يسأل كثير من المديرين الماليين ومديري المخاطر عن تخفيض قسط التأمين السيبراني بأدلة آيزو 27001، ويفترضون أن الشهادة تكفي. الواقع أن المكتتب لا يعدّل القسط لمجرد وجود الشهادة، بل يبحث عن أدلة محددة على ضوابط تقلل الخسارة المؤمّنة مباشرة. يعرض هذا المقال ستة ضوابط من الملحق أ في آيزو 27001:2022 تُثير زيادة القسط حين تغيب أدلتها، وتسلسلًا لأربعة أسابيع لتجهيزها قبل تقديم الطلب.
ماذا يختلف بين الشهادة والدليل؟
الشهادة تقول إن نظام الإدارة قائم ومُدقَّق. أما المكتتب فيسأل عن سيناريو خسارة بعينه: هل تستطيعون استعادة بياناتكم بعد هجوم فدية؟ من يملك صلاحيات عالية وكيف تُراقَب؟ ماذا يحدث إذا اخترق أحد مورّديكم؟ وكل سؤال لا يجد جوابًا موثقًا يُحتسب فجوة، وقد ينعكس زيادةً في القسط أو استثناءً في الوثيقة أو شرطًا إضافيًا.
الفرق إذن بين ادعاء امتثال عام وبين صيغة دليل يقبلها المكتتب: تاريخ، ونطاق، ونتيجة، وجهة مسؤولة، وتوقيع.
الضوابط الستة التي تثير زيادة القسط
1. إثبات استعادة النسخ الاحتياطي
وجود سياسة للنسخ الاحتياطي لا يكفي. المطلوب سجل اختبار استعادة فعلي يوضح الأنظمة التي استُعيدت، والزمن المستغرق، ونجاح الاستعادة، وعزل النسخ عن الشبكة الرئيسة. غياب هذا السجل من أكثر ما يقلق المكتتب في ملفات برمجيات الفدية.
2. سجلات الوصول المميز
يريد المكتتب قائمة بالحسابات ذات الصلاحيات العالية، ومن اعتمدها، ومراجعاتها الدورية، وسجلات استخدامها. حسابات المديرين غير الموثقة أو غير المراجَعة تُقرأ مؤشرًا على سهولة التصعيد داخل الشبكة.
3. بنود الأمن في عقود البائعين
يُسأل عن العقود مع المورّدين الذين يصلون إلى بياناتكم أو أنظمتكم: هل تتضمن التزامات أمنية، وإشعارًا بالحوادث، وحق التدقيق، ومتطلبات حماية البيانات؟ المطلوب مقتطفات البنود نفسها مع سجل بالمورّدين الحرجين، لا وعدًا بأنها موجودة.
4. تقارير اختبار الاستجابة للحوادث
خطة الاستجابة المكتوبة لا تكفي وحدها. يطلب المكتتب تقرير تمرين حديثًا يبيّن السيناريو، والمشاركين، والزمن، والدروس المستفادة، والإجراءات التصحيحية التي أُغلقت بعده.
5. الامتثال لاتفاقيات مستوى الخدمة لمعالجة الثغرات
لا يكفي أن تقولوا إنكم تعالجون الثغرات الحرجة سريعًا. المطلوب سياسة بمهل زمنية محددة، وتقرير يقيس الالتزام بها فعليًا، وقائمة بالاستثناءات المعتمدة وأسبابها.
6. سجلات حفظ مفاتيح التشفير
يسأل المكتتب أين تُحفظ المفاتيح، ومن يصل إليها، وكيف تُدوَّر وتُلغى. سجل واضح لدورة حياة المفاتيح يدل على أن التشفير حماية فعلية وليس بندًا شكليًا في السياسة.
تسلسل المعالجة لأربعة أسابيع
هذا تسلسل عملي مقترح لتجهيز الأدلة قبل تقديم الطلب، وتتفاوت مدته بحسب حجم المؤسسة وجاهزية ضوابطها.
- الأسبوع الأول: الجرد والفرز. اجمعوا ما لديكم من أدلة لكل ضابط من الضوابط الستة، وحدّدوا ما هو حديث وما هو قديم وما هو غائب، وعيّنوا مالكًا لكل ضابط.
- الأسبوع الثاني: سد الفجوات السريعة. نفّذوا اختبار استعادة نسخ احتياطي إن لم يوجد حديث، وراجعوا الحسابات المميزة، واستخرجوا بنود الأمن من عقود المورّدين الحرجين.
- الأسبوع الثالث: الأدلة التشغيلية. أجروا تمرين استجابة للحوادث موثقًا، واستخرجوا تقرير الالتزام بمهل معالجة الثغرات، ووثّقوا سجل مفاتيح التشفير.
- الأسبوع الرابع: التجهيز والمراجعة. ضعوا لكل ضابط صيغة دليل موحدة، وراجعوا اتساقها مع إجابات الاستبيان، وحضّروا ردودكم المتوقعة على أسئلة المكتتب.
الأولوية في حال ضيق الوقت للضوابط التي ترتبط بأكبر سيناريوهات الخسارة في نشاطكم، وهي غالبًا الاستعادة والوصول المميز.
الاتساق مع الاستبيان والمتطلبات التنظيمية
الأدلة تخدم أيضًا التزاماتكم أمام الجهات التنظيمية. فالمؤسسات الخاضعة لرقابة البنك المركزي السعودي تعمل ضمن إطار الأمن السيبراني الصادر عنه، وغيرها تعمل ضمن الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني. وما تعدّونه لشركات التأمين يجب ألا يتعارض مع ما تقدمونه لهذه الجهات. وأي إجابة في الاستبيان لا يسندها دليل قد تُستخدم لاحقًا عند مطالبة بالتعويض، لذا فالدقة والاتساق جزء من حماية التغطية نفسها.
كيف نعمل على ذلك
في سيزو نقدّم تقييم الجاهزية للتأمين السيبراني: نقيّم ضوابطكم كما يقيّمها مكتتبو التأمين، ونسد الفجوات التي ترفع الأقساط وتضيف الاستثناءات، ونجهّز الأدلة قبل التوجه للسوق. ويسير العمل في أربع مراحل: التعرف على الأعمال والأنظمة والتغطية الحالية أو المخطط لها، ثم التقييم باختبار ضوابط الاكتتاب لا بالسؤال عنها فقط، ثم المعالجة بمكاسب سريعة وإصلاحات حسب الأولوية، ثم تجهيز حزمة الأدلة والإجابات للسوق.
تشمل مخرجات التقييم تقرير الجاهزية والدرجة، وحزمة الأدلة، وخطة معالجة مرتبة حسب أثرها على الاكتتاب. ويستغرق التقييم من ٣ إلى ٤ أسابيع، ويستند إلى SAMA CSF وNCA ECC وISO 27001. ونوضح أننا لسنا شركة تأمين ولا وسيطًا، بل نعمل إلى جانب وسيطكم لتحسين موقفكم. ويُفضّل أن تبدؤوا قبل التجديد أو قبل التوجه للسوق أول مرة بثلاثة إلى أربعة أشهر.
الخطوة التالية
إن كنتم تستعدون لتجديد وثيقتكم أو لطلب جديد، فابدؤوا بمراجعة الضوابط الستة أعلاه ومقارنتها بما تملكونه من أدلة اليوم. ويسعدنا أن نساعدكم عبر تقييم الجاهزية للتأمين السيبراني لتدخلوا مفاوضة القسط بتخفيض مخاطر مكمّم بدل ادعاءات امتثال عامة.
