يسأل كثير من الرؤساء التنفيذيين والمديرين الماليين وأعضاء مجالس الإدارة عن إمكان تعيين مسؤول أمن معلومات افتراضي وفق ضوابط الهيئة الوطنية للأمن السيبراني بدلًا من توظيف تنفيذي بدوام كامل. الجواب العملي أن ضوابط الأمن السيبراني (NCA ECC) تتطلب تعيين مسؤول مؤهل وإخطار الجهة الرقابية بذلك، ولا تحظر الترتيبات الافتراضية صراحة. غير أن غياب الحظر لا يعني قبولًا تلقائيًا؛ فالفاحص ينظر في جوهر الترتيب: من يتولى المسؤولية، وبأي مؤهلات، وبأي وقت، وأمام من يُساءل.
ما الذي يتطلبه الضابط فعليًا
يقوم الضابط 1-2-3 على فكرة بسيطة: يجب أن تكون للأمن السيبراني قيادة مسماة ومؤهلة ومعلنة للجهة الرقابية. وعند الإخطار بمسؤول افتراضي، تتحقق الهيئة الوطنية للأمن السيبراني والجهات القطاعية، مثل البنك المركزي السعودي وهيئة السوق المالية وهيئة الاتصالات والفضاء والتقنية، من أربعة معايير متقاربة. هذا المقال يعرضها كما يتعامل معها الممارسون، وليس بوصفها نصًا حرفيًا في الضابط.
معايير التأهيل الأربعة
1. الشهادات المهنية
يتوقع الفاحص شهادة معترفًا بها مثل CISSP أو CISM أو ما يعادلها. والمطلوب في الملف نسخة سارية من الشهادة ورقم التحقق منها، لا مجرد الإشارة إليها في السيرة الذاتية. والفجوة الشائعة هنا شهادة منتهية أو شهادة في تخصص تقني ضيق لا يغطي الحوكمة وإدارة المخاطر.
2. خبرة مثبتة في قطاع منظم
لا تكفي سنوات الخبرة العامة. يبحث الفاحص عن عمل سابق في الأمن السيبراني داخل جهات خاضعة للتنظيم، مع أمثلة على قيادة برامج امتثال أو التعامل مع مدققين وجهات رقابية. والدليل المناسب سيرة مهنية مفصلة ومراجع مهنية قابلة للتحقق، مع مراعاة السرية عند وصف التجارب السابقة.
3. المعرفة بضوابط الهيئة الوطنية والمشهد الرقابي السعودي
يجب أن يُظهر المرشح فهمًا لـ NCA ECC وللأطر القطاعية ذات الصلة بجهتكم، مثل إطار الأمن السيبراني للبنك المركزي السعودي (SAMA CSF) إن كنتم خاضعين له. ويُختبر ذلك غالبًا بأسئلة عن كيفية ربط الضوابط بمخاطر المنشأة، لا بحفظ نصوصها.
4. تخصيص وقت كافٍ للمنشأة
هذا المعيار هو الأكثر إشكالًا في الترتيب الافتراضي. فالفاحص يسأل: كم يومًا في الشهر؟ ومتى يتوفر عند الحوادث؟ وهل يتعارض التزامه مع جهات أخرى؟ والإجابة المقبولة التزام مكتوب بعدد أيام محدد وآلية واضحة للطوارئ، لا عبارة عامة مثل «حسب الحاجة».
الأدلة الداعمة التي ينبغي تجهيزها
يُستحسن أن يكون ملف الإخطار متكاملًا قبل تقديمه، وأن يتضمن:
- قرار التعيين الصادر عن الإدارة العليا أو مجلس الإدارة، مع تحديد الصلاحيات.
- الشهادات المهنية وسجل الخبرة.
- وصف الدور والمسؤوليات، وخط رفع التقارير إلى الإدارة أو لجنة الأمن.
- جدول الالتزام الزمني وآلية التواصل أثناء الحوادث.
- خطة العمل الأولى التي توضح ما سيُنجز في الأشهر الأولى.
البنود التعاقدية التي تجيب عن أسئلة المساءلة والتوافر
أسئلة الفاحصين تدور غالبًا حول من يتحمل المسؤولية، ومن يكون متاحًا عند الحاجة. ولذلك ينبغي أن يعالج العقد النقاط الآتية صراحة:
- المساءلة: بقاء المسؤولية النهائية على الجهة ومجلس إدارتها، وتحديد ما يُفوَّض وما لا يُفوَّض.
- التوافر: عدد الأيام المتفق عليها شهريًا، وزمن الاستجابة عند الحوادث، وبديل عند غياب المسؤول.
- المؤهلات: التزام بالحفاظ على الشهادات سارية، وإشعار عند أي تغيير في الشخص المسمّى.
- السرية وإدارة التعارض: حماية المعلومات وتعريف حالات تضارب المصالح.
- الوصول إلى الأدلة: حق الجهة والمنظمين والمدققين في الاطلاع على السجلات والمحاضر.
- الإنهاء والانتقال: تسليم منظم للمعرفة والوثائق عند انتهاء الترتيب.
ترتيب العمل المقترح
- حدّدوا الجهات الرقابية التي ستُخطَر، وراجعوا متطلبات كل منها.
- قرّروا حجم الالتزام الزمني الواقعي بالنظر إلى حجم المخاطر وحجم البرنامج القائم.
- تحققوا من المؤهلات الأربعة قبل التعاقد لا بعده.
- صوغوا العقد بالبنود أعلاه، وأقرّوه عبر الإدارة العليا.
- جهّزوا ملف الإخطار وقدّموه، ثم احتفظوا بسجل الأدلة محدّثًا للتدقيق اللاحق.
- ضعوا منذ البداية تصورًا لمرحلة ما بعد الترتيب الافتراضي: هل يستمر، أم يُبنى فريق وتُوظَّف قيادة دائمة؟
الفجوات الشائعة
أكثر ما يتعثر فيه الإخطار: التزام زمني غير محدد، وخط تقارير غير واضح إلى الإدارة، وعقد لا يذكر المساءلة، وشخص مسمّى لا يظهر في أي لجنة أو محضر. فإذا لم تُثبت المحاضر والتقارير أن الدور يُمارَس فعلًا، بدا الإخطار شكليًا.
كيف نساعدكم في سيزو
تقدّم سيزو خدمات المدير التنفيذي الأمني الافتراضي، وهي قيادة استراتيجية للأمن السيبراني عند الطلب عبر مدير أمن معلومات افتراضي متخصص. يُنفَّذ الترتيب عبر ارتباط مستمر بأيام شهرية متفق عليها، وهو ما يعالج مباشرة معيار الوقت المخصص. ونعمل على أربع مراحل: تقييم في أول 30 يومًا للوضع والمخاطر والمكاسب السريعة، ثم ترتيب خارطة طريق متفق عليها مع الإدارة، ثم قيادة مستمرة تشمل اللجان والتقارير، ثم انتقال يتضمن بناء الفريق وتوظيف مسؤول دائم عند الرغبة.
وتشمل المخرجات خارطة الأمن وأولوياته، وتقريرًا شهريًا للإدارة، وحزمة ربعية لمجلس الإدارة، ومحاضر اللجنة ومتابعة الإجراءات. وتغطي الخدمة التواصل مع الجهات التنظيمية والمدققين، والإشراف على الموردين والميزانية، وتوجيه الفريق ودعم التوظيف، وتستند إلى NCA ECC وSAMA CSF. وهذه المخرجات هي نفسها الأدلة التي يطلبها الفاحص ليتأكد أن الدور يُمارَس فعلًا.
إن كنتم تدرسون هذا الترتيب، فابدأوا بمراجعة المعايير الأربعة أعلاه على وضعكم الحالي، ثم ناقشوا معنا شكل الالتزام الأنسب لمنشأتكم.
