الملفات اتشفرت: أول ثماني وأربعين ساعة بالترتيب

الساعة التاسعة صباحا. موظف يفتح ملفا فلا يفتح. اسمه انتهى بامتداد غريب. يجرب ملفا ثانيا، ثم ثالثا. وفي مجلد المشاركة ملف نصي لم يكن موجودا أمس.

ما يحدث في الساعة التالية يحدد الكثير مما سيحدث في الشهر التالي. هذا ترتيب الخطوات، بما فيها الخطوات التي يفرضها القانون المصري ولها مهلة محددة بالساعات.

أول خمس دقائق: افصل، ولا تطفئ

افصل الشبكة. انزع كابل الشبكة من الأجهزة المصابة، واقطع الواي فاي عنها. ان كان الانتشار واسعا، افصل السويتش الأساسي أو أطفئ منافذه. هدفك الوحيد في هذه الدقائق أن تمنع الوصول الى ما لم يصب بعد.

ولا تطفئ الجهاز. هذه تخالف الحدس، وهي مهمة. ذاكرة الجهاز العامل قد تحمل مفاتيح تشفير وأثرا للعملية نفسها، وكله يضيع بالاطفاء. ان لم تجد وسيلة لفصل الجهاز عن الشبكة اطلاقا، فعندها فقط أطفئه.

افصل النسخ الاحتياطي قبل أي شيء آخر. ان كان قرصا خارجيا فانزعه. وان كانت مشاركة شبكية فاقطعها. برامج الفدية الحديثة تبحث عن النسخ الاحتياطي أولا، وفقدان النسخة يحول الحادث من يوم صعب الى كارثة.

ثلاثة أخطاء تكلف البيانات نفسها

اعادة التشغيل مرة بعد مرة. بعض العائلات تكمل التشفير عند كل اقلاع. كل اعادة تشغيل قد تعني ملفات أكثر.

تنزيل أداة فك تشفير من نتيجة بحث. صفحات كثيرة تعد بفك التشفير وتسلم برنامجا ثانيا. ان بحثت عن أداة فابحث في مشروع No More Ransom، وهو مبادرة مشتركة بين جهات انفاذ القانون الأوروبية وشركات أمن. وفيه أداة Crypto Sheriff ترفع لها ملفا مشفرا ونسخة من رسالة الفدية فتحاول هي التعرف على العائلة، فلست مضطرا أن تعرفها قبل أن تبدأ.

الكتابة فوق الأدلة. لا تعد تثبيت النظام على الجهاز المصاب في اليوم الأول. ان احتجت تشغيل عمل بسرعة فاعمل على جهاز آخر واترك المصاب كما هو.

ساعة تبدأ لحظة ما تعرف: اثنتان وسبعون ساعة

هذه هي النقطة التي تفاجئ أغلب الشركات المصرية. اذا كان المشفر يحوي بيانات شخصية — بيانات موظفين أو عملاء أو مرضى أو طلاب — فأنت أمام واقعة لها التزام قانوني بمهلة.

قانون حماية البيانات الشخصية رقم 151 لسنة 2020 يلزم المتحكم والمعالج باخطار المركز خلال اثنتين وسبعين ساعة من وقت العلم بالمخالفة لا من وقت وقوعها، ثم باخطار صاحب البيانات خلال ثلاثة أيام عمل من تاريخ اخطار المركز. واللائحة تحدد الطريق: البوابة الالكترونية للمركز أو الخط الساخن التابع له.

والجديد الذي يجهله كثيرون: اللائحة التنفيذية للقانون صدرت بقرار وزير الاتصالات وتكنولوجيا المعلومات رقم 816 لسنة 2025 في الأول من نوفمبر 2025، ومعها مهلة لتوفيق الأوضاع مدتها سنة من تاريخ صدورها، أي حتى 31 أكتوبر 2026.

ولا تفهم المهلة خطأ: القانون نافذ منذ 2020 وعقوباته قائمة منذ حينها، والسنة ممنوحة لتوفيق الأوضاع لا لتأجيل العقاب. والاخلال بواجب الاخطار في المادة 7 تحديدا عقوبته غرامة من ثلاثمئة ألف الى ثلاثة ملايين جنيه، وتصل الغرامة في مخالفات أخرى الى خمسة ملايين، ولعدم تعيين مسؤول حماية بيانات مسجل غرامة تبدأ من مئتي ألف.

فابدأ عداد الساعات من لحظة اكتشافك — وهي فعلا اللحظة التي يحسب منها القانون — واكتب وقت الاكتشاف في ورقة. ستحتاجه، لأن الاخطار نفسه يطلب منك أن تذكر وقت العلم ووقت الابلاغ.

ما في هذا القسم شرح لمواعيد منشورة، وليس استشارة قانونية. للتكييف القانوني لحالتك ولصياغة الاخطار نفسه ارجع الى مستشار قانوني متخصص.

من تبلغ في مصر

• مركز حماية البيانات الشخصية — ان كان المشفر يحوي بيانات شخصية، وفي المهلة المذكورة أعلاه.
• المركز المصري للجاهزية لطوارئ الحاسبات EG-CERT — الجهة الوطنية التابعة للجهاز القومي لتنظيم الاتصالات، ولها بوابة للابلاغ عن الحوادث. الابلاغ هنا يفيدك عمليا لا شكليا: قد يعرفون العائلة ومسار دخولها.
• النيابة العامة أو مباحث الانترنت — الواقعة جريمة تحت قانون مكافحة جرائم تقنية المعلومات رقم 175 لسنة 2018. والمحضر لازم لشركة التأمين ان كانت لديك وثيقة، ولازم ان طلب عميل أو مورد اثباتا بما حدث.
• عملاؤك وموردوك — ان كانت بياناتهم في النطاق، أو ان كان من الوارد أن يصلهم بريد من حساباتك.

هل تدفع؟

الاجابة المهنية هي لا، وهذه أسبابها بلا وعظ. الدفع لا يضمن مفتاحا يعمل، ولا يضمن أن تعود كل الملفات، ولا يمنع نسخة من بياناتك أن تنشر بعدها. وشركة دفعت مرة تصير هدفا معروفا بأنه يدفع.

وتبقى حالة واحدة يطرح فيها السؤال بجدية: شركة بلا نسخة احتياطية صالحة وبيانات بلا بديل. وهنا لا يتخذ القرار في اجتماع متوتر بعد ساعة من الاكتشاف، بل بعد استشارة قانونية وبعد التأكد أن الاسترجاع مستحيل فعلا لا صعب فقط.

الاسترجاع: الترتيب الذي يمنع العدوى الثانية

أكثر ما يحبط الشركات أن تسترجع كل شيء ثم تتشفر مرة ثانية بعد يومين. الترتيب هو ما يمنع ذلك:

1. اعرف كيف دخلوا. منفذ سطح مكتب بعيد مفتوح؟ ثغرة في جهاز على الحافة؟ مرفق بريد؟ الاسترجاع قبل معرفة الباب يعني استرجاعا الى شبكة بابها ما زال مفتوحا.
2. اغلق الباب. رقع الثغرة، أغلق المنفذ، فعل التحقق بخطوتين.
3. غير كل كلمات المرور، خاصة حسابات المدير وحسابات الخدمات. افترض أنها كلها مسربة.
4. ابن الأجهزة من جديد، لا تنظفها. السيرفر المصاب يمسح ويعاد بناؤه.
5. افحص النسخة الاحتياطية قبل الاسترجاع منها، فقد تكون حاملة.
6. استرجع البيانات الى بيئة نظيفة، وراقب أسبوعا.

وأي خطوة من هذه ليست عندك جاهزة اليوم هي بند في خطة الأسبوع القادم، لا في خطة ما بعد الحادث.

بعد ما ينتهي: صفحتان تكتبان مرة

اكتب ما حدث بالتواريخ والساعات: متى اكتشف، ومن أبلغ، وماذا فعل، ومتى عاد كل نظام. صفحتان وقت الحادث تغنيان عن شهر من الجدل بعده، وتلزمك ان سأل جهة رقابية أو عميل.

ثم اسأل سؤالا واحدا: لو تكرر غدا، أي خطوة كانت ستختلف؟ الاجابة عادة ثلاث: نسخة احتياطية معزولة عن الشبكة، وذاكرة للسجلات تخبرك بما حدث، وقائمة أرقام يتصل بها من يكتشف.

الأولى شرحها دليل النسخ الاحتياطي، والثانية هي ما يفعله نظام مراقبة السجلات، والثالثة تكتب اليوم في عشر دقائق. ومن ناحية الالتزام بالقانون 151 قبل نوفمبر، راجع ما يعنيه على بنيتك التحتية.

نحن في زيمافو تكنولوجي نعمل على الاستجابة والاسترجاع والاغلاق بعد الحادث، وعلى ما يمنعه قبله. ان كنت في هذه الساعة الآن، تواصل معنا.