حلول راصد: الكشف ومركز العمليات الأمنية المُدار

يبدأ التعاقد بربط مصادر السجلات: تحديد الأنظمة التي تولّد أحداثًا ذات دلالة أمنية، وربطها، وتوثيق الفجوات المتبقية. وخريطة التغطية أهم من لوحة العرض، لأن قاعدة الكشف لا يمكن أن تعمل على بيانات لم تصل إلى المنصة أصلًا.

وبعد الربط تأتي هندسة الكشف: قواعد مخصّصة مرتبطة بتقنيات إطار MITRE ATT&CK ومضبوطة على سلوك أنظمتك، بحيث يتوقف تصدير البيانات الدوري من قِبل الإدارة المالية عن توليد تنبيه، بينما يبقى التنبيه قائمًا إذا جاء الإجراء نفسه من حساب غير معتاد.

منصة المراقبة التي تنتج أربعمائة تنبيه يوميًا لا تنتج شيئًا في الحقيقة، لأن أحدًا لن يقرأها بحلول الأسبوع الثالث. ولذلك يعمل الفرز في راصد بمستويات خطورة محددة ومسؤول مُسمّى لكل مسار تصعيد، بحيث يُغلق التنبيه بسبب موثّق أو ينتقل إلى من يملك القدرة على التصرف.

وهذا التمييز هو ما يجعل الخدمة قابلة للتدقيق أيضًا: فكل تصعيد يحمل وقتًا ومحللًا وإجراءً ونتيجة، وهو السجل الذي يطلبه مجلس الإدارة أو الجهة الرقابية بعد وقوع أي حادث.

تتطلب التغطية الحقيقية على مدار الساعة بفريق داخلي ما بين ثمانية واثني عشر محللًا عمليًا بعد حساب الإجازات والاستقالات والورديات الليلية. ولهذا تصل معظم المؤسسات المتوسطة في مصر والمملكة العربية السعودية إلى النتيجة نفسها: مسؤول أمن داخلي يملك السياق وقرارات العمل، يدعمه مزوّد مُدار يتولّى حجم التنبيهات والفرز خارج ساعات الدوام.

اطلب أربعة أرقام: عدد مصادر السجلات المرتبطة مقابل إجمالي الأصول، والوسيط الزمني من وقوع الحدث إلى فرزه، وعدد قواعد الكشف التي أُضيفت أو أُلغيت خلال الربع، وعدد التنبيهات التي أُغلقت كإنذارات كاذبة. والمزوّد الذي لا يستطيع تقديم هذه الأرقام يبيع ترخيصًا لا خدمة.