يواجه كثير من مديري أمن المعلومات ومديري المخاطر في المؤسسات المالية السعودية تحدياً متكرراً: سجل مخاطر سيبرانية يبدو كاملاً على الورق، لكنه لا يعكس التهديدات الحقيقية التي تواجه المؤسسة، وخطط المعالجة فيه تبدو عامة ومنفصلة عن الواقع التشغيلي. عند التحضير لدورة شهادة آيزو 27001 الأولى أو الثانية، يصبح هذا الانفصال واضحاً: المدققون يطرحون أسئلة حول كيفية تحديد الضوابط في الملحق أ، والإدارة التنفيذية تتساءل لماذا تبدو قرارات الميزانية غير مبررة بوضوح. الحل ليس في ملء جداول بيانات أكثر تفصيلاً، بل في تسلسل منظم من ورش العمل الميسّرة التي تربط الأصول الحرجة بالتهديدات الحقيقية والضوابط الموجودة — وهو ما نسميه ورشة سجل مخاطر آيزو 27001.
يفصّل هذا المقال المنهج العملي الذي نتبعه لبناء سجل مخاطر سيبرانية في أربعة أسابيع، عبر ثلاث ورش عمل متتابعة تنتج سجلاً يقبله المدققون ويستخدمه التنفيذيون فعلياً لقرارات الميزانية وتبرير اختيارات الضوابط في الملحق أ من آيزو 27001.
لماذا تفشل سجلات المخاطر التقليدية
السبب الأول هو أن كثيراً من المؤسسات تبدأ من الضوابط بدلاً من الأصول. يُطلب من فريق أمن المعلومات مراجعة قائمة الملحق أ من آيزو 27001 — وهي 93 ضابطاً — وتحديد أيها "قابل للتطبيق" وأيها "غير قابل للتطبيق"، دون أن يكون هناك فهم واضح لما تحميه المؤسسة أصلاً، وما التهديدات التي تواجهها فعلياً.
السبب الثاني هو غياب الحوار المنظم بين الأطراف الثلاثة التي تملك المعرفة الحقيقية: فرق العمليات التي تعرف الأصول الحرجة وتبعيات الأعمال، وفرق الأمن التي تفهم التهديدات والضوابط التقنية، والإدارة التنفيذية التي تحدد مستوى المخاطر المقبول وتخصص الموارد. عندما تُملأ سجلات المخاطر في مكاتب منعزلة، تفقد هذه المعرفة الجماعية.
السبب الثالث هو أن التقييم يتم بمقاييس غامضة — "عالي، متوسط، منخفض" — دون تعريف واضح لما يعنيه كل مستوى في سياق المؤسسة، ودون ربط واضح بين المخاطر المحددة والضوابط المقترحة.
المنهج: ثلاث ورش عمل متتابعة في أربعة أسابيع
نتبع منهجاً يتكون من أربع مراحل رئيسية: المواءمة، والتحديد، والتقييم، والمعالجة. كل مرحلة لها مخرجات محددة تغذي المرحلة التالية، وتنتهي بسجل مخاطر مكتمل وخطط معالجة متفق عليها.
المرحلة الأولى: المواءمة مع إطار المخاطر المؤسسي (الأسبوع الأول)
قبل أن نبدأ في تحديد المخاطر السيبرانية، نتفق على المنهجية والمقاييس مع إدارة المخاطر المؤسسية. هذه الخطوة حاسمة لأن المؤسسات المالية الخاضعة لإشراف البنك المركزي السعودي (ساما) أو الهيئة الوطنية للأمن السيبراني لديها عادة إطار مخاطر مؤسسي قائم، وسجل المخاطر السيبرانية يجب أن يكون متسقاً معه في المصطلحات والمقاييس وآليات الرفع.
في هذه المرحلة، نعقد جلسة عمل مع إدارة المخاطر المؤسسية وإدارة أمن المعلومات لتحديد:
- مقاييس التصنيف للاحتمالية والأثر، بحيث تكون متسقة مع مقاييس المخاطر المؤسسية الموجودة.
- بيان مستوى المخاطر السيبرانية المقبول، الذي يحدد العتبات التي تتطلب تصعيداً إلى لجنة المخاطر أو مجلس الإدارة.
- آليات الرفع والتقارير، بما يتماشى مع دورة تقارير المخاطر المؤسسية.
المخرج الرئيسي من هذه المرحلة هو إطار إدارة المخاطر السيبرانية الذي يوثق المنهجية والمقاييس والأدوار، وبيان مستوى المخاطر المقبول الذي سيُستخدم لاحقاً في تقييم المخاطر المتبقية.
المرحلة الثانية: ورشة جرد الأصول وتقييمها (الأسبوع الثاني)
هذه هي الورشة الأولى من الورش الثلاث الميسّرة، وهي الأساس الذي يُبنى عليه كل ما يليها. الهدف هو تحديد الأصول الحرجة — ليس كل أصل في المؤسسة، بل تلك التي يؤدي فقدان سريتها أو سلامتها أو توافرها إلى تأثير جوهري على الأعمال أو الامتثال.
المشاركون في هذه الورشة:
- مالكو العمليات الحرجة (مثل مديري الفروع، ومديري الخزينة، ومديري العمليات).
- مديرو تقنية المعلومات ومديرو البنية التحتية.
- ممثلو أمن المعلومات.
- ممثل من إدارة المخاطر المؤسسية.
جدول أعمال الورشة:
- تحديد العمليات الحرجة: نبدأ بالعمليات، وليس بالأنظمة. ما العمليات التي لو توقفت لأكثر من ساعتين أو أربع ساعات أو يوم واحد، ستؤدي إلى خسارة مالية جوهرية أو إخلال بالتزامات تنظيمية أو إضرار بالسمعة؟
- تحديد الأصول الداعمة: لكل عملية حرجة، ما الأنظمة والبيانات والبنية التحتية التي تدعمها؟ نبني خريطة تبعيات بسيطة.
- تصنيف الأصول: نطبق معايير التصنيف — السرية والسلامة والتوافر — على كل أصل، بناءً على الأثر الفعلي على الأعمال.
- تحديد الأصول الحرجة: نختار الأصول التي تحصل على تصنيف عالٍ في واحد أو أكثر من المعايير الثلاثة، وهذه هي التي ستكون محور تقييم المخاطر.
المخرج: قائمة موثقة بالأصول الحرجة، مصنفة حسب الأهمية، مع خريطة تبعيات توضح العلاقة بين الأصول والعمليات. هذه القائمة — عادة بين 15 و30 أصلاً — هي التي ستُستخدم في الورشة التالية.
المرحلة الثالثة: ورشة نمذجة سيناريوهات التهديدات (الأسبوع الثالث)
الآن وقد عرفنا ما نحميه، نحدد التهديدات الحقيقية التي تواجه كل أصل حرج. هذه الورشة تركز على بناء سيناريوهات تهديدات واقعية — وليس قوائم عامة من التهديدات النظرية — وتقييم احتمالية كل سيناريو وأثره.
المشاركون في هذه الورشة:
- فريق أمن المعلومات (بما في ذلك فريق العمليات الأمنية إن وُجد).
- مالكو الأصول الحرجة المحددة في الورشة السابقة.
- ممثل من إدارة المخاطر المؤسسية.
- ممثل من المراجعة الداخلية (اختياري، لكن مفيد).
جدول أعمال الورشة:
- بناء سيناريوهات التهديدات: لكل أصل حرج، نطرح السؤال: ما السيناريوهات الواقعية التي قد تؤدي إلى فقدان السرية أو السلامة أو التوافر؟ نستخدم إطار عمل بسيط: الجهة المهددة (Threat Actor)، والطريقة (Attack Vector)، والثغرة المستغلة (Vulnerability)، والأثر (Impact).
- تقييم الاحتمالية: لكل سيناريو، نقيّم احتمالية حدوثه باستخدام المقاييس المتفق عليها في مرحلة المواءمة. نأخذ في الاعتبار عوامل مثل: هل هذا التهديد نشط في القطاع؟ هل لدينا ضوابط قائمة تقلل الاحتمالية؟
- تقييم الأثر: نقيّم الأثر — مالياً، وتشغيلياً، وتنظيمياً، وسمعياً — إذا تحقق السيناريو. هنا يكون دور مالكي الأصول حاسماً، لأنهم يفهمون التبعات التشغيلية والمالية.
- حساب المخاطر الكامنة: نطبق صيغة المخاطر (الاحتمالية × الأثر) لتحديد مستوى المخاطر الكامنة (Inherent Risk) لكل سيناريو.
المخرج: سجل سيناريوهات تهديدات موثق، يربط كل أصل حرج بسيناريوهات محددة، مع تقييم كمي للاحتمالية والأثر والمخاطر الكامنة. هذا السجل هو قلب سجل المخاطر السيبرانية.
المرحلة الرابعة: ورشة تحليل فجوات الضوابط وخطط المعالجة (الأسبوع الرابع)
في هذه الورشة الثالثة والأخيرة، نحدد الضوابط الموجودة حالياً، ونقيّم فعاليتها، ونحدد الفجوات، ونبني خطط معالجة واضحة. هذه المرحلة هي التي تنتج تبرير الملحق أ من آيزو 27001.
المشاركون في هذه الورشة:
- فريق أمن المعلومات.
- فرق تقنية المعلومات المسؤولة عن تنفيذ الضوابط.
- مالكو المخاطر (عادة مديرو الإدارات التي تملك الأصول الحرجة).
- ممثل من إدارة المخاطر المؤسسية.
جدول أعمال الورشة:
- تحديد الضوابط الموجودة: لكل سيناريو تهديد، ما الضوابط القائمة حالياً التي تقلل الاحتمالية أو الأثر؟ نوثق الضوابط التقنية والإجرائية والإدارية.
- تقييم فعالية الضوابط: نقيّم مدى فعالية كل ضابط في تقليل المخاطر. هل الضابط مطبق بالكامل؟ هل يُراقب ويُختبر بانتظام؟ هل له قيود معروفة؟
- حساب المخاطر المتبقية: بناءً على فعالية الضوابط الموجودة، نحسب المخاطر المتبقية (Residual Risk) لكل سيناريو.
- تحديد الفجوات: نقارن المخاطر المتبقية ببيان مستوى المخاطر المقبول. أي سيناريو تتجاوز مخاطره المتبقية المستوى المقبول يحتاج إلى معالجة.
- بناء خطط المعالجة: لكل فجوة، نحدد خيارات المعالجة — تقليل المخاطر (بضوابط إضافية)، أو نقل المخاطر (بالتأمين أو التعاقد مع طرف ثالث)، أو تجنب المخاطر (بتغيير العملية)، أو قبول المخاطر (بموافقة رسمية من الإدارة). لكل خطة معالجة، نحدد مالكاً ومواعيد نهائية وميزانية مقدرة.
- تبرير اختيارات الملحق أ: الآن يمكننا مراجعة الملحق أ من آيزو 27001 بثقة. كل ضابط في الملحق أ إما أنه موجود (ونوثق كيف يعالج سيناريوهات محددة)، أو مخطط له (كجزء من خطة المعالجة)، أو غير قابل للتطبيق (ونوثق السبب بناءً على غياب التهديد أو الأصل ذي الصلة).
المخرج: سجل مخاطر مكتمل يربط الأصول بالتهديدات والضوابط والمخاطر المتبقية، وخطط معالجة المخاطر بمالكين ومواعيد، وتبرير واضح لكل اختيار في الملحق أ.
ما يحصل عليه العميل في النهاية
في نهاية الأسابيع الأربعة، تحصل المؤسسة على مجموعة مخرجات قابلة للاستخدام الفوري:
- إطار إدارة المخاطر السيبرانية الذي يوثق المنهجية والمقاييس والأدوار.
- بيان مستوى المخاطر المقبول المعتمد من لجنة المخاطر.
- سجل مخاطر مكتمل يربط الأصول الحرجة بسيناريوهات التهديدات والضوابط الموجودة والمخاطر المتبقية.
- خطط معالجة المخاطر بمالكين ومواعيد نهائية وميزانيات مقدرة.
- نموذج تقرير المخاطر الربعي الذي يمكن استخدامه لرفع التقارير إلى لجنة المخاطر ومجلس الإدارة.
- تبرير موثق لكل اختيار في بيان القابلية للتطبيق (Statement of Applicability) من آيزو 27001.
هذه المخرجات ليست وثائق نظرية؛ هي أدوات عمل يستخدمها فريق أمن المعلومات لإدارة المخاطر بشكل مستمر، وتستخدمها الإدارة التنفيذية لقرارات الميزانية، ويقبلها المدققون كدليل على امتثال آيزو 27001.
لماذا ينجح هذا المنهج
النجاح يأتي من ثلاثة عوامل:
أولاً، الترتيب: نبدأ من الأصول، ثم التهديدات، ثم الضوابط — وليس العكس. هذا يضمن أن كل ضابط مقترح له تبرير واضح مرتبط بتهديد حقيقي لأصل حرج.
ثانياً، المشاركة: ورش العمل الميسّرة تجمع المعرفة من الأطراف الثلاثة — العمليات والأمن والإدارة — وتبني توافقاً حول الأولويات. عندما يشارك مالكو الأصول في تقييم التهديدات، يصبحون مالكين للمخاطر أيضاً، ويدعمون خطط المعالجة.
ثالثاً، القابلية للاستخدام: المخرجات مصممة لتُستخدم، وليس لتُحفظ في أدراج. سجل المخاطر يُحدّث ربع سنوياً، وخطط المعالجة تُتابع شهرياً، ونموذج التقرير يُرفع إلى اللجان بانتظام.
الخطوة التالية
إذا كنتم تخططون لدورة شهادة آيزو 27001 الأولى أو الثانية، أو إذا كان سجل المخاطر السيبرانية الحالي لديكم يبدو منفصلاً عن الواقع التشغيلي، فالوقت مناسب لإعادة بنائه بمنهج منظم. نؤسس إدارة المخاطر السيبرانية أو نطورها من خلال منهجية متكاملة مع إطار المخاطر المؤسسي، تنتج سجلاً يحافظ عليه فريقكم ويستخدمه التنفيذيون فعلياً.
