عندما يطلب مجلس إدارة مؤسسة مالية سعودية تأسيس أو إعادة هيكلة حوكمة الأمن السيبراني SAMA ITGF، فإن السؤال الأول ليس تقنيًا بل تنظيميًا: من يملك القرار؟ من يرفع التقارير لمن؟ وكيف تصل القضايا الحرجة إلى مجلس الإدارة في الوقت المناسب؟ الإجابات على هذه الأسئلة تحدد ما إذا كانت الحوكمة ستصمد أمام تدقيق البنك المركزي السعودي والمدققين الخارجيين، أم ستبقى مجرد مخططات على الورق.
يتوقع إطار حوكمة تقنية المعلومات الصادر عن البنك المركزي السعودي SAMA ITGF أن تمتلك المؤسسات المالية هيكل حوكمة واضحًا للأمن السيبراني: وظيفة مستقلة بصلاحيات محددة، ولجان فعالة بمواثيق معتمدة، وخطوط رفع تقارير تضمن وصول المخاطر الجوهرية إلى الإدارة العليا ومجلس الإدارة. لكن الانتقال من المتطلبات التنظيمية إلى نموذج حوكمة عملي يتطلب منهجية واضحة.
في هذا المقال، نشرح طريقتنا المكونة من أربع مراحل لبناء حوكمة الأمن السيبراني: من تحليل التفويض التنظيمي إلى حزمة الموافقة الجاهزة لمجلس الإدارة. في النهاية، يمتلك العميل نموذج حوكمة موثقًا وميثاقًا جاهزًا للمجلس وأوصاف أدوار ومصفوفة صلاحيات قرار يقبلها المدققون.
المرحلة الأولى: المراجعة — رسم الواقع الحالي مقابل التوقعات التنظيمية
تبدأ كل مهمة حوكمة بفهم الوضع الحالي. نجري مراجعة شاملة للهيكل الحالي والصلاحيات واللجان وخطوط رفع التقارير. هذه المرحلة ليست تدقيقًا تقنيًا، بل تحليلًا تنظيميًا: من يتخذ قرارات الأمن السيبراني اليوم؟ من يوافق على السياسات؟ من يملك ميزانية الأمن السيبراني؟ وكيف تُصعَّد الحوادث الأمنية؟
نعقد جلسات مع الإدارة التنفيذية — المدير المالي، مدير المخاطر، مدير التقنية، ومسؤول أمن المعلومات إن وُجد — لفهم التفويضات الفعلية، وليس فقط ما هو مكتوب في الأوصاف الوظيفية. نراجع الوثائق الموجودة: السياسات، مواثيق اللجان القائمة، محاضر الاجتماعات، وتقارير التدقيق السابقة.
في الوقت نفسه، نرسم متطلبات SAMA ITGF وSAMA CSF وإطار الضوابط الأساسية للأمن السيبراني الصادر عن الهيئة الوطنية للأمن السيبراني NCA ECC. كل إطار يحمل توقعات محددة حول استقلالية وظيفة الأمن السيبراني، ومسؤوليات مجلس الإدارة، وآليات الإشراف. نستخرج هذه التوقعات ونترجمها إلى متطلبات حوكمة قابلة للقياس.
في نهاية هذه المرحلة، يمتلك العميل صورة واضحة: أين نحن اليوم، وما الذي تتوقعه الجهات التنظيمية، والفجوة بينهما.
المرحلة الثانية: تحليل الفجوات — تحديد ما يجب بناؤه أو تعديله
بعد رسم الواقع، ننتقل إلى المقارنة. نضع الهيكل الحالي مقابل التوقعات التنظيمية والممارسات الجيدة، ونحدد الفجوات بدقة. هذه الفجوات تتوزع عادة على أربعة محاور:
الاستقلالية: هل وظيفة الأمن السيبراني مستقلة عن عمليات التقنية؟ تتوقع الجهات التنظيمية في المملكة استقلال وظيفة الأمن السيبراني عن عمليات التقنية. السؤال الشائع: هل يرفع مسؤول أمن المعلومات تقاريره إلى مدير التقنية؟ في كثير من المؤسسات الصغيرة والمتوسطة، يكون الجواب نعم، وهذا يشكل فجوة تنظيمية واضحة.
الصلاحيات: هل وظيفة الأمن السيبراني تملك صلاحيات كافية لاتخاذ القرارات، أم أنها استشارية فقط؟ من يوافق على سياسات الأمن؟ من يقرر إيقاف نظام معرض للخطر؟ غياب الصلاحيات الواضحة يعني أن المسؤولية موزعة، والمساءلة غائبة.
اللجان: هل توجد لجنة أمن سيبراني أو مخاطر تقنية بميثاق معتمد من مجلس الإدارة؟ هل تجتمع بانتظام؟ هل لديها نصاب واضح وآليات تصعيد محددة؟ كثير من المؤسسات تعقد اجتماعات أمنية، لكن دون ميثاق رسمي أو عضوية ثابتة أو مسارات تصعيد موثقة.
خطوط رفع التقارير: كيف تصل القضايا الحرجة إلى مجلس الإدارة؟ هل هناك مسار مباشر، أم تمر عبر طبقات إدارية متعددة قد تؤخر أو تخفف من حدة التقارير؟
نوثق كل فجوة، ونصنفها حسب الأولوية: ما يجب إصلاحه فورًا لتلبية الحد الأدنى من المتطلبات التنظيمية، وما يمكن تحسينه لاحقًا لتعزيز الفعالية.
المرحلة الثالثة: التصميم — بناء نموذج الحوكمة الموثق
هنا يبدأ العمل الحقيقي: تصميم نموذج الحوكمة الذي يسد الفجوات ويلبي التوقعات التنظيمية. هذه المرحلة تنتج الوثائق الأساسية التي سيعتمدها مجلس الإدارة ويستخدمها المدققون.
تحديد حجم الوظيفة وخط رفع التقارير
أول قرار: أين تقع وظيفة الأمن السيبراني في الهيكل التنظيمي؟ نوصي بخط رفع التقارير الذي يحقق الاستقلالية بما يناسب هيكل المؤسسة وحجمها. في مؤسسة كبيرة، قد يرفع مسؤول أمن المعلومات تقاريره مباشرة إلى الرئيس التنفيذي أو مجلس الإدارة. في مؤسسة متوسطة، قد يرفع إلى مدير المخاطر أو مدير الامتثال، بشرط ألا يكون تحت إدارة التقنية التشغيلية.
نصمم ميثاق وظيفة الأمن السيبراني وصلاحياتها: ما الذي تملكه الوظيفة من صلاحيات، وما الذي تحتاج موافقة عليه، وما الذي يُصعَّد إلى الإدارة العليا أو مجلس الإدارة. هذا الميثاق يحدد الحدود بوضوح، ويمنع التداخل أو الفراغ في المسؤوليات.
تصميم اللجنة: الميثاق والعضوية والنصاب
نصمم الشروط المرجعية للجان الأمن السيبراني أو المخاطر التقنية. الميثاق يحدد:
- الغرض: لماذا توجد اللجنة، وما نطاق مسؤوليتها.
- العضوية: من يجب أن يحضر — الإدارة التنفيذية، مسؤول أمن المعلومات، مدير المخاطر، مدير الامتثال، وممثلون عن الأعمال والتقنية.
- النصاب: الحد الأدنى من الحضور لاتخاذ قرارات ملزمة.
- التكرار: كم مرة تجتمع اللجنة — شهريًا، ربع سنويًا — وما الذي يستدعي اجتماعًا طارئًا.
- مسارات التصعيد: متى وكيف تُرفع القضايا من اللجنة إلى مجلس الإدارة.
نعد نماذج جداول الأعمال للاجتماعات الأولى، لتسهيل الانطلاق وضمان تغطية الموضوعات الأساسية: مراجعة المخاطر، تحديثات المشاريع، الحوادث الأمنية، والامتثال التنظيمي.
مصفوفة المسؤوليات ومراجعة الفصل بين المهام
نبني مصفوفة المسؤوليات بين الأعمال والتقنية والأمن — من المسؤول، من يُستشار، من يُبلَّغ — لكل نشاط أمني رئيسي: الموافقة على السياسات، إدارة الصلاحيات، الاستجابة للحوادث، إدارة الثغرات، والمراجعات الدورية.
نجري مراجعة الفصل بين المهام: هل هناك تضارب بين من يطور الأنظمة ومن يدققها؟ بين من يمنح الصلاحيات ومن يراجعها؟ الفصل الواضح يمنع تضارب المصالح ويعزز الرقابة الداخلية.
الهيكل التنظيمي والأوصاف الوظيفية
نرسم الهيكل التنظيمي الجديد أو المعدل، ونكتب الأوصاف الوظيفية لأدوار الأمن السيبراني الرئيسية: مسؤول أمن المعلومات، مدير عمليات الأمن، محلل الامتثال، ومهندس الأمن. كل وصف يحدد المسؤوليات، الصلاحيات، المؤهلات المطلوبة، وخط رفع التقارير.
في نهاية مرحلة التصميم، يمتلك العميل حزمة كاملة من الوثائق:
- وثيقة إطار الحوكمة
- ميثاق وظيفة الأمن السيبراني
- ميثاق اللجنة ونماذج جداول الأعمال
- مصفوفة المسؤوليات
- الهيكل التنظيمي والأوصاف الوظيفية
المرحلة الرابعة: الترسيخ — من الوثيقة إلى الممارسة
أفضل نموذج حوكمة لا قيمة له إن بقي في الأدراج. المرحلة الأخيرة تركز على الترسيخ: دعم الاعتماد من مجلس الإدارة، وتسهيل أول دورة للجنة، والتسليم السلس إلى فريق العميل.
نعد حزمة الموافقة لمجلس الإدارة: عرض تقديمي موجز يشرح نموذج الحوكمة الجديد، الفجوات التي يسدها، وكيف يلبي متطلبات SAMA ITGF. نرافق الإدارة التنفيذية في عرض الحزمة على مجلس الإدارة، ونجيب على أسئلة الأعضاء حول الاستقلالية، الصلاحيات، والتكاليف.
بعد الاعتماد، ندعم أول اجتماع للجنة الأمن السيبراني: نساعد في إعداد جدول الأعمال، نحضر كمراقبين لتسهيل النقاش، ونوثق القرارات والإجراءات المطلوبة. هذا الاجتماع الأول يضع السابقة لكيفية عمل اللجنة، ويبني الثقة بين الأعضاء.
أخيرًا، نسلم جميع الوثائق بصيغ قابلة للتحرير، ونعقد جلسة تسليم مع الفريق الداخلي لشرح كيفية استخدام المصفوفات والمواثيق وتحديثها مع تطور المؤسسة.
ما الذي يحصل عليه العميل في النهاية؟
في نهاية المهمة، التي تستغرق عادة 4–6 أسابيع، يمتلك العميل:
- وثيقة إطار الحوكمة: الوثيقة الرئيسية التي تصف نموذج الحوكمة الكامل، الأدوار، اللجان، وخطوط رفع التقارير.
- ميثاق وظيفة الأمن السيبراني: الصلاحيات والمسؤوليات الواضحة لوظيفة الأمن السيبراني.
- ميثاق اللجنة ونماذج جداول الأعمال: الشروط المرجعية المعتمدة من مجلس الإدارة، ونماذج جاهزة للاستخدام.
- مصفوفة المسؤوليات: جدول واضح يحدد من المسؤول، من يُستشار، من يُبلَّغ لكل نشاط أمني.
- الهيكل التنظيمي والأوصاف الوظيفية: مخططات وأوصاف جاهزة للتوظيف والتقييم.
هذه الوثائق ليست نظرية؛ إنها أدوات عمل يستخدمها المدققون لتقييم الامتثال، ويستخدمها الفريق الداخلي لاتخاذ القرارات اليومية، ويستخدمها مجلس الإدارة لمراقبة فعالية الحوكمة.
الخطوة التالية: بناء حوكمة تصمد أمام التدقيق
إذا كانت مؤسستكم تؤسس حوكمة الأمن السيبراني لأول مرة، أو تعيد هيكلة نموذج قائم لتلبية متطلبات SAMA ITGF وNCA ECC، فإن المنهجية الواضحة والوثائق المحكمة هي ما يفصل بين الحوكمة الفعالة والحوكمة الشكلية.
نصمم حوكمة الأمن السيبراني أو نعززها: الوظيفة وصلاحياتها، واللجان، والأدوار والمسؤوليات، وكيف تصل القرارات إلى مجلس الإدارة. إذا كنتم بحاجة إلى نموذج حوكمة موثق وميثاق معتمد من مجلس الإدارة ومصفوفة مسؤوليات يقبلها المدققون، تواصلوا معنا لمناقشة وضعكم الحالي وما تحتاجون بناءه.
