في كثير من المؤسسات السعودية يُحسم حد التأمين السيبراني في اجتماع قصير: مقارنة بما يشتريه الأقران، أو قبول ما يقترحه الوسيط. أما المكتتب فيسعّر تغطية برامج الفدية بنماذج خسائر احتمالية، ولا تذكر خطة الاستجابة للحوادث هذه النماذج عادةً. تشرح هذه المقالة كيف يسهم تحديد المخاطر السيبرانية كمياً في قرارات تأمين الفدية، وكيف تستند إلى خطة الحوادث المبنية وفق أيزو 27001 لتبرير الحد ومبلغ التحمّل.
لماذا تعجز خطة الاستجابة وحدها
يتناول الضابط 5.24 في الملحق أ من أيزو 27001:2022 تخطيط إدارة حوادث أمن المعلومات وتهيئتها: الأدوار والمسؤوليات والإجراءات وقنوات الإبلاغ. وهذه الخطة تجيب عن سؤال: ماذا نفعل حين يقع الحادث؟ أما المجلس فيحتاج إلى سؤال آخر: كم قد يكلّفنا، وما الجزء الذي نتحمله بأنفسنا، وما الجزء الذي ننقله إلى شركة التأمين؟
الخطة تصف الإجراء ولا تقدّر الأثر المالي. لذلك يلزم جسر بين الاثنين، وهو منحنى تجاوز الخسائر.
ما منحنى تجاوز الخسائر
هو رسم يبيّن لكل مبلغ خسارة احتمال أن تتجاوزه الخسائر السنوية. يقرأ المجلس منه بوضوح كم نحتمل أن نخسر في الحالة المعتادة، وكم في الحالة الشديدة، وأين تبدأ الخسائر التي لا تغطيها الوثيقة. ويفيد في ثلاثة قرارات:
- مبلغ التحمّل الذي تقبله المؤسسة من ميزانيتها.
- الحد الذي يغطي السيناريو الشديد المعقول.
- الاحتمال المتبقي فوق الحد، وهو ما يُسجَّل بوصفه مخاطر مقبولة بقرار مدوّن.
الخطوات العملية لبنائه
1. اختيار ثلاثة نطاقات خطورة
اختر سيناريوهات فدية تمثل نطاقًا محدودًا ونطاقًا متوسطًا ونطاقًا شديدًا. وحدّد كل نطاق بالأنظمة المتأثرة ومدة التوقف ونوع البيانات المعنية. الأفضل أن يشارك ملاك الأعمال في الاختيار، فهم أعلم بالعمليات التي يعطّلها التوقف فعلًا. ويمكن لخطة الاستجابة والتقييمات القائمة أن تكون نقطة الانطلاق.
2. تقدير الخسائر حسب فئة التكلفة
قدّر كل نطاق في أربع فئات:
- تكلفة التوقف: الإيرادات المؤجلة أو الضائعة، والتكاليف الثابتة المستمرة، والحلول اليدوية المؤقتة.
- نفقات الاستعادة: التحقيق الجنائي الرقمي، وإعادة بناء الأنظمة واستعادة البيانات، والدعم الخارجي، وساعات الفرق الداخلية.
- العقوبات والالتزامات التنظيمية: الإبلاغ للجهات المختصة، والمسؤولية تجاه العملاء، وما قد يترتب بموجب نظام حماية البيانات الشخصية الذي تشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي، وبحسب القطاع متطلبات البنك المركزي السعودي في إطار الأمن السيبراني.
- الأثر السمعي: فقدان العملاء، وتكلفة التواصل واستعادة الثقة، وارتفاع كلفة الحصول على أعمال جديدة.
لا يشترط أن تكون البيانات وفيرة. ابدأ بما لديك من سجلات حوادث وبيانات مالية وتقديرات الإدارات، وسجّل كل افتراض صراحة ليُراجع لاحقًا.
3. إسناد احتمال لكل نطاق
يُقدَّر احتمال سنوي لكل نطاق من خلال بيانات الحوادث الداخلية، وتقييم الضوابط القائمة، والمعلومات المتاحة عن التهديدات في القطاع. المهم أن يكون التقدير نطاقًا لا رقمًا واحدًا، وأن تُوثَّق أسبابه.
4. رسم المنحنى
اجمع النطاقات الثلاثة في توزيع للخسائر السنوية. ثم ارسم احتمال التجاوز على المحور الرأسي ومبلغ الخسارة على الأفقي. المنحنى المبني على ثلاث نقاط معلنة الافتراضات أنفع للمجلس من نموذج معقد لا يستطيع أحد مساءلته.
5. مقارنة الحدود ومبالغ التحمّل
ضع على المنحنى خيارات متعددة: حد منخفض بتحمّل صغير، وحد أعلى بتحمّل أكبر، وهكذا. قارن بين الخسارة المتبقية على المؤسسة في كل خيار وبين القسط المعروض. وقد يظهر أن زيادة الحد تفيد أقل من خفض مبلغ التحمّل، أو العكس.
كيف تدافع عنه لجنة التدقيق
القرار الذي تستطيع اللجنة الدفاع عنه هو القرار الذي يُعرَف أساسه. ولذلك:
- دوّن السيناريوهات والافتراضات ومصادر الأرقام.
- اربط كل سيناريو بالضوابط والخطة المعتمدة في إدارة الحوادث.
- سجّل الخسارة المتبقية فوق الحد بوصفها مخاطر مقبولة بقرار من المجلس.
- أعد النظر في المنحنى عند تغير الأعمال أو الضوابط أو شروط الوثيقة.
وحين يطلب المكتتب استبيانات تكميلية، تكون الإجابات المتسقة مع هذا التحليل أقوى من إجابات مرتجلة. وعند وقوع الحادث تلزم سجلات التكاليف المصنفة وفق الفئات نفسها لتسهيل المطالبة.
من الإطار إلى القرار
تصف أيزو 27001 كيف تُدار الحوادث، ويصف المنحنى كم قد تكلّف. وإذا جُمع الأمران حصل المجلس على قرار مالي متسق مع قدرة المؤسسة على الاستجابة.
كيف نساعدكم
نقدّم خدمة التقدير الكمي للمخاطر السيبرانية لأغراض التأمين. نقدّر الأثر المالي لأرجح سيناريوهاتكم السيبرانية وأشدها، لتستند الحدود ومبالغ التحمل والميزانيات إلى أرقام يثق بها مجلس الإدارة. ونمضي في أربع مراحل: الاختيار، والتقدير، والمقارنة، والعرض. نختار السيناريوهات مع ملاك الأعمال، ونقدّر الخسائر حسب فئة التكلفة، ونقارن خيارات الحدود ومبالغ التحمل. وتشمل المخرجات نموذج خسائر السيناريوهات، وتوصية الحد ومبلغ التحمل، وعرضًا لمجلس الإدارة. وتستغرق الخدمة ٤–٦ أسابيع. وتعتمد منهجيتنا على السيناريوهات وتتوافق مع أساليب التقدير الكمي المعروفة، ومكيّفة مع البيانات المتاحة لديكم.
إن كان مجلسكم مقبلًا على تجديد وثيقة التأمين السيبراني، فاطلبوا مناقشة أولية لنطاق العمل.
