يحتاج كل مسؤول أمن معلومات يعرض المخاطر على مجلس الإدارة إلى جواب واضح عن سؤال بسيط: ما مقدار الخسارة التي نقبلها؟ ويقود الربط بين ISO 27001 ورغبة المخاطر في مجلس الإدارة إلى إدارة المخاطر السيبرانية بصورة يفهمها أصحاب القرار. فالبند 6.1.2 من المعيار ينتج سجل مخاطر لسيناريوهات تقنية، أما المجلس فيوافق على الرغبة بلغة الأعمال: خسارة الإيرادات، أو الغرامة التنظيمية، أو تسرب بيانات العملاء. يعرض هذا المقال ثلاث خطوات عملية للانتقال من الأول إلى الثاني.
لماذا لا يكفي سجل المخاطر التقني
يصف السجل الناتج عن التقييم أصولًا وتهديدات وثغرات وسيناريوهات، ويصنفها غالبًا بمصفوفة احتمال وأثر. وهذه لغة مفيدة لفريق الأمن، لكنها تضع المجلس أمام سؤال لا يستطيع الإجابة عنه: هل "المخاطرة العالية" مقبولة أم لا؟ وما الفرق بينها وبين "المتوسطة" بالريال؟
ولا يوافق المجلس عادة على ما لا يستطيع قياسه بمعيار يعرفه. لذلك يتحول بيان الرغبة من وثيقة تقنية إلى قرار حوكمة حين يُكتب بمفردات الإيرادات والالتزام التنظيمي وثقة العملاء.
الخطوة الأولى: ربط مخاطر أصول المعلومات بفئات الأثر التجاري
ابدأ من الأصول الحرجة في السجل، ثم اسأل عن كل سيناريو: أي أثر تجاري يترتب عليه إن تحقق؟ ويمكن حصر الفئات في عدد قليل يتفق عليه مع الإدارة المالية والامتثال، مثل:
- انقطاع الخدمة وخسارة الإيرادات المرتبطة به.
- الغرامات والعقوبات من الجهات التنظيمية، مثل البنك المركزي السعودي والهيئة الوطنية للأمن السيبراني والهيئة السعودية للبيانات والذكاء الاصطناعي.
- تسرب بيانات العملاء وما يتبعه من التزامات إخطار وتعويض.
- الإضرار بالسمعة وفقدان الثقة.
والناتج جدول ربط بسيط: كل أصل حرج يُنسب إلى سيناريوهاته، وكل سيناريو إلى فئة أثر واحدة رئيسة أو أكثر. وبهذا يرى المجلس أن "تعطل نظام المدفوعات" ليس بندًا تقنيًا بل خطر على الإيرادات.
الخطوة الثانية: التعبير عن العتبات بالعملة أو النسبة
تقول المصفوفة الملوّنة إن الخطر "مرتفع"، ولا تقول ما الذي يعنيه ذلك. أما العتبة المالية فتحدد الحد الذي يستلزم التصعيد. ويمكن صياغة العتبات بإحدى طريقتين:
- مبلغ مطلق: لا نقبل سيناريو تتجاوز خسارته المتوقعة مبلغًا محددًا في السنة.
- نسبة: لا نقبل أثرًا يتجاوز نسبة معينة من الإيرادات السنوية أو من هامش الربح التشغيلي.
وفي الحالات غير المالية تُستخدم مقاييس زمنية أو عددية، مثل أقصى مدة انقطاع مقبولة لخدمة حرجة، أو أقصى عدد من سجلات العملاء المكشوفة. وتحدد الجهة هذه الأرقام بنفسها مع إدارتها المالية؛ فالمستشار لا يفرضها، بل ينظم النقاش الذي يصل إليها.
ثم يُقارن كل سيناريو في السجل بالعتبة: ما يقع تحتها يُقبل ويُراقب، وما يتجاوزها يستلزم معالجة أو قرارًا صريحًا من المجلس بقبوله.
الخطوة الثالثة: مواءمة البيان مع تصنيفات المخاطر المؤسسية
قد يكون بيان الرغبة سليمًا ومع ذلك يُرفض لأنه يبدو غريبًا عن بقية ما يراه المجلس. فإن كانت المخاطر المؤسسية مصنفة بخمسة مستويات أو بفئات محددة، فاستخدم الفئات نفسها. وعمليًا:
- اطلب من إدارة المخاطر المؤسسية مقاييس التصنيف المعتمدة وسلّم الأثر.
- حوّل عتبات الخطوة الثانية إلى مستويات هذا السلم.
- أدرج المخاطر السيبرانية في الفئات القائمة بدل إنشاء فئة منفصلة بمفردات مختلفة.
- اعرض النتيجة في نموذج التقرير الذي تستخدمه لجنة المخاطر أصلًا.
وحين يتعرف المجلس على الشكل والمفردات، يصبح النقاش حول القرار لا حول الشرح.
متى تحتاج الجهة إلى هذه الخدمة
هناك علامات تدل على أن الوقت قد حان:
- سجل مخاطر مكتمل لا يصل إلى المجلس إلا ملخصًا بألوان دون أرقام.
- تعذر الإجابة عن سؤال: ما مستوى المخاطر السيبرانية المقبول لدينا؟
- اختلاف مقاييس التصنيف بين الأمن السيبراني وإدارة المخاطر المؤسسية.
- طلب من جهة تنظيمية أو مراجع لبيان رسمي معتمد بمستوى المخاطر المقبول.
- تقارير مخاطر ترفع بلا دورية ثابتة أو نموذج موحد.
كيف يبدو الناتج الجيد
الناتج الجيد بيان قصير يقرؤه عضو المجلس في دقائق ويعرف منه ما يقبله وما لا يقبله، مع سجل تحته يبرر كل رقم. وتتوافر فيه الخصائص الآتية:
- عتبات بالعملة أو النسبة يمكن التحقق منها.
- فئات أثر مطابقة لما تستخدمه المخاطر المؤسسية.
- مالك واضح لكل خطر، وموعد لكل خطة معالجة.
- إيقاع ربعي ثابت لرفع التقارير إلى اللجنة والمجلس.
- سجل يستطيع فريق الجهة تحديثه دون الاعتماد على مستشار.
كيف ننفذ ذلك في سيزو
نؤسس إدارة المخاطر السيبرانية أو نطورها: المنهجية، ومستوى المخاطر المقبول، والتقييم، والمعالجة، ورفع التقارير، متكاملة مع إطار المخاطر المؤسسي. ويستغرق المشروع من 6 إلى 8 أسابيع، ويسير في أربع مراحل:
- المواءمة: الاتفاق على المنهجية والمقاييس مع إدارة المخاطر المؤسسية.
- التحديد: الأصول الحرجة والتهديدات والسيناريوهات.
- التقييم: الاحتمالية والأثر مع مالكي المخاطر.
- المعالجة: خطط متفق عليها، والمخاطر المتبقية، ورفع التقارير.
وتشمل المخرجات إطار إدارة المخاطر السيبرانية، وبيان مستوى المخاطر المقبول، وسجل مخاطر مكتملًا، وخطط معالجة المخاطر، ونموذج تقرير المخاطر الربعي. ونعمل بما يتواءم مع أطر SAMA CSF وNCA ECC وISO 27001. والغاية منهجية مخاطر تعرفها لجنة المخاطر، وسجل يحافظ عليه فريقكم.
الخلاصة
لا يحتاج المجلس إلى سجل أطول، بل إلى بيان أوضح: أثر تجاري مسمّى، وعتبة بالعملة أو النسبة، وتصنيف يعرفه. فإن كان لديكم سجل مخاطر وفق ISO 27001 ولم يتحول بعد إلى بيان رغبة يقرّه المجلس، فخدمة إدارة المخاطر السيبرانية لدينا هي الخطوة التالية. تواصلوا معنا لمناقشة وضع جهتكم وتحديد نقطة البدء.
