يفرض المجال التاسع من إطار حوكمة تقنية المعلومات الصادر عن البنك المركزي السعودي (ساما) على المؤسسات المالية إجراء مراجعة مستقلة دورية لأمن المعلومات. هذا المتطلب يضع رؤساء المراجعة الداخلية وأعضاء لجان المراجعة أمام تحدٍ واضح: كيف ننفذ مراجعة داخلية أمن المعلومات إطار حوكمة تقنية المعلومات ساما بعمق تقني كافٍ، في حين أن فرق المراجعة الداخلية غالباً ما تفتقر للخبرة المتخصصة في الأمن السيبراني؟
الحل الذي نراه في الممارسة العملية هو الشراكة بين إدارة المراجعة الداخلية ومختصين في الأمن السيبراني يفهمون معايير المراجعة الداخلية. ننفذ عمليات تدقيق الأمن السيبراني نيابة عن إدارة المراجعة الداخلية أو بالشراكة معها — تخطيطًا وتنفيذًا ورفعًا للتقارير وفق معايير المراجعة الداخلية. النتيجة: ضمان مستقل للجنة المراجعة، ينفذه مختصون في الأمن السيبراني.
في هذا المقال، نشرح كيف ننفذ مراجعة داخلية لأمن المعلومات وفق إطار حوكمة تقنية المعلومات في ثلاثة أسابيع، من تحديد النطاق إلى تقرير المراجعة النهائي.
لماذا ثلاثة أسابيع؟
المراجعة الداخلية لأمن المعلومات ليست تقييماً شاملاً لكل ضابطة في الإطار؛ هي فحص مركّز لمجالات محددة بناءً على المخاطر وخطة المراجعة السنوية. قد تركز المراجعة على إدارة الهوية والصلاحيات، أو أمن الشبكات، أو إدارة الثغرات، أو الاستجابة للحوادث — أو أي مجموعة من الضوابط ذات الأولوية.
عندما يكون النطاق محدداً بوضوح، تستغرق المراجعة من ثلاثة إلى ستة أسابيع لكل تدقيق، حسب اتساع النطاق وتعقيد البيئة. المراجعات المركزة التي تغطي مجالاً واحداً أو مجالين من الإطار تكتمل عادة في ثلاثة أسابيع.
الأسبوع الأول: التخطيط وتحديد النطاق المبني على المخاطر
تبدأ كل مراجعة داخلية بالتخطيط. هذه المرحلة تحدد ما سنفحصه، ولماذا، وكيف.
ما يحدث في هذا الأسبوع
نجتمع مع رئيس المراجعة الداخلية أو مدير المراجعة المكلف لفهم سياق المراجعة: ما الذي دفع إلى اختيار هذا الموضوع في خطة المراجعة السنوية؟ هل هناك حوادث سابقة، أو توصيات من جهات رقابية، أو مخاطر ناشئة؟ هل هناك مراجعات سابقة في نفس المجال، وما حالة الملاحظات السابقة؟
نراجع الوثائق الأساسية: السياسات والإجراءات ذات الصلة، تقييمات المخاطر الأخيرة، تقارير المراجعات السابقة، وأي تقارير من الإدارة أو استشاريين خارجيين. نحدد الضوابط الرئيسية من إطار حوكمة تقنية المعلومات التي ستخضع للفحص، ونبني تخطيط تدقيق مبني على المخاطر يركز على المجالات ذات الأولوية.
ثم نصمم برنامج التدقيق: قائمة تفصيلية بالإجراءات التي سننفذها، والأدلة التي سنطلبها، والأشخاص الذين سنقابلهم. برنامج التدقيق يترجم الضوابط التنظيمية إلى خطوات عمل قابلة للتنفيذ.
من يشارك من جانب العميل
- رئيس المراجعة الداخلية أو مدير المراجعة المكلف
- رئيس أمن المعلومات أو من ينوب عنه (لفهم البيئة والضوابط القائمة)
- ممثل عن إدارة المخاطر (إن وُجد)
ما يحصل عليه العميل في نهاية الأسبوع الأول
خطة التدقيق وبرنامجه: وثيقة تحدد نطاق المراجعة، والأهداف، والمخاطر المستهدفة، والضوابط التي ستُفحص، وجدول العمل الميداني، وقائمة الأدلة المطلوبة. هذه الوثيقة تُعتمد من رئيس المراجعة الداخلية قبل الانتقال إلى العمل الميداني.
الأسبوع الثاني: العمل الميداني وجمع الأدلة
بعد اعتماد خطة التدقيق، ننتقل إلى العمل الميداني. هنا يحدث الفحص الفعلي للضوابط.
ما يحدث في هذا الأسبوع
نطلب الأدلة المحددة في برنامج التدقيق: سجلات النظام، تقارير الصلاحيات، سجلات التغيير، نتائج فحوص الثغرات، محاضر اجتماعات لجان الأمن، شهادات التدريب، وغيرها. نجري مقابلات مع المسؤولين عن تنفيذ الضوابط: مدراء الأنظمة، مسؤولي الشبكات، محللي الأمن، ومسؤولي الامتثال.
ننفذ اختبار فاعلية التصميم والتشغيل للضوابط. اختبار التصميم يجيب على السؤال: هل الضابطة مصممة بشكل يحقق الهدف الرقابي؟ اختبار التشغيل يجيب على السؤال: هل الضابطة تعمل فعلاً كما صُممت، وبشكل مستمر؟
نستخدم العينات ومراجعة الأدلة لاختبار التشغيل. مثلاً، إذا كانت الضابطة تتطلب مراجعة ربع سنوية للصلاحيات، نطلب محاضر المراجعات الأربع الأخيرة ونفحص ما إذا كانت قد نُفذت في المواعيد المحددة، وما إذا كانت شاملة، وما إذا تم اتخاذ إجراءات تصحيحية عند اكتشاف صلاحيات غير ملائمة.
نوثق كل شيء في أوراق العمل: الأدلة المستلمة، نتائج الاختبارات، الملاحظات، والاستنتاجات. أوراق العمل هي السجل الكامل للمراجعة، وتدعم كل ملاحظة في التقرير النهائي.
من يشارك من جانب العميل
- رئيس أمن المعلومات وفريقه (مسؤولو الأنظمة، الشبكات، الأمن)
- مسؤولو الامتثال
- ممثلون عن تقنية المعلومات (إدارة التغيير، العمليات، الدعم الفني)
- منسق من إدارة المراجعة الداخلية (لتسهيل الوصول وجمع الأدلة)
ما يحصل عليه العميل في نهاية الأسبوع الثاني
مسودة أولية للملاحظات: قائمة بالفجوات أو نقاط الضعف التي اكتشفناها، مع الأدلة الداعمة. هذه المسودة تُشارك بشكل غير رسمي مع إدارة أمن المعلومات للتأكد من دقة الفهم قبل صياغة التقرير النهائي.
الأسبوع الثالث: التقرير وردود الإدارة
المرحلة الأخيرة هي إعداد التقرير النهائي وتوثيق ردود الإدارة. هذا ما يُرفع إلى لجنة المراجعة.
ما يحدث في هذا الأسبوع
نصيغ مسودة التقرير وفق معايير المراجعة الداخلية. التقرير يتضمن:
- ملخصاً تنفيذياً يوضح نطاق المراجعة والاستنتاج الإجمالي
- وصفاً للمنهجية والإجراءات المنفذة
- ملاحظات مصنفة حسب الأهمية (حرجة، عالية، متوسطة، منخفضة)، كل ملاحظة تتضمن: الضابطة المعنية، الوضع الحالي، المخاطر المترتبة، والتوصية
- ملحقاً بالضوابط التي اختُبرت ونتائجها
نعقد اجتماع إغلاق مع إدارة أمن المعلومات والإدارة التنفيذية المعنية لمناقشة الملاحظات. نستمع إلى وجهة نظر الإدارة، ونوضح الأدلة، ونتفق على صياغة نهائية لكل ملاحظة.
نطلب من الإدارة تقديم ردود الإدارة على كل ملاحظة: هل توافق على الملاحظة؟ ما الإجراءات التصحيحية المخطط لها؟ من المسؤول؟ ما الموعد المستهدف للتنفيذ؟ هذه الردود تُدرج في التقرير النهائي.
نُعد تقرير التدقيق للجنة المراجعة بصيغته النهائية، ونسلمه لرئيس المراجعة الداخلية لرفعه إلى لجنة المراجعة.
من يشارك من جانب العميل
- رئيس المراجعة الداخلية
- رئيس أمن المعلومات
- الإدارة التنفيذية المعنية (مثل الرئيس التنفيذي للتقنية أو الرئيس التنفيذي للعمليات)
- ممثل عن الإدارة القانونية أو الامتثال (إن لزم الأمر)
ما يحصل عليه العميل في نهاية الأسبوع الثالث
تقرير التدقيق للجنة المراجعة: التقرير النهائي الكامل، موثق وجاهز للرفع إلى لجنة المراجعة ومجلس الإدارة. التقرير يتضمن الملاحظات، ردود الإدارة، والتوصيات، ويشكل سجلاً رسمياً للمراجعة.
ما بعد التقرير: المتابعة
المراجعة الداخلية لا تنتهي بتسليم التقرير. الإدارة تلتزم بتنفيذ الإجراءات التصحيحية، وإدارة المراجعة الداخلية تتابع التنفيذ.
بعد انقضاء المهل المحددة في ردود الإدارة، ننفذ تدقيقات متابعة للتحقق من أن الإجراءات التصحيحية قد نُفذت فعلاً وأنها فعالة. نطلب الأدلة الجديدة، ونختبر الضوابط المحسّنة، ونُعد تقرير المتابعة الذي يوثق حالة كل ملاحظة: مُغلقة، قيد التنفيذ، أو متأخرة.
الأدوات والمنهجيات
طوال المراجعة، نعتمد على منهجيات واضحة:
- تخطيط تدقيق مبني على المخاطر: نركز على المجالات ذات الأولوية، لا على فحص شامل لكل ضابطة.
- اختبار فاعلية التصميم والتشغيل: نتحقق من أن الضوابط مصممة بشكل صحيح وتعمل فعلاً.
- العينات ومراجعة الأدلة: نختبر عينات تمثيلية لنتحقق من الاتساق والاستمرارية.
- ملاحظات مصنفة مع ردود الإدارة: كل ملاحظة مصنفة حسب الأهمية ومدعومة بالأدلة، وكل ملاحظة لها رد من الإدارة وخطة تصحيحية.
المخرجات الكاملة
في نهاية المراجعة، يحصل العميل على:
- خطة التدقيق وبرنامجه: الوثيقة التي حددت النطاق والمنهجية
- أوراق العمل: السجل الكامل للأدلة والاختبارات والملاحظات
- تقرير التدقيق للجنة المراجعة: التقرير النهائي الذي يُرفع إلى لجنة المراجعة ومجلس الإدارة
- تقرير المتابعة: (بعد فترة) تقرير يوثق حالة الإجراءات التصحيحية
لماذا هذه المنهجية؟
إطار حوكمة تقنية المعلومات الصادر عن البنك المركزي السعودي يغطي تسعة مجالات واسعة، من الحوكمة إلى إدارة المخاطر إلى الأمن السيبراني. المراجعة الداخلية الفعالة لا تحاول فحص كل شيء دفعة واحدة؛ بل تختار مجالات محددة بناءً على المخاطر، وتفحصها بعمق، وتقدم توصيات قابلة للتنفيذ.
هذه المنهجية تجمع بين العمق التقني في الأمن السيبراني والالتزام بمعايير المراجعة الداخلية. النتيجة: تقرير يثق به مجلس الإدارة ولجنة المراجعة، ويساعد الإدارة التنفيذية على تحسين الضوابط بشكل عملي.
هل تخططون لمراجعة داخلية لأمن المعلومات؟
إذا كنتم تخططون لمراجعة داخلية لأمن المعلومات وفق إطار حوكمة تقنية المعلومات، أو إذا كانت خطة المراجعة السنوية تتضمن موضوعات تتطلب عمقاً تقنياً — إدارة الهوية، أمن الشبكات، إدارة الثغرات، الاستجابة للحوادث — فنحن نعمل مع إدارات المراجعة الداخلية لتنفيذ هذه المراجعات بالشراكة أو نيابة عنها.
تواصلوا معنا لمناقشة نطاق المراجعة وكيف يمكننا دعم خطة المراجعة السنوية.
