عند التقدم للحصول على تأمين سيبراني أو تجديده، لا يفحص المكتتب كل ضابط أمني بالتساوي. بدلاً من ذلك، يركز على عدد محدود من الضوابط التي أثبتت البيانات الاكتتابية أنها تتنبأ بتكرار المطالبات وحجمها. بالنسبة للمؤسسات السعودية المنظمة التي تطبق ISO 27001 أو تستعد لتطبيقه، فإن فهم أي ضوابط من الملحق A يفحصها مكتتب التأمين السيبراني أولاً — وما هي الأدلة الدقيقة المطلوبة — يحدد القسط والاستثناءات والشروط قبل حتى الوصول إلى الاستبيان التفصيلي.
هذا المقال يحدد الضوابط الخمسة ذات الأولوية من ISO 27001:2022 الملحق A، والأدلة الدقيقة المطلوبة لكل ضابط، والصيغ المقبولة، والفجوات الثلاث في التوثيق التي تثير الاستثناءات أو زيادة القسط قبل التفاوض على التغطية.
لماذا يعطي المكتتبون الأولوية لضوابط محددة من الملحق A
تستند شركات التأمين في قرارات الاكتتاب إلى البيانات التاريخية للمطالبات. عبر آلاف المطالبات، يتضح أن غياب ضوابط معينة يرتبط ارتباطًا وثيقًا بحوادث الفدية والاختراق وانقطاع الأعمال. لذلك، يفحص المكتتبون هذه الضوابط بدقة أكبر ويطلبون أدلة موثقة — وليس مجرد إجابة "نعم" في استبيان — قبل تسعير الوثيقة أو إصدارها.
بالنسبة للمؤسسات السعودية الخاضعة لرقابة البنك المركزي السعودي (ساما) أو الهيئة الوطنية للأمن السيبراني، فإن هذه الضوابط الخمسة تتقاطع أيضًا مع متطلبات الإطار السيبراني لساما والضوابط الأساسية للأمن السيبراني للهيئة الوطنية، مما يجعل التوثيق الجيد لها يخدم غرضين: الامتثال التنظيمي والأهلية للتأمين بشروط أفضل.
الضوابط الخمسة ذات الأولوية والأدلة المطلوبة لكل منها
1. A.5.24 تخطيط إدارة حوادث أمن المعلومات والاستعداد لها
يريد المكتتب أن يعرف أن المؤسسة قادرة على احتواء الحادث بسرعة، والإشعار في الوقت المناسب، والحفاظ على الأدلة — لأن التأخير في الاحتواء يضاعف تكلفة المطالبة.
الأدلة المطلوبة:
- السياسة: وثيقة سياسة إدارة الحوادث السيبرانية تحدد الأدوار والمسؤوليات وتسلسل التصعيد.
- الإجراء: إجراء تشغيلي يصف خطوات الاحتواء والتحقيق والإشعار والتعافي.
- سجل الاختبار: تقرير من تمرين طاولة (tabletop exercise) أو محاكاة حادث أُجري خلال الاثني عشر شهرًا الماضية، يتضمن التاريخ والمشاركين والسيناريو والنتائج.
- قائمة الجهات المعتمدة: أسماء وبيانات الاتصال للاستشاريين أو شركات الاستجابة للحوادث المتعاقد معها مسبقًا، إن وُجدت.
الصيغ المقبولة: PDF للسياسة والإجراء، جدول بيانات أو PDF لسجل التمرين.
الفجوة الشائعة: سياسة موجودة لكن لا يوجد سجل اختبار حديث. المكتتبون يعتبرون الخطة غير المختبرة بمثابة عدم وجود خطة، ويضيفون استثناءً أو يرفعون القسط.
2. A.8.8 إدارة النسخ الاحتياطي
النسخ الاحتياطي غير القابل للتغيير والمختبر هو الفارق بين التعافي السريع ودفع فدية. يفحص المكتتبون هذا الضابط بدقة لأن غيابه يحوّل حادث الفدية من انقطاع قصير إلى مطالبة كبيرة.
الأدلة المطلوبة:
- السياسة: سياسة النسخ الاحتياطي تحدد التكرار ونطاق البيانات ومدة الاحتفاظ والعزل (air-gap أو immutable storage).
- الإجراء: إجراء يصف كيفية تنفيذ النسخ الاحتياطي واختبار الاستعادة.
- سجل الاختبار: سجل اختبارات الاستعادة (restore tests) خلال الستة أشهر الماضية، يتضمن التاريخ والنظام المستعاد والنتيجة (نجاح أو فشل) والوقت المستغرق.
- لقطة شاشة أو تقرير: من نظام النسخ الاحتياطي يظهر آخر نسخة احتياطية ناجحة وحالة العزل (immutability).
الصيغ المقبولة: PDF للسياسة والإجراء، جدول بيانات أو PDF لسجل الاختبار، لقطة شاشة (PNG أو PDF) من لوحة تحكم النظام.
الفجوة الشائعة: وجود نسخ احتياطية لكن لا يوجد سجل اختبار استعادة منتظم. المكتتبون يطلبون دليلاً على أن النسخ الاحتياطية تعمل فعلاً، وليس فقط أنها موجودة.
3. A.8.16 أنشطة المراقبة
القدرة على اكتشاف التهديدات مبكرًا تقلل وقت البقاء (dwell time) وبالتالي حجم الضرر. يفحص المكتتبون ما إذا كانت المؤسسة تراقب السجلات والشبكة والنقاط الطرفية بشكل فعّال.
الأدلة المطلوبة:
- السياسة أو الإجراء: وثيقة تصف نطاق المراقبة (endpoints, network, cloud)، والأدوات المستخدمة، وتكرار المراجعة، وإجراءات التنبيه.
- قائمة الأدوات: جدول بيانات أو قسم في الإجراء يسرد أدوات SIEM أو EDR أو XDR المستخدمة، مع تاريخ التفعيل.
- عينة سجل أو تقرير: لقطة شاشة من لوحة تحكم SIEM أو تقرير شهري يظهر عدد التنبيهات والحوادث المحققة.
- سجل المراجعة: سجل يوضح أن السجلات تُراجع بانتظام (أسبوعيًا أو شهريًا) وأن التنبيهات تُحقق فيها.
الصيغ المقبولة: PDF للسياسة، جدول بيانات للأدوات، لقطة شاشة أو PDF للتقرير.
الفجوة الشائعة: أدوات مُثبّتة لكن لا يوجد دليل على المراجعة المنتظمة أو التحقيق في التنبيهات. المكتتبون يعتبرون المراقبة غير المُدارة بمثابة عدم وجود مراقبة.
4. A.5.23 أمن المعلومات لاستخدام الخدمات السحابية
مع انتقال الأنظمة الحرجة إلى السحابة، يريد المكتتبون التأكد من أن المؤسسة تفهم مسؤولياتها في النموذج المشترك (shared responsibility model) وتطبق الضوابط المناسبة.
الأدلة المطلوبة:
- السياسة: سياسة استخدام الخدمات السحابية تحدد مقدمي الخدمة المعتمدين ومتطلبات الأمان والتشفير والوصول.
- قائمة الخدمات: جدول بيانات يسرد الخدمات السحابية المستخدمة، ونوع البيانات المخزنة، وحالة التشفير (at rest وin transit)، وحالة المصادقة متعددة العوامل (MFA).
- لقطة شاشة أو تقرير: من لوحة تحكم السحابة يظهر تفعيل MFA على الحسابات الإدارية، وتفعيل التشفير، وسجلات الوصول.
- عقد أو اتفاقية: نسخة من اتفاقية مستوى الخدمة (SLA) أو شروط الخدمة التي تحدد مسؤوليات الأمان.
الصيغ المقبولة: PDF للسياسة والعقد، جدول بيانات للخدمات، لقطة شاشة (PNG أو PDF) من لوحة التحكم.
الفجوة الشائعة: استخدام خدمات سحابية دون توثيق واضح للضوابط المطبقة أو دون تفعيل MFA على جميع الحسابات الإدارية. هذا يؤدي إلى استثناء صريح في الوثيقة يستبعد الخسائر الناتجة عن اختراق الخدمات السحابية.
5. A.8.7 الحماية من البرمجيات الخبيثة
الحماية من البرمجيات الخبيثة — خاصة الفدية — هي أساس أي برنامج أمني. المكتتبون يفحصون التغطية والتحديث والإدارة المركزية.
الأدلة المطلوبة:
- السياسة أو الإجراء: وثيقة تصف الأدوات المستخدمة (antivirus, EDR)، ونطاق التغطية (endpoints, servers)، وتكرار التحديث، وإجراءات الاستجابة للكشف.
- قائمة الأدوات: جدول بيانات يسرد الأدوات المستخدمة، وعدد الأجهزة المحمية، وتاريخ آخر تحديث للتعريفات.
- لقطة شاشة أو تقرير: من لوحة تحكم الأداة يظهر نسبة التغطية (مثلاً 98% من الأجهزة محمية)، وحالة التحديثات، وعدد التهديدات المكتشفة والمحظورة خلال الشهر الماضي.
- سجل الفحص: سجل يوضح أن الفحوصات الدورية (scheduled scans) تعمل وأن النتائج تُراجع.
الصيغ المقبولة: PDF للسياسة، جدول بيانات للأدوات، لقطة شاشة أو PDF للتقرير.
الفجوة الشائعة: تغطية جزئية (مثلاً الأجهزة المكتبية محمية لكن الخوادم أو الأجهزة المحمولة غير محمية)، أو تحديثات متأخرة. المكتتبون يرفعون القسط أو يضيفون استثناءً للأجهزة غير المحمية.
الصيغ المقبولة لحزمة الأدلة
المكتتبون يقبلون الأدلة بصيغ محددة لأنها قابلة للمراجعة والأرشفة:
- PDF: للسياسات والإجراءات والعقود والتقارير السردية.
- جداول البيانات (Excel أو CSV): للقوائم والسجلات وجداول الاختبار.
- لقطات الشاشة (PNG أو PDF): من لوحات التحكم والأنظمة، بشرط أن تكون واضحة وتحمل تاريخًا مرئيًا.
الصيغ غير المقبولة عادة: صور فوتوغرافية غير واضحة، ملفات Word قابلة للتعديل (يُفضّل تحويلها إلى PDF)، روابط إلى أنظمة داخلية لا يمكن للمكتتب الوصول إليها.
الفجوات الثلاث في التوثيق التي ترفع القسط أو تضيف الاستثناءات
حتى لو كانت الضوابط مطبقة فعليًا، فإن ثلاث فجوات في التوثيق تثير قلق المكتتبين وتؤدي إلى شروط أقل مواتاة:
1. السياسة موجودة لكن لا يوجد دليل على التنفيذ
سياسة نسخ احتياطي ممتازة لكن لا يوجد سجل اختبار استعادة، أو سياسة إدارة حوادث لكن لا يوجد تمرين طاولة. المكتتبون يعتبرون السياسة غير المختبرة وعدًا وليس ضابطًا.
الأثر: زيادة القسط أو إضافة شرط يلزم المؤسسة بإجراء اختبار خلال فترة محددة وإرسال النتيجة، وإلا تُلغى التغطية أو تُعدّل.
2. التوثيق قديم أو غير محدّث
سجل اختبار من قبل عامين، أو لقطة شاشة لا تحمل تاريخًا واضحًا. المكتتبون يريدون أدلة حديثة (عادة خلال الاثني عشر شهرًا الماضية، وستة أشهر للنسخ الاحتياطي والمراقبة).
الأثر: طلب أدلة محدثة قبل إصدار الوثيقة، مما يؤخر التغطية أو يؤدي إلى رفض الطلب إذا لم تُقدّم الأدلة.
3. تغطية جزئية دون توضيح
مثلاً، حماية من البرمجيات الخبيثة على 80% من الأجهزة دون توضيح سبب استثناء الـ 20% المتبقية، أو مراقبة للشبكة لكن ليس للسحابة. المكتتبون يفترضون أن الفجوة تمثل خطرًا غير مُدار.
الأثر: استثناء صريح في الوثيقة يستبعد الخسائر الناتجة عن الأجهزة أو الأنظمة غير المغطاة، أو زيادة القسط لتعويض الخطر الإضافي.
متى تحتاج المؤسسة إلى تقييم الجاهزية للتأمين السيبراني
المؤسسات السعودية تحتاج إلى هذا التقييم في ثلاث حالات:
قبل التقدم للتأمين السيبراني لأول مرة: لتجنب الرفض أو الشروط القاسية بسبب فجوات توثيق يمكن سدها بسرعة.
قبل التجديد بثلاثة إلى أربعة أشهر: لتحسين الموقف الأمني وتوثيقه قبل إعادة التقييم، خاصة إذا ارتفع القسط في العام السابق أو أُضيفت استثناءات.
بعد تغيير كبير في البنية التحتية: مثل الانتقال إلى السحابة، أو دمج شركة، أو تطبيق نظام جديد — أي تغيير يؤثر على الضوابط الخمسة المذكورة أعلاه.
العلامات التي تشير إلى أن الوقت قد حان:
- تلقي استبيان اكتتاب طويل ولا تتوفر لديكم الأدلة المطلوبة.
- وسيط التأمين يطلب توضيحات حول ضوابط معينة.
- شركة التأمين تعرض شروطًا بها استثناءات واسعة أو قسط أعلى من المتوقع.
- المراجع الداخلي أو الخارجي يشير إلى فجوات في التوثيق.
كيف نجري تقييم الجاهزية للتأمين السيبراني
نقيّم ضوابطكم كما يقيّمها مكتتبو التأمين، ونسد الفجوات التي ترفع الأقساط وتضيف الاستثناءات، ونجهّز الأدلة قبل التوجه للسوق.
العملية:
نبدأ بمرحلة التعرف حيث نفهم الأعمال والأنظمة والتغطية الحالية أو المخطط لها. نراجع أي وثائق موجودة ونحدد نطاق الأصول والبيانات الحرجة.
ثم ننتقل إلى التقييم حيث نختبر ضوابط الاكتتاب لا نسأل عنها فقط. نفحص الضوابط الخمسة ذات الأولوية ونطلب الأدلة الفعلية — السياسات والإجراءات وسجلات الاختبار ولقطات الشاشة — ونقيّم جودتها وحداثتها وفقًا لمعايير الاكتتاب.
في مرحلة المعالجة نحدد المكاسب السريعة — الإصلاحات التي يمكن إنجازها خلال أيام أو أسابيع — والإصلاحات الأطول أجلاً، ونرتبها حسب أثرها على الاكتتاب. نساعدكم على إغلاق الفجوات الثلاث الشائعة: إجراء الاختبارات المفقودة، وتحديث التوثيق، وتوضيح التغطية الجزئية.
أخيرًا، في مرحلة التجهيز نعد حزمة الأدلة والإجابات للسوق — حزمة منظمة تحتوي على كل الوثائق المطلوبة بالصيغ المقبولة، جاهزة لإرسالها إلى الوسيط أو المكتتب مباشرة.
المخرجات:
- تقرير الجاهزية والدرجة: تقييم واضح لموقفكم مقابل توقعات الاكتتاب، مع درجة لكل ضابط.
- حزمة الأدلة: ملفات منظمة (PDF، جداول بيانات، لقطات شاشة) لكل ضابط من الضوابط الخمسة، جاهزة للتقديم.
- خطة معالجة مرتبة حسب أثرها على الاكتتاب: قائمة بالإصلاحات مرتبة حسب تأثيرها على القسط والشروط، مع تقدير للجهد والوقت.
المدة: ثلاثة إلى أربعة أسابيع من بداية التقييم إلى تسليم الحزمة.
الأطر المرجعية: نراجع الضوابط مقابل ISO 27001 والإطار السيبراني لساما والضوابط الأساسية للأمن السيبراني للهيئة الوطنية، لضمان التوافق مع المتطلبات التنظيمية والاكتتابية معًا.
الأسئلة الشائعة
هل تبيعون التأمين؟
لا، لسنا شركة تأمين ولا وسيطًا، بل نعمل إلى جانب وسيطكم لتحسين موقفكم.
متى نبدأ؟
يُفضّل قبل التجديد أو قبل التوجه للسوق أول مرة بثلاثة إلى أربعة أشهر، لإتاحة الوقت الكافي لسد الفجوات وإجراء الاختبارات المطلوبة.
الخلاصة: كونوا مؤهلين للتأمين بشروط أفضل
مكتتبو التأمين السيبراني لا يفحصون كل ضابط بالتساوي. يركزون على خمسة ضوابط من ISO 27001 الملحق A — تخطيط الحوادث، والنسخ الاحتياطي، والمراقبة، وأمن السحابة، والحماية من البرمجيات الخبيثة — لأنها تتنبأ بتكرار المطالبات وحجمها. الأدلة الدقيقة المطلوبة لكل ضابط، والصيغ المقبولة، والفجوات الثلاث في التوثيق (عدم وجود دليل على التنفيذ، والتوثيق القديم، والتغطية الجزئية غير الموضحة) تحدد القسط والاستثناءات قبل التفاوض على التغطية.
إذا كنتم تستعدون للتقدم للتأمين السيبراني أو التجديد، أو تلقيتم شروطًا بها استثناءات واسعة أو قسط أعلى من المتوقع، فإن تقييم الجاهزية للتأمين السيبراني يساعدكم على سد الفجوات وتجهيز الأدلة وتحسين موقفكم قبل التوجه للسوق — لتكونوا مؤهلين للتأمين بشروط أفضل.
