بناء سيناريو خطر سببي تحت عدم اليقين

في اجتماع المخاطر قد يُعرض رقم يقول إن «خطر الهوية 16 من 25». ما الذي حدث كي أصبح 16؟ وهل الدرجة تخص سرقة كلمة مرور موظف، أم قدرة مهاجم على اعتماد تحويل مالي، أم انقطاع نظام الدخول؟ إذا لم تذكر السلسلة السببية، لا يستطيع القائد اختيار موضع تدخل أو معرفة أي دليل سيغير التقدير. السيناريو المفيد يصف تهديدًا يصل إلى نتيجة غير مرغوبة عبر ظروف محددة، مع فصل ما نعرفه عما نفترضه. ليس مطلوبًا ادعاء معرفة المستقبل؛ المطلوب قرار يستجيب له.

لنبنِ السلسلة من اليمين إلى اليسار أولًا. عرّف **النتيجة** التي تؤثر في خدمة أو أشخاص: اعتماد دفعة غير صحيحة، كشف بيانات، أو تعطل خدمة. ثم اسأل ما الإجراء الذي يُحدثها، ومن يستطيع اتخاذه، وبأي صلاحية أو مسار. أضف الظروف السابقة التي تسمح بهذا الإجراء: رمز جلسة مسروق، غياب تحقق ثانٍ، أو اعتماد يدوي يفتقر إلى فصل الواجبات. بعد ذلك ابدأ القراءة من اليسار إلى اليمين للتأكد أن كل سهم معقول، وأنك لم تقفز من «رسالة تصيّد» إلى «خسارة مؤكدة» من دون إثبات ما بينهما.

يفصل NIST SP 800-30 Rev. 1 عوامل النموذج، ومنها مصدر التهديد والحدث والثغرة أو الحالة المهيئة والاحتمال والأثر. هذا لا يفرض خوارزمية جمع واحدة؛ يوضح الدليل نفسه أن النموذج يجب أن يعرّف علاقات عوامله، وأن عدم اليقين قد يُعرض بنطاقات أو أوصاف بدلاً من نقطة رقمية. لذلك لا نستعمل مصفوفة ألوان كأنها قياس فيزيائي. قد تكون المصفوفة أداة فرز إذا عُرفت مقاييسها وحدودها، لكنها لا تعطي معنى لـ«16» دون سيناريو وسند لكل مدخل.

ميّز أربعة أشياء غالبًا ما تختلط. **التهديد** حدث أو ظرف قادر على إحداث ضرر، وليس اسم أداة فحسب. **الثغرة** ضعف قابل للاستغلال في المسار، مثل صلاحية أوسع من الحاجة. **الحالة المهيئة** تجعل الضرر ممكنًا أو أكبر من غير أن تكون ثغرة تقنية مباشرة، مثل اعتماد خدمة وحيدة على مزود هوية واحد. **الأثر** ما يصيب المهمة أو العميل إذا اكتملت السلسلة. الاحتمال تقدير لوقوع السلسلة ضمن فترة وسياق، وليس عدد التنبيهات. كثير من التنبيهات قد يعني مراقبة أفضل، أو ضجيجًا أعلى، أو نشاطًا أخطر؛ لا تختَر تفسيرًا من العداد وحده.

## سجل الافتراضات والاختبار

اصنع جدولًا صغيرًا بأربعة أعمدة: الفرضية، دليلها، ما يترتب عليها، واختبار نقضها. في حالتنا: «الرمز يبقى صالحًا بعد تغيير كلمة المرور» تؤيده نتيجة اختبار جلسة في بيئة مضبوطة، ويُنقض باختبار إبطال عبر جميع الأجهزة. «حد 20 ألفًا يومي ومنفذ» مصدره نص السياسة فقط حتى الآن، ويحتاج سجل تطبيق وطلب اختبار يتجاوز الحد. «التنبيه غير المحسوم يدل على مهاجم» ليس حقيقة؛ يحتاج ربط جهاز وجلسة وتوقيت، وقد ينتهي نشاطًا مشروعًا. لا تعامل الثغرة المرصودة كدليل على استغلالها، ولا تجعل غياب دليل استغلال دليلاً على عدم وجوده.

قارن ثلاثة تدخلات بحسب موضعها في السلسلة. إبطال جميع جلسات المشرفين يقطع استعمال الرمز، لكن قد يعطل دعم العملاء؛ جرّبه من حيث زمن الاستعادة وقنوات بديلة. طلب موافقة مستقلة على تغيير حساب الرد يقطع الانتقال من صلاحية إلى تحويل، حتى لو بقيت جلسة مسروقة. اختبار الحد اليومي وتصحيحه يضع سقفًا للأثر، لكنه لا يمنع كشف بيانات أخرى في الحساب. لا تصف أي تدخل بأنه «حل الخطر» كله؛ قل أي سهم يقطعه وما يبقى بعده. إذا كانت تكلفة الموافقة المزدوجة تتسبب بتأخير لا يحتمله العملاء، يمكن تطبيقها على تغييرات الحساب عالية الخطورة أولًا مع رصد الاستثناءات.

عند عرض التقدير، استخدم عبارة قرار: «نعتقد أن سيناريو تحويل رد عبر رمز مشرف ممكن لأن الجلسة لا تُبطل سريعًا والموافقة فردية. أثره من جلسة واحدة محدود مبدئيًا بـ20 ألفًا يوميًا **إذا** نفذ القيد كما كتب؛ التنفيذ غير متحقق، والتنبيه الواحد غير محسوم. سنعزل الجلسة، نختبر الحد، ونراجع سجلات التغيير قبل تقدير احتمال أو اعتماد ميزانية دائمة». هذه الصياغة طويلة قليلًا عن لون مصفوفة، لكنها تمنع قرارًا على رقم متناقض.

## تمرين مع حل مرجعي

تستخدم مؤسسة افتراضية واجهة API لمورّد شحن. ظهر رمز وصول في سجل بناء عام لمدة 40 دقيقة. يسمح الرمز بقراءة عناوين التسليم وإنشاء طلبات شحن، لكن لا يسمح بتعديل حسابات الدفع. يسجل النظام 12 طلبًا خلال الفترة، عشرة منها تطابق قائمة الأعمال المجدولة واثنان بلا رقم طلب داخلي. لا يوجد سجل لقراءة العناوين. صغ سيناريوهين منفصلين، وحدد ما يمكن استنتاجه وما يجب فعله أولًا.

الحل المرجعي يفصل سيناريو إنشاء شحنتين غير مصرح بهما عن سيناريو قراءة عناوين قد تكون حدثت بلا سجل. العشرة المتطابقة لا تبرئ الطلبين، والطلبان بلا رقم داخلي لا يثبتان وحدهما أن مهاجمًا أنشأهما؛ قد يكون خلل تكامل. لا تزعم أن الرمز يتيح تحويل أموال لأنه لا يملك صلاحية الدفع. أول إجراء إبطال الرمز وإصدار بديل عبر قناة آمنة، ثم مطابقة الطلبين مع سجل المورد وأصحاب الطلبات، وفحص قدرة المورد على توفير سجل قراءة. يختلف الحكم إذا كان الرمز مقيدًا بعنوان شبكة غير متاح خارج بيئة البناء، أو إذا ثبت أن الطلبين أُنشئا من عنوان غير معروف؛ اذكر أي دليل يدعم كل تغيير. معيار الإجابة الجيدة أن ترسم المسارين بوضوح، وتحدّ نطاق الأثر بحدود الصلاحية، وتسمّي عدم اليقين بدل تسميته صفرًا أو يقينًا.