الإجابة المختصرة: نادرًا ما تحتاج إلى استبدال نظام SCADA يعمل جيدًا كي تصل بياناته إلى منصات التحليل الحديثة. فالنمط المجرَّب يُبقي التحكم في مكانه وينسخ البيانات إلى الخارج: بوابة تقرأ من SCADA أو من مؤرّخ المصنع، ثم تعبر البيانات منطقة صناعية منزوعة السلاح (DMZ) أو بوابة أحادية الاتجاه إلى جانب تقنية المعلومات، حيث يغذّي وسيطُ رسائل وقاعدةُ بيانات زمنية وواجهاتُ API لوحاتِ المعلومات وأنظمةَ ERP والصيانة. وفي المملكة تخضع أنظمة التحكم الصناعي في المنشآت الحساسة لضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC-1:2022) الصادرة عن الهيئة الوطنية للأمن السيبراني، ولذلك يجب أن يُصمَّم العزل والوصول عن بُعد والمراقبة من اليوم الأول، لا أن تُضاف بعد انتهاء التجربة.
لماذا لا تتحاور أنظمة SCADA القديمة مع تقنية المعلومات الحديثة
يعمل جزء كبير من البنية التحتية للطاقة في المملكة على منصات SCADA وDCS رُكّبت قبل سنوات أو عقود. وهي تتحكم بموثوقية في المضخات والصمامات والضواغط، لكنها لم تُصمَّم لعمليات تشغيل تقودها البيانات كما في 2026.
فالتقنيات التشغيلية (OT) مثل SCADA وDCS معزولة بطبيعة تصميمها: تقدّم السلامة والإتاحة والسلوك المنضبط على الاتصال. أما تقنية المعلومات (IT) — من أنظمة ERP ومنصات التحليل إلى لوحات المعلومات السحابية — فتعيش في بيئة متصلة. والتحدي هو الربط بين العالمين دون أن يُفتح لمهاجم، أو لنص برمجي مكتوب على عجل، طريقٌ إلى الأنظمة التي تحفظ سلامة المصنع.
نموذج Purdue والمنطقة الصناعية منزوعة السلاح
تتبع معظم مشاريع تكامل OT/IT نموذجًا مرجعيًا متعدد الطبقات، هو في الغالب نموذج Purdue:
- المستوى 0: المستشعرات وأجهزة الإرسال والمشغّلات في الميدان
- المستوى 1: وحدات PLC وRTU ووحدات تحكم السلامة التي تنفّذ منطق التحكم
- المستوى 2: خوادم SCADA وواجهات المشغّلين (HMI) التي تشرف على العملية
- المستوى 3: عمليات الموقع — المؤرّخات وإدارة الإنذارات وتقارير الإنتاج
- المنطقة الصناعية منزوعة السلاح: الحدّ الذي تُتبادَل عنده البيانات بين OT وIT
- المستويان 4 و5: تقنية المعلومات المؤسسية وأنظمة ERP والتحليلات والخدمات السحابية
ويوصي دليل أمن التقنيات التشغيلية (SP 800-82 Rev. 3) الصادر عن NIST بتنظيم شبكات OT وفق نموذج كهذا، واستخدام DMZ حدًّا فاصلًا يفرض السياسات بين الأجزاء. وينصح بقواعد جدار ناري لا تسمح بالاتصال إلا بين المستويات المتجاورة — فلا يتصل أي جهاز في المستوى 4 مباشرة بالمستويات 2 أو 1 أو 0 — وبأن تكون قواعد الحركة الصادرة بصرامة قواعد الحركة الواردة. كما يصف البوابات أحادية الاتجاه، أو ما يُعرف بصمامات البيانات (data diodes)، التي لا تسمح بمرور البيانات إلا في اتجاه واحد، بديلًا عن الجدران النارية. والمبدأ بسيط: البيانات تُنسخ من OT إلى الخارج، وتقنية المعلومات لا تمتد إلى الداخل أبدًا.
ما الذي تشترطه الهيئة الوطنية للأمن السيبراني للتقنيات التشغيلية
توضح وثيقة المنهجية والمواءمة لضوابط OTCC كيف تترابط الضوابط:
- ضوابط OTCC امتداد للضوابط الأساسية. فـ OTCC-1:2022 امتداد للضوابط الأساسية للأمن السيبراني (ECC-1:2018)، وتلتزم الجهات بالضوابط الأساسية أولًا ثم بالضوابط الإضافية الخاصة بالتقنيات التشغيلية.
- نطاقها التقنيات التشغيلية في المنشآت الحساسة. تنطبق OTCC على أنظمة التحكم الصناعي الموجودة في المنشآت الحساسة، أما الأنظمة الحساسة غير التشغيلية فتخضع لضوابط الأمن السيبراني للأنظمة الحساسة (CSCC-1:2019).
- تتدرج الضوابط بحسب درجة الحساسية. تُصنَّف المنشآت إلى المستوى 1 أو 2 أو 3 باستخدام أداة الهيئة لتحديد مستوى المنشأة، وفق معايير منها الأثر على الصحة والسلامة والبيئة والأمن الوطني وتعطّل الاقتصاد الوطني، وكل ضابط مرتبط بمستوى محدد.
- تستند إلى معايير دولية، منها ISA/IEC 62443 وإطار NIST للأمن السيبراني وNIST SP 800-82.
ويسرد مجال حماية أنظمة التحكم الصناعي في الضوابط الأساسية الحد الأدنى من المتطلبات التي يجب أن يحترمها أي تكامل: عزل وتقسيم مادي ومنطقي صارم عند ربط الشبكات الصناعية بالشبكة المؤسسية وبالشبكات الخارجية (الإنترنت والشبكات اللاسلكية والوصول عن بُعد)، ومراقبة مستمرة وتفعيل سجلات الأحداث على الشبكات الصناعية، وعزل أنظمة السلامة الآلية، وتقييد صارم لوسائط التخزين الخارجية والأجهزة المحمولة، إضافة إلى التحصين وإدارة الثغرات والتحديثات. وللأجهزة المتصلة خارج شبكة التحكم، نشرت الهيئة أيضًا الإرشادات السيبرانية لإنترنت الأشياء (CGIoT-1:2024).
أما دخول منشأة بعينها في النطاق، والمستوى الذي تُصنَّف فيه، فيُحسم عبر عملية التصنيف هذه؛ لذا اتفق عليه مع إدارة الأمن السيبراني لديك قبل تثبيت قرارات البنية.
بنية التكامل عنصرًا عنصرًا
- بوابات البروتوكولات: يُعد OPC UA المعيار المستقل عن المنصات لقراءة الوسوم من SCADA والمؤرّخات، مع تشفير ومصادقة وتدقيق مدمجة. وقد تحتاج المحطات الأقدم أيضًا إلى محوّلات للبروتوكولات التسلسلية وبروتوكولات SCADA القديمة مثل Modbus أو DNP3.
- عُقد الحوسبة الطرفية: تعالج البيانات وتصفّيها وتخزّنها مؤقتًا في الموقع قبل أن تغادره.
- وسطاء MQTT: بروتوكول MQTT معيار من OASIS، خفيف يعتمد نمط النشر والاشتراك، صُمّم للأجهزة محدودة الموارد والاتصالات غير المستقرة، ويوفر ثلاثة مستويات لجودة الخدمة. وتضيف مواصفة Eclipse Sparkplug شهادات «ميلاد» و«وفاة» تُعلم المشتركين هل ما زالت بيانات الجهاز صالحة.
- قواعد البيانات الزمنية: InfluxDB أو TimescaleDB لبيانات المستشعرات عالية التردد، أو مؤرّخ المصنع القائم لديك.
- طبقة واجهات API: واجهات REST تتيح بيانات تشغيلية منقّحة لتطبيقات المؤسسة.
- أدوات الأمن: الجدران النارية والتقسيم الشبكي وأنظمة كشف التسلل المصممة لبيئات OT، مع إرسال سجلات الأحداث إلى مركز العمليات الأمنية.
ما الذي يكسبه المشغّلون
حين تتدفق بيانات SCADA إلى منصات التحليل الحديثة، يحصل المشغّلون على رؤية لحظية لجميع المنشآت من لوحة معلومات واحدة، وتحليل للاتجاهات التاريخية لتخطيط الطاقة الاستيعابية، وتقارير تُستخرج من مجموعة بيانات واحدة محكومة بدل جداول بيانات تُعدّ يدويًا، وتكامل مع أنظمة ERP والصيانة تتحول معه تنبيهات الحالة إلى أوامر عمل. والأساس نفسه من البيانات يغذّي كذلك الصيانة التنبؤية.
خارطة طريق عملية للتنفيذ
- 1.حصر الأصول وتدفقات البيانات. وثّق وحدات التحكم والخوادم والبروتوكولات وكل اتصال قائم، بما فيها الاتصالات غير الموثّقة.
- 2.تأكيد مستوى المنشأة لدى الهيئة مع فريق الأمن السيبراني، لأنه يحدد ضوابط OTCC المنطبقة.
- 3.تصميم المناطق والقنوات وDMZ. حدّد أين يكفي الجدار الناري وأين تبرّر المخاطر بوابة أحادية الاتجاه.
- 4.تجربة موقع واحد بوضع القراءة فقط. أثبت جودة البيانات وزمن الوصول والمراقبة الأمنية قبل إضافة مواقع أخرى.
- 5.التحصين والمراقبة، ثم التوسع موقعًا بعد موقع.
- 6.التشغيل بعقلية OT. ينبغي أن تتبع نوافذ التحديث وإدارة التغيير والاستجابة للحوادث إجراءات التقنيات التشغيلية، لا عادات تقنية المعلومات.
أخطاء شائعة
- الكتابة إلى أنظمة التحكم من جانب تقنية المعلومات. اجعل التكامل للقراءة فقط، فأي تغيير في نقاط الضبط مكانه إجراءات إدارة التغيير في OT.
- شبكات VPN دائمة للمورّدين تصل إلى المستوى 2. يجب أن يمر الوصول عن بُعد عبر وسيط، وأن يكون محدودًا بوقت ومسجَّلًا.
- الشبكات المسطّحة التي يتشارك فيها المؤرّخ وواجهة المشغّل وأجهزة المكاتب الجزء نفسه من الشبكة.
- إهمال جودة البيانات: أسماء الوسوم غير المتسقة والساعات غير المتزامنة والوحدات المفقودة تجعل التحليلات غير موثوقة.
- السحابة أولًا والتصنيف لاحقًا. حدّد أي البيانات يجوز أن تغادر المملكة، وخطط للمرونة الإقليمية — راجع دليلنا حول النشر السحابي متعدد المناطق.
كيف يمكن لمنطقي المساعدة
تصمّم منطقي تكامل OT مع IT لمشغّلي القطاع الصناعي في السعودية: البوابات، ومسارات البيانات عبر DMZ، والمنصات الزمنية، ولوحات المعلومات، مبنيةً حول ضوابط الهيئة الوطنية للأمن السيبراني وحول نظام SCADA القائم لديك. اطّلع على خدماتنا في البرمجيات الصناعية وتحليلات البيانات وDevOps، وعلى صفحة قطاع النفط والغاز، أو تواصل معنا لطلب تدقيق مجاني لتكامل OT مع IT.