تقييم أمن الطرف الثالث وفق الضابطة ٤-٣-٢ من ضوابط الأمن السيبراني

تواجه المؤسسات الخاضعة لضوابط الأمن السيبراني الأساسية الصادرة عن المركز الوطني للأمن السيبراني تحدياً عملياً متكرراً: كيف تستوفي متطلبات تقييم أمن الطرف الثالث السنوية دون إعادة تدقيق كامل لكل مورّد حرج؟ تنص الضابطة ٤-٣-٢ من ضوابط الأمن السيبراني الأساسية على ضرورة إجراء تقييمات أمنية دورية للأطراف الثالثة الحرجة، لكن كثيراً من مسؤولي المشتريات ومديري الامتثال يفسرون هذا على أنه التزام بإعادة التدقيق الميداني الكامل سنوياً — وهو تفسير مكلف، وغالباً مستحيل تعاقدياً، وليس ما تقصده الضابطة.

هذا الدليل موجّه إلى مسؤولي المشتريات والمستشارين القانونيين ومديري الامتثال المسؤولين عن برامج مخاطر الأطراف الثالثة. نشرح قصد الضابطة، والأنواع الأربعة من الأدلة التي تستوفي التزام المراجعة السنوية، والبند التعاقدي الذي يلزم الموردين بتقديمها.

ما الذي تطلبه الضابطة ٤-٣-٢ فعلاً

تندرج الضابطة ٤-٣-٢ ضمن المجال الرابع من ضوابط الأمن السيبراني الأساسية، وهو مجال أمن الأطراف الثالثة. تطلب الضابطة من المؤسسة إجراء تقييمات أمنية دورية للأطراف الثالثة الحرجة — أي الموردين الذين يعالجون بيانات حساسة أو يقدمون خدمات حرجة أو يتصلون بأنظمة المؤسسة.

القصد من الضابطة ليس إعادة إجراء تدقيق ميداني كامل كل عام، بل التحقق المستمر من أن الوضع الأمني للمورّد لا يزال مقبولاً وأن الضوابط التي اعتمدت عليها المؤسسة عند التعاقد لا تزال فعالة. هذا يعني أن المؤسسة تحتاج إلى أدلة محدّثة، لا إلى تقييم جديد من الصفر.

الفهم الخاطئ الشائع هو أن المراجعة السنوية تعني إعادة إرسال فريق تدقيق إلى مقر المورّد أو إعادة ملء استبيان مفصّل من مئات الأسئلة. هذا ليس عملياً عندما تتعامل المؤسسة مع عشرات الموردين الحرجين، وكثير من الموردين — خاصة الكبار منهم — لن يقبلوا تعاقدياً بإعادة التدقيق السنوية.

الأنواع الأربعة من الأدلة التي تستوفي الالتزام

بدلاً من إعادة التدقيق، يمكن للمؤسسة الاعتماد على أربعة أنواع من الوثائق التي يصدرها المورّد أو جهة مستقلة، وتقدم صورة محدّثة عن وضعه الأمني:

١. تحديث تقرير SOC 2 Type II

تقرير SOC 2 Type II هو تقرير تدقيق مستقل يصدره مدقق خارجي معتمد، يقيّم فعالية الضوابط الأمنية للمورّد على مدى فترة زمنية (عادة ستة أشهر أو سنة). إذا كان المورّد قد قدّم تقرير SOC 2 عند التعاقد، فإن تحديث التقرير السنوي يستوفي متطلب المراجعة الدورية.

المطلوب من المورّد: تقديم أحدث تقرير SOC 2 Type II خلال ثلاثين يوماً من طلب المؤسسة، بشرط ألا يكون تاريخ إصدار التقرير أقدم من اثني عشر شهراً.

٢. ملخص تنفيذي لاختبار الاختراق السنوي

اختبار الاختراق (penetration test) هو محاكاة هجوم سيبراني يجريه فريق أمني مستقل لتقييم قدرة أنظمة المورّد على مقاومة الهجمات. كثير من الموردين الحرجين يجرون اختبارات اختراق سنوية كجزء من برامج الأمن الداخلية.

المطلوب من المورّد: تقديم ملخص تنفيذي (executive summary) لأحدث اختبار اختراق، يتضمن تاريخ الاختبار، والنطاق المختبر، وعدد الثغرات المكتشفة حسب مستوى الخطورة، وحالة المعالجة. لا يُطلب من المورّد تقديم التقرير الفني الكامل — الذي غالباً ما يحتوي على معلومات حساسة — بل ملخص يؤكد أن الاختبار قد أُجري وأن الثغرات الحرجة قد عولجت.

٣. اتجاه فحص الثغرات الفصلي

فحص الثغرات (vulnerability scanning) هو عملية آلية تكشف نقاط الضعف المعروفة في الأنظمة والتطبيقات. على عكس اختبار الاختراق، يُجرى فحص الثغرات بشكل دوري — عادة شهرياً أو فصلياً — ويقدم صورة مستمرة عن الوضع الأمني.

المطلوب من المورّد: تقديم ملخص لنتائج فحص الثغرات الفصلية للأشهر الاثني عشر الماضية، يُظهر الاتجاه (trend) في عدد الثغرات الحرجة والعالية. الاتجاه المقبول هو انخفاض أو استقرار عدد الثغرات الحرجة، مما يدل على أن المورّد يعالج الثغرات بشكل منتظم. ارتفاع مستمر في عدد الثغرات الحرجة يشير إلى ضعف في برنامج إدارة الثغرات.

٤. إفادة الإفصاح عن الحوادث

الحوادث الأمنية — خاصة اختراقات البيانات — تغيّر تقييم مخاطر المورّد بشكل جذري. المؤسسة تحتاج إلى معرفة ما إذا كان المورّد قد تعرض لحادث أمني خلال السنة الماضية، وكيف تعامل معه.

المطلوب من المورّد: إفادة خطية موقّعة من مسؤول تنفيذي في المورّد، تؤكد إما أنه لم يحدث أي حادث أمني جوهري خلال الاثني عشر شهراً الماضية، أو تفصّل أي حادث حدث مع وصف الإجراءات التصحيحية المتخذة. إذا كان الحادث قد أثر على بيانات المؤسسة أو خدماتها، فيجب أن تتضمن الإفادة توضيحاً لذلك.

البند التعاقدي الذي يلزم الموردين بالتقديم

الأدلة الأربعة السابقة لا قيمة لها إذا لم تكن المؤسسة قادرة على طلبها تعاقدياً. كثير من العقود القديمة لا تتضمن بنوداً تلزم المورّد بتقديم أدلة أمنية محدّثة، مما يضع المؤسسة في موقف ضعيف عند المراجعة السنوية.

البند التعاقدي الموصى به يجب أن يتضمن:

• التزام المورّد بتقديم أحد الأدلة الأربعة المذكورة أعلاه (أو أكثر) عند طلب المؤسسة.

• مهلة التقديم: ثلاثون يوماً من تاريخ الطلب الخطي.

• حداثة الأدلة: يجب ألا يكون تاريخ إصدار الوثيقة أقدم من اثني عشر شهراً.

• حق المراجعة الإضافية: إذا أظهرت الأدلة المقدمة تدهوراً جوهرياً في الوضع الأمني (مثل ثغرات حرجة غير معالجة أو حادث أمني جسيم)، يحق للمؤسسة إجراء تقييم إضافي أو إنهاء العقد.

• السرية: تلتزم المؤسسة بالحفاظ على سرية الأدلة المقدمة واستخدامها فقط لأغراض تقييم المخاطر الداخلية.

يجب إدراج هذا البند في جميع العقود الجديدة مع الموردين الحرجين، وتعديل العقود القائمة عند التجديد أو عند إجراء أي تعديل آخر على العقد.

الفجوات الشائعة في برامج مخاطر الأطراف الثالثة

عند تطبيق متطلبات الضابطة ٤-٣-٢، تظهر عدة فجوات متكررة في المؤسسات:

عدم وجود تصنيف واضح للموردين الحرجين: كثير من المؤسسات لا تملك سجلاً محدّثاً لجميع الموردين، ولا تصنيفاً مبنياً على المخاطر يحدد أي الموردين يخضع لمتطلبات المراجعة السنوية. دون هذا التصنيف، تضيع الجهود في مراجعة موردين منخفضي المخاطر بينما يُهمل الموردون الحرجون.

غياب البنود التعاقدية في العقود القديمة: العقود الموقّعة قبل سريان ضوابط الأمن السيبراني الأساسية غالباً لا تتضمن بنوداً تلزم المورّد بتقديم أدلة أمنية. هذا يضع المؤسسة في موقف ضعيف تفاوضياً، وقد يتطلب إعادة التفاوض على العقود — وهي عملية طويلة ومعقدة.

عدم وجود عملية واضحة للمراجعة السنوية: حتى عندما تتوفر الأدلة، كثير من المؤسسات لا تملك إجراء واضحاً لمن يطلب الأدلة، ومن يراجعها، وما هي المعايير المقبولة، وماذا يحدث إذا كانت النتائج غير مرضية. هذا يؤدي إلى تأخيرات وعدم اتساق في التقييم.

عدم ربط المراجعة بإدارة المخاطر المؤسسية: المراجعة السنوية ليست غاية في حد ذاتها، بل وسيلة لتحديث تقييم مخاطر المورّد. إذا لم تُدمج نتائج المراجعة في سجل مخاطر المؤسسة، ولم تُتخذ قرارات بناءً عليها (مثل زيادة المراقبة أو طلب ضوابط إضافية أو إنهاء العلاقة)، فإن المراجعة تصبح مجرد تمرين امتثال شكلي.

ترتيب العمل الموصى به

لبناء برنامج مراجعة سنوية فعال للأطراف الثالثة الحرجة، نوصي بالترتيب التالي:

أولاً: حصر الموردين وتصنيفهم. ابدأ بحصر شامل لجميع الموردين الذين يعالجون بيانات المؤسسة أو يقدمون خدمات حرجة أو يتصلون بأنظمتها. ثم صنّف كل مورّد حسب مستوى المخاطر بناءً على معايير واضحة: نوع البيانات المشتركة، وحساسية الخدمة، ومستوى الوصول إلى الأنظمة، والأثر المحتمل لانقطاع الخدمة أو اختراق البيانات.

ثانياً: مراجعة العقود القائمة. راجع جميع العقود مع الموردين الحرجين لتحديد أيها يتضمن بنوداً تلزم المورّد بتقديم أدلة أمنية محدّثة. للعقود التي لا تتضمن هذه البنود، ضع خطة لتعديلها عند أول فرصة (التجديد أو أي تعديل آخر).

ثالثاً: إعداد الملحق الأمني للعقود الجديدة. أعدّ ملحقاً أمنياً موحداً يتضمن البنود التعاقدية الموصى بها، ليُرفق مع جميع العقود الجديدة مع الموردين الحرجين. هذا يضمن اتساق المتطلبات الأمنية عبر جميع الموردين ويسهّل المراجعة المستقبلية.

رابعاً: بناء عملية المراجعة السنوية. أعدّ إجراءً واضحاً يحدد متى تُطلب الأدلة (مثلاً قبل ثلاثة أشهر من انتهاء السنة الأولى من التعاقد)، ومن يطلبها (عادة قسم المشتريات أو الامتثال)، ومن يراجعها (فريق الأمن السيبراني)، وما هي المعايير المقبولة لكل نوع من الأدلة، وما هي الإجراءات التصعيدية إذا كانت النتائج غير مرضية.

خامساً: إنشاء سجل المراجعات. احتفظ بسجل مركزي لجميع المراجعات السنوية، يتضمن تاريخ الطلب، ونوع الأدلة المطلوبة، وتاريخ الاستلام، ونتيجة المراجعة، وأي إجراءات متخذة. هذا السجل ضروري لإثبات الامتثال للمركز الوطني للأمن السيبراني عند التفتيش.

سادساً: الربط بإدارة المخاطر. تأكد من أن نتائج المراجعة السنوية تُحدّث تقييم مخاطر المورّد في سجل المخاطر المؤسسي، وأن أي مخاطر جديدة أو متزايدة تُعالج وفق إطار إدارة المخاطر المعتمد.

كيف نساعد المؤسسات في بناء برامج مخاطر الأطراف الثالثة

نؤسس برنامج مخاطر الأطراف الثالثة السيبرانية وندير تشغيله: تصنيف الموردين، واستبيانات العناية الواجبة، والبنود التعاقدية، والتقييمات، والمراقبة المستمرة.

العمل يبدأ بحصر الموردين والخدمات والبيانات المشتركة، ثم تصنيف مبني على المخاطر، يليه التقييم من خلال الاستبيانات والأدلة والمراجعات، وأخيراً المراقبة عبر دورة إعادة التقييم ومتابعة الملاحظات.

المخرجات تشمل سياسة وإجراء مخاطر الأطراف الثالثة، وسجل موردين مصنّف، ومكتبة استبيانات، وملحق أمني للعقود، وتقارير تقييم الموردين.

البرنامج يغطي حصر الموردين وتصنيف مخاطرهم، واستبيانات العناية الواجبة، وبنود أمنية للعقود، وتقييمات ميدانية وعن بُعد، ومراقبة مستمرة وإعادة تقييم.

مدة الإعداد من أربعة إلى ستة أسابيع، ثم يستمر البرنامج على أساس تعاقد مستمر لضمان استمرارية المراقبة والمراجعة الدورية.