توقف عن سؤال: من هاجمنا؟ ثلاثة أسئلة أجدى

عند وصول تنبيه، من الطبيعي أن نسأل عن الجهة التي تقف وراءه. وقد يفيد تحديد الجهة، لكن الأسماء والتصنيفات كثيرًا ما تكون غير مؤكدة، ولا تخبر المدافع تلقائيًا بما ينبغي فعله. تبدأ الإحاطة الأجدى بالقرارات التي تستطيع المؤسسة اتخاذها.

1. ما السلوك أو القدرة التي ينبغي أن نستعد لها؟

صِف السلوك المرصود بلغة واضحة قبل إلحاقه باسم مجموعة. هل يتعلق الأمر بسرقة بيانات اعتماد، أم باستغلال خدمة مكشوفة، أم بإساءة استخدام أداة موثوقة، أم بمحاولة تعطيل العمليات؟ يساعد وصف السلوك على مقارنة المعلومات بالأنظمة والضوابط لدى المؤسسة.

اجعل مستوى الثقة ظاهرًا. افصل ما تمت ملاحظته مباشرة عما جرى استنتاجه، وحدد المصدر والسياق. وإذا كانت المعلومات ناقصة، فاذكر ذلك. توضيح مواطن عدم اليقين أنفع من تصنيف واثق لا تسنده الأدلة.

2. أي جزء من بيئتنا يرتبط بهذه المعلومات؟

حوّل المعلومة إلى سؤال عن التعرض للمخاطر. ما الأنظمة أو الهويات أو الموردين أو العمليات التي قد تتأثر؟ وما الظروف التي يلزم توافرها؟ ينبغي لتقرير التهديد أن يساعد المؤسسة على تحديد ما تراجعه، لا أن يفترض أن جميع المؤسسات تواجه المخاطر نفسها.

يمكن للفرق الأمنية مقارنة السلوك الموصوف ببنية أنظمتها وضوابطها الحالية، ثم مطالبة مسؤولي الأنظمة بالتحقق من الافتراضات المهمة. ويساعد ذلك على توجيه الاستقصاء إلى البيئات التي قد تغيّر الإجابة فيها أحد القرارات.

3. ما الخطوة التالية؟

اجعل الإجراء التالي واضحًا. قد يكون التحقق من إعداد، أو مراجعة سجلات ذات صلة، أو التأكد من عمل أحد الضوابط، أو إحاطة مسؤول خدمة، أو مراقبة مؤشر محدد لفترة معلومة. حدّد المسؤول عن الإجراء والدليل الذي يثبت إتمامه.

تصبح معلومات التهديدات مفيدة عندما تغيّر قرارًا أو تحسّن الاستعداد. وقد يظل تحديد الجهة مهمًا، خصوصًا إذا دعم عملًا قانونيًا أو دبلوماسيًا أو استراتيجيًا، لكنه ليس المعيار الوحيد لقياس فائدة المعلومات للمدافعين.