تتعثر برامج كثيرة لا بسبب ضعف الفرق، بل بسبب ترتيب العمل. فعند تعيين كل ملاحظة لمسؤول نطاقها مباشرة، يعمل كل مسؤول وفق جدوله، ثم يتغير مكوّن في البنية التحتية فتفقد أدلة نطاق آخر صلاحيتها. يعرض هذا المقال منهجية عملية لرسم تبعيات معالجة الإطار التنظيمي للأمن السيبراني ساما قبل توزيع المسؤوليات، لرؤساء الالتزام والأمن السيبراني في المؤسسات المالية التي تعالج ملاحظات إطار SAMA CRFR عبر نطاقات متعددة.
لماذا يسبق رسم التبعيات تعيين المسؤولين
يصدر إطار الأمن السيبراني للبنك المركزي السعودي (ساما) وإطار المرونة السيبرانية للقطاع المالي (SAMA CRFR) متطلبات موزعة على نطاقات. غير أن المؤسسة لا تنفذها كنطاقات منفصلة؛ فالضابط في نطاق ما يعتمد غالبًا على أصول وأنظمة وعمليات تقع في نطاق آخر.
عندما تُسند الملاحظات بحسب النطاق فقط، تظهر ثلاث مشكلات معتادة:
- ينفذ مسؤول ضابطًا على نظام سيُستبدل أو يُعاد تصميمه لاحقًا ضمن نطاق آخر.
- تُجمع الأدلة قبل استقرار الضابط الذي تعتمد عليه، فتُرفض أو تُعاد.
- ينتظر كل مسؤول مدخلًا من الآخر دون أن يعلم أحد بذلك.
والحل أن يرسم مدير البرنامج الخريطة أولًا، ثم يعيّن المسؤولين وفق تسلسلها.
التبعيات الخمس التي ينبغي رسمها
1. تبعية الأصول والبنية التحتية
لكل ملاحظة أصول تنطبق عليها: خوادم وتطبيقات وشبكات وخدمات سحابية. سجّل لكل ملاحظة الأصول المعنية، وحدد ما إذا كان أي منها مشمولًا بمشروع تغيير أو ترحيل أو إيقاف خلال مدة البرنامج. فتنفيذ ضابط على أصل سيُستبدل هدر مضمون.
2. تبعية الضوابط المتسلسلة
بعض الضوابط لا يمكن إثباتها قبل غيرها. فمراجعة الصلاحيات تفترض وجود جرد موثوق للأصول، وقياس فاعلية المراقبة يفترض أن مصادر السجلات موصولة. حدد لكل ضابط ما يجب أن يكتمل قبله.
3. تبعية الأدلة
الدليل ليس ناتجًا عرضيًا للتنفيذ، بل له مصدر وتاريخ وصلاحية. اسأل: من أي نظام يُستخرج الدليل؟ وهل يتغير هذا النظام؟ وإذا تغير، هل يبقى الدليل مقبولًا؟ ربط كل ضابط بمصدر دليله يكشف الإبطال المحتمل مبكرًا.
4. تبعية الملكية المشتركة
تقع ضوابط كثيرة بين فريقين: الأمن وتقنية المعلومات، أو الالتزام والأعمال، أو المؤسسة ومزوّد خدمة خارجي. سجّل الأطراف المشاركة في كل ملاحظة وحدد مالكًا واحدًا مسؤولًا عن الإغلاق، مع بيان ما يُنتظر من كل طرف آخر.
5. تبعية الجدول الزمني والقيود التنظيمية
لكل ملاحظة موعد مرتبط بالجهة التنظيمية، ولكل تغيير تقني نافذة. تلتقي القيدان في مواضع يصعب فيها التوفيق، مثل فترات تجميد التغييرات أو دورات التدقيق. ضعهما على خط زمني واحد لتظهر التعارضات قبل وقوعها.
ثلاثة أنماط للإحالات الدائرية بين النطاقات
تظهر الإحالات الدائرية حين تشير ملاحظة في نطاق إلى ضابط في نطاق آخر، ويشير ذلك الضابط بدوره إلى الأول. وأكثر ما تظهر عند إحالة ملاحظات النطاق الثاني إلى ضوابط النطاق الخامس. وهذه الأنماط الثلاثة هي الأكثر تكرارًا في الممارسة:
- الإحالة المتبادلة المباشرة: ملاحظة تنتظر إغلاق أخرى، وتلك تنتظر الأولى. يُحل ذلك بتحديد أيهما يُغلق جزئيًا أولًا، أو بفصل الملاحظة إلى مكوّنين مستقلين.
- الإحالة عبر مالك مشترك: يظن كل فريق أن الآخر يحمل المسؤولية، فلا يبدأ أحد. يُحل ذلك بتعيين مالك وحيد للإغلاق وإسناد الباقين كمساهمين.
- الإحالة عبر الدليل: يتطلب دليل ضابط في نطاق مخرجات ضابط في نطاق آخر لم يكتمل بعد. يُحل ذلك بتقديم الدليل على مراحل، أو بتأجيل جمعه حتى يستقر الضابط المعتمد عليه.
اكشف هذه الأنماط عبر مصفوفة تقابل الملاحظات بالضوابط التي تعتمد عليها؛ فأي حلقة مغلقة تظهر فيها تستوجب قرارًا من مدير البرنامج قبل البدء.
ترتيب العمل المقترح
- اجمع الملاحظات كاملة مع الأصول والأنظمة المرتبطة بكل منها.
- ارسم التبعيات الخمس لكل ملاحظة في مصفوفة واحدة.
- افحص المصفوفة بحثًا عن الإحالات الدائرية وأصلحها.
- رتّب الأعمال في تسلسل يراعي المخاطر والمواعيد التنظيمية والجهد.
- عيّن المالكين وفق التسلسل، وحدد لكل منهم ما ينتظره من غيره.
- راجع المصفوفة دوريًا، وحدّثها عند أي تغيير في البنية التحتية.
كيف نساعد في ذلك
في برنامج معالجة الالتزام التنظيمي ندير برنامج المعالجة بعد التقييم أو المراجعة التنظيمية. وتشمل مراحله ترتيب الفجوات حسب المخاطر والمواعيد التنظيمية والجهد، ثم الاتفاق على المالكين والخطط والحوكمة، ثم دعم التطبيق والمتابعة الأسبوعية، ثم مراجعة الأدلة والإغلاق الرسمي للملاحظات. وهذا الترتيب يتيح رسم التبعيات قبل الإطلاق لا بعده.
ويتضمن البرنامج مكتب إدارة البرنامج، وخطة معالجة مرتبة الأولويات، ودعمًا لتطبيق الضوابط، ومراجعة للأدلة قبل الإغلاق. ومن مخرجاته خارطة المعالجة، وتقرير حالة أسبوعي مع سجل المخاطر والقضايا، وحزم أدلة لكل ضابط، وتقرير شهري للجنة التوجيهية، وتقرير الإغلاق للجهة التنظيمية.
ونعمل إلى جانب الفريق الداخلي، وهذا هو النموذج المعتاد: نوفر انضباط البرنامج والعمق التخصصي، وتملك فرقكم الضوابط وتشغّلها. وتمتد مدة البرنامج عادة من 3 إلى 9 أشهر.
الخلاصة
رسم التبعيات الخمس قبل تعيين المسؤولين لا يضيف عبئًا إلى البرنامج، بل يحميه من إعادة العمل وإبطال الأدلة. وإن كنتم تستعدون لمعالجة ملاحظات SAMA CRFR أو بدأتموها فعلًا، فيسعدنا أن نناقش معكم كيف يخدم برنامج معالجة الالتزام التنظيمي وضعكم.
