الدليل الجزائري لتمرين DFIR Tabletop: تشغيل محاكاة فدية لمدة ساعتين

لماذا أصبحت تمارين tabletop لا غنى عنها

تمرين tabletop للطب الشرعي الرقمي والاستجابة للحوادث (DFIR) هو محاكاة نقاشية ميسّرة لحادث سيبراني. لا يُهاجَم أي حاسوب. لا تُمَسّ أي أنظمة. يقود ميسّر فريق القيادة عبر سيناريو واقعي، ويجبرهم على اتخاذ قرار — في الوقت الفعلي، تحت ضغط الوقت — عن ما يفعلونه فعلاً.

يجعل تطوران ذلك نظافة إلزامية للمؤسسات الجزائرية في 2026.

أولاً، الوضعية التنظيمية. تنشر CISA الآن حزم تمارين Tabletop (CTEPs) يمكن لأي مؤسسة استخدامها مجاناً، ويوفّر Exercise in a Box من NCSC البريطاني قوالب مخصصة حسب القطاع. نشرت المبادرة الدولية لمكافحة برامج الفدية، التي تتابعها الجزائر عبر مشاركتها في منتديات الأمن السيبراني الدولية، تقريراً بعد الإجراء يجعل تمارين tabletop توقعاً أساسياً عبر الدول الأعضاء.

ثانياً، التأمين والتدقيق. يسأل مكتتبو التأمين السيبراني الآن ما إذا كان المؤمَّن عليه قد أجرى tabletop في الشهور الاثني عشر الماضية. المنظمون الذين يفرضون وحدات أمن سيبراني بموجب المرسوم الرئاسي 26-07 الجزائري سيطرحون السؤال نفسه قريباً.

الخبر السار: tabletop تُدار جيداً يكلّف قاعة وميسّراً وساعتين. لا توجد فجوة في الأدوات.

سيناريو الساعتين: «Qilin نشرك على موقع التسريب»

صُمّم هذا السيناريو لبنك جزائري أو شركة اتصالات أو وزارة أو مؤسسة متوسطة الحجم. إنه واقعي لأن Qilin وDragonForce تهيمنان حالياً على نشاط الفدية العالمي، وفقاً لـ تقارير اتجاه Ransom-DB الأسبوعية. استبدل بمشغّل آخر إذا فضّل فريق استخبارات التهديدات لديكم ذلك.

المشاركون (8-12 شخصاً): الرئيس التنفيذي، COO، CISO، رئيس البنية التحتية لـ IT، المستشار القانوني، رئيس الاتصالات، رئيس الموارد البشرية، رئيس المالية، رئيس دعم العملاء، ومراقب خارجي اختياري (شريك MSSP، مدقق، عضو مجلس إدارة).

الميسّر: شخص واحد خارج خط التبعية المباشر للرئيس التنفيذي — بشكل مثالي CISO أو مستشار خارجي. يدير الساعة ويقدم التدخلات.

ميزانية الوقت: 15 دقيقة إعداد، 90 دقيقة سيناريو، 15 دقيقة استخلاص. المجموع: ساعتان.

افتتاح السيناريو (T+0)

الساعة 08:15 يوم الاثنين. يتلقى SOC المناوب بريداً إلكترونياً من صحفي يطلب التعليق على «الحادث الأمني في مؤسستكم». المرفق: لقطة شاشة لشعار شركتكم على عدّاد تسريب Qilin التنازلي، يدّعي نشر 400 جيجابايت من البيانات خلال 72 ساعة.

الميسّر: «ماذا تفعلون في أول 30 دقيقة؟»

القرارات المتوقّعة: تفعيل الاستجابة للحوادث، الاتصال بالرئيس التنفيذي، التواصل مع القانوني، تقرير تنبيه MSSP SOC، تقرير فصل الأنظمة المواجهة للخارج.

التدخل 1 — T+20 دقيقة

يؤكّد رئيس البنية التحتية لـ IT: ثلاثة متحكمات مجال غير قابلة للوصول. النسخ الاحتياطية على مستودع Veeam الرئيسي مشفّرة. النسخ الاحتياطي خارج الموقع، السحابي، يبدو سليماً لكن لم يُختبر منذ أربعة أشهر.

الميسّر: «هل يمكنكم الاستعادة؟ كم تستغرق؟ هل تثقون بخارج الموقع؟ من يعطي الإذن بالاستعادة فوق بيئة الإنتاج؟»

التدخل 2 — T+40 دقيقة

يبدأ سيل من طلبات دعم العملاء: يبلّغ عملاء بأن بيانات اعتمادهم تُستخدم للوصول إلى الحسابات. يؤكّد SOC أن بيانات الاعتماد قد سُرّبت قبل مرحلة التشفير.

الميسّر: «هل تفرضون إعادة تعيين كلمة المرور لجميع العملاء؟ متى؟ من يتواصل؟ هل تشركون ARPCE أو سلطة حماية البيانات ضمن إطار حماية البيانات الشخصية الجزائري؟»

التدخل 3 — T+60 دقيقة

يتواصل مشغّل Qilin مع البريد العام للرئيس التنفيذي بطلب فدية: 3 ملايين دولار، 48 ساعة، مع عيّنة دليل حياة حجمها 2 جيجابايت من بيانات عملاء حسّاسة منشورة بالفعل على موقع Tor.

الميسّر: «هل تتفاعلون؟ من يتخذ قرار الدفع/عدم الدفع؟ هل توجد سياسة؟ ما موقف المستشار القانوني؟ هل توجد آثار عقوبات دولية؟»

التدخل 4 — T+80 دقيقة

ينشر صحفي من El Watan ومراسل من TSA قصصاً مبنية على العيّنة المسرّبة. تشتعل وسائل التواصل الاجتماعي. لقطة شاشة لبريد إلكتروني داخلي تنتشر على Twitter.

الميسّر: «من يتكلم؟ ماذا تقولون؟ هل تصدرون بياناً رسمياً؟ هل تُطلعون الوزير؟ هل تفعّلون اتصالات الأزمات؟»

الاستخلاص — T+90 إلى T+105 دقيقة

يجيب كل مشارك بدوره عن ثلاثة أسئلة: «ما الذي نجح؟» «ما الذي لم ينجح؟» «ما هو أهم شيء يجب إصلاحه قبل tabletop التالي؟» يلتقط الميسّر هذه الإجابات حرفياً.

كيف يبدو تقرير ما بعد الإجراء الجيد

ينتج الميسّر تقريراً بعد الإجراء من صفحة واحدة خلال 48 ساعة. يحتوي على ثلاثة أقسام بالضبط.

• القدرات المؤكّدة. أشياء ستفعلها المؤسسة بوضوح بشكل صحيح — مثل «لدى IT عملية مختبرة لإلغاء جميع بيانات اعتماد Active Directory في أقل من 30 دقيقة.»
• الفجوات المحدّدة. أشياء لم تستطع المؤسسة الإجابة عنها أو ستفعلها بوضوح بشكل خاطئ — مثل «لا توجد سياسة موثّقة لدفع الفدية؛ قرار الدفع/عدم الدفع غير واضح بين الرئيس التنفيذي والمجلس.»
• مالكون مسمّون للإصلاحات. لكل فجوة مالك واحد، ومُسَلَّمة واحدة، وتاريخ واحد. لا توجد إدخالات مجهولة من نوع «IT سيدرسه».

يتقارب دليل AlertMedia لتمرين tabletop الفدية والدليل الشامل لتمارين tabletop السيبرانية 2026 من Cyber Management Alliance على هذا التنسيق.

تكييف التمرين مع الواقع الجزائري

ثلاث تعديلات محلية مهمة.

• نقاط الاتصال التنظيمية. استبدال المؤسسات الجزائرية في نص التدخلات: بنك الجزائر لحادث مالي، ARPCE لقضية اتصالات أو مشاركة بيانات، فريق الاستجابة الوطني للطوارئ السيبرانية (DZ-CERT) للتصعيد التقني، ANPDP للآثار المتعلقة بالبيانات الشخصية ضمن إطار حماية البيانات الجزائري. يحتاج المشاركون إلى معرفة رقم الهاتف للاتصال، لا مجرد «اتصل بالمنظم».
• اللغة. إجراء التمرين بلغة فريق القيادة — غالباً مزيج من الدارجة الجزائرية والفرنسية وأحياناً الفصحى. الميسّر ثنائي اللغة أهم من نصّ مكتوب بالإنجليزية.
• اعتبار ثلاثي القطاعات. تشمل فرق القيادة الجزائرية غالباً ممثّل الوزارة الوصية أو المساهم العمومي. ضمّنهم. نادراً ما تكون قرارات الأزمات حول الدفع والإفصاح والاستجابة الإعلامية قرارات خاصة بحتة في السياق المؤسسي الجزائري.

ماذا تفعل بعد أول tabletop

تخلص المؤسسات التي تدير أول tabletop لها تقريباً دوماً إلى الأمور الثلاثة نفسها: النسخ الاحتياطية ليست قابلة للاسترداد كما كان يُفترض، وقرار الدفع/عدم الدفع ليس لديه سياسة مكتوبة، والاتصالات لا تملك بياناً احتياطياً في الملف. هذه الإصلاحات الثلاثة، إذا تم فعلها بشكل صحيح، تُحسّن بشكل قابل للقياس نتائج الحوادث.

إجراء tabletop ثانٍ بعد ستة أشهر بسيناريو مختلف — اختراق SaaS طرف ثالث، أو wiper تدميري، أو تسوية سلسلة توريد مثل دودة npm من نوع Shai-Hulud. يكشف التمرين الثاني ما إذا كانت إصلاحات الأول قد صمدت.

أين يترك ذلك CISO الجزائريين

تمرين DFIR tabletop هو أرخص وأعلى رافعة استثمار جاهزية يمكن لمؤسسة جزائرية القيام به في 2026. القوالب مجانية. يمكن أن يكون الميسّر داخلياً. المشاركون موجودون بالفعل على الهيكل التنظيمي. إجراؤه مرة سنوياً هو السقف الذي يتوقعه المنظمون والمؤمنون والمجالس بشكل متزايد، والتشغيل الأول سيكشف إصلاحات مفيدة أكثر من أي ارتباط استشاري بست أرقام. الجزء الأصعب هو الحصول على تقويم الرئيس التنفيذي؛ كل ما يأتي بعد ذلك تنفيذ.

المصادر والقراءات الإضافية

• حزم تمارين Tabletop من CISA
• Exercise in a Box من NCSC البريطاني — تمارين Tabletop
• تقرير ما بعد الإجراء لتمرين المبادرة الدولية لمكافحة برامج الفدية — Institute for Security and Technology
• كيفية إجراء تمرين tabletop للفدية — AlertMedia
• الدليل الشامل لتمارين tabletop السيبرانية 2026 — Cyber Management Alliance
• اتجاهات الفدية الأسبوعية أبريل 2026: Qilin وDragonForce — Ransom-DB
• الجزائر تفرض وحدات أمن سيبراني في القطاع العمومي — Ecofin Agency
• Shai-Hulud 2.0: إرشادات الكشف والتحقيق والدفاع — Microsoft Security Blog