يُعد تحديد صلاحيات مسؤول الأمن السيبراني وفق إطار ساما للحوكمة خطوة تسبق التعيين لا تليه. يتوقع إطار الحوكمة الصادر عن البنك المركزي السعودي (ساما) أن تُوثَّق صلاحيات وظيفة الأمن السيبراني قبل أن يتولاها شخص بعينه. ومع ذلك، عيّنت أربع مؤسسات مالية في الرياض مسؤول أمن معلومات أولًا، ثم تركت النطاق ليتضح مع الممارسة. والنتيجة ثمانية عشر شهرًا من تداخل الصلاحيات مع تقنية المعلومات وإدارة المخاطر.
يعرض هذا المقال الأخطاء التي تتكرر في هذا المسار، ويقدّم لكل خطأ بديلًا عمليًا، ثم يلخص العناصر الخمسة التي تمنع تضارب الأدوار. موجّه إلى أعضاء لجان المخاطر في مجالس الإدارة ومدراء المخاطر الذين يؤسسون وظيفة الأمن السيبراني أو يعيدون هيكلتها.
الخطأ الأول: افتراض أن الشخص القوي يصنع الوظيفة
يُختار مسؤول ذو خبرة عالية، ويُفترض أن خبرته ستحدد حدود دوره. لكن الخبرة لا تحل محل التفويض الرسمي. عندما لا توجد وثيقة تقول ما يملكه المسؤول وما لا يملكه، تُحسم كل مسألة بالتفاوض، وتتحول العلاقة مع التقنية والمخاطر إلى اجتهادات شخصية.
افعل بدلًا من ذلك: اعتمد ميثاقًا لوظيفة الأمن السيبراني قبل نشر الوظيفة أو التفاوض مع المرشحين. يصبح الميثاق مرجعًا للمرشح وللإدارة معًا، ويُبنى الوصف الوظيفي عليه.
الخطأ الثاني: ترك خط رفع التقارير للعرف
كثير من المؤسسات تضع مسؤول الأمن تحت مدير التقنية لأن ذلك أسهل إداريًا. غير أن الجهات التنظيمية في المملكة تتوقع استقلال وظيفة الأمن السيبراني عن عمليات التقنية، وحين يرفع المسؤول تقاريره إلى من يُقيَّم أداؤه بسبب هذه العمليات نفسها، يضعف الاستقلال عمليًا حتى لو لم يُقصد ذلك.
افعل بدلًا من ذلك: حدّد خط رفع التقارير ومسار التصعيد كتابةً قبل التعيين، واختر الخط الذي يحقق الاستقلال بما يناسب هيكل المؤسسة وحجمها. ولا يوجد شكل واحد صالح لكل مؤسسة، لكن الشرط ثابت: ألا يكون القرار الأمني تابعًا لأولويات التشغيل.
الخطأ الثالث: خلط الوظيفة الثانية مع الأولى
تتداخل الصلاحيات غالبًا في ثلاثة مواضع: من يملك الضوابط التقنية وينفذها، ومن يقيّم فعاليتها، ومن يقبل المخاطر المتبقية. عندما يجتمع اثنان من هذه الأدوار في جهة واحدة يظهر تضارب في المصالح. فإذا نفّذ فريق التقنية الضابط وقيّم نجاحه بنفسه، فلا مراجعة مستقلة. وإذا قبل الأمن المخاطر ثم قاس التزامه بها، فقد قيّم نفسه.
افعل بدلًا من ذلك: وزّع هذه الأدوار الثلاثة صراحةً على جهات مختلفة، وراجع الفصل بين المهام عند كل تغيير في الهيكل.
الخطأ الرابع: كتابة المسؤوليات بلغة عامة
عبارات مثل «يشرف على الأمن السيبراني» أو «يدعم إدارة المخاطر» تبدو كافية في الوصف الوظيفي، لكنها لا تحسم شيئًا عند الخلاف. من يملك قرار إيقاف نظام مصاب؟ من يوافق على استثناء أمني؟ من يُبلغ المجلس؟ إذا لم تُجب الوثائق عن هذه الأسئلة، أجابت عنها الأزمة الأولى.
افعل بدلًا من ذلك: استخدم مصفوفة مسؤوليات تفصل بين الأعمال والتقنية والأمن، وتسمّي صاحب القرار وصاحب التنفيذ وصاحب الاستشارة في كل نشاط رئيسي.
الخطأ الخامس: إهمال اللجان
حتى مع وضوح الوظيفة، تبقى القرارات معلّقة إذا لم تكن هناك لجنة تُعرض عليها وتُسجَّل فيها. اللجنة بلا شروط مرجعية تتحول إلى اجتماع دوري بلا سلطة، ولا يصل منها إلى مجلس الإدارة إلا ما يقرر أحدهم نقله.
افعل بدلًا من ذلك: اعتمد شروطًا مرجعية للجنة تحدد عضويتها ونصابها وما يُعرض عليها وما يُرفع منها إلى المجلس، واعتمد نموذجًا لجدول الأعمال يضمن بقاء البنود الأمنية الجوهرية حاضرة في كل دورة.
العناصر الخمسة التي تمنع تضارب الأدوار
عند توثيق الصلاحيات، نوصي بأن يغطي الميثاق خمسة عناصر على الأقل:
- النطاق: ما الذي تشمله الوظيفة من أنظمة وبيانات وعمليات وأطراف خارجية، وما الذي يخرج عنها.
- السلطة: ما القرارات التي يملكها المسؤول منفردًا، وما التي تحتاج موافقة جهة أخرى، وما حدود صلاحيته في الإيقاف والتصعيد.
- الاستقلال وخط رفع التقارير: إلى من يرفع المسؤول تقاريره، وكيف يصل إلى مجلس الإدارة أو لجنته عند الحاجة.
- الفصل بين المهام: من ينفّذ، ومن يقيّم، ومن يقبل المخاطر، دون أن تجتمع هذه الأدوار في جهة واحدة.
- العلاقة بالتقنية والمخاطر: نقاط التماس المحددة مع كل منهما، ومن يملك كل ضابط وكل سجل، وكيف تُحل الخلافات.
كل عنصر من هذه العناصر يمنع نوعًا مختلفًا من التداخل، وغياب أي منها يترك ثغرة يملؤها العرف والاجتهاد.
ما الذي ينبغي أن تسأله لجنة المخاطر
قبل اعتماد أي تعيين، يمكن للجنة أن تطرح أسئلة قليلة محددة:
- هل توجد وثيقة معتمدة تحدد صلاحيات الوظيفة، وبأي تاريخ اعتُمدت؟
- هل يتوافق خط رفع التقارير مع توقع الاستقلال عن عمليات التقنية؟
- هل يمكن لأي ضابط أمني أن يُنفَّذ ويُقيَّم في جهة واحدة؟
- هل هناك مصفوفة مسؤوليات تحسم قرارات الإيقاف والاستثناء وقبول المخاطر؟
إذا تعذّر الجواب عن أحد هذه الأسئلة، فالأولى تأجيل التعيين أو ربطه بإنجاز الوثيقة، لا افتراض أن الممارسة ستسدّ الفراغ.
كيف نساعد
نصمم حوكمة الأمن السيبراني أو نعززها: الوظيفة وصلاحياتها، واللجان، والأدوار والمسؤوليات، وكيف تصل القرارات إلى مجلس الإدارة. يستغرق المشروع من 4 إلى 6 أسابيع، ويمر بأربع مراحل: مراجعة الهيكل الحالي والصلاحيات واللجان ورفع التقارير، ثم تحديد الفجوات مقارنةً بالتوقعات التنظيمية والممارسات الجيدة، ثم التصميم، ثم الترسيخ بدعم الاعتماد وأول دورة للجنة والتسليم.
تشمل مخرجات العمل وثيقة إطار الحوكمة، وميثاق وظيفة الأمن السيبراني، وميثاق اللجنة ونماذج جداول الأعمال، ومصفوفة المسؤوليات، والهيكل التنظيمي والأوصاف الوظيفية. ويشمل العمل أيضًا مراجعة الفصل بين المهام وتحديد خطوط رفع التقارير ومسارات التصعيد. وتستند الخدمة إلى SAMA CSF وNCA ECC وSAMA ITGF.
إذا كنتم تستعدون لتعيين مسؤول أمن سيبراني أو تعملون بوظيفة لم تُوثَّق صلاحياتها بعد، فالمراجعة الأولى تبدأ بسؤال بسيط: ما الذي تقوله الوثيقة المعتمدة اليوم عن هذه الوظيفة؟
