يواجه مديرو أمن المعلومات ومديرو الأمن التقني في المؤسسات المالية الخاضعة لرقابة البنك المركزي السعودي سؤالًا محوريًا قبل كل تفتيش من المركز الوطني الإرشادي للأمن السيبراني: هل يكشف مركز العمليات الأمنية لديكم — سواء كان داخليًا أو مسندًا — التهديدات التي تتطلب الضوابط السيبرانية رصدها؟ الإجابة تتطلب أكثر من مراجعة سريعة للوحات المراقبة أو تقارير المزود الشهرية. تتطلب تقييم نضج مركز العمليات الأمنية الضوابط السيبرانية منهجيًا يربط حالات الاستخدام الفعلية بمتطلبات الكشف المحددة في الإطار التنظيمي، ويختبر قدرة الفريق على الفرز والتصعيد، ويقيس الفجوات التقنية والإجرائية بدقة.
تقييم نضج مركز العمليات الأمنية ليس تمرينًا نظريًا. هو فحص عملي لما يحدث فعلًا عندما يصل تنبيه إلى وحدة التحكم، وما إذا كانت مصادر السجلات المتاحة تغطي سطح الهجوم الحقيقي، وما إذا كانت إجراءات الاستجابة تتماشى مع مستويات الخدمة المتفق عليها — سواء مع فريق داخلي أو مزود خارجي. في هذا المقال، نشرح منهجيتنا المكونة من خمس مراحل لتقييم مركز العمليات الأمنية: جرد حالات الاستخدام مقابل فهرس التهديدات في الضوابط، مراجعة إجراءات الاستجابة، مقاييس متوسط الوقت، تحليل الفجوات التقنية، وخارطة الطريق ذات الأولويات. سيفهم القارئ بدقة المستندات التي نفحصها ومتطلبات الكشف التي نختبرها وشكل خريطة القدرات النهائية.
المرحلة الأولى: جرد حالات الاستخدام مقابل متطلبات الكشف في الضوابط السيبرانية
تبدأ المنهجية بجرد شامل لحالات الاستخدام المنفذة فعلًا في مركز العمليات الأمنية. لا نكتفي بقائمة الحالات النظرية المدرجة في عقد المزود أو خطة التشغيل الداخلية؛ نطلب الوصول إلى منصة إدارة المعلومات والأحداث الأمنية أو أداة التنسيق والاستجابة الآلية، ونستعرض القواعد والاستعلامات والتنبيهات المفعّلة حاليًا.
نربط كل حالة استخدام بمتطلبات الكشف المحددة في الضوابط السيبرانية الصادرة عن المركز الوطني الإرشادي للأمن السيبراني. نراجع الضوابط المتعلقة بالكشف عن الوصول غير المصرح به، وحركة البيانات الشاذة، والتصعيد غير المعتاد للصلاحيات، والاتصالات بالبنى التحتية الخبيثة المعروفة، وأنشطة البرمجيات الخبيثة، والتلاعب بالسجلات. نقارن القائمة الفعلية بالقائمة المطلوبة، ونحدد الفجوات.
في هذه المرحلة، يشارك من جانب العميل فريق مركز العمليات الأمنية — المحللون والمهندسون — وممثل عن المزود إذا كان المركز مسندًا، بالإضافة إلى مدير أمن المعلومات أو مدير الأمن التقني. نطلب الاطلاع على:
- قائمة حالات الاستخدام الموثقة
- لقطات شاشة أو تصدير لقواعد الكشف المفعّلة
- سجل التنبيهات خلال الأسابيع الأربعة الماضية
- وثائق التكوين لمصادر السجلات المتصلة
في نهاية هذه المرحلة، يحصل العميل على جدول مقارنة أولي يوضح حالات الاستخدام المنفذة مقابل متطلبات الضوابط، مع تصنيف الفجوات حسب الأولوية التنظيمية.
المرحلة الثانية: مراجعة مصادر السجلات وتغطية الرصد
حالة الاستخدام الأفضل تصميمًا لا قيمة لها إذا لم تتلقَّ السجلات الصحيحة. في المرحلة الثانية، نراجع مصادر السجلات المتصلة بمنصة إدارة المعلومات والأحداث الأمنية، ونقيّم ما إذا كانت تغطي سطح الهجوم الفعلي للمؤسسة.
نطلب رسمًا معماريًا محدثًا للبيئة التقنية — الشبكات، والخوادم، وقواعد البيانات، والتطبيقات الحرجة، والخدمات السحابية — ونقارنه بقائمة مصادر السجلات المتصلة. نبحث عن الأنظمة الحرجة التي لا ترسل سجلات، أو ترسلها بشكل جزئي، أو تُستبعد من الرصد لأسباب تقنية أو تجارية.
نراجع أيضًا جودة السجلات الواردة: هل تحتوي على الحقول الضرورية لحالات الاستخدام؟ هل تصل في الوقت الفعلي أم بتأخير؟ هل تُحفظ بالمدة المطلوبة تنظيميًا؟ نفحص إعدادات التطبيع والإثراء، ونتحقق من أن السجلات قابلة للاستعلام بكفاءة.
في هذه المرحلة، يشارك فريق الهندسة الأمنية أو فريق البنية التحتية، بالإضافة إلى ممثل المزود إذا كان مسؤولًا عن جمع السجلات. نطلب:
- قائمة مصادر السجلات المتصلة، مع معدل الأحداث لكل مصدر
- رسم معماري للبيئة التقنية
- عينات من السجلات الخام لأنظمة حرجة مختارة
- سياسة الاحتفاظ بالسجلات المطبقة
في نهاية هذه المرحلة، يحصل العميل على خريطة تغطية الرصد — مخطط بصري يوضح الأنظمة المغطاة بالكامل، والمغطاة جزئيًا، وغير المغطاة، مع توصيات محددة لتوسيع التغطية.
المرحلة الثالثة: اختبار إجراءات الفرز والتصعيد ومقاييس الوقت
الكشف نصف المعادلة؛ النصف الآخر هو الاستجابة. في المرحلة الثالثة، نختبر إجراءات الفرز والتصعيد الفعلية، ونقيس متوسط الوقت للكشف ومتوسط الوقت للاستجابة.
نطلب عينة من التنبيهات الحقيقية التي أُنتجت خلال الشهر الماضي — بما في ذلك الإيجابيات الحقيقية والإيجابيات الكاذبة — ونتتبع مسار كل تنبيه: متى وصل؟ متى راجعه محلل؟ ما الإجراءات التي اتخذها؟ متى صُعّد إلى المستوى الثاني أو إلى إدارة الاستجابة للحوادث؟ متى أُغلق؟
نراجع دليل التشغيل الموحد لكل حالة استخدام حرجة، ونتحقق من أن المحللين يتبعونه فعلًا. نقيّم جودة التوثيق: هل يسجل المحلل الأدلة والخطوات المتخذة بوضوح؟ هل يُصنّف الحادث بدقة؟ هل يُبلّغ الجهات المعنية وفق مستويات الخدمة المتفق عليها؟
نقارن الأداء الفعلي بمستويات الخدمة المحددة في عقد المزود أو في سياسة التشغيل الداخلية. إذا كان العقد ينص على تصعيد الحوادث الحرجة خلال 30 دقيقة، نتحقق من أن ذلك يحدث فعلًا.
في هذه المرحلة، يشارك فريق مركز العمليات الأمنية — المحللون والمناوبون — وفريق الاستجابة للحوادث إذا كان منفصلًا، ومدير العلاقة مع المزود إذا كان المركز مسندًا. نطلب:
- سجل التنبيهات والحوادث من نظام إدارة الحوادث
- أدلة التشغيل الموحدة لحالات الاستخدام الحرجة
- عينة من تذاكر الحوادث المغلقة، مع الجدول الزمني الكامل
- تقارير مستويات الخدمة الشهرية من المزود
في نهاية هذه المرحلة، يحصل العميل على تقرير مقاييس يوضح متوسط الوقت للكشف ومتوسط الوقت للاستجابة لكل فئة من الحوادث، مع تحديد الاختناقات الإجرائية أو البشرية.
المرحلة الرابعة: تحليل الفجوات التقنية والإجرائية
بعد جمع البيانات من المراحل الثلاث السابقة، ننتقل إلى تحليل الفجوات الشامل. نصنف الفجوات إلى ثلاث فئات:
فجوات التغطية: حالات استخدام مطلوبة تنظيميًا لكنها غير منفذة، أو أنظمة حرجة لا ترسل سجلات، أو تهديدات لا يرصدها المركز حاليًا.
فجوات الجودة: حالات استخدام منفذة لكنها تنتج عددًا مرتفعًا من الإيجابيات الكاذبة، أو سجلات واردة لكنها ناقصة أو متأخرة، أو إجراءات فرز غير موثقة أو غير متبعة بانتظام.
فجوات الأداء: تجاوزات متكررة لمستويات الخدمة، أو تأخر في التصعيد، أو نقص في التوثيق، أو غياب المراجعة الدورية لحالات الاستخدام.
نحدد السبب الجذري لكل فجوة: هل هي تقنية — نقص في الأدوات أو التكامل؟ إجرائية — غياب الأدلة أو التدريب؟ تعاقدية — نطاق خدمة المزود لا يغطي المتطلبات؟ أم تنظيمية — عدم وضوح المسؤوليات بين الفرق الداخلية والمزود؟
في هذه المرحلة، نعقد ورشة عمل مع الإدارة — مدير أمن المعلومات، مدير الأمن التقني، مدير تقنية المعلومات — لمناقشة النتائج الأولية والتحقق من صحة التحليل. نستمع إلى القيود الحالية — الميزانية، الموارد البشرية، الأولويات المؤسسية — لنضمن أن التوصيات قابلة للتنفيذ.
في نهاية هذه المرحلة، يحصل العميل على تقرير تحليل الفجوات يوضح كل فجوة مع السبب الجذري والأثر التنظيمي والتشغيلي.
المرحلة الخامسة: خارطة الطريق ذات الأولويات ونموذج التشغيل المستهدف
المرحلة الأخيرة هي ترجمة النتائج إلى خطة عمل. نبني خارطة طريق مرتبة الأولويات تغطي ثلاثة أفق زمنية:
قصير المدى — من أسبوعين إلى شهرين: تفعيل حالات استخدام حرجة موجودة لكنها معطلة، وتصحيح قواعد تنتج إيجابيات كاذبة مرتفعة، وتوثيق إجراءات الفرز المفقودة، وإصلاح مصادر سجلات متقطعة.
متوسط المدى — من ثلاثة إلى ستة أشهر: توسيع تغطية السجلات لأنظمة حرجة غير مغطاة، وتطوير حالات استخدام جديدة لتهديدات غير مرصودة، وتحسين التكامل بين الأدوات، وتدريب المحللين على سيناريوهات متقدمة، ومراجعة مستويات الخدمة مع المزود إذا لزم الأمر.
طويل المدى — من ستة إلى اثني عشر شهرًا: تطبيق نموذج تشغيل مستهدف يوضح الأدوار والمسؤوليات بين الفريق الداخلي والمزود، وبناء قدرات الصيد الاستباقي للتهديدات، وأتمتة الاستجابة للحوادث الشائعة، وإنشاء برنامج تحسين مستمر لحالات الاستخدام.
نربط كل توصية بالضابط التنظيمي ذي الصلة، ونقدّر الجهد والتكلفة التقريبية، ونحدد المسؤول عن التنفيذ — الفريق الداخلي أو المزود أو كلاهما.
في نهاية هذه المرحلة، يحصل العميل على حزمة كاملة من المخرجات.
المخرجات النهائية لتقييم نضج مركز العمليات الأمنية
عند اكتمال المراحل الخمس، يتسلم العميل المخرجات التالية:
- تقرير نضج مركز العمليات: تقييم شامل يغطي الأفراد والعمليات والتقنية، مع تصنيف مستوى النضج لكل بُعد وفق إطار معياري، ومقارنة الأداء الفعلي بالمتطلبات التنظيمية.
- خريطة تغطية الرصد: مخطط بصري يوضح الأنظمة والشبكات والتطبيقات المغطاة بالرصد، والفجوات الحرجة في التغطية، مع توصيات محددة لتوسيع مصادر السجلات.
- قائمة تحسين حالات الاستخدام: جدول يوضح حالات الاستخدام المطلوبة تنظيميًا مقابل الحالات المنفذة، مع تحديد الفجوات والحالات التي تحتاج إلى تحسين الجودة أو تقليل الإيجابيات الكاذبة.
- نموذج التشغيل المستهدف: وثيقة تحدد الأدوار والمسؤوليات بين الفريق الداخلي والمزود الخارجي — إذا كان المركز مسندًا — ومستويات الخدمة المطلوبة، وإجراءات التصعيد، ومؤشرات الأداء الرئيسية لقياس الفعالية.
- خارطة طريق ذات أولويات مقسمة إلى مراحل قصيرة ومتوسطة وطويلة المدى، مع تقدير الجهد والمسؤوليات.
هذه المخرجات ليست وثائق نظرية؛ هي أدوات عمل يستخدمها مدير أمن المعلومات لتخطيط الميزانية، ويستخدمها مدير الأمن التقني لتوجيه فريقه، ويستخدمها مدير العلاقة مع المزود لإعادة التفاوض على نطاق الخدمة، ويستخدمها فريق الامتثال للاستعداد للتفتيش من المركز الوطني الإرشادي للأمن السيبراني.
كيف نبدأ تقييم نضج مركز العمليات الأمنية
ننفذ تقييم نضج مركز العمليات الأمنية خلال ثلاثة إلى خمسة أسابيع، حسب حجم البيئة التقنية وتعقيد نموذج التشغيل — داخلي أو مسند أو هجين. نعمل مع فريقكم ومع المزود إذا لزم الأمر، ونقدم تقييمًا مستقلًا يستند إلى الأدلة الفعلية — ليس إلى الوثائق النظرية أو التقارير الشهرية من المزود.
إذا كنتم تستعدون لتفتيش من المركز الوطني، أو تراجعون عقد المزود الحالي، أو تخططون لبناء قدرات داخلية، أو ترغبون في معرفة ما يرصده مركز عملياتكم فعلًا — وما يفوته — فإن تقييم نضج مركز العمليات الأمنية يمنحكم الوضوح والخطة القابلة للتنفيذ.
