إنه الفرق بين تعافٍ محتوى وموثق جيدًا، وبين أسابيع من الطوارئ مع محامٍ في كل مكالمة. إليك كيف تسير تلك الساعة الأولى تقريبًا في مشاريعنا ضمن عقود الاستجابة.
الدقيقة 0–10: التأكيد والاحتواء
المهمة الأولى ليست التحقيق بل الاحتواء. نعزل الأجهزة المصابة عن الشبكة، ونعطّل الحسابات أو مسارات الوصول المستخدمة فعليًا، ونتأكد — بسرعة — مما إذا كان الانتشار مستمرًا أم انتهى. كل دقيقة تُقضى في النقاش بدلًا من العزل هي دقيقة يستمر فيها التشفير.
الدقيقة 10–30: التواصل مع أصحاب المصلحة
بالتوازي، يجب أن يتحدث أحدهم مع القيادة. ليس بصورة كاملة — فهي غير متوفرة بعد — بل بما هو معروف، وما يجري فعله، والقرارات المطلوبة خلال الساعة القادمة، مثل فصل أنظمة محددة بالكامل. الصمت في هذه المرحلة هو ما يسبب الذعر؛ وتحديث قصير وصادق كل 20–30 دقيقة هو ما يمنعه.
الدقيقة 30–60: حفظ الأدلة والخطوات التالية
بعد احتواء الانتشار الفوري، تتحول الأولوية إلى حفظ الأدلة قبل إعادة بناء أي شيء أو مسحه — لقطات الذاكرة، والسجلات ذات الصلة، ومسار الوصول الأولي إن أمكن تحديده. وفي هذه المرحلة أيضًا نبدأ بتحديد شكل التعافي الآمن فعليًا، بدلًا من الاستعادة من النسخ الاحتياطية مباشرة إلى نقطة الدخول نفسها غير المرقّعة.
المؤسسات التي تتعافى أسرع ليست تلك التي لا تتعرض لحوادث، بل تلك التي تدربت مسبقًا على شكل الساعة الأولى.
لا ينجح أي من ذلك دون خطة موضوعة قبل بدء الحادثة. معرفة من يملك صلاحية عزل نظام إنتاج في الثانية فجرًا، والاتفاق على ذلك مسبقًا، هو ما يحوّل ساعة أولى فوضوية إلى ساعة تحت السيطرة.