انتهت الاستعادة ليلة الأحد. وبحلول الثلاثاء فُتحت دفاتر الحسابات، وعادت العقود إلى مجلداتها، ومسؤول المالية في مكالمة مع مدقق الحسابات. يطرح المدقق سؤالاً واحداً لا يستطيع برنامج النسخ الاحتياطي الإجابة عنه: كيف نعرف أن هذه الملفات هي نفسها التي كانت لديكم قبل الحادثة؟
النسخة الاحتياطية تُظهر ما لديكم الآن. لكنها لا تُظهر أن شيئاً لم يتغير بين آخر نسخة سليمة والنسخة التي استعدتموها. فإذا كان أحدهم داخل الشبكة لأيام قبل بدء التشفير، فقد يحمل الملف المستعاد تعديلاً لم يلاحظه أحد.
ما لا يستطيع الملف المستعاد إثباته بمفرده
ملف PDF المسحوب من النسخة الاحتياطية يحمل تاريخ تعديل كتبه الحاسوب الذي حفظه آخر مرة. وهذا التاريخ يمكن ضبطه على أي قيمة. لا يحتفظ الملف بأي سجل لما كان عليه الشهر الماضي، ولم يقف وراءه أي طرف ثالث آنذاك. كلمتكم بأنه مطابق هي القضية كلها.
قانون مسك الدفاتر السويسري يتوقع أكثر من ذلك. المادة 3 من مرسوم الدفاتر التجارية (GeBüV) تشترط حفظ الدفاتر التجارية والمستندات المحاسبية بحيث لا يمكن تغييرها دون أن يكون ذلك قابلاً للاكتشاف. والمادة 9 الفقرة 1 الحرف ب تسمح بوسائط تخزين قابلة للتغيير بشرط أن تضمن إجراءات تقنية سلامة المعلومات المخزنة وأن يكون وقت التخزين قابلاً للإثبات بطريقة لا يمكن تزويرها؛ ويذكر المرسوم نفسه إجراءات التوقيع الرقمي والأختام الزمنية كأمثلة. وتضيف المادة 10 فحوصاً منتظمة للوسائط من حيث السلامة وقابلية القراءة، وسجلاً لأي ترحيل يُحفظ مع البيانات.
الاستعادة تنقل البيانات من وسيط إلى آخر، والمعيار الوارد في المادة 10 هو ما سيطبقه مدققكم: هل حُفظت البيانات كاملة وصحيحة، وهل يمكنكم إثبات ذلك؟
ما يضيفه الختم
عندما يُختم مستند على Swiss Trust Layer، تُحسب بصمة تشفيرية للملف. وتُرسل هذه البصمة، لا الملف، إلى Swisscom Trust Services، مزود خدمات الثقة المؤهل، الذي يوقعها بمفتاح لا يغادر عتاده أبداً. يحمل التوقيع ختماً زمنياً وفق RFC 3161 ويُدمج في ملف PDF. ولا يُعدَّل الملف الأصلي. كما تحصل كل نسخة مختومة من المجلد على شهادة إثبات تسرد كل ملف مع بصمته ووقت الختم بتوقيت UTC.
بموجب المادة 41 الفقرة 2 من لائحة eIDAS، يتمتع الختم الزمني الإلكتروني المؤهل بقرينة دقة التاريخ والوقت اللذين يشير إليهما وسلامة البيانات المرتبطة بهما. يثبت الختم الزمني أن هذا الملف بعينه كان موجوداً في تلك اللحظة ولم يتغير منذ ذلك الحين. لكنه لا يثبت من كتبه، ولا ما إذا كان محتواه صحيحاً، ولا من يملك الحقوق. ولسؤال عن السلامة بعد الاستعادة، هذا الادعاء الضيق هو بالضبط ما تحتاجونه.
الفحص بعد الاستعادة
خذوا النسخة المستعادة من ملف PDF مختوم وارفعوها إلى أداة التحقق العامة على swisstrustlayer.com/validate. دون حساب ودون تسجيل. تفحص الأداة سلسلة التوقيع، وجهة إصدار الشهادة، وانتهاء صلاحية الشهادة، وسلامة الختم الزمني، ثم تبلغ عمن وقّع ومتى وبأي شهادة، وما إذا كان المحتوى قد عُدِّل بعد التوقيع. وهي تعالج البيانات الوصفية للتوقيع ولا تخزن المستند.
إذا كان الملف المستعاد سليماً، تقول الأداة ذلك، ويؤرخ الختم الزمني تلك الحالة إلى ما قبل الحادثة. وإذا تغير أي شيء، فلن تتطابق البصمة وتبلغ الأداة عن تعديل بعد التوقيع. وفي الحالتين لا تعتمد الإجابة على تأكيدكم أنتم، ويمكن لبنك أو شركة تأمين أو طرف مقابل أو مدقق إجراء الفحص نفسه على جهازه.
الحد، بوضوح
هذا يفيد في الملفات التي خُتمت قبل الحادثة. ولا شيء غير ذلك.
ختم ملف بعد الاستعادة يثبت كيف كان ذلك الملف يوم ختمه، وسيُظهر أي تغيير من ذلك اليوم فصاعداً. لكنه لا يقول شيئاً عن الأسابيع السابقة. فإذا عُدِّل سجل أثناء الاختراق ثم خُتم على النظام النظيف، فإن الختم يثبّت النسخة المعدلة. ولا يمكن إضافة ختم زمني بأثر رجعي. ولكل ما لم يُختم سابقاً، تعودون إلى كلمتكم وسجلات النسخ الاحتياطي، والخطوة المعقولة هي البدء بالختم الآن.
أي السجلات تُختم، ومتى
ختم كل شيء ليس الهدف. السجلات التي سيسأل عنها مدقق أو طرف مقابل تشكل قائمة قصيرة، ومعظمها يُقفل وفق تقويم:
- دفاتر الإقفال والتصديرات التي تستند إليها، في نهاية كل شهر وكل ربع سنة وكل سنة.
- العقود الموقعة، فور اكتمال آخر توقيع.
- محاضر مجلس الإدارة، بعد توقيعها من الرئيس وكاتب المحضر.
- السياسات والإجراءات، عند كل مراجعة معتمدة.
- قوائم النسخ الاحتياطي، أي جرد ما تحتويه كل عملية نسخ احتياطي. بعد الاستعادة، تُظهر القائمة المختومة أي مجموعة نسخ احتياطي استخدمتموها وأن جردها لم يُعدَّل منذ ذلك الحين.
يحتفظ كل مجلد مختوم على Swiss Trust Layer بسجل للإصدارات. يمكن إضافة إصدار جديد وختمه على حدة، بشهادته الخاصة وملاحظة، بحيث يمكن لمجلد نهاية الشهر أن يضم اثنتي عشرة نسخة مختومة بحلول نهاية السنة.
احتفظوا بالأصل المختوم في مكان آخر
يغطي الختم بصمة مستندكم، ولذلك يجب أن ينجو الملف المختوم وشهادته من الحادثة أيضاً. فإذا وصلت برامج الفدية إلى المجلد الذي توجد فيه ملفات PDF المختومة، فلن تستطيع البصمة إعادة بنائها. احتفظوا بكليهما في مكان ثانٍ، بعيداً عن الأنظمة الأكثر عرضة للإصابة.
تقدم البوابة ESCROW Storage كخيار تخزين اختياري، مستضاف في سويسرا ومرتبط بالهوية الموثقة لصاحب الحساب. وتحصل المجلدات المختومة المودعة فيه على ESCROW ID للاسترداد. توفر Swisscom Trust Services التخزين، وتدير ProLitteris الإيداع (escrow)، وتوفر Swiss Trust Layer التقنية. وإذا فُقدت كل بيانات الدخول في الحادثة، يمكن إعادة التحقق من الهوية، عبر الإنترنت أو شخصياً عبر وكيل KYC، واستعادة الوصول.
خطوة واحدة هذا الأسبوع
تطلب المادة 10 فحوصاً منتظمة للسلامة وسجلاً لكل ترحيل. بعد أي استعادة، مرروا الملفات المختومة عبر أداة التحقق، ودوّنوا النتائج، واحتفظوا بذلك السجل مع البيانات.
ثم اختاروا السجل الواحد الذي لا تودون الدفاع عنه من الذاكرة. دفتر الإقفال الأخير مرشح جيد. اختموه، وضعوا الملف المختوم وشهادته حيث لا تصل الحادثة التالية، وسجلوا نهاية الشهر التالية في التقويم. الآلية الكاملة موضحة في كيف يعمل.
اختموا أول مستند لكم على Swiss Trust Layer وأعطوا السؤال التالي إجابة.
