عندما تستعد المؤسسات المالية الخاضعة لرقابة البنك المركزي السعودي لإجراء تقييم نضج الإطار السيبراني ساما، يواجه كثير من مسؤولي أمن المعلومات تحديًا متكررًا في المجال الرابع الخاص بإدارة التهديدات والثغرات: كيف تثبت أن مؤسستك تطبّق الاستخبارات التهديدية بشكل استباقي، وليس فقط تجمع المصادر؟ الفارق بين المستوى الثاني والمستوى الثالث في هذا المجال لا يكمن في عدد الاشتراكات أو جودة المصادر، بل في نوعية الأدلة التي تقدمها للمقيّمين.
هذا المقال يوضح الأنواع الأربعة من الأدلة التي يتحقق منها المقيّمون عند تصنيف نضج قدرات الاستخبارات التهديدية في مؤسستك، ويبيّن كيف تنتقل من الجمع التفاعلي للمعلومات إلى الاستقصاء الاستباقي الموثّق.
لماذا تتوقف معظم المؤسسات عند المستوى الثاني
المستوى الثاني في تقييم النضج يعني أن المؤسسة لديها عملية محددة ومكررة لجمع معلومات التهديدات من مصادر خارجية. كثير من المؤسسات تحقق هذا المستوى بسهولة: لديها اشتراكات في خدمات استخبارات التهديدات التجارية، تتلقى نشرات من الجهات التنظيمية والصناعية، وربما تشارك في منتديات تبادل المعلومات.
لكن المستوى الثالث يتطلب إثباتًا على أن هذه المعلومات تُستخدم فعليًا لتحسين وضع الأمن السيبراني للمؤسسة. المقيّمون لا يكتفون بمعرفة أنك تستلم تقارير التهديدات؛ يريدون رؤية كيف غيّرت هذه التقارير قواعد الكشف لديك، أو أثرت في تحليل الحوادث، أو وجّهت قرارات المعالجة.
الفجوة بين المستويين ليست تقنية في الأساس، بل توثيقية وإجرائية. المؤسسات التي تبقى عند المستوى الثاني عادة تملك القدرات التقنية، لكنها لا توثّق سلسلة القيمة من استلام المعلومات إلى التطبيق العملي.
الأنواع الأربعة من الأدلة التي يبحث عنها المقيّمون
عند تقييم نضج قدرات الاستخبارات التهديدية، يبحث المقيّمون عن أربعة أنواع من الأدلة تغطي دورة الحياة الكاملة من الاستقبال إلى التطبيق:
1. سجلات الاشتراك والاستقبال
هذا النوع الأول من الأدلة يثبت أن المؤسسة تستقبل معلومات التهديدات بشكل منتظم ومن مصادر متنوعة. الأدلة المقبولة تشمل:
- عقود الاشتراك في خدمات الاستخبارات التهديدية التجارية، مع تواريخ سارية
- سجلات استلام النشرات والتنبيهات من البنك المركزي السعودي أو الهيئة الوطنية للأمن السيبراني
- إثبات العضوية في منتديات تبادل المعلومات القطاعية (ISACs أو مجموعات مشاركة محلية)
- سجلات تسليم الخلاصات الآلية (feeds) إلى منصات إدارة المعلومات والأحداث الأمنية أو منصات إدارة التهديدات
هذا المستوى من الأدلة ضروري لكنه غير كافٍ. يثبت أن لديك مدخلات، لكن لا يثبت أنك تفعل شيئًا بها.
2. سجلات الإثراء والتحليل
النوع الثاني من الأدلة يوضح أن المؤسسة تحلل المعلومات الواردة وتثريها بسياق خاص بالبيئة المحلية. المقيّمون يبحثون عن:
- سجلات تحليل التهديدات التي تربط المؤشرات العامة (IoCs) بأصول أو خدمات محددة في المؤسسة
- تقارير تقييم الملاءمة تبيّن أي التهديدات المنشورة تنطبق على بيئتك التقنية أو قطاعك
- وثائق إثراء السياق، مثل ربط حملة تهديد معينة بالتقنيات أو البائعين المستخدمين لديك
- محاضر اجتماعات فريق التهديدات أو لجنة الأمن السيبراني تناقش تقييم تهديدات محددة
هذه الأدلة تثبت أنك لا تستقبل المعلومات بشكل سلبي، بل تفسّرها في سياق مؤسستك. لكنها لا تزال لا تثبت التطبيق العملي.
3. سجلات تحديث قواعد الكشف والمنع
النوع الثالث من الأدلة هو الأكثر أهمية للانتقال إلى المستوى الثالث: إثبات أن معلومات التهديدات أدت إلى تغييرات تقنية في أدوات الكشف أو المنع. الأدلة المطلوبة:
- سجلات التغيير (change logs) في أنظمة منع التسلل أو جدران الحماية تظهر إضافة قواعد أو توقيعات بناءً على تهديدات محددة
- سجلات تحديث قواعد الكشف في منصة SIEM أو EDR، مع الإشارة إلى مصدر المعلومات التهديدية
- وثائق اختبار القواعد الجديدة للتأكد من فعاليتها ومن عدم توليد إنذارات كاذبة زائدة
- سجلات نشر قوائم الحظر (blocklists) أو قوائم المراقبة المستمدة من مؤشرات التهديدات
هذه الأدلة تثبت أن دورة الاستخبارات التهديدية لديك قابلة للتنفيذ (actionable)، وأن المعلومات تتحول إلى ضوابط دفاعية فعلية.
4. سجلات إسناد الحوادث والاستجابة
النوع الرابع من الأدلة يوضح أن معلومات التهديدات تُستخدم بعد وقوع الحادث لتحسين التحليل والاستجابة:
- تقارير الحوادث التي تشير إلى استخدام معلومات استخبارات التهديدات لتحديد نوع الهجوم أو الجهة المهاجمة
- سجلات البحث الاستباقي عن التهديدات (threat hunting) المبنية على فرضيات مستمدة من تقارير التهديدات الخارجية
- وثائق الدروس المستفادة من الحوادث تتضمن توصيات بتحديث مصادر الاستخبارات أو تحسين عملية الاستقبال
- سجلات التنسيق مع جهات خارجية (مثل البنك المركزي أو الهيئة الوطنية للأمن السيبراني) لمشاركة مؤشرات تهديدات من حوادث حقيقية
هذه الأدلة تكمل الدورة: لا تستخدم المعلومات للدفاع فحسب، بل تتعلم من الحوادث وتغذي النظام بمعلومات جديدة.
كيف تنتقل من الجمع التفاعلي إلى الاستقصاء الاستباقي
الفارق الجوهري بين المستوى الثاني والثالث هو الاستباقية الموثّقة. في المستوى الثاني، تستجيب للمعلومات عندما تصل؛ في المستوى الثالث، تبحث عن التهديدات بناءً على فرضيات وتوقعات مستمدة من الاستخبارات.
لتحقيق هذا الانتقال، تحتاج إلى:
إجراءات موثّقة لتقييم الملاءمة: ليس كل تهديد ينطبق على بيئتك. وثّق كيف تقيّم كل معلومة واردة وتقرر ما إذا كانت تستحق إجراءً فوريًا أو مراقبة أو تجاهلًا مؤقتًا.
سير عمل واضح من المعلومة إلى الإجراء: يجب أن يكون لديك مسار موثّق يوضح كيف تتحول معلومة تهديد من تقرير خارجي إلى قاعدة كشف أو إجراء بحث استباقي. هذا يشمل الأدوار والمسؤوليات والمهل الزمنية.
مقاييس تتبع الفعالية: قِس عدد المعلومات المستلمة، عدد المعلومات المطبّقة، عدد الإنذارات الناتجة، عدد الحوادث المكتشفة بفضل هذه المعلومات. هذه المقاييس تثبت القيمة وتساعد في التحسين المستمر.
حلقة تغذية راجعة: عندما تكتشف حادثًا أو تجد مؤشرات جديدة، أرسلها إلى مصادر الاستخبارات أو شاركها مع الجهات التنظيمية. هذا يثبت أنك لست مستهلكًا سلبيًا بل مساهم نشط في النظام البيئي للاستخبارات.
ما الذي يبحث عنه المقيّم في الأدلة
عند إجراء تقييم نضج وفق إطار البنك المركزي السعودي، لا يكتفي المقيّم بوجود الوثائق؛ يتحقق من الاتساق والحداثة والاكتمال:
الاتساق: هل سجلات التغيير في قواعد الكشف تتطابق زمنيًا مع استلام تقارير التهديدات؟ هل تقارير الحوادث تشير فعلاً إلى استخدام المعلومات الاستخبارية؟
الحداثة: هل الأدلة حديثة أم قديمة؟ اشتراك منتهٍ أو سجلات من سنتين لا تثبت قدرة حالية.
الاكتمال: هل الأدلة تغطي دورة الحياة كاملة من الاستقبال إلى التطبيق إلى التعلم؟ أم أن هناك فجوات في السلسلة؟
القابلية للتدقيق: هل يمكن تتبع معلومة تهديد محددة من مصدرها إلى القاعدة التي أُضيفت أو الحادث الذي حُلّل؟ هذا التتبع يثبت النضج الحقيقي.
متى تحتاج إلى تقييم نضج شامل
تحتاج المؤسسات الخاضعة لرقابة البنك المركزي السعودي إلى تقييم نضج شامل في عدة حالات:
عند الاستعداد لمراجعة تنظيمية من البنك المركزي أو مراجعين خارجيين، حيث يكون تقييم النضج جزءًا من نطاق المراجعة.
عند التخطيط لخطة معالجة متعددة السنوات، لتحديد الفجوات الحالية وترتيب أولويات الاستثمارات والمشاريع.
عند تغيير كبير في البنية التحتية أو الخدمات، مثل الانتقال إلى السحابة أو إطلاق خدمات رقمية جديدة، لضمان أن الضوابط تواكب التغيير.
عند طلب مجلس الإدارة أو الإدارة العليا تقريرًا واضحًا عن الوضع الحالي مقارنة بمتطلبات الإطار.
كيف يُجرى تقييم النضج بشكل عملي
تقييم نضج إطار الأمن السيبراني للبنك المركزي السعودي يتم عبر تقييم نضج مبني على الأدلة لكل ضابط، حيث لا يُقبل التقييم الذاتي دون وثائق داعمة.
العملية تبدأ بجمع الأدلة الموجودة: السياسات، الإجراءات، سجلات التغيير، تقارير الحوادث، عقود الاشتراكات، سجلات التدريب، ونتائج الاختبارات. بعد ذلك يُجرى تحليل الفجوات بين الأدلة المتوفرة والمتطلبات لكل مستوى نضج.
النتيجة هي تقرير تقييم النضج حسب المجال والضابط يوضح المستوى الحالي لكل ضابط، مع تحليل الفجوات وخارطة معالجة مرتبة الأولويات تأخذ في الاعتبار المخاطر والجهد والأهمية التنظيمية.
عندما تكون هناك حاجة لتحديث الوثائق، يتم إعداد تحديث السياسات والمعايير والإجراءات لتتوافق مع متطلبات المستوى المستهدف. وفي النهاية، تُجمع كل الأدلة في حزمة الأدلة وفهرسها جاهزة للمراجعين، مع ملخص تنفيذي لمجلس الإدارة يوضح الوضع والخطة.
المدة المعتادة هي التقييم من 6 إلى 10 أسابيع، والمعالجة حسب الخطة، حسب حجم المؤسسة وتعقيد البيئة التقنية ومدى توفر الأدلة الحالية.
الميزة الأساسية لهذا النهج هو دعم عملي للمعالجة لا مجرد تقرير، حيث لا تتلقى فقط قائمة بالفجوات بل خطة عمل قابلة للتنفيذ، مع حزمة أدلة منظّمة للمراجعين وجاهزية للمتابعة وإعادة التقييم عند الحاجة.
الخلاصة: الأدلة هي الفارق
الانتقال من المستوى الثاني إلى المستوى الثالث في المجال الرابع من إطار البنك المركزي السعودي لا يتطلب بالضرورة استثمارات تقنية ضخمة أو اشتراكات جديدة. في كثير من الحالات، المؤسسات تملك القدرات لكنها لا توثّق التطبيق العملي.
الأنواع الأربعة من الأدلة—سجلات الاشتراك، سير عمل الإثراء، سجلات تحديث قواعد الكشف، وسجلات إسناد الحوادث—تشكل معًا سلسلة متصلة تثبت أن معلومات التهديدات ليست مجرد مدخلات بل أصل استراتيجي يحسّن وضع الأمن السيبراني بشكل مستمر.
إذا كانت مؤسستك تستعد لمراجعة تنظيمية أو تخطط لتحسين نضج قدراتها في إدارة التهديدات، فإن تقييم نضج شامل ومبني على الأدلة يوفر الوضوح اللازم لتحديد الفجوات وترتيب الأولويات وإعداد حزمة أدلة قابلة للدفاع أمام المراجعين. خدمة إطار الأمن السيبراني للبنك المركزي السعودي تقدم تقييمًا عمليًا من النضج الحالي إلى موقف قابل للدفاع، مع دعم مستمر للمعالجة وإعداد الأدلة.
