ماذا يجب أن يحدث عندما يفقد المبنى الذكي اتصاله بالإنترنت؟

القليل جدا الذي يهم. عندما ينقطع الاتصال الخارجي، يجب أن يستمر المبنى نفسه في العمل بأمان: تستمر المعدات تحت السيطرة المحلية، وتستمر الأبواب في العمل، ولا تزال أجهزة الإنذار تصل إلى شخص ما ويتم تخزين البيانات مؤقتًا، ولا يتم فقدانها. ما يتوقف ينبغي أن يقتصر على الوظائف التي قبلتها عن علم باعتبارها تعتمد على السحابة، مثل لوحات المعلومات عن بعد أو تحليلات المحفظة. يعتمد الوصول إلى هناك على أمرين: تحديد السلوك المقصود لكل وظيفة قبل الانتهاء من التصميم، ومن ثم اختباره عن طريق فصل المبنى فعليًا.

سؤال لم يكن على المباني القديمة أن تطرحه أبدًا

تم تشغيل أنظمة البناء القديمة بالكامل في الموقع. تعتمد الخدمات الأحدث غالبًا على الاتصالات الخارجية: التحليلات السحابية، والمراقبة عن بعد، وبيانات اعتماد الهاتف المحمول، وفحص التراخيص، وخدمات البرامج الثابتة، وتطبيقات الضيوف، ومزامنة الوقت، ودعم الموردين. كل منها مفيد، وكل منها ينشئ تبعية قد تظل غير مرئية حتى يفشل الاتصال.

يوصي دليل NIST لأمن التكنولوجيا التشغيلية (SP 800-82) بتصميم تقنية تشغيلية تتحلل بأمان، والانتقال من الأتمتة الكاملة إلى الأوضاع التي تتطلب مشاركة أكبر للمشغل، وأخيرًا إلى التشغيل اليدوي، بحيث لا يفشل أي شيء مرة واحدة. ويشير NIST أيضًا إلى أن فقدان اتصالات الشبكة يمكن أن يؤدي إلى سلوك آمن من الفشل، وأنه يجب على المؤسسات تحديد الحدود التي يمكن للمكونات عندها الاستمرار في العمل بقدرة منخفضة. تشير إرشادات CI Fortify الصادرة عن CISA، والمكتوبة للبنية التحتية الحيوية، إلى نقطة تنطبق بالتساوي على المباني التجارية: يجب أن يغطي تخطيط التعافي تبعيات الاتصالات مثل خوادم الترخيص واتصالات شبكات الأعمال، ويجب على الشركات المصنعة شرح كيفية تصرف المكونات عالية الاتصال عند فشل الاتصالات.

يجب أن يستمر، قد يتدهور، قد يتوقف

إن التصنيف الثلاثي البسيط، المتفق عليه بين المشغل ومصمم الضوابط وكل مورد، يجعل السلوك المقصود واضحًا.

يجب وضع كل خدمة في إحدى الفئات الثلاث، ويجب أن تعكس العقود واختبارات القبول التصنيف.

التبعيات لا أحد يتذكرها حتى تفشل

تعتبر التراخيص والمصادقة مفاجأة شائعة. تقوم بعض البرامج بفحص الترخيص أو مصادقة المستخدمين مقابل خدمة عبر الإنترنت، وإذا فشل هذا الفحص، فقد تقوم محطة عمل المشغل المحلي بمنع المستخدمين من الدخول. اسأل كل مورد عما يحدث بعد ساعة واحدة ويوم واحد وأسبوع واحد دون الاتصال بالإنترنت.

يمكن أن تعمل مفاتيح الهاتف المحمول والتحكم في الوصول المُدار عبر السحابة بشكل جيد للغاية، ولكن عليك معرفة ما يحدث لبيانات الاعتماد الجديدة وعمليات الإلغاء والأذونات المخزنة مؤقتًا لوحدات التحكم في الباب عندما لا يمكن الوصول إلى الخدمة السحابية. يعد توجيه الإنذار نقطة ضعف أخرى: إذا وصلت الإنذارات الهامة إلى المهندس المناوب فقط من خلال خدمة إعلام سحابية، فإن انقطاع الخدمة يؤدي إلى إسكاتها، لذلك يجب أن يكون هناك مسار محلي، مثل لوحة إنذار في الموقع أو محطة عمل، أو مسار بديل.

يتم التغاضي عن الوقت بسهولة. تعتمد الجداول والسجلات وبيانات الاتجاه جميعها على صحتها، لذلك يتعين على شخص ما أن يقرر أين تحصل الأجهزة على وقتها عندما لا تتوفر مصادر خارجية. الدعم عن بعد يخلق تبعية أكثر دقة. إذا كانت جميع عمليات التشخيص تعتمد على تسجيل دخول المورد، فإن الانقطاع الذي يتزامن مع خطأ يترك الموقع دون مساعدة، ويحتاج المهندسون في الموقع إلى الوصول والوثائق لتشغيل الأنظمة واستعادتها بأنفسهم. وعندما يتم تحرير الجداول الزمنية أو نقاط الضبط أو التسلسلات في منصة سحابية ودفعها إلى الموقع، يجب أن يظل آخر تكوين صالح نشطًا محليًا.

يجب أن تبقى البيانات على قيد الحياة أيضًا

عندما يعود الاتصال، يجب أن تتلقى منصات البيانات ما حدث في هذه الأثناء. يجب أن توضح المواصفات مدة تخزين البيانات مؤقتًا للأجهزة المحلية أو البوابات، وبأي ترتيب يتم إرسالها عند إعادة الاتصال، وكيفية وضع علامة على الفجوات وكيفية تجنب التكرارات. وبدون ذلك، يمكن أن تظهر تقارير الطاقة وسجلات الأخطاء فجوات زائفة أو ارتفاعات مضللة.

بناء المرونة من الموجز إلى التشغيل

الموجز هو حيث يبدأ. ويجب أن يتضمن جدولًا لسلوك الفشل يسرد كل وظيفة وفئتها وسلوكها المتوقع في وضع عدم الاتصال وعند إعادة الاتصال والمورد المسؤول. عند الشراء، يجب أن يُطلب من الموردين تحديد ميزات منتجهم التي تعتمد على الاتصالات الخارجية وكيف يتصرف المنتج بدونها. تشير إرشادات CI Fortify إلى أن الشروط التعاقدية وشروط الترخيص يمكن أن تمنع المشغلين من الاستعداد للعزل، لذلك تحتاج التراخيص وشروط الخدمة إلى التحقق من ذلك بالضبط.

قد يبرر تصميم الشبكة اتصالاً خارجيًا ثانيًا للخدمات الأساسية، من مزود مختلف أو عبر طريق مادي مختلف. وهذا يقلل من احتمالية انقطاع الخدمة؛ لا يلغي الحاجة إلى التشغيل المحلي.

التكليف هو المكان الذي تصبح فيه المطالبات دليلاً. يجب قطع الاتصالات الخارجية للمبنى في اختبار مخطط له، والتحقق من كل سلوك "يجب أن يستمر" و"قد يتدهور"، ثم يتم التحقق من الاسترداد أيضًا. بيان المورد ليس دليلا. اختبار شهد هو. أثناء التشغيل، يجب تكرار الاختبار بشكل دوري، خاصة بعد إجراء تغييرات مهمة في البرامج أو عمليات التكامل الجديدة، والاحتفاظ بالنسخ الاحتياطية للتكوين الحالي ووسائط التثبيت في الموقع، بحيث لا يعتمد الاسترداد في حد ذاته على الاتصال الذي فشل.

خمسة أسئلة للمالك

• هل لدينا قائمة مكتوبة بكل وظيفة تعتمد على اتصال خارجي؟
• فهل قررنا بالنسبة لكل منها ما إذا كان يجب أن يستمر، أو قد يتدهور، أو قد يتوقف؟
• هل اختبرنا الانفصال الكامل ومتى كررناه آخر مرة؟
• هل يمكن لفريقنا الموجود في الموقع تشغيل واستعادة الأنظمة الأساسية دون تسجيل دخول المورد؟
• هل للإنذارات الحرجة مسار لا يعتمد على الإنترنت؟