بناء مركز عمليات أمنية فعّال: داخلي أم مُدار أم هجين؟

قبل اختيار النموذج، اكتب قائمة بالأحداث التي تضرّك فعلًا: إنشاء حساب مسؤول نطاق خارج إجراءات التغيير، أو تصدير قاعدة بيانات بحجم كبير، أو تعديل إعدادات المدفوعات، أو تسجيل دخول من دولة لا تعمل فيها. هذه القائمة هي التي تحدد مصادر السجلات، لا العكس.

والفرق التي تتخطى هذه الخطوة تنتهي إلى جمع كل شيء، ودفع تكلفة الحجم، والغرق في تنبيهات لا يجد أحد وقتًا لإغلاقها.

يمنحك المركز الداخلي فهمًا عميقًا لأعمالك وسيطرة كاملة على البيانات، لكنه يتطلب عددًا كافيًا من المحللين لتغطية الليالي والعطلات والإجازات والاستقالات، أي ما بين ثمانية واثني عشر شخصًا لتغطية حقيقية على مدار الساعة.

أما المركز المُدار فيمنحك التغطية فورًا ويوزّع هندسة الكشف على عملاء كثيرين، فتستفيد من هجمات رُصدت لدى غيرك. والمقابل هو السياق: فالمحلل الخارجي لا يعلم أن فريقك المالي يصدّر البيانات فعلًا كل ربع سنة.

والنموذج الهجين، أي مسؤول داخلي مع مزود مُدار للفرز على مدار الساعة، هو ما تستطيع معظم المؤسسات المتوسطة الاستمرار فيه. فيملك شخص من الداخل العلاقة ويضبط القواعد ويتخذ قرارات العمل، بينما يتولى المزود الحجم والتغطية خارج الدوام.

عدد التنبيهات يقيس الضجيج فقط. أما الأرقام التي تستحق العرض على الإدارة فهي متوسط زمن الكشف، ومتوسط زمن الاستجابة، ونسبة التنبيهات المغلقة كإنذارات كاذبة، وعدد قواعد الكشف التي كتبها فريقك هذا الربع بدل التي جاءت جاهزة من المورّد.

وارتفاع نسبة الإنذارات الكاذبة فوق تسعة من كل عشرة تقريبًا يعني خللًا في الضبط، وهو أشهر سبب يجعل المحللين يتوقفون عن قراءة التنبيهات بعناية.

في الثانية فجرًا لا يبتكر أحد إجراءً جيدًا. فكل سيناريو متكرر — تصيّد مؤكد، أو مؤشرات فدية على جهاز، أو محاولات دخول بأوراق اعتماد مسروقة، أو نشاط إداري مريب — يحتاج مسارًا مكتوبًا بأسماء مسؤولين وخطوات عزل وأدلة يجب حفظها ونقطة محددة لإشراك الشؤون القانونية والاتصال المؤسسي.