في السنوات الماضية، كان تراكم الثغرات الأمنية داخل المؤسسات يُعتبر واقعاً مزعجاً لكنه مقبول، حيث كانت فرق الإدارة تبرر وجود آلاف الثغرات الحرجة بعبارات مثل: “لقد قبلنا المخاطر”، أو “الأولوية لمهام أخرى”، أو “سنصلحها لاحقاً”. لكن هذا المنطق لم يعد صالحاً في عصر الهجمات المدعومة بالذكاء الاصطناعي، حيث انهارت تكلفة الاستغلال وأصبح بإمكان المهاجمين التحرك بسرعة غير مسبوقة.
الذكاء الاصطناعي يغير قواعد اللعبة
اليوم، تستخدم مجموعات التهديد أنظمة ذكاء اصطناعي وكيلة (Agentic AI) لتسريع دورة الهجوم بالكامل: من الاستطلاع واكتشاف الثغرات، إلى تطوير الاستغلال وتنفيذه. هذا يعني أن تراكم آلاف الثغرات لم يعد مجرد مشكلة إدارية، بل أصبح سلاحاً بيد المهاجمين الذين يمكنهم الانتقال من الاكتشاف إلى الاختراق في وقت قياسي.
مسؤولية مجالس الإدارة
الجملة الأخطر في قاعات الاجتماعات هي: “لا تقلقوا، مدير الأمن (CISO) يتولى الأمر”. الواقع أن المشكلة أكبر من أي مسؤول واحد، فهي مرتبطة بالبنية التكنولوجية، سرعة الإصدارات، الاعتماد على أنظمة قديمة، وقيود الموارد. وفقاً لقضايا Caremark في ولاية ديلاوير، فإن مجالس الإدارة ملزمة بوجود أنظمة تقارير تكشف المخاطر الجوهرية، وعليها أن تتفاعل معها بجدية. تجاهل آلاف الثغرات المفتوحة لم يعد خياراً قانونياً أو عملياً.
ما الذي يجب أن تطالب به المجالس؟
على المجالس أن تطرح أسئلة مباشرة تكشف الحقيقة التشغيلية، مثل:
- كيف يبدو برنامج إدارة الثغرات لدينا من البداية إلى النهاية؟
- كم عدد الثغرات الحرجة والمهمة الموجودة حالياً في منتجاتنا؟
- كم استغرق إصلاح الثغرات الحرجة خلال الربع الماضي أو العام الماضي؟
- إذا ظهر ثغرة يوم الصفر في منتجنا الرئيسي اليوم، كم سيستغرق الأمر لإعلان الأمان للعملاء؟
- ما التكلفة المالية لتراكم الثغرات الحالي؟
هذه الأسئلة تجعل المشكلة ملموسة وتمنع الاختباء وراء تقارير مجردة.
“التصحيح الأسرع” ليس الحل الوحيد
الاستجابة التقليدية لضغط المجالس هي “سنسرع التصحيح”، لكن ذلك قد يؤدي إلى تعطيل الإنتاج أو التأثير على العملاء. المطلوب هو نموذج يقلل من الحاجة للتصحيحات الطارئة ويحد من آثارها، لا مجرد تسريع عملية هشة.
التحولات التنظيمية والقانونية
المشهد القانوني يتغير أيضاً:
- في الاتحاد الأوروبي، دخل قانون المرونة السيبرانية (CRA) حيز التنفيذ، مع إلزام المؤسسات اعتباراً من ديسمبر 2027 بممارسات “آمنة بالتصميم” وإدارة صارمة للثغرات.
- في القطاع المالي، بدأ تطبيق DORA الذي يفرض معايير موحدة لإدارة المخاطر التشغيلية الرقمية.
- في الولايات المتحدة، تواجه الشركات دعاوى جماعية تتهمها بالإهمال عند حدوث اختراقات بسبب ضعف إدارة الثغرات.
تقليل التراكم بالتصميم
الحل الجذري هو تقليل تراكم الثغرات من البداية عبر اعتماد مكونات برمجية آمنة بشكل افتراضي، مثل نهج Chainguard الذي يهدف إلى تقليل عدد الثغرات الحرجة في بيئات الإنتاج، وبالتالي تقليل دورات التصحيح الطارئة والاضطرابات التشغيلية.
بهذا النهج، يمكن تحويل وقت فرق الهندسة من إطفاء الحرائق الأمنية إلى الابتكار الذي يحقق قيمة حقيقية للشركة. وعندما يبدأ التحقيق بعد الاختراق، لن يكون السؤال “لماذا قبلتم 13,000 ثغرة حرجة؟”، بل سيكون الجواب: “لم نقبلها، لقد غيرنا النظام.
