يوقّع المجلس كل عام على إقرار يتعلق بأمن بيئة SWIFT، وغالبًا ما يصله الملف مكتملًا وجاهزًا للتوقيع. المشكلة أن التوقيع على ما لا يُفهم نطاقه لا يُعدّ رقابة. وتهدف أسئلة مجلس الإدارة حول إقرار SWIFT CSCF إلى سدّ هذه الفجوة: ثلاثة أسئلة محددة تُطرح على الإدارة التنفيذية قبل الموعد السنوي، وتكشف أي الضوابط تم التحقق منها بشكل مستقل وأيها اكتفى بإفادة داخلية.
لا يحتاج عضو المجلس إلى معرفة تقنية عميقة. يحتاج إلى أن يعرف ما الذي يوقّع عليه، وما الذي يستند إليه ذلك التوقيع، وما الذي بقي مفتوحًا.
لماذا يهم الأمر المجلس
إطار ضوابط أمن العملاء في SWIFT (SWIFT CSCF) يحدد ضوابط أمنية على المؤسسة تطبيقها في بيئتها الخاصة بالمراسلات المالية، ويتضمن ضوابط إلزامية وأخرى استشارية. والمؤسسة مسؤولة عن تقديم مصادقة سنوية على التزامها. وفي المملكة يتقاطع ذلك مع توقعات البنك المركزي السعودي (ساما) في إطار الأمن السيبراني للقطاع المالي (SAMA CSF)، فالمجلس معنيّ بالمسألتين معًا.
وحين يتعثر الإقرار فإن السبب نادرًا ما يكون نية سيئة. السبب المعتاد أن النطاق حُدد بشكل ضيق، أو أن الأدلة وصفية لا قابلة للفحص، أو أن ثغرات معروفة بقيت بلا موعد إغلاق.
السؤال الأول: ما نطاق التقييم، وما الذي استُبعد منه؟
ابدأ بالنطاق لأن كل ما بعده يُبنى عليه. إذا استُبعد مكوّن من البيئة، فلن تغطيه أي ضوابط مهما كانت نتائجها جيدة.
اطلب من الإدارة إجابات مكتوبة عن الآتي:
- ما نوع البنية المعتمدة لدينا في ربط SWIFT، وهل تم تأكيدها فعلًا أم افتُرضت من الإصدار السابق؟
- ما المكونات المشمولة: الخوادم والتطبيقات وأجهزة الربط والمستخدمون والمشغّلون ومزوّدو الخدمة؟
- ما المكونات المستبعدة ولماذا، ومن اعتمد الاستبعاد؟
- هل تغيّر شيء منذ العام الماضي، مثل ترحيل بيئة أو تغيير مزوّد أو دمج نظام جديد؟
كيف تقرأ الإجابة: النطاق الجيد يُكتب في صفحة واحدة يفهمها غير المتخصص. وإذا جاءت الإجابة عامة، أو تطابقت حرفيًا مع العام الماضي رغم تغيّر البيئة، فهذه إشارة تستدعي المتابعة. ونوع البنية بالذات يحدد الضوابط المنطبقة، وخطؤه يجعل الإقرار كله قائمًا على أساس غير صحيح.
السؤال الثاني: ما جودة الأدلة، ومن تحقق منها بشكل مستقل؟
هذا هو السؤال الذي يغيّر طبيعة النقاش. فهناك فرق بين ضابط «مطبّق» بحسب إفادة صاحبه وضابط «مطبّق» بدليل فحصه طرف لم يشارك في التطبيق.
اطلب من الإدارة جدولًا بسيطًا يوضح لكل ضابط:
- حالته: مطبّق أو مطبّق جزئيًا أو غير مطبّق.
- نوع الدليل: لقطة إعداد، سجل، وثيقة سياسة، نتيجة اختبار، أو إفادة شفهية.
- من جمع الدليل ومن راجعه، وهل المراجع مستقل عن فريق التشغيل؟
- تاريخ الدليل، فدليل قديم لا يثبت وضع اليوم.
كيف تقرأ الإجابة: إذا كان معظم الأدلة إفادات أو وثائق سياسات دون ما يثبت التطبيق الفعلي، فالإقرار يعتمد على الثقة لا على التحقق. وليس المطلوب أن تُفحص كل الضوابط بالعمق نفسه، لكن يجب أن يعرف المجلس أيها فُحص مستقلًا وأيها لم يُفحص.
وهنا تظهر قيمة التقييم المستقل. فنحن في سيزو نقدّم تقييمًا مستقلًا لبيئة سويفت وفق الإصدار الحالي من إطار ضوابط أمن العملاء. وتشمل خدمتنا تقييم الضوابط الإلزامية والاستشارية وتوثيق الأدلة، ويتسلّم العميل ملف أدلة لكل ضابط. وهذا يعطي المجلس ما يستند إليه حين يسأل «كيف نعرف؟».
وبعض الضوابط يتصل بقدرتكم على كشف الاستخدام غير المشروع والاستجابة له، ولا يكفي فيها الاطلاع على الإعدادات. ولهذا قد ترغب المؤسسة في استكمال التقييم باختبار الاختراق وفق متطلبات ساما، أو بمحاكاة هجوم موجّه لاختبار الرصد والاستجابة، بحسب مستوى النضج وقرار المجلس في ذلك.
السؤال الثالث: ما الثغرات المفتوحة، ومتى ستُغلق، ومن المسؤول؟
لا يخلو تقييم جاد من ثغرات. والمقلق ليس وجودها بل غياب الصورة الواضحة عنها. اسأل الإدارة:
- كم ضابطًا لم يستوفِ المطلوب، وأيها إلزامي؟
- ما أثر كل ثغرة على المؤسسة لو استُغلت، بلغة الأعمال لا بلغة التقنية؟
- من المسؤول عن إغلاق كل ثغرة، وما الموعد، وما الموارد المطلوبة؟
- ما الإجراء المؤقت المعوِّض إن تأخر الإغلاق؟
- هل يمكن التوقيع على الإقرار بصورة سليمة مع هذه الثغرات، وما الصياغة الصادقة لذلك؟
كيف تقرأ الإجابة: خطة المعالجة الجيدة تحمل أسماء ومواعيد وتكلفة تقديرية، وتُعرض على المجلس بصيغة قرار: ما الذي نموّله الآن وما الذي نؤجله ولماذا. أما عبارات مثل «قيد المعالجة» دون موعد فلا تُعدّ خطة. وإن رأى المجلس أن الثغرة جسيمة، فمن حقه أن يطلب تمويلًا عاجلًا بدل انتظار الدورة القادمة.
ماذا يقيس المجلس خلال العام
بعد الإقرار، لا يصح أن تنتهي المتابعة. اطلب مؤشرات قليلة تعرض في كل اجتماع دوري للجنة المختصة:
- عدد الثغرات المفتوحة في ضوابط SWIFT مقارنة بالربع السابق.
- عدد الثغرات المتجاوزة لموعد إغلاقها.
- نسبة الضوابط التي لها دليل حديث قابل للفحص.
- أي تغيير في البيئة يستوجب إعادة النظر في النطاق.
هذه المؤشرات تُنهي مفاجأة الأسابيع الأخيرة قبل الموعد السنوي.
كيف نساعدكم في سيزو
يمر تقييمنا لإطار ضوابط أمن عملاء سويفت بأربع مراحل: تحديد النطاق ونوع البنية والمكونات المشمولة، ثم تقييم كل ضابط مع أدلته، ثم دعم معالجة الفجوات، ثم إعداد التقرير النهائي للمصادقة. ويستغرق التقييم من ثلاثة إلى خمسة أسابيع. ومخرجاته ثلاثة: تقرير التقييم المستقل، وملف أدلة لكل ضابط، وخطة معالجة الفجوات.
وبهذا تصل إلى المجلس إجابات مكتوبة عن الأسئلة الثلاثة قبل موعد التوقيع لا بعده. وإن رغبتم في مراجعة جاهزيتكم قبل الموعد السنوي، فيسعدنا التواصل معكم لمناقشة نطاق التقييم المناسب لبيئتكم.
