تواجه مؤسسات مالية سعودية كثيرة السؤال نفسه عند بناء مركز العمليات الأمنية أو توسعته: هل يكون القرار توظيف محلل مركز عمليات أمنية في السعودية مقابل الاستعانة بمصادر خارجية؟ السؤال يزداد إلحاحًا لأن الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، وإطار الأمن السيبراني للقطاع المالي الصادر عن البنك المركزي السعودي (ساما)، ونظام حماية البيانات الشخصية، تفترض جميعها قدرة على الرصد والاستجابة المستمرة. وليس هناك جواب واحد يصلح للجميع، بل خمس نقاط قرار تُقرأ معًا.
متى يُطرح هذا القرار؟
من العلامات المعتادة: تنبيهات تتراكم دون فرز، أو اعتماد على موظف واحد في المناوبات، أو صعوبة في تغطية الليل وأيام الإجازات، أو ملاحظات من تدقيق داخلي أو خارجي على ضعف المراقبة. وتظهر العلامة نفسها عند التوسع في خدمات رقمية جديدة تزيد مصادر السجلات دون أن يزيد الفريق.
النقطة الأولى: حجم التنبيهات وتعقيدها
إذا كان حجم التنبيهات مستقرًا وبيئتك محدودة التنوع، فقد يكفي فريق داخلي صغير يعرف أنظمتك جيدًا. أما إذا كانت التنبيهات كثيرة ومتقلبة، أو كانت التغطية المطلوبة على مدار الساعة، فإن بناء ورديات كاملة داخليًا يتطلب عددًا من المحللين لا يبرره غالبًا حجم العمل.
- يناسب الفريق الداخلي: بيئة مفهومة، وحجم تنبيهات متوقع، وحاجة إلى معرفة عميقة بالسياق.
- يناسب المزود: تغطية متواصلة، وتقلب في الحجم، وحاجة إلى فرز أولي واسع.
النقطة الثانية: ملكية الإبلاغ التنظيمي
يمكن إسناد الرصد إلى طرف خارجي، لكن المسؤولية أمام الجهة التنظيمية تبقى على المؤسسة. لذلك حدّد مسبقًا من يقرر أن الحادثة جديرة بالإبلاغ، ومن يتواصل مع ساما أو الهيئة الوطنية للأمن السيبراني، ومن يقيّم أثر الحادثة على البيانات الشخصية وفق نظام حماية البيانات الشخصية. وفي الغالب يُبقي هذا القرار داخليًا حتى مع وجود مزود، ويقتصر دور المزود على تقديم الأدلة والجدول الزمني في الوقت المناسب.
النقطة الثالثة: تخصيص معلومات التهديدات
المحلل الداخلي يعرف أصولك وموردك ونمط عملك، فيفرّق بين النشاط المعتاد والمشبوه بسرعة. أما المزود فيقدّم رؤية أوسع، لكن قد تكون معلوماته أعم من سياقك. اسأل: هل تحتاج مؤسستي إلى تهديدات تخص قطاعها وقنواتها، أم يكفيها مستوى عام من التغطية؟ وكلما ارتفع الاعتماد على سياق خاص، مال الميزان نحو الكفاءات الداخلية.
النقطة الرابعة: قابلية التنبؤ بالتكلفة
الخدمات المُدارة تتيح عادة بندًا تعاقديًا واضحًا، لكنه قد يتغير بتغير النطاق أو مصادر السجلات. والتوظيف الدائم يعني رواتب وتدريبًا وإحلالًا عند المغادرة، وهي تكلفة ثابتة نسبيًا لكنها تحمل مخاطر الشغور والاستقطاب. قارن التكلفة الكلية على مدى سنوات، لا قيمة الشهر الأول فقط، وضع في الحساب الوقت اللازم لإيجاد مرشح مناسب.
النقطة الخامسة: الاحتفاظ بالمعرفة
عندما تتراكم معرفة البيئة لدى مزود خارجي، تصبح مرهونة بعقده وبفريقه المتغير. وعندما تتركز في موظف واحد، تضيع برحيله. والحل في الحالتين هو التوثيق: أدلة تشغيل، وسجل قرارات، وقواعد كشف مكتوبة تملكها المؤسسة، مهما كان النموذج المختار.
النموذج المختلط
كثير من المؤسسات تجد أن الجمع أنسب: مزود يغطي الرصد المتواصل، وفريق داخلي صغير يملك السياق والقرار والإبلاغ. وهناك صيغة ثالثة لمن يحتاج إلى مختصين داخل الفريق دون عبء التعيين المباشر، وهي أن يعمل المختصون ضمن فريقك وهم على كفالة شريك التوظيف. وفي خدمتنا يعمل هؤلاء المختصون ضمن فريقكم وهم على كفالتنا. وبهذه الصيغة يتولى الشريك الرواتب وكفالة التأشيرات ومخاطر الاستبدال، فتبقى إدارة العمل اليومي في يد المؤسسة.
كيف يبدو القرار الجيد؟
- أدوار موزعة بوضوح بين الداخل والخارج، ومنها صاحب قرار الإبلاغ.
- تغطية تلبي ما تتوقعه الجهات التنظيمية من رصد مستمر.
- تكلفة مفهومة على مدى سنوات، لا على سنة واحدة.
- معرفة موثقة تبقى في المؤسسة عند تغيّر الأشخاص.
وقد يكون القرار الأنسب في المراحل الأولى مرتبطًا بقيادة أمنية تحدد النموذج المطلوب، وفي هذه الحالة تبرز قيمة قيادة استراتيجية للأمن السيبراني عند الطلب دون توظيف بدوام كامل.
الخطوة التالية
إذا كنت تفاضل بين التوظيف الدائم والتعاقد الخارجي، فابدأ بتقييم النقاط الخمس على واقع مؤسستك. وفي كفاءات الأمن السيبراني — التوظيف والإسناد، نبحث عن كفاءات الأمن السيبراني ونقيّمها ونعيّنها لكم، توظيفًا دائمًا أو مختصين على كفالتنا يعملون ضمن فريقكم. تواصلوا معنا لمناقشة النموذج الأنسب لمركز عملياتكم.
