تبدأ مخاطر الأطراف الثالثة عادةً قبل التوقيع لا بعده. ومع ذلك، تجمع معظم القوائم المعتمدة في المشتريات إقرارات عامة من نوع «نلتزم بأفضل الممارسات»، وهي لا تُثبت شيئًا عند المراجعة. تقدم هذه المقالة قائمة فحص مخاطر الأطراف الثالثة وفق إطار الأمن السيبراني الوطني يمكن تطبيقها في اليوم نفسه، وتستند إلى متطلبات الهيئة الوطنية للأمن السيبراني في ضوابط الأمن السيبراني الأساسية (NCA ECC) المتعلقة بالخدمات السحابية والأطراف الثالثة.
كيف تُستخدم القائمة
اعتمد مبدأً واحدًا: لا يُوقَّع عقد مع مورد مصنّف عالي المخاطر قبل اكتمال المستندات السبعة أدناه. أما الموردون الأقل أثرًا فيُطلب منهم جزء منها بحسب التصنيف. والغاية أن يكون كل مستند دليلًا يمكن عرضه على المراجع الداخلي، وعلى الجهة الرقابية، وعلى شركة التأمين السيبراني عند تجديد الوثيقة، دون إعادة جمعه.
أولًا: المستندات السبعة قبل التوقيع
- تقرير SOC 2 النوع الثاني مع تأكيد النطاق. اطلب التقرير كاملًا، وتحقق من أن نطاقه يغطي الخدمة التي ستشتريها فعلًا، وأن فترة الاختبار حديثة، وأن الاستثناءات المسجلة مفهومة. تقرير يغطي منتجًا آخر لا قيمة له لك.
- إقرار إقامة البيانات. يحدد مواقع التخزين والمعالجة والنسخ الاحتياطي والدعم. يهم ذلك لأن متطلبات الجهات السعودية، ومنها الهيئة السعودية للبيانات والذكاء الاصطناعي ونظام حماية البيانات الشخصية، ترتبط بمكان البيانات ونقلها خارج المملكة.
- اتفاقية مستوى الخدمة للإبلاغ عن الحوادث. مدة إشعار محددة، وقناة اتصال، والحد الأدنى للمعلومات المطلوبة. فمن دونها قد تعلم مؤسستك بالحادث بعد أن تتأخر مهل إبلاغ البنك المركزي السعودي أو الجهة المختصة.
- قائمة المعالجين الفرعيين. أسماؤهم ومواقعهم والخدمات التي يؤدونها، مع التزام بإشعارك قبل أي تغيير. فالمخاطر كثيرًا ما تقع في الحلقة الرابعة التي لم تتعاقد معها.
- ملخص اختبار الاختراق. ملخص تنفيذي حديث من جهة مستقلة يبين النطاق والمنهجية وحالة معالجة النتائج الحرجة. لا حاجة للتقرير التفصيلي، لكن الملخص يجب أن يكون قابلًا للتحقق.
- خطة استمرارية الأعمال وملخص آخر اختبار لها. تتضمن أهداف زمن التعافي ونقطة التعافي، وتُقارَن بما تحتاجه خدماتك الحرجة. خطة لم تُختبر وعدٌ لا دليل.
- شهادة التأمين. تثبت نوع التغطية وحدودها وتاريخ سريانها. تطلب شركات التأمين السيبراني عادةً معرفة كيف تُدار مخاطر مورديك، وهذه الشهادة تُغلق جزءًا من هذا السؤال.
ثانيًا: ثلاثة أشكال للأدلة وفق الملحق أ.5.19
يتناول الملحق أ.5.19 في ISO/IEC 27001 أمن المعلومات في علاقات الموردين. ولكي يُغني ملف واحد عن ملفين، صنّف كل ما تجمعه في ثلاثة أشكال:
- استجابات الاستبيان. إجابات مكتوبة وموقّعة من مسؤول لدى المورد، مرتبطة بمستند داعم لكل إجابة جوهرية، لا «نعم» مجردة.
- بنود العقد. نصوص ملزمة تغطي الإبلاغ عن الحوادث، وحق التدقيق، وإقامة البيانات، والمعالجين الفرعيين، وإنهاء الخدمة وإعادة البيانات. هي الدليل على أن الالتزام تعاقدي.
- التقييمات المستقلة. تقارير SOC 2 أو شهادات أو ملخصات اختبار من طرف مستقل، وهي أقوى الأشكال لأنها لا تعتمد على إفادة المورد وحده.
اربط كل مستند من السبعة بشكل أو أكثر من هذه الأشكال في سجل واحد. مثلًا: قائمة المعالجين الفرعيين تُحفظ كاستجابة استبيان وكبند عقدي معًا، وتقرير SOC 2 يُحفظ كتقييم مستقل.
ثالثًا: أخطاء شائعة
- قبول شهادة بلا نطاق مكتوب، فلا يُعرف ما الذي تغطيه.
- ترك المستندات في بريد المشتريات بدل سجل موردين موحّد.
- جمع الأدلة مرة واحدة دون تاريخ مراجعة، فتنتهي صلاحيتها بصمت.
- تطبيق القائمة نفسها على كل مورد دون تصنيف مبني على المخاطر.
رابعًا: ما بعد التوقيع
لا تنتهي العناية الواجبة بالتوقيع. حدد دورة إعادة تقييم بحسب فئة المورد، وتابع الملاحظات المفتوحة حتى إغلاقها، واحتفظ بتاريخ انتهاء لكل مستند حتى يُطلب تحديثه قبل أن يتقادم.
كيف تساعدك سيزو
نؤسس برنامج مخاطر الأطراف الثالثة السيبرانية وندير تشغيله: تصنيف الموردين، واستبيانات العناية الواجبة، والبنود التعاقدية، والتقييمات، والمراقبة المستمرة. نبدأ بحصر الموردين والخدمات والبيانات المشتركة، ثم نصنفهم على أساس المخاطر، ثم نقيّمهم عبر الاستبيانات والأدلة والمراجعات، ونتابعهم بدورة إعادة تقييم. وتشمل مخرجاتنا سياسة وإجراء لمخاطر الأطراف الثالثة، وسجل موردين مصنّفًا، ومكتبة استبيانات، وملحقًا أمنيًا للعقود، وتقارير تقييم الموردين. يستغرق الإعداد من 4 إلى 6 أسابيع ثم يستمر التشغيل بصيغة اتفاق دوري. وإن رغبتم في تحويل هذه القائمة إلى برنامج موثّق يلبي NCA ECC وإطار SAMA CSF، فيسعدنا مناقشة نطاقه معكم.
