عندما يطلب مجلس الإدارة استراتيجية الأمن السيبراني ساما، يسلّمه كثير من مسؤولي الأمن وثيقة واحدة تخلط بين الحوكمة والمشاريع، بين الأهداف الاستراتيجية وجداول الميزانيات، بين ما يقرره المجلس وما ينفذه الفريق. النتيجة: وثيقة طويلة لا يعتمدها المجلس بثقة ولا ينفذها الفريق بوضوح.
الحقيقة أن إطار البنك المركزي السعودي (ساما) للأمن السيبراني يتطلب وثيقتين منفصلتين تخدمان غرضين مختلفين: الاستراتيجية تحدد التوجه والحوكمة ومستوى المخاطر المقبول، وخارطة الطريق تترجم ذلك إلى مبادرات ومشاريع وميزانيات وجداول زمنية. لكل منهما جمهور مختلف، ودورة اعتماد مختلفة، وتفاصيل مختلفة.
يشرح هذا الدليل أي ضوابط النطاقين الأول (الحوكمة السيبرانية) والثاني (إدارة مخاطر الأمن السيبراني) من إطار ساما تنتمي للاستراتيجية، وأيها تترجم إلى خارطة الطريق، وكيف تبني كلتا الوثيقتين بطريقة يوافق عليها مجلس الإدارة وينفذها الفريق.
لماذا يطلب البنك المركزي السعودي استراتيجية منفصلة؟
يشترط البنك المركزي السعودي في النطاق الأول من إطار الأمن السيبراني أن تضع المؤسسة المالية استراتيجية أمن سيبراني معتمدة من مجلس الإدارة أو الإدارة العليا، تتوافق مع استراتيجية الأعمال، وتحدد الأهداف والأولويات والحوكمة ومستوى المخاطر المقبول.
الاستراتيجية ليست قائمة مشاريع. هي وثيقة حوكمة تجيب على أسئلة المجلس: ما مستوى الحماية الذي نريده؟ ما المخاطر التي نقبلها؟ من المسؤول عن ماذا؟ كيف نقيس النجاح؟ كيف نوازن بين الأمن والأعمال؟
خارطة الطريق، في المقابل، هي أداة تنفيذية. تجيب على أسئلة الإدارة التنفيذية والفريق: ما المشاريع التي سننفذها؟ بأي ترتيب؟ بكم؟ متى؟ من سيقودها؟
الخلط بين الوثيقتين يؤدي إلى أحد سيناريوهين: إما استراتيجية مليئة بتفاصيل تقنية لا يحتاجها المجلس، أو خارطة طريق تفتقر إلى الأساس الاستراتيجي الذي يبرر الاستثمار.
ضوابط النطاق الأول: ماذا ينتمي للاستراتيجية؟
النطاق الأول من إطار ساما (الحوكمة السيبرانية) يحدد كيف تدير المؤسسة الأمن السيبراني على مستوى الحوكمة. معظم ضوابطه تنتمي للاستراتيجية، لأنها تحدد التوجه والمسؤوليات والسياسات العليا.
ما تضعه في الاستراتيجية من النطاق الأول
الأهداف الاستراتيجية: ما الذي تريد المؤسسة تحقيقه من برنامج الأمن السيبراني؟ حماية أصول العملاء، ضمان استمرارية الخدمات الحرجة، الامتثال لمتطلبات البنك المركزي والهيئة الوطنية للأمن السيبراني، تمكين التحول الرقمي بأمان. هذه أهداف استراتيجية، لا مشاريع.
الحوكمة والمسؤوليات: من يملك قرارات الأمن السيبراني؟ ما دور مجلس الإدارة، ودور الإدارة العليا، ودور مسؤول أمن المعلومات؟ كيف ترفع التقارير؟ كم مرة يراجع المجلس الوضع الأمني؟ هذه قرارات حوكمة تعتمد في الاستراتيجية.
مستوى المخاطر المقبول: ما المخاطر التي تقبلها المؤسسة؟ ما الحد الأقصى للتوقف المقبول؟ ما أنواع البيانات التي لا تقبل المؤسسة تسريبها؟ هذا بيان قبول المخاطر يوجه كل قرار لاحق، وينتمي للاستراتيجية.
التوافق مع استراتيجية الأعمال: كيف يدعم الأمن السيبراني أولويات الأعمال؟ إذا كانت المؤسسة تتوسع في الخدمات الرقمية، كيف يمكّن الأمن ذلك دون أن يعيقه؟ هذا التوافق يظهر في الاستراتيجية.
مؤشرات الأداء الاستراتيجية: كيف يقيس المجلس نجاح برنامج الأمن السيبراني؟ نسبة الامتثال للضوابط الحرجة، زمن الاستجابة للحوادث الكبرى، نضج البرنامج مقابل الأهداف. هذه مؤشرات استراتيجية، لا تفاصيل تشغيلية.
ما تؤجله لخارطة الطريق من النطاق الأول
المشاريع التنفيذية للحوكمة: بناء لجنة الأمن السيبراني، توظيف أو تعيين مسؤول أمن معلومات، تطوير السياسات التفصيلية، تدريب المجلس. هذه مبادرات تظهر في خارطة الطريق مع جداولها الزمنية وميزانياتها.
الأدوات والأنظمة: نظام إدارة الحوكمة والمخاطر والامتثال (GRC)، منصة التقارير، أدوات قياس النضج. هذه استثمارات تقنية تظهر في خارطة الطريق.
ضوابط النطاق الثاني: ماذا ينتمي للاستراتيجية وماذا لخارطة الطريق؟
النطاق الثاني من إطار ساما (إدارة مخاطر الأمن السيبراني) يتطلب من المؤسسة تحديد الأصول والمخاطر والضوابط. هنا يصبح التمييز أدق: المنهجية والأهداف تنتمي للاستراتيجية، المشاريع والضوابط التفصيلية تنتمي لخارطة الطريق.
ما تضعه في الاستراتيجية من النطاق الثاني
منهجية إدارة المخاطر: كيف ستحدد المؤسسة المخاطر وتقيّمها وتعالجها؟ هل ستستخدم إطار عمل محدد (مثل ISO 27005 أو NIST)؟ كم مرة ستراجع المخاطر؟ من يعتمد قرارات قبول المخاطر؟ هذه قرارات منهجية تظهر في الاستراتيجية.
الأصول الحرجة: ما الأصول التي تعتبرها المؤسسة حرجة لاستمرارية الأعمال أو لحماية العملاء؟ الأنظمة الأساسية، البيانات الحساسة، البنية التحتية الحرجة. تحديد فئات الأصول الحرجة ينتمي للاستراتيجية، أما جرد كل أصل فينتمي للتنفيذ.
أولويات المعالجة: ما المخاطر التي ستعالجها المؤسسة أولاً؟ المخاطر المرتبطة بالأنظمة الحرجة، أم المخاطر التنظيمية، أم مخاطر التهديدات الناشئة؟ هذه الأولويات الاستراتيجية توجه خارطة الطريق.
مستوى الحماية المستهدف: ما مستوى النضج الأمني الذي تستهدفه المؤسسة خلال ثلاث سنوات؟ الامتثال الكامل لإطار ساما، أم تجاوزه إلى ممارسات أفضل؟ هذا الهدف الاستراتيجي يحدد حجم الاستثمار.
ما تضعه في خارطة الطريق من النطاق الثاني
مشاريع تحديد الأصول وتصنيفها: جرد الأصول، تصنيف البيانات، رسم خرائط تدفق المعلومات. هذه مشاريع محددة بجداول زمنية وموارد.
تقييمات المخاطر التفصيلية: تقييم المخاطر لكل نظام حرج، اختبارات الاختراق، تحليل الثغرات. هذه أنشطة تنفيذية تظهر في خارطة الطريق.
مشاريع الضوابط: تطبيق ضوابط الحماية (جدران نار، تشفير، مصادقة متعددة العوامل)، بناء مركز العمليات الأمنية، تطوير خطط الاستجابة للحوادث. كل ضابط يصبح مبادرة أو مشروعاً في خارطة الطريق، مع تقدير التكلفة والجدول الزمني.
برامج التدريب والتوعية: برنامج التوعية الأمنية للموظفين، تدريب فرق تقنية المعلومات، تمارين محاكاة الحوادث. هذه مبادرات مستمرة تظهر في خارطة الطريق.
كيف تبني الاستراتيجية وخارطة الطريق معاً؟
بناء الوثيقتين ليس عملاً متسلسلاً بسيطاً (استراتيجية ثم خارطة طريق)، بل عملية متكاملة تتطلب التنقل بين المستويين.
الخطوة الأولى: فهم السياق
قبل أن تكتب أي وثيقة، تحتاج إلى فهم ثلاثة أمور: أولويات الأعمال (ما الذي تحاول المؤسسة تحقيقه؟)، الالتزامات التنظيمية (ما الذي يطلبه البنك المركزي السعودي والهيئة الوطنية للأمن السيبراني؟)، مشهد التهديدات (ما التهديدات الحقيقية التي تواجه المؤسسة؟).
هذا الفهم يأتي من مقابلات مع القيادة، ومراجعة خطة الأعمال، وفهم مستوى المخاطر المقبول، ومراجعة الوضع التنظيمي.
الخطوة الثانية: تقييم الوضع الحالي
قبل أن تحدد أين تريد الوصول، تحتاج إلى معرفة أين أنت الآن. هذا يتطلب خط أساس للنضج وفق إطار ساما وأي أطر أخرى منطبقة، وصورة واضحة للتهديدات الحالية.
الفجوات بين الوضع الحالي والمتطلبات التنظيمية والأهداف الاستراتيجية هي ما ستملأه خارطة الطريق.
الخطوة الثالثة: تصميم الاستراتيجية أولاً
ابدأ بالاستراتيجية: حدد الأهداف الاستراتيجية، مستوى المخاطر المقبول، الحوكمة، مؤشرات الأداء، التوافق مع الأعمال. هذه القرارات توجه كل ما يأتي بعدها.
الاستراتيجية يجب أن تكون وثيقة قصيرة نسبياً (عشر إلى عشرين صفحة)، تركز على ماذا ولماذا، لا كيف ومتى.
الخطوة الرابعة: ترجمة الاستراتيجية إلى مبادرات
الآن تأتي خارطة الطريق: ما المبادرات والمشاريع المطلوبة لتحقيق الأهداف الاستراتيجية وسد الفجوات؟ رتّبها حسب الأولوية (المخاطر الحرجة أولاً، الالتزامات التنظيمية، التمكين الاستراتيجي)، وضعها في تسلسل منطقي (بعض المشاريع تعتمد على غيرها)، وقدّر تكلفة كل مبادرة ومدتها.
خارطة الطريق عادة تمتد لثلاث سنوات، مع تفاصيل أكثر للسنة الأولى وتقديرات أوسع للسنتين التاليتين.
الخطوة الخامسة: اختبار الخطة مع أصحاب العلاقة
قبل أن تعرض الوثيقتين على مجلس الإدارة، اختبرهما مع أصحاب العلاقة: الإدارة المالية (هل الميزانية واقعية؟)، إدارة تقنية المعلومات (هل الجداول الزمنية قابلة للتنفيذ؟)، إدارة المخاطر (هل الأولويات صحيحة؟)، الأعمال (هل الخطة تدعم الأولويات الاستراتيجية؟).
الخطوة السادسة: إعداد حزمة الاعتماد
مجلس الإدارة لا يقرأ وثائق طويلة. جهّز حزمة عرض مختصرة تلخص الاستراتيجية وخارطة الطريق في عشر إلى خمس عشرة شريحة: الوضع الحالي، الأهداف الاستراتيجية، الفجوات الحرجة، المبادرات الرئيسية، الاستثمار المطلوب، مؤشرات الأداء، القرارات المطلوبة من المجلس.
اعرضها، واستمع للملاحظات، وعدّل الوثائق حتى تحصل على الاعتماد.
الأخطاء الشائعة التي يجب تجنبها
الخطأ الأول: كتابة استراتيجية مليئة بتفاصيل تقنية. المجلس لا يحتاج أن يعرف أي جدار ناري ستشتريه، بل يحتاج أن يعرف أن الحدود الشبكية ستكون محمية وفق معايير محددة.
الخطأ الثاني: بناء خارطة طريق دون أساس استراتيجي واضح. إذا لم تحدد الاستراتيجية مستوى المخاطر المقبول، كيف ستعرف أي مشاريع تستحق الاستثمار؟
الخطأ الثالث: عدم ربط المبادرات بالأهداف الاستراتيجية. كل مشروع في خارطة الطريق يجب أن يخدم هدفاً استراتيجياً واضحاً أو يسد فجوة تنظيمية محددة.
الخطأ الرابع: تقديرات تكلفة غير واقعية. إذا قدّرت ميزانية منخفضة جداً لكسب موافقة المجلس، ستفشل في التنفيذ. وإذا بالغت، سيرفض المجلس الخطة كلها.
الخطأ الخامس: عدم تحديث الوثيقتين. الاستراتيجية وخارطة الطريق ليستا وثيقتين ثابتتين. البيئة التنظيمية تتغير، التهديدات تتطور، أولويات الأعمال تتبدل. راجع الاستراتيجية سنوياً، وحدّث خارطة الطريق كل ربع سنة على الأقل.
كيف نساعدكم في بناء الاستراتيجية وخارطة الطريق
نحوّل أولويات أعمالكم والتزاماتكم التنظيمية ومشهد التهديدات إلى استراتيجية أمن سيبراني مرتبة الأولويات ومقدّرة التكلفة وخارطة طريق متعددة السنوات.
نبدأ بالفهم: مقابلات مع القيادة ومراجعة خطة الأعمال ومستوى المخاطر المقبول والوضع التنظيمي. ثم التقييم: خط أساس للنضج وفق الأطر المنطبقة وصورة التهديدات الحالية. بعدها التصميم: الأهداف والمبادرات والتسلسل والاستثمار، مع اختبارها مع أصحاب العلاقة. وأخيراً الاعتماد: استراتيجية وخارطة ومؤشرات جاهزة لمجلس الإدارة، تُعرض وتُعدّل حتى الاعتماد.
نسلّمكم وثيقة استراتيجية الأمن السيبراني، وخارطة طريق لثلاث سنوات مع تقديرات الميزانية، ونموذج التشغيل المستهدف، وحزمة عرض لمجلس الإدارة، وتعريف لوحة مؤشرات الأداء والمخاطر.
الخدمة تشمل خط أساس للوضع الحالي والنضج، ومواءمة مع الأعمال والمتطلبات التنظيمية، وأولويات مبنية على التهديدات والمخاطر، وخارطة مبادرات متعددة السنوات مقدّرة التكلفة، ومؤشرات أداء ومخاطر لمجلس الإدارة. نعمل وفق إطار ساما للأمن السيبراني وإطار الضوابط الأساسية للهيئة الوطنية للأمن السيبراني.
المدة من ستة إلى عشرة أسابيع، تنتهي بتوجه أمني لثلاث سنوات يعتمده مجلس الإدارة وينفذه الفريق.
