لكن عدم تسجيل انقطاع في الخدمة لا يقلل من أهمية الحادث بالنسبة إلى القطاعات الأخرى. فقد أظهر أن الاتصالات والطاقة والرعاية الصحية والقطاع المالي والنقل وغيرها من الخدمات الأساسية أهداف استراتيجية، وأن حماية هذه القطاعات تتطلب تأمين الأنظمة والموردين المحيطين بالبنية التحتية الحيوية، لا النظام الأساسي وحده.

السحابة ومقدمو الخدمات الخارجيون: طبقة الحماية التالية

تعتزم سنغافورة إصدار مدونة ممارسات ملزمة قانوناً للخدمات السحابية في وقت لاحق من عام 2026. ومن المتوقع أن تتناول المدونة النشر الآمن لأنظمة CII المستضافة في بيئات سحابية وتشغيلها وإدارتها.

وقد تعاونت CSA مع AWS وGoogle Cloud وMicrosoft Azure لإعداد إرشادات تطبيق خاصة بكل مزود، تشمل الإعدادات المناسبة والاستفادة من إمكانات الأمن المدمجة في الخدمات السحابية.

كما تمتد مواعيد الشهادات إلى سلسلة توريد الأمن السيبراني:

• يجب على مدققي أنظمة CII الحصول على CTM Level 5 بحلول نهاية 2026.
• يجب على مزودي اختبار الاختراق المرخصين ومراكز عمليات الأمن المدارة الحصول على CTM Level 3 بحلول نهاية 2026.
• يجب على مالكي أنظمة CII الحصول على CTM Level 5 للأنظمة الداعمة ذات الصلة بحلول نهاية 2027.

وتعكس هذه الإجراءات مبدأً أوسع: أمن مشغل الخدمات الحيوية لا يعتمد على ضوابطه الداخلية فقط، بل أيضاً على الجهات التي تدقق أنظمته أو تراقبها أو تختبرها أو تستضيفها.

ما الذي لم يتضح بعد؟

أدرجت CSA متطلبات CII المحدّثة، لكن الالتزامات التفصيلية ضمن المدونة المنفصلة للخدمات السحابية لا تزال قيد التطوير. وتحدد المواد المنشورة موعد القواعد السحابية ومحاورها العامة، إلا أن المتطلبات الدقيقة لمزودي الخدمات والمقاولين من الباطن وترتيبات المسؤولية المشتركة لم تُفصّل بالكامل حتى الآن.

وعليه، تتمثل الأولوية الفورية أمام مشغّلي البنية التحتية الحيوية في تقييم سلسلة الاعتماد بأكملها: نظام CII المحدد، والأنظمة المتصلة، وأعباء العمل السحابية، وبيئات التعافي، والموردون، وخدمات الأمن السيبراني المستعان بها من الخارج.

الاتجاه العام للسياسة السنغافورية واضح، حتى إن بقيت بعض تفاصيل التطبيق بانتظار النشر: حدود الحماية لم تعد تقتصر على النظام الذي يحمل تصنيف CII، بل أصبحت تقترب من كامل منظومة التشغيل المحيطة به.