ضرب حادثة Crowdstrike في عام 2024 المملكة المتحدة مثل إعصار. عندما اجتاحت البلاد ، فإن الرحلات الجوية إلى طريق مسدود ، وأجبرت المستشفيات على إلغاء العمليات ، وإسقاط أنظمة الكمبيوتر ومواقع الويب لمئات الشركات.
منذ أوائل سبعينيات القرن الماضي ، كان من الممكن التنبؤ بالأضرار المحتملة بسبب الأعاصير باستخدام أ مقياس الرياح من خمس نقاط.
الفئة الأولى قد تؤدي الأعاصير إلى إتلاف الأسطح أو كسر الفروع على الأشجار ، وفي الطرف الآخر من المقياس ، يمكن أن يترك إعصار من الفئة الخامسة المناطق غير صالحة للسكن لعدة أشهر.
لا توجد طريقة لتصنيف التأثير المدمر للأحداث السيبرانية مثل تحديث CrowdStrike ، الذي أسقط أجهزة الكمبيوتر Windows في جميع أنحاء العالم في يوليو 2024 – ولكن من المقرر أن يتغير ، مع بدء المبادرة هذا العام لتقييم الأضرار الناجمة عن الهجمات السيبرانية الرئيسية على مقياس من خمس نقاط مستوحاة من الإعصار.
ال مركز مراقبة الإنترنت (CMC) ، أول منظمة من نوعها ، تم إنشاؤها من قبل صناعة التأمين كمنظمة بطول الأسلحة لتقييم تأثير الهجمات السيبرانية الخطيرة التي لها آثار النظامية على البنية التحتية للبنية التحتية في المملكة المتحدة. إنه يهدف إلى تسهيل شراء الشركات عن تغطية التأمين على الإنترنت ، ومعرفة ما الذي سيتم تغطيته بالضبط وما لن يحدث.
هناك العديد من الطرق لتقييم تأثير حدث الإنترنت. يمكن قياسه في الخسارة في الأرواح من خلال عمليات المستشفى الملغاة ، أو الاضطراب الناجم عن تسرب معلومات التعريف الشخصية على الإنترنت ، أو الآثار الاستراتيجية لفقدان المعلومات الحكومية المبوبة إلى دولة قومية معادية.
ستركز CMC على واحد فقط: التأثير الاقتصادي. قام المركز بتعيين لجنة تقنية من الخبراء البارزين لتعيين أحداث إلكترونية بمقياس من خمس نقاط يتراوح من اضطرابات صغيرة الحجم التي تؤثر على مئات الأشخاص للهجمات الكارثية التي تؤثر على مئات الآلاف. تتراوح تأثيرات الضرر من أقل من 100 مليون جنيه إسترليني للأحداث الفئة الأولى إلى أكثر من 5 مليارات جنيه إسترليني للفئة الخامسة.
يخطط المركز لمراقبة التقارير الصحفية والتقارير من مؤسسات الأعمال لتحديد الهجمات الإلكترونية الهامة مع العديد من الضحايا. لديها شراكات مع مزودي البيانات لتقديم إحصائيات حول الرحلات الجوية الملغاة والتعطيل إلى DataCenters ، وتعمل مع NHS لجمع البيانات عن العمليات الملغاة وإجراءات المستشفيات. كما أن لديها إمكانية الوصول إلى المشورة من الخبراء القانونيين وأخصائيي الأمن السيبراني الذين يستجيبون للحوادث ، لمساعدتها على بناء نماذج مالية لكل حدث إلكتروني مهم. تتم مراجعة النماذج واختبارها الإجهاد. القول النهائي يذهب إلى اللجنة الفنية لـ CMC
يهدف المركز إلى تقديم تقرير تأثير في غضون 30 يومًا من الحدث السيبراني سوف يركز على الخسائر المالية الفورية. لن يأخذ في الاعتبار خسائر طويلة الأجل التي تسببها ، على سبيل المثال ، خطر التقاضي ، أو غيرها من الآثار المتأخرة.
ما الذي يعتبر الحرب الإلكترونية ومن يقرر؟
وقال إد لويس ، مدير ومؤسس المركز ، إن الهدف من CMC هو تسهيل على الشركات شراء التأمين السيبراني ومعرفة حجم الحدث السيبراني على مقياس من خمس نقاط التي يمكن أن تتوقعها.
لقد ناضلت صناعة التأمين منذ فترة طويلة مع كيفية تأمين مخاطر الإنترنت. في عام 2022 ، أصدر لويدز من لندن نشرة تفرض استبعاد “حوادث الحرب السيبرانية” من تغطية التأمين على الإنترنت. لكن من الذي سيقرر ما إذا كان الهجوم السيبراني كان عملاً حربًا من قبل دولة معادية؟ الحكومة أم شركات التأمين؟
أضف إلى أن شروط الاستبعاد المعقدة التي طورتها سوق لندن للتأمين على الإنترنت ، وكان “حلم المحامي” ، كما قال لويس.
أصبح من الواضح أن أكثر ما يهم لم يكن أي دولة مسؤولة عن عمل من الحرب السيبرانية ، ولكن حجم وشدة الهجوم. إذا كان لدى الهجوم السيبراني بصمات الأصابع الرقمية لإظهار أنه تم توجيهه ضد أهداف متعددة ، فقد كان له المميزات “هجوم منهجي”.
بعض شركات التأمين ، وخاصة تلك التي تأكد من العديد من الشركات الصغيرة والمتوسطة الحجم ، لا تغطي المخاطر النظامية. وهذا هو تجنب الخسائر الكبيرة إذا تعرض العديد من العملاء من خلال نفس الحادث الكارثي. ومع ذلك ، يمكن للشركات الحصول على تغطية تأمين للحماية من المخاطر النظامية من شركات التأمين المتخصصة الأخرى.
خلال صيف عام 2022 ، ذهب لويس مع فريق من المحامين من شركته ، Weightmans ، الذي يعمل مع شركة التأمين CFC ، إلى فرنسا لمدة ستة أسابيع لتخليص حل. لقد توصلوا إلى فكرة إنشاء شركة محدودة من خلال ضمان العمل كمركز مستقل للخبرة في الهجمات الإلكترونية النظامية.
أمضى الفريق النصف الأول من عام 2023 في تطوير منهجية لتقييم التأثير المالي للهجمات السيبرانية على نطاق من خمس نقاط مستوحاة من الإعصار ، وفي أكتوبر من ذلك العام ، قامت شركة CMC بدمج الشركة المحدودة بالضمان.
إن الهجمات الإلكترونية الأكثر حديثًا ليست هي الأكثر ضرارًا
استعرض المركز ثلاث هجمات إلكترونية في جولة تجريبية في عام 2024 ، وكانت النتائج مفاجئة. لم تكن بعض الهجمات الإلكترونية الأكثر تحدثًا بالضرورة هي الأكثر ضرراً للاقتصاد في المملكة المتحدة.
خذ الهجوم على خدمة نقل الملفات ، MoveIt ، في مايو 2023. لقد أثرت على أكثر من 2000 منظمة وكشفت البيانات الشخصية لحوالي 64 مليون شخص.
على الرغم من أنها تولد عناوين الصحف في جميع أنحاء العالم وأسرت انتباه مجتمع الأمن السيبراني ، إلا أن التأثير الاقتصادي للهجوم على MoveIt على المملكة المتحدة كان “قريبًا من الإكراه” بقدر ما يمكن الوصول إليه على مقياس “الإعصار” في CMC.
في يونيو 2024 ، فدية أخرى grouص مختبر علم الأمراض synnovisالتي تعالج اختبارات الدم لمنظمات NHS في جميع أنحاء لندن. أدى الهجوم إلى اضطرابات كبيرة لعمليات جراحية GP وصناديق NHS ، مما أدى إلى تأخير في الإجراءات الطبية ، وإلغاء المواعيد ونقص مخزونات الدم.
على الرغم من جذب الفائدة الجماعية ، فقد حكمت CMC التأثير الاقتصادي على أنه منخفض نسبيًا ، حيث يتراوح ما بين 100 مليون جنيه إسترليني و 1 مليار جنيه إسترليني ، مع تأثر أقل من 0.1 ٪ من السكان. هذا فاز بتصنيف الفئة الثانية على مقياس من خمس نقاط.
فشل التحديث إلى برنامج الأمان في CrowdStrike في يوليو 2024 ، تسبب في تعطيل أجهزة الكمبيوتر في جميع أنحاء العالم ، ولكن بعد انفجار أولي من التغطية الصحفية ، فشلت في الحصول على مصلحة الجمهور المستمرة. ومع ذلك ، قام خبراء CMC بتصنيف CrowdStrike على أنه حادثة من الفئة الثالثة – أكثر تأثيرًا بشكل ملحوظ من Moveit و Synnovis.
الحاجة إلى الثقة والاستقلال
قد لا تكون تقييمات CMC معصمة ، لكنها تأتي مع منهجية واضحة وتستخدم البيانات لإبلاغ قرارات اللجنة الفنية ، وكلها سيتم نشرها وفتحها للتدقيق العام.
والفكرة هي أن المركز سيتصرف إلى حد كبير محكم مستقل. ستتمكن الشركات التي تقدم التأمين وأولئك الذين يشترون التأمين من الموافقة على الالتزام بقرارها في أي نزاع حول تغطية التأمين.
هذا يعني أن المركز سيحتاج إلى أن يُنظر إليه على أنه مستقل تمامًا عن صناعة التأمين والحكومة وأنه سيحتاج إلى بناء سمعة للقرارات الموثوقة إذا كان ذلك ناجحًا.
تتمثل الخطط الحالية للمركز في جمع التمويل من خلال رسوم العضوية ، حيث تأمل المنظمة في جذب أعضاء من مجموعة واسعة من الصناعات والخدمات المهنية والتصنيع ومجازفات البيع بالتجزئة. وشدد لويس ، مع ذلك ، على أن شركات التأمين والحكومة لن يكون لها أي تأثير على تقييمات CMC.
وقال: “ما نحن واضحون للغاية هو أن عمل اللجنة الفنية يجب أن يكون مستقلاً عن الحكومة ومستقلة عن شركات التأمين”. “يجب أن تكون بقدر الإمكان عملياً ، بما يتجاوز إمكانية الإقالة.”
يمكن أن تؤثر CMC على سياسة الحكومة
من المحتمل أن يؤثر عمل CMC على اتجاه سياسة الحكومة بشأن مخاطر الإنترنت. يأمل الكثيرون أن يساعد ذلك في تحويل توازن التنظيم من تسرب بيانات الشرطة إلى حالات الفشل السيبراني التي تؤدي إلى فقدان الخدمات الأساسية.
استشهد سياران مارتن كمثال الهجوم من قبل مجموعة Conti Ransomware على الخدمة الصحية الأيرلنديةالتي تعطلت الرعاية الصحية لعدة أشهر في عام 2021.
عندما رفضت الدولة الأيرلندية دفع الفدية على الفور ، صعدت مجموعة Conti Crime Mroup عن طريق إطلاق البيانات الطبية على شبكة الانترنت. في تلك المرحلة فقط ، اضطرت المدير التنفيذي للخدمة الصحية في أيرلندا إلى إخطار المنظمين بالحادث.
“إنه مثال صارخ على النقطة التي كان على نظام الرعاية الصحية الوطني بأكمله ، بما في ذلك العمليات الجراحية للسرطان التوقف ، وهذا ليس خرقًا للالتزامات ، ولكن فقدان كمية صغيرة من البيانات الطبية [was considered a breach]قال لـ Computer Weekly.
قد يتغير ذلك في المملكة المتحدة إذا كان مشروع قانون الأمن السيبراني والمرونة يمر عبر البرلمان كما هو متوقع. يقدم التزامات للمؤسسات للحفاظ على الخدمات الحرجة ، وقد تؤدي إلى الإبلاغ الإلزامي لهجمات الفدية.
قال مارتن: “أنا لا أقول ، دعونا نلغي تنظيم البيانات ودعونا نفرض التزامات خدمة شاملة على صالونات تصفيف الشعر الصغيرة” ، لكنني أقول ، “دعونا نفكر في الأمر بعناية”.
وأضاف أنه إذا أعطيت الضحية الاختيار بين حالتين سيئتين – أحدهما هو فقدان الخدمات الصحية الحرجة والآخر هو فقدان بياناتهم الشخصية ، فإن معظم الناس يختارون فقدان البيانات الشخصية بدلاً من فقدان الوصول إلى الرعاية الطبية.
لويس يوافق. وقال “يبدو أن هناك تركيزًا غير متناسب على الحوادث الإلكترونية التي تنطوي أيضًا على خرق للبيانات”. “أعتقد أنه من العدل أن نقول أنه كان هناك قدر كبير من الانتقادات لمكتب مفوض المعلومات وكيف تم استخدام هذه الصلاحيات خلال الآونة الأخيرة.”
بحاجة إلى معالجة “وصمة العار الضحية”
ويأمل أن يتمكن CMC من إزالة ما يسميه “وصمة العار الضحية” ، حيث يمكن أن يقود الخوف من الدعاية السيئة أو التقاضي منظمات من المنظمات التي تعرضها الهجمات الإلكترونية لاختيار السرية بدلاً من الانفتاح.
هناك علامات على أن هذا يحدث بالفعل. المكتبة البريطانية ، التي واجهت اضطرابًا كبيرًا بعد هجوم من قبل عصابة Rhysida Ransomware ، نشر أ تقرير شامل تعلم الدروس، الذي تم صيده على نطاق واسع في مجتمع الأمن السيبراني.
اتحاد هاريس، شبكة من المدارس في لندن والجنوب الشرقي التي فقدت البريد الإلكتروني والهاتف بعد أ الهجوم الفدية في عام 2021تحدثت عن تجربتها في سلسلة من المواد الصوتية لمساعدة الآخرين على تحسين مرونة الإنترنت الخاصة بهم.
بالنسبة لمارتن ، فإن الهدف الأساسي لـ CMC هو تقديم سوق تأمين أفضل وظيفية أفضل للشركات التي تسعى إلى التأمين ضد الهجمات الإلكترونية.
يود أن يرى CMC مصداقية بمرور الوقت كمصدر للمعلومات الواقعية للأوراق الأكاديمية والحكومية والصناعية.
وقال إنه إذا كانت CMC تقوم بعملها ، فستتمكن وسائل الإعلام من التعامل بشكل أفضل مع الحوادث السيبرانية الخطيرة وما من المحتمل أن يكون له تأثير اقتصادي بسيط.
