يتزايد اهتمام المديرين الماليين ومديري المخاطر في البنوك وشركات التأمين السعودية بسؤال عملي قبل كل تجديد للتأمين السيبراني: كيف نعرض مخاطرنا على المكتتب بلغة يقتنع بها؟ والتجربة المهنية تشير إلى أن تحديد المخاطر السيبرانية كمياً بطريقة تدعم تخفيض قسط التأمين يبدأ من اختيار المقياس نفسه. فالمكتتب والمجلس كلاهما يتعامل مع نتائج مالية، لا مع عدد ساعات توقف مجرد.
لماذا يضعف مقياس «ساعات التوقف» العرض
حين يُقدَّم سيناريو برمجيات الفدية على أنه «توقف ثلاثة أيام»، يبقى الرقم تقنيًا. لا يعرف المجلس ما الذي يعنيه للإيرادات، ولا يعرف المكتتب كيف يسعّر الأثر. أما حين يُترجم السيناريو نفسه إلى نسبة انخفاض في الحسابات النشطة وأثر على هامش الفائدة الصافي خلال اثني عشر شهرًا، فإنه يصبح مرتبطًا بمؤشرات يتابعها المجلس أصلًا في تقارير الأداء وبيانات الشهية للمخاطر.
كيف يُبنى السيناريو المرتبط بالملحق أ 5.30
يتناول الملحق أ 5.30 من ISO 27001 جاهزية تقنية المعلومات لاستمرارية الأعمال. وقيمته في هذا السياق أنه يربط إخفاق الضوابط بنتيجة قابلة للقياس. وتسير الصياغة السليمة عادةً على النحو الآتي:
- تحديد حدث واضح، مثل انقطاع الخدمة المصرفية الأساسية لمدة ثلاثة أيام بسبب برمجيات فدية.
- تحديد الضابط الذي يحكم قدرة المؤسسة على الاستعادة: أهداف زمن الاستعادة، واختبارات التعافي، وجاهزية البنية البديلة.
- تقدير أثر الانقطاع على العملاء: نسبة الحسابات التي تتحول إلى غير نشطة، ومدة عودتها.
- ترجمة ذلك إلى أثر على هامش الفائدة الصافي على مدى اثني عشر شهرًا.
- إرفاق أدلة إدارة استمرارية الأعمال القائمة، من خطط واختبارات وسجلات تمارين.
والغرض من الربط أن يرى المكتتب علاقة مباشرة بين قوة الضابط وحجم الخسارة المتوقعة، فيُبنى التسعير والاحتفاظ على أساس يمكن مناقشته، لا على انطباع عام.
علامات الحاجة إلى هذا العمل
قد يكون الوقت مناسبًا لتقدير كمي للسيناريوهات إذا ظهرت عليكم هذه العلامات:
- اقتراب موعد تجديد الوثيقة دون أرقام تدعم الحد ومبلغ التحمل المطلوبين.
- تقديرات للأثر الإداري تُعرض بالساعات أو بالتكاليف الفنية للتعافي فقط.
- صعوبة في شرح سبب اختيار حد معين أمام لجنة المخاطر أو المجلس.
- بيانات شهية مخاطر سيبرانية لا ترتبط بمؤشرات مالية يعتمدها المجلس.
- استبيانات اكتتاب تُجاب عنها من أكثر من جهة دون اتساق أو أدلة مرفقة.
ما الذي يبدو عليه الناتج الجيد
الناتج الجيد ليس رقمًا واحدًا بل صورة متماسكة، تتضمن:
- سيناريوهات تعكس أعمال المؤسسة فعلًا، لا قوائم عامة.
- تقديرًا للخسائر مفصّلًا بحسب فئة التكلفة، يشمل ما يخص توقف الأعمال والمسؤولية والغرامات.
- افتراضات معلنة بوضوح، يستطيع المكتتب والمجلس مناقشتها وتحدّيها.
- خيارات حدود ومبالغ تحمل مقارنة بعضها ببعض، لا حدًا واحدًا مفروضًا.
- توافقًا مع ضوابط الأمن السيبراني الصادرة عن البنك المركزي السعودي (ساما) ومع ISO 27001.
كيف نعمل
نقدّر الأثر المالي لأرجح سيناريوهاتكم السيبرانية وأشدها، لتستند الحدود ومبالغ التحمل والميزانيات إلى أرقام يثق بها مجلس الإدارة. ويمتد المشروع من ٤–٦ أسابيع، ويسير في أربع مراحل:
- الاختيار: السيناريوهات المهمة لأعمالكم.
- التقدير: التكاليف وتوقف الأعمال والمسؤولية والغرامات.
- المقارنة: خيارات الحدود ومبالغ التحمل.
- العرض: التوصية وملخص مجلس الإدارة.
نختار السيناريوهات مع ملاك الأعمال، ونقدّر الخسائر حسب فئة التكلفة، ونقارن خيارات الحدود ومبالغ التحمل، ونعدّ ملخصًا جاهزًا لمجلس الإدارة. أما المخرجات فهي نموذج خسائر السيناريوهات، وتوصية الحد ومبلغ التحمل، وعرض لمجلس الإدارة.
أسئلة شائعة
ما المنهجية المستخدمة؟ منهجية قائمة على السيناريوهات ومتوافقة مع أساليب التقدير الكمي المعروفة، ومكيّفة مع البيانات المتاحة لديكم.
هل نحتاج إلى بيانات كثيرة؟ لا، نبدأ بما لديكم ونوضح الافتراضات صراحة.
الخطوة التالية
إذا كان تجديد التأمين السيبراني أو إعداد بيانات الشهية للمخاطر أمام المجلس يقترب، فإن بدء التقدير الكمي قبل ذلك بأسابيع يمنح فريقكم رقمًا يمكن الدفاع عنه. ويمكن أن يقترن هذا العمل بدعم استبيانات شركات التأمين والاكتتاب، لتكون الإجابات دقيقة ومدعومة بالأدلة. تواصلوا معنا لمناقشة نطاق التقدير الكمي للمخاطر السيبرانية لأغراض التأمين المناسب لمؤسستكم.
