أوقفت وكالة الأمن السيبراني وأمن البنية التحتية الأميركية (CISA) ستة برامج تقييم مجانية كانت تقدم لمشغلي البنى التحتية الحيوية، ما أثار مخاوف الخبراء من تزايد المخاطر على المرافق والمستشفيات والبلديات الصغيرة في ظل تصاعد الهجمات السيبرانية المدعومة حكومياً.
وأكدت الوكالة في بيانها الصادر في الأول من سبتمبر 2026 أن موظفيها الميدانيين سيتوقفون عن إجراء تقييمات المرونة السيبرانية، واستطلاعات أساسيات المرونة، وتقييمات الجاهزية لمواجهة برامج الفدية، ومراجعات إدارة الحوادث، وإدارة التبعيات الخارجية، واستطلاعات البنية التحتية السيبرانية. واعتمدت هذه الخدمات مسبقاً على أداة التقييم الأمني السيبراني (CSET) لتوليد تقارير وتوصيات مخصصة لكل مشغل من خلال الزيارات الميدانية.
دوافع القرار وتداعيات الميزانية
بررت الوكالة خطوتها بالرغبة في تقليص الازدواجية في الخدمات المقدمة. وأوضح كريس بوتيرا، المدير التنفيذي المساعد بالإنابة لقسم الأمن السيبراني، أن الوكالة تراجع أدواتها دورياً وتستغني عن استبيانات التقييم القديمة لصالح توجيه المشغلين نحو أهداف الأداء السيبراني عبر القطاعات (CPGs)، وهي إطار يعتمد على التقييم الذاتي لجمع بيانات وطنية قابلة للمقارنة.
وفي المقابل، ربطت مصادر مطلعة هذا التوقف بضغوط الميزانية ونقص الكوادر. ووفقاً لتقرير نشرته صحيفة The Wall Street Journal، تقلص عدد موظفي الوكالة من 3,400 إلى 2,500 موظف منذ بداية الإدارة الثانية للرئيس دونالد ترامب، وتراجعت ميزانيتها لعام 2026 بمقدار 300 مليون دولار لتستقر عند 2.6 مليار دولار. وقد أُبلغ موظفو قسم العمليات المتكاملة بقرار الوقف خلال اجتماع عقده المدير المساعد بالإنابة جيمس هاريل في 25 أغسطس 2026.
البدائل المطروحة ومخاوف القطاعات الحيوية
شكك خبراء الأمن السيبراني في كفاءة الانتقال إلى التقييم الذاتي؛ وأشار جيف غرين، الرئيس السابق لقسم الأمن السيبراني في الوكالة، إلى أن التقييمات القديمة تقيس الوضع الحالي بدقة، بينما تحدد الأهداف الجديدة مجالات التركيز، ما يجعلهما أداتين متكاملتين.
وأكد دينيس كالديروني من شركة Suzu Labs أن البديل الذاتي يفتقر لفاعلية البرامج الأصلية التي كانت تخدم الجهات ذات الميزانيات المحدودة. وتأتي هذه التخفيضات بالتزامن مع تحذيرات الوكالة ذاتها في يوليو 2026 من هجمات تستهدف أنظمة التكنولوجيا التشغيلية (OT) ووحدات التحكم المنطقية القابلة للبرمجة (PLCs). يذكر أن مجموعة CyberAv3ngers الإيرانية استهدفت مرافق مياه في 12 ولاية خلال صيف 2026، واستمرت مجموعتا Volt Typhoon وSalt Typhoon المرتبطتان بالصين في تهديد قطاعات الاتصالات والطاقة. وانتقد جون ستراند، مالك شركة Black Hills Information Security، خفض برامج الحماية في وقت تتعرض فيه البنية التحتية لهجمات غير مسبوقة.
تتحمل المؤسسات الصغيرة العبء الأكبر لهذا القرار، حيث يوجد نحو 50 ألف مرفق مياه صغير و1,800 مستشفى ريفي وآلاف التعاونيات البلدية التي تعجز عن تحمل تكاليف التقييمات التجارية التي تتراوح بين 5 آلاف و50 ألف دولار للتقييمات الشاملة. ورغم بقاء أداة CSET متاحة كمصدر مفتوح على GitHub، يغيب دور المستشارين الميدانيين في تفسير النتائج وتحويلها إلى توصيات عملية.
وقد اعتبر مايكل دانيال، منسق الأمن السيبراني السابق في البيت الأبيض، أن القرار يعكس توجهاً لتقليص الدور الفيدرالي وسيؤدي لرفع المخاطر الوطنية.
لسد هذه الفجوة، أطلقت بعض الولايات مبادرات محلية مثل برنامج Project Watershed 250 في تكساس لتقديم اختبارات اختراق مجانية لمرافق المياه مع خطط للتوسع الوطني. ويتزامن إيقاف التقييمات مع استعداد الوكالة لتطبيق لائحة CIRCIA التي تفرض الإبلاغ عن الحوادث خلال 72 ساعة ومدفوعات الفدية خلال 24 ساعة، ما يضاعف حاجة المشغلين لأدوات التقييم الفعالة.
