ربط الإشارات الإلكترونية بمخاطر الأحداث المادية

إليك سيناريو يتكرر أكثر مما تود معظم فرق الأمن الاعتراف به. محلل يرصد منشورًا عدائيًا يستهدف مديرًا تنفيذيًا بالاسم. يُسجَّل المنشور، وتُفتح تذكرة، ويبقى في طابور المراجعة. في هذه الأثناء، يتتبّع مركز العمليات الأمنية العالمي (GSOC) احتجاجًا يتشكّل على بُعد شارعين من فندق المدير التنفيذي ذلك المساء. لا أحد يربط بين الأمرين. فيمشي المدير التنفيذي وسط حشد أعلن شخص غاضب واحد على الأقل على الإنترنت أنه سيكون فيه.

هذا ليس فشلًا تقنيًا، بل فشل في سير العمل. وهو يحدث باستمرار عندما تعيش المراقبة الرقمية وتتبّع الأحداث المادية في نظامين منفصلين مع فريقين منفصلين بالكاد يتحدثان إلى بعضهما.

مشكلة المراقبة المعزولة

يرى المحللون الرقميون النية. يرون ما يقوله شخص ما، ومدى غضبه، وما إذا كانت لغته تتصاعد. لكن ما لا يرونه عادةً هو أين يوجد ذلك الشخص، وما الذي يحدث ماديًا بالقرب من الشخصية المحمية، وما إذا كان التوقيت يتزامن مع شيء في الجدول.

وتواجه فرق GSOC المشكلة المعاكسة. فهي ترى ما يحدث على الأرض: مسارات الاحتجاجات، وحوادث الجريمة، وتأثيرات الطقس على السفر، وأحداث التحكم في الدخول. لكن ما لا تملكه غالبًا هو أي سياق حول مَن يطلق التهديدات على الإنترنت، أو ما إذا كان حساب محدد يظهر هوسًا بالمدير التنفيذي منذ أشهر، أو ما إذا كان الحشد المتشكّل قرب المكان يضم شخصًا جاهر برغبته في إلحاق الأذى.

لا تكفي أي من الرؤيتين وحدها لاتخاذ قرار واثق. فالمحلل الذي يرى المنشور لا يعرف أنه يحدث في لحظة حرجة. ومشغّل GSOC الذي يرى الحشد لا يعرف أن شخصًا فيه ظل يتصاعد سلوكه على الإنترنت لأسابيع. والفجوة بين هاتين الصورتين هي حيث تقع الحوادث.

وقد أظهرت أبحاث القطاع باستمرار أن جهات التهديد نادرًا ما تحصر نفسها في مجال واحد. فمن يشيرون إلى نواياهم على الإنترنت يظهرون بانتظام في البيئات المادية. ومن يسلكون سلوكًا تهديديًا شخصيًا يتركون دائمًا تقريبًا أثرًا رقميًا. والتعامل مع هذين الأمرين كمشكلتين منفصلتين، تعالجهما فرق منفصلة ببيانات منفصلة، هو ما يجعل المؤسسات تنتهي إلى ردود فعل على أمور كان ينبغي أن تراها قادمة.

ما الذي تحتاج فعلًا إلى ربطه ببعضه

الغريزة عادةً هي رمي المزيد من البيانات على المشكلة. المزيد من الموجزات، والمزيد من التنبيهات، والمزيد من لوحات المعلومات. ليس هذا هو الحل. فالمزيد من البيانات الخام من دون هيكلة لا يفعل سوى تسريع إرهاق التنبيهات.

ما تحتاجه هو إطار لتقرير أي توليفات الإشارات مهمة، ومتى.

يجب أن تكون أربع طبقات من المعلومات في الرؤية نفسها في الوقت نفسه:

• نشاط الشخص المعني: ما الذي يُقال على الإنترنت، ومَن يقوله، وهل يتصاعد؟ ويشمل ذلك المنصات الاجتماعية، وتطبيقات المراسلة، ومصادر الويب المظلم، وأي حسابات سبق أن أظهرت هوسًا بالشخصية المحمية أو المؤسسة.
• سياق الأحداث المادية: ما الذي يحدث قرب موقع الشخصية المحمية الآن؟ احتجاجات، ومظاهرات، وحوادث جريمة، وطقس قاسٍ، واضطرابات في البنية التحتية، وتجمعات كبرى. أي من هذه يغيّر الصورة التشغيلية.
• سياق الشخصية المحمية: إلى أين تتجه الشخصية المحمية فعليًا؟ المسارات، والأماكن، والفنادق، ومواقع تناول الطعام، والظهورات العلنية، وتغييرات الجدول. هذه هي الطبقة التي تجعل كل شيء آخر ذا صلة أو غير ذي صلة.
• السلوك التاريخي: هل تصاعد سلوك هذا الشخص من قبل؟ هل سبقت ظروف مشابهة حوادثَ في الماضي؟ التعرف على الأنماط هنا بالغ الأهمية ويُتجاهَل باستمرار.

الهدف ليس دمج كل هذا تلقائيًا، بل منح المحللين تداخلًا كافيًا لطرح السؤال الصحيح: هل تصبح هذه الإشارة الإلكترونية أكثر إثارة للقلق في ضوء ما يحدث ماديًا في الجوار؟

التسييج الجغرافي يغيّر نسبة الإشارة إلى الضوضاء

من أكثر الأدوات العملية لربط المراقبة الرقمية بالمادية الاستخبارات المسيَّجة جغرافيًا: أي تحديد حدود جغرافية حول الأماكن والفنادق ومسارات التنقل والمواقع المعتادة للشخصية المحمية، ثم تصفية الإشارات الواردة بحسب ما إذا كانت تنشأ من تلك المناطق أو تشير إليها.

فموجز عام لمراقبة وسائل التواصل الاجتماعي في مدينة يسكنها مليون شخص يولّد حجمًا هائلًا من المحتوى، لا يكاد أي منه يكون ذا صلة تشغيلية بما يحدث الليلة. أما الموجز المسيَّج جغرافيًا حول الفندق ونطاق شارعين حول المكان فيولّد جزءًا صغيرًا من ذلك الحجم، ونسبة أعلى بكثير مما يظهر فيه تستحق القراءة فعلًا.

ويمكن أن تصل منشورات أشخاص موجودين فعليًا في موقع تجمّع احتجاجي قبل 15 إلى 30 دقيقة من وصول النشاط إلى قنوات الإبلاغ الرسمية. والمحتوى الموسوم بالموقع من شخص قريب من فندق الشخصية المحمية، وكان ينشر أيضًا محتوى عدائيًا على الإنترنت، هو نوع مختلف من الإشارات عمّا كانت ستكونه أي من نقطتي البيانات منفردة.

ولكي ينجح هذا، يجب أن يقع تصنيف الذكاء الاصطناعي بين الموجز الخام والمحلل. فمن دونه، يولّد حتى الموجز المسيَّج جغرافيًا في فعالية كبيرة حجمًا يفوق ما يستطيع البشر مراجعته بفائدة في الوقت الفعلي. والتصنيف الذي يفصل إشارات الأمن المادي عن ثرثرة الفعاليات العامة، وتحديثات الحشود، والمحتوى المحلي غير ذي الصلة، هو ما يجعل الموجز قابلًا للاستخدام فعلًا.

كيف تتعرف على التعبئة قبل أن تتحول إلى اقتراب مادي

تركّز معظم أطر تقييم التهديدات على ما يقوله الشخص. أما السؤال الأصعب والأهم فهو ما إذا كان يفعل شيئًا حيال ذلك.

مؤشرات التعبئة هي التحوّل الذي تراقبه. فالشخص الذي ينتقل من التعبير عن التذمّر إلى الإشارة إلى حدث محدد، أو تاريخ محدد، أو موقع محدد، قد تجاوز خطًا ذا مغزى. ومن يطرح أسئلة عن جدول الشخصية المحمية، أو يتفاعل مع إعلانات الظهور العلني، أو ينسّق مع حسابات أخرى حول تذمّر مشترك، يختلف عمّن يكتفي بالتنفيس عن غضبه بانتظام.

وإشارات السفر مهمة أيضًا. فالشخص المقيم في مدينة ما والذي ينشر فجأة عن وجوده في المنطقة الحضرية نفسها التي سيظهر فيها مدير تنفيذي قريبًا، من دون أي سبب واضح آخر لوجوده هناك، يستحق نظرة أدق. ويصح هذا خصوصًا عندما يتوافق التوقيت مع حدث مُعلن عنه علنًا.

الانتقال من النية إلى الاقتراب المادي هو حيث يصبح الاحتكاك في العالم الواقعي ممكنًا. ورصده يتطلب معرفة كل من النمط السلوكي على الإنترنت والسياق المادي لمكان وجود الشخصية المحمية. ولا يوصلك أي من الجزأين منفردًا إلى ذلك.

معضلة قرار التنقل

هنا يثبت التقارب قيمته فعليًا. فريق حماية على وشك نقل شخصية محمية عبر مدينة. لديهم مسار مخطط. رصد GSOC احتجاجًا في أحد الشوارع. ورصدت المراقبة الرقمية عداءً مرتفعًا من حسابات في تلك المنطقة عمومًا. الطقس صافٍ. ويبدو الاحتجاج سلميًا حتى الآن.

هل المسار آمن للمتابعة؟ هل المسار البديل أفضل؟ هل ينبغي تعديل التوقيت؟ هل تحتاج الشخصية المحمية إلى تغطية إضافية لهذا التنقل؟

لا يمكن الإجابة عن أي من تلك الأسئلة بثقة من تدفق بيانات واحد. فأنت بحاجة إلى موقع الاحتجاج وحجمه المقدَّر، ونبرة الثرثرة الإلكترونية ومسارها، وجدول الشخصية المحمية وما يمكن واقعيًا تعديله فيه، وإحساس ما بمدى شبه هذا الوضع بأوضاع سابقة تصاعدت أو لم تتصاعد.

الفرق التي تدير الاستخبارات الرقمية والمادية من أنظمة منفصلة تضطر إلى إعادة بناء السياق من الصفر في كل مرة تحتاج فيها إلى الإجابة عن ذلك السؤال. أحدهم يفتح أداة مراقبة وسائل التواصل، وآخر يفحص موجز الأحداث، وثالث يتصل بـ GSOC. وبحلول وقت اكتمال الصورة، تكون نافذة التوقيت قد أُغلقت غالبًا.

أما الفرق التي تدير الاثنين معًا في منصة موحّدة فتنتقل من «إشارة مثيرة للاهتمام» إلى «إليك ما تعنيه لخطة التنقل الليلة» من دون خطوة إعادة البناء تلك. وهذا ليس مكسبًا طفيفًا في الكفاءة. ففي السيناريوهات التي يهم فيها التوقيت، إنه الفارق بين الإجراء الحمائي والاستجابة التفاعلية.

بناء مؤشرات وإنذارات تعمل فعلًا

من الأمور التي لا تستثمر فيها مراكز GSOC بما يكفي باستمرار: بناء مجموعة محددة من المؤشرات والإنذارات الخاصة بملف الشخصية المحمية وبيئة عملها. فمعظم المؤسسات تكتفي بعتبات تنبيه عامة بدلًا من بناء متطلبات استخباراتية مصممة للتهديدات الفعلية التي تواجهها.

متطلبات الاستخبارات ذات الأولوية (PIRs) مفهوم عسكري ينتقل جيدًا إلى استخبارات الحماية المؤسسية. فمتطلب الاستخبارات ذو الأولوية يحدد ما تحتاج تحديدًا إلى معرفته لاتخاذ قرار، بدلًا من مجرد مراقبة كل شيء على نطاق واسع والأمل في أن يظهر شيء ذو صلة. وفي حماية الشخصيات التنفيذية، قد يحدد هذا المتطلب: ما السلوكيات الإلكترونية التي، مقترنة بأي مؤشرات مادية، تستوجب تغيير المسار؟ وما توليفة الإشارات التي تستدعي عنصر استطلاع إضافيًا؟ وما الذي يبرر تنبيه جهات إنفاذ القانون؟

عندما تُحدَّد تلك العتبات مسبقًا وتُطابَق مع موجزات بيانات قادرة فعلًا على إظهار الإشارات الصحيحة، تصبح عملية اتخاذ القرار تحت الضغط أسرع بشكل كبير. فالمحللون لا يرتجلونها في اللحظة، بل يطابقون ما يرونه مع إطار اتفقوا عليه سلفًا.

كيف يبدو التكامل العابر للمجالات فعليًا في الممارسة

عندما تتقارب الاستخبارات الرقمية والمادية حقًا، تصبح أمور قليلة ممكنة لم تكن ممكنة بغير ذلك.

يمكن إثراء ملفات جهات التهديد في الوقت الفعلي. فشخص إلكتروني ظل في طابور المراقبة ستة أشهر يصبح فجأة ذا صلة تشغيلية لحظة تداخل موقعه مع جدول الشخصية المحمية. ومن دون التكامل، يُبنى ذلك الربط بعد ساعات أو لا يُبنى إطلاقًا.

وتنخفض الإنذارات الكاذبة لأن السياق يصفّيها. فمنشور عدائي يبدو مقلقًا بمعزل عن غيره يبدو مختلفًا عندما تكون البيئة المادية حول الشخصية المحمية هادئة ولا يُظهر الشخص أي علامات على التعبئة. والسياق لا يصعّد الأمور دائمًا؛ بل يخفف تصعيدها أحيانًا، وهذا لا يقل قيمة لفريق يحاول تجنّب إزعاج غير ضروري لجدول الشخصية المحمية.

ويتحسّن التحليل اللاحق للحوادث. فعندما يكون كل شيء في نظام واحد، يمكنك النظر إلى الوراء لمعرفة الإشارات التي كانت موجودة قبل حادث ما وفهم شكل النمط. هكذا تضبط مؤشراتك وإنذاراتك عبر الزمن بدلًا من الاستمرار في المراقبة العامة نفسها إلى ما لا نهاية.

فجوة سير العمل هي المشكلة الفعلية

التقنية اللازمة للمراقبة الرقمية-المادية المتقاربة موجودة. فالمنصات التي تجمع الاستخبارات الاجتماعية، وموجزات الأحداث، والبيانات المسيَّجة جغرافيًا، وسياق الشخصية المحمية في رؤية موحّدة متاحة ومنشورة لدى المؤسسات التي تأخذ هذا الأمر على محمل الجد.

أما الأصعب إصلاحًا فهو فجوة سير العمل. فكثيرًا ما تتبع فرق الأمن الرقمي والمادي أجزاء مختلفة من المؤسسة، وتستخدم أدوات مختلفة، وتعمل بإيقاعات مختلفة. ولا يمتلك محللو الاستخبارات وعناصر الحماية دائمًا مفردات مشتركة لما يُعد تهديدًا ذا مصداقية. وعمليات التسليم بين الفرق أثناء موقف سريع التطور هي حيث يضيع السياق.

التقارب ليس مجرد قرار تقني، بل قرار تشغيلي. وهو يتطلب أن يُحدَّد مسبقًا أي فريق يملك التصعيد العابر للمجالات، وكيف يبدو مسار الإبلاغ عندما تمتد إشارة عبر المجالين الرقمي والمادي، وما الإجراءات التي يخوّلها كل مستوى من إطار الاستجابة.

اضبط سير العمل تصبح التقنية قوية جدًا. واترك سير العمل معطّلًا فلن تفعل حتى أفضل منصة سوى إظهار تنبيهات لا يتصرف حيالها أحد في الوقت المناسب.