عندما تقدّم مؤسسة طلب تأمين سيبراني، يصلها خلال أيام طلب أدلة لا يكتفي بالإقرار بوجود الضوابط. وتتركز متطلبات أدلة التأمين السيبراني في إطار الضوابط السيبرانية الأساسية (NCA ECC) الصادر عن الهيئة الوطنية للأمن السيبراني على مجال إدارة المخاطر السيبرانية، لأن المكتتب يقرأ منه كيف تفهم المؤسسة خسائرها المحتملة وكيف تديرها. يوضح هذا المقال الأدلة الستة التي يتحقق منها المكتتبون أولًا، وثلاث صيغ لسجل المخاطر تجعل العرض أسرع وأقرب إلى السعر الذي تستحقه المؤسسة.
لماذا يبدأ المكتتب من إدارة المخاطر
يسعّر المكتتب احتمال الخسارة وحجمها. وسجل المخاطر هو أقرب وثيقة داخل المؤسسة تعبّر عن ذلك. فإذا وجد فيه عبارات مثل «احتمال متوسط وأثر عالٍ» دون مبلغ أو فرضية، لم يستطع تحويله إلى رقم، فيطرح أسئلة إضافية أو يضيف استثناءات أو يرفع القسط احتياطًا. أما إذا وجد سيناريوهات واضحة ومحسوبة، فيستطيع مقارنتها بالحد المطلوب ومبلغ التحمل.
الأدلة الستة التي يطلبها المكتتبون أولًا
الترتيب التالي يعكس ما يُطلب عادة أولًا في الممارسة، وهو ليس نصًا حرفيًا من الإطار. والمطلوب في كل بند وثيقة قابلة للفحص لا وصف عام.
- منهجية إدارة المخاطر السيبرانية المعتمدة: وثيقة معتمدة من الإدارة العليا تحدد كيف تُحدَّد المخاطر وتُقيَّم وتُعالج، مع تاريخ آخر مراجعة.
- سجل المخاطر المحدّث: بتواريخ حديثة، ومالك لكل خطر، وحالة معالجة واضحة.
- تقييم المخاطر عند التغيير: دليل على أن المشاريع والأنظمة الجديدة والتغييرات الجوهرية تخضع لتقييم مخاطر قبل التشغيل.
- خطط المعالجة ومتابعتها: خطط بمواعيد ومسؤولين، ومحاضر متابعة تبيّن ما أُغلق وما تأخر ولماذا.
- تقارير المخاطر إلى الإدارة العليا: محاضر أو عروض تثبت أن اللجنة المعنية أو الإدارة تطّلع على المخاطر وتقرر بشأنها.
- مخاطر الأطراف الثالثة: سجل بالمزودين الحرجين وما أُجري عليهم من تقييم، لأن المكتتب يبحث عن الخسائر التي تنشأ من خارج حدود المؤسسة.
ويُفضّل أن يُحفظ لكل دليل تاريخه ومصدره ومن اعتمده، فاستجابة المؤسسة في اليوم الأول تعطي المكتتب انطباعًا عن نضجها.
ثلاث صيغ لسجل المخاطر تعرض الخسائر المحسوبة
لا يعني هذا التخلي عن السجل القائم. الفكرة إضافة طبقة مالية فوقه تُترجم فيها نتائج الامتثال إلى سيناريوهات يمكن تسعيرها.
الصيغة الأولى: سيناريو بمدى مالي
يُكتب كل خطر رئيس كسيناريو محدد، مثل تعطل نظام حرج بسبب برنامج فدية، ويُقدَّر له مدى بين حد أدنى وأقصى للخسارة بدل درجة واحدة. ويُذكر ما بُني عليه التقدير: مدة التوقف، وعدد السجلات المتأثرة، وتكلفة الاستجابة.
الصيغة الثانية: تفصيل الخسارة بحسب بنود التغطية
يُفكَّك كل سيناريو إلى بنود تقابل ما تغطيه الوثائق عادة: تكاليف الاستجابة والتحقيق، وانقطاع الأعمال، والمسؤولية تجاه الغير، والغرامات التنظيمية حيث يجوز التأمين عليها. وبهذا يرى المكتتب أي جزء من الخسارة يقع داخل التغطية وأي جزء يبقى على المؤسسة.
الصيغة الثالثة: قبل الضوابط وبعدها
يُعرض السيناريو نفسه بقيمتين: الخسارة قبل أثر الضوابط المطبقة، والخسارة المتبقية بعدها، مع ربط كل فرق بدليل من الأدلة الستة. وهكذا يصبح الدليل مبررًا ماليًا لتخفيض القسط لا مجرد ملف مرفق.
وفي الصيغ الثلاث يجب أن تُذكر الفرضيات بصراحة. فالتقدير المعلن الفرضيات أكثر إقناعًا للمكتتب من رقم دقيق المظهر لا سند له.
كيف نعمل على الجاهزية
في سيزو نقدّم تقييم الجاهزية للتأمين السيبراني، وفيه نقيّم ضوابطكم كما يقيّمها مكتتبو التأمين. يمر العمل بأربع مراحل: التعرف على الأعمال والأنظمة والتغطية الحالية أو المخطط لها، ثم التقييم باختبار ضوابط الاكتتاب لا السؤال عنها فقط، ثم المعالجة بمكاسب سريعة وإصلاحات حسب الأولوية، ثم تجهيز حزمة الأدلة والإجابات للسوق. وتستغرق مرحلة التقييم ٣–٤ أسابيع.
وتشمل المخرجات تقرير الجاهزية والدرجة، وحزمة الأدلة، وخطة معالجة مرتبة حسب أثرها على الاكتتاب. ويستند التحليل إلى SAMA CSF وNCA ECC وISO 27001. وحين تحتاج المؤسسة إلى أرقام تدعم الحدود ومبالغ التحمل، نقدّر الأثر المالي لأرجح السيناريوهات السيبرانية وأشدها بما يخدم قرار الشراء. وعند وقوع حادث، نساعد في استيفاء شروط الوثيقة من الإشعار في الوقت المناسب وسجلات التكاليف والأدلة التي تحتاجها شركة التأمين.
ولا بد من توضيح الدور: لسنا شركة تأمين ولا وسيطًا، بل نعمل إلى جانب وسيطكم لتحسين موقفكم.
خطوات عملية قبل تقديم الطلب
- اجمعوا الأدلة الستة في ملف واحد بتواريخ وأسماء معتمِدين.
- حدّثوا سجل المخاطر وأضيفوا إليه سيناريوهات الخسارة بمدى مالي وفرضيات مكتوبة.
- اربطوا كل ضابط مطبق بسيناريو يخفف أثره.
- راجعوا الفجوات وحددوا ما يمكن إغلاقه قبل التوجه للسوق.
الخلاصة
يُفضّل أن يبدأ الاستعداد قبل التجديد أو قبل التوجه للسوق أول مرة بثلاثة إلى أربعة أشهر، فبعض الفجوات يحتاج وقتًا لإغلاقه وإثباته. وإذا أردتم معرفة موقفكم كما سيراه المكتتب، فتقييم الجاهزية للتأمين السيبراني نقطة بداية عملية لتجهيز الأدلة وسد الفجوات قبل أن يطلبها السوق.
