يفرض الضابط 3-3-2 من الضوابط الأساسية للأمن السيبراني الصادرة عن المركز الوطني للأمن السيبراني على الجهات الحيوية إجراء مراقبة الأطراف الثالثة المركز الوطني بشكل مستمر لضمان استمرار امتثال الموردين والشركاء للمتطلبات الأمنية. لكن الإطار لا يحدد بدقة ما الذي يشكل "مراقبة مستمرة" — لا التكرار المطلوب، ولا المحفزات التي توجب إعادة التقييم، ولا شكل الأدلة المقبولة للمراجعين.
هذا الغموض يترك مدراء الامتثال ومسؤولي أمن المعلومات ومسؤولي المشتريات أمام أسئلة عملية: هل يكفي استبيان سنوي؟ هل يجب مراقبة أخبار الاختراقات يومياً؟ كيف نوثق المراقبة بطريقة تقنع المراجعين؟ وما الذي يحدث عندما يتغير وضع مورد بعد التقييم الأولي؟
نشرح في هذا المقال الآليات الأربع التي ننفذها لتحقيق المراقبة المستمرة لمخاطر الأطراف الثالثة، وكيفية توثيق كل منها بما يستوفي توقعات المركز الوطني عند المراجعة.
لماذا لا يكفي التقييم الأولي وحده
عندما تُجري جهة حيوية تقييماً أولياً لمورد — استبيان عناية واجبة، مراجعة عقد، ربما زيارة ميدانية — فإنها تحصل على لقطة ثابتة لوضع المورد في لحظة زمنية محددة. لكن المخاطر السيبرانية ليست ثابتة:
- قد يتعرض المورد لاختراق بعد شهرين من التقييم.
- قد يغير المورد مزود الاستضافة السحابية أو يعيد هيكلة فريق الأمن.
- قد تصدر شهادات الامتثال (ISO 27001 أو SOC 2) ثم تنتهي صلاحيتها دون تجديد.
- قد يُباع المورد لشركة أخرى أو يندمج، فتتغير سياساته وبنيته التحتية بالكامل.
الضابط 3-3-2 يدرك هذا الواقع، ويطلب آلية تكتشف التغييرات الجوهرية في وضع المورد بين التقييمات الدورية. المراقبة المستمرة ليست رفاهية — إنها الفرق بين اكتشاف اختراق مورد في اليوم التالي واكتشافه بعد عام عند التقييم التالي.
الآليات الأربع للمراقبة المستمرة
لا توجد آلية واحدة تحقق المراقبة المستمرة بمفردها. نعتمد على أربع آليات متكاملة، كل منها يغطي نوعاً مختلفاً من المحفزات والمخاطر:
1. تنبيهات التهديدات والاختراقات
نشترك في خدمات استخبارات التهديدات التي تراقب أخبار الاختراقات والثغرات العامة والتسريبات. عندما يُذكر اسم مورد في تقرير اختراق أو تسريب بيانات أو ثغرة حرجة، نتلقى تنبيهاً فورياً.
ما نفعله عند التنبيه:
- نراجع طبيعة الحادث ونطاقه.
- نتواصل مع المورد لطلب تقرير رسمي عن الحادث وخطة المعالجة.
- نقيّم ما إذا كان الحادث يؤثر على البيانات أو الخدمات التي نشاركها معه.
- نوثق التنبيه والاستجابة والقرار (مواصلة العمل، تعليق، إنهاء).
التوثيق المقبول: سجل التنبيهات، المراسلات مع المورد، تقييم الأثر، القرار الموثق.
2. الاستبيانات السنوية أو نصف السنوية
نعيد إرسال استبيان العناية الواجبة للموردين ذوي المخاطر العالية والمتوسطة بشكل دوري — سنوياً للموردين ذوي المخاطر العالية، كل سنتين للموردين ذوي المخاطر المتوسطة.
الاستبيان يغطي:
- التغييرات في البنية التحتية أو مزودي الخدمات الفرعيين.
- تحديثات الشهادات (ISO 27001، SOC 2، PCI DSS).
- حوادث أمنية لم تُعلن عنها علناً.
- تغييرات في سياسات الأمن أو الخصوصية.
- تغييرات في الملكية أو الإدارة.
التوثيق المقبول: الاستبيان المكتمل، الأدلة المرفقة (شهادات محدثة، تقارير تدقيق)، تقرير تقييم يقارن الإجابات بالتقييم السابق.
3. إشعارات الاختراق التعاقدية
نضمّن في الملحق الأمني للعقود بنداً يلزم المورد بإشعارنا خلال مدة محددة (عادة 24 أو 72 ساعة) في حال وقوع أي حادث أمني يؤثر على بياناتنا أو خدماتنا أو قد يؤثر عليها.
هذا البند يحوّل المورد نفسه إلى آلية مراقبة: هو ملزم تعاقدياً بالإبلاغ، وعدم الإبلاغ يشكل إخلالاً بالعقد.
ما نفعله عند الإشعار:
- نطلب تقرير الحادث الكامل.
- نقيّم ما إذا كان الإشعار في الوقت المناسب.
- نراجع خطة المعالجة والإجراءات التصحيحية.
- نقرر ما إذا كان الحادث يستوجب تدقيقاً إضافياً أو إعادة تقييم.
التوثيق المقبول: البند التعاقدي، الإشعار المستلم، تقرير الحادث، تقييم الأثر، القرار.
4. إعادة التقييم عند تجديد العقد أو التوسع
عندما يحين موعد تجديد عقد مورد، أو عندما نخطط لتوسيع نطاق الخدمة (مثلاً إضافة بيانات حساسة جديدة أو نظام جديد)، نعيد التقييم الكامل.
هذه ليست مجرد إعادة توقيع — إنها فرصة لمراجعة:
- هل تغيرت طبيعة البيانات المشتركة؟
- هل تغير تصنيف المخاطر؟
- هل ما زالت الضوابط الأمنية كافية؟
- هل ما زالت البنود التعاقدية تغطي المتطلبات الحالية؟
التوثيق المقبول: تقرير إعادة التقييم، الاستبيان المحدث، العقد المعدل أو المجدد، قرار الموافقة.
كيف نوثق المراقبة المستمرة لمراجعات المركز الوطني
عند المراجعة، لا يكفي أن تقول "نحن نراقب الموردين باستمرار". المراجع يريد أدلة ملموسة على أن المراقبة تحدث فعلاً، وأنها منهجية، وأنها تؤدي إلى قرارات.
ما نحتفظ به:
- سجل الموردين المصنّف: قائمة بجميع الموردين، تصنيف المخاطر، تاريخ التقييم الأخير، تاريخ التقييم القادم.
- سجل التنبيهات: جميع التنبيهات المستلمة، الموردين المعنيين، الإجراءات المتخذة.
- سجل الاستبيانات: متى أُرسل كل استبيان، متى استُلم، النتيجة، الملاحظات.
- سجل الإشعارات: جميع إشعارات الحوادث المستلمة من الموردين، التقييم، القرار.
- سجل إعادة التقييمات: عند كل تجديد عقد أو توسع، تقرير إعادة التقييم والقرار.
هذه السجلات تثبت للمراجع أن المراقبة ليست نشاطاً عشوائياً، بل عملية موثقة ومنهجية.
متى تحتاج جهتك إلى تأسيس آلية المراقبة المستمرة
إذا كانت جهتك تواجه أياً من العلامات التالية، فقد حان الوقت لتأسيس آلية مراقبة مستمرة للأطراف الثالثة:
- لديك موردون يصلون إلى بيانات حساسة أو أنظمة حيوية، وآخر تقييم لهم كان منذ أكثر من سنة.
- تعرض أحد موردينكم لاختراق، واكتشفتم ذلك من الأخبار لا من المورد نفسه.
- تجدد عقود الموردين تلقائياً دون إعادة تقييم أمني.
- ليس لديكم آلية لمعرفة ما إذا كانت شهادات الموردين (ISO 27001، SOC 2) ما زالت سارية.
- تستعدون لمراجعة من المركز الوطني ولا تملكون أدلة على المراقبة المستمرة.
- تعتمدون على استبيان أولي فقط، ولا توجد آلية لاكتشاف التغييرات بعد ذلك.
كيف نؤسس برنامج المراقبة المستمرة
نؤسس برنامج مخاطر الأطراف الثالثة السيبرانية وندير تشغيله: تصنيف الموردين، واستبيانات العناية الواجبة، والبنود التعاقدية، والتقييمات، والمراقبة المستمرة.
العملية تشمل:
الحصر: الموردون والخدمات والبيانات المشتركة.
التصنيف: تصنيف مبني على المخاطر.
التقييم: الاستبيانات والأدلة والمراجعات.
المراقبة: دورة إعادة التقييم ومتابعة الملاحظات.
ما نسلّمه:
سياسة وإجراء مخاطر الأطراف الثالثة.
سجل موردين مصنّف.
مكتبة استبيانات.
ملحق أمني للعقود.
تقارير تقييم الموردين.
المدة: الإعداد 4–6 أسابيع ثم مستمر.
الأطر المدعومة: الضوابط الأساسية للأمن السيبراني (NCA ECC)، الإطار السيبراني لمؤسسة النقد العربي السعودي (SAMA CSF).
الخلاصة: من الامتثال الشكلي إلى المراقبة الفعلية
المراقبة المستمرة للأطراف الثالثة ليست مجرد متطلب تنظيمي — إنها ضرورة عملية لحماية جهتك من المخاطر التي تتطور باستمرار. الضابط 3-3-2 يطلب المراقبة المستمرة، لكنه لا يحدد الآلية. الآليات الأربع — تنبيهات التهديدات، الاستبيانات الدورية، الإشعارات التعاقدية، وإعادة التقييم عند التجديد — تحقق المراقبة بطريقة عملية وقابلة للتوثيق.
إذا كانت جهتك بحاجة إلى تأسيس برنامج مراقبة مستمرة للأطراف الثالثة يستوفي متطلبات المركز الوطني، أو تحتاج إلى مراجعة البرنامج الحالي وتوثيقه للمراجعة القادمة، نحن نساعدكم في بناء الآلية وتشغيلها وتوثيقها بما يتوافق مع الضوابط الأساسية للأمن السيبراني.
