قد يكون هذا خير مثال لقرصان رقمي تحول إلى حارس. فبعد أن هاجمت عصابة برامج الفدية ألف في/بلاك كات شركة ميريديان لينك الشهر الماضي، اكتشف القراصنة أن شركة البرمجيات لم تمتثل لقواعد هيئة الأوراق المالية والبورصات الجديدة للكشف عن الحوادث السيبرانية. لذلك أبلغوا الجهة التنظيمية بهذا الفشل، ونشروا صورة للنموذج الذي سلطت فيه العصابة الضوء على أنها "مسألة مثيرة للقلق".

لكن القراصنة أخطأوا. فالقواعد، التي تتطلب من الشركات إصدار ملف عام في غضون أربعة أيام من تحديد حادثة أمن سيبراني "مهمة"، لن تدخل حيز التنفيذ حتى منتصف ديسمبر.

لكن من المؤكد أن هذه الخطوة جذبت الانتباه: "بقدر ما كنا نجري مناقشات حول ما إذا كانت هذه القاعدة تضيف أداة أخرى إلى صندوق أدوات القراصنة، فهذه الحادثة توضح الأمر تماما"، كما يقول إيريز ليبرمان، شريك في شركة المحاماة ديبيفواز أند بليمبتون. "لقد وضعت هيئة الأوراق المالية والبورصات القراصنة في مقعد القيادة".

تعمل اللوائح التنظيمية الجديدة على توسيع حدود ما هو متفق عليه عموما باعتباره أفضل الممارسات في المجتمع السيبراني: حيث تعد الشفافية الأكبر سلاحا مهما ضد هجمات مجرمي الإنترنت. ارتفع العدد المعروف للهجمات الإلكترونية 75 في المائة على مدى الأعوام الخمسة الماضية، وفقا لشركة إي واي. وكانت تكلفة هجمات برامج الفدية البالغة 20 مليار دولار في 2021 أعلى 57 مرة مما كانت عليه في 2015. ومن المتوقع أن ترتفع مرة أخرى إلى 265 مليار دولار بحلول 2031، وفقا لشركة سايبر سكيورتي فنتشرز.

ورغم هذه الزيادة في النشاط الإجرامي، فإن كثيرا من الشركات لم تقم حتى الآن بما يوازي إغلاق الأبواب والنوافذ، وكثير من مجالس الإدارة لا تعرف ما يكفي لتتساءل عن السبب. حيث إن أقل من 70 في المائة من الشركات المدرجة في قائمة فورتشن 100 تستشهد بخبرة الأمن السيبراني في السيرة الذاتية لمدير واحد على الأقل. وقالت 16 في المائة فقط من هذه الشركات: إن إدارة المخاطر لديهم شملت عمليات محاكاة أو اختبار لاستجابتهم للحادثة. يقول أحد صناع السياسات الأمريكيين السابقين: "يذهلني تماما أننا نستمر في عدم القيام بالأساسيات. فإذا اهتمت الشركات بالسلامة السيبرانية الأساسية وكان لديها دعم بارع، فمن المؤكد أنك لن تمر بيوم سيئ حقا".

أثارت قواعد هيئة الأوراق المالية والبورصات القلق، إضافة إلى غرفة التجارة الأمريكية. فعتبة الإفصاح البالغة أربعة أيام تشكل تحديا كبيرا، وستحتاج إلى إنفاذ معقول: نظرا للشكوك (والذعر العام) بعد أن يصبح انتهاكا كبيرا معروفا، فقد تكون الإفصاحات جزئية أو يتم تعديلها بشكل متكرر مع التأكد من حجمها أو خطورتها. ويرى المستشارون أيضا أن القلق بشأن الإعلانات عن حوادث الاختراق قد يصرف الانتباه عن احتواء حادث ما، وأن الاعتراف بأن الاختراق "هام" يمنح السلطة للمهاجم.

كانت الحكومات بشكل عام بطيئة للغاية في الإصرار على تبادل المعلومات لبناء صورة كاملة عن الجرائم السيبرانية، والأهم من ذلك، تقديم الدعم للشركات من دون إصدار أحكام وذلك لإدارة الهجمات أو احتواء الضرر. قامت الولايات المتحدة والاتحاد الأوروبي بتوسيع متطلبات إبلاغ السلطات بالحوادث في القطاعات التي تعد بنية تحتية حيوية. واقترحت أستراليا الشهر الماضي توسيع متطلباتها عبر الاقتصاد بأكمله.

جزئيا، قد تحاول سياسات الإفصاح تثبيط دفعات برامج الفدية، عن طريق إزالة خيار كتابة شيك (أو تسليم بعض العملات المشفرة) وجعلها تختفي بهدوء. وفي مجال الخدمات المالية، التي تميل إلى أن تكون على رأس القائمة، تشترط الهيئة التنظيمية في ولاية نيويورك الآن على الشركات أن تخطرها وتقدم المبررات عند دفع أموال الابتزاز.

إن السرية، في النهاية، لا يمكن أن تساعد. حيث يرى سيران مارتن، الرئيس السابق للمركز الوطني للأمن السيبراني في المملكة المتحدة، تشابها مع قواعد حماية البيانات في أوروبا: "رغم كل عيوبه، فقد انتزع القانون العام لحماية البيانات حق مثير للإشكالية لإخفاء مشكلة وكان هذا أمرا جيدا". تستخدم الولايات المتحدة بشكل متزايد المعلومات التي تتلقاها طوعا لإصدار تحذيرات عامة، كما فعلت الشهر الماضي بناء على تقرير من شركة بوينج حول خلل سيتريكس بليد. وتخطو قواعد هيئة الأوراق المالية والبورصات خطوة إلى الأمام فيما يتعلق بمدى سرعة تنبيه المستثمرين، والعملاء والموردين إلى خطر جديد.

على أقل تقدير، إن الحاجة إلى فهم هجوم سيبراني بسرعة، والحكم على مدى خطورته ثم الاتفاق على إفصاح عنه قد يكون محرجا، إذ تعمل هذه الحاجة على تغيير تخطيط الشركات حول كيفية التعامل مع الحوادث، كما يقول المستشارون. وينبغي لهذا أن يشجع على زيادة التركيز والاستثمار في المناعة، فضلا عن ضمان الشعور بالمخاوف السيبرانية بشكل واضح وفهمها جيدا على أعلى المستويات في الشركات. وهو بالطبع ما كان ينبغي أن يكون منذ بعض الوقت.