تنشر SWIFT في إطار ضوابط أمن العملاء (CSCF) عددًا كبيرًا من الضوابط يتجاوز الثمانين، لكن المجموعة الإلزامية منها أصغر وتختلف بحسب نموذجك. وهذا الدليل عن ضوابط SWIFT CSCF الإلزامية 2024 موجّه لمسؤولي الامتثال ورؤساء الخزينة ومديري العمليات في البنوك السعودية المرتبطة بالشبكة، ويشرح كيف يتحدد المنطبق عليكم، وما الذي يتوقعه المدققون فوق الحد الأدنى، وكيف يُرتَّب العمل.
لماذا يبدأ كل شيء بنمط البنية
يُصنّف الإطار البيئات بحسب نمط الاتصال بالشبكة. ويحدد النمط أي مكونات تقع ضمن نطاق مسؤوليتكم، ومن ثم أي الضوابط تُطبَّق عليها. وتتكرر في الممارسة ثلاثة أنماط:
- الاتصال المباشر: يملك البنك البنية المحلية الخاصة بالمراسلة ويديرها، ومنها واجهات الرسائل والاتصال بالشبكة وما يرتبط بها من خوادم وحسابات. وهذا النمط يحمل عادة أوسع نطاق من الضوابط.
- البنية المشتركة: يعتمد البنك على مزوّد خدمة أو مكتب خدمات يدير جزءًا من البنية. ويبقى البنك مسؤولًا عن المكونات التي يملكها، وعن التأكد من أن مزوّده يفي بما يخصه.
- Alliance Lite2: نمط أخف يقلّ فيه عدد المكونات المحلية، وبالتالي يضيق نطاق الضوابط، لكنه لا يعفي من ضوابط الوصول والحسابات وسلوك المستخدمين.
الخطأ الأكثر شيوعًا هو افتراض النمط من وثائق قديمة أو من ذاكرة الفريق. وقد يتغير النمط فعليًا بعد مشروع ترحيل أو تعاقد جديد مع مزوّد دون أن يُحدَّث إعلان البنك لدى SWIFT. لذلك فإن أول خطوة هي تأكيد النمط ورسم المكونات الداخلة في النطاق.
الضوابط الإلزامية: كيف تُقرأ
يقوم الإطار على ثلاثة أهداف: تأمين البيئة، ومعرفة الوصول وتقييده، واكتشاف الأنشطة المشبوهة والاستجابة لها. وتندرج تحتها الضوابط الإلزامية والاستشارية. وعند قراءة الإلزامي ينبغي الانتباه إلى ثلاث نقاط:
- الإلزامي يُقاس بالدليل لا بالسياسة. فوجود سياسة لإدارة الحسابات المميزة لا يكفي دون سجلات تثبت التطبيق.
- النطاق يشمل المكونات المساندة، مثل محطات عمل المشغلين والخوادم الوسيطة، وليس واجهة الرسائل وحدها.
- الضابط الذي يقع على مزوّد خارجي يظل بحاجة إلى دليل يحصل عليه البنك منه ويحتفظ به.
وللتحقق من العدد المنطبق عليكم والصيغة الدقيقة لكل ضابط، يُرجع إلى الإصدار الحالي المنشور من SWIFT، لأن القوائم تُحدَّث سنويًا وقد تُرقّى ضوابط من استشارية إلى إلزامية.
الضوابط الاستشارية: من «اختيارية» إلى «متوقعة»
تصف SWIFT الضوابط الاستشارية بأنها ممارسات موصى بها، لكن المدققين والجهات المقابلة يتعاملون معها بصورة متزايدة كخط أساس. ولذلك يحسن بالبنك ألا يقرأها بوصفها خيارًا مفتوحًا، وأن يفرز المجموعة الاستشارية على النحو التالي:
- ضوابط تسدّ فجوة قائمة في الضوابط الإلزامية، فيكون تطبيقها خفض مخاطر مباشرًا.
- ضوابط تتصل بمتطلبات SAMA CSF في البنك، فيخدم تطبيقها إطارين في وقت واحد.
- ضوابط لا تنطبق على نمطكم أو لا تتناسب مع بيئتكم، وهذه تُوثَّق أسباب استبعادها كتابيًا.
القرار المكتوب بشأن كل ضابط استشاري، تطبيقًا كان أو استبعادًا، هو ما يُظهر للمدقق أن الأمر نتج عن تقدير واعٍ للمخاطر.
الفجوات المتكررة
- نمط بنية غير مؤكد أو نطاق لا يشمل كل المكونات المساندة.
- أدلة متفرقة لدى فرق مختلفة، ولا تُجمع إلا قبيل موعد المصادقة.
- اعتماد على مزوّد خدمة دون الحصول على ما يثبت التزامه.
- مراجعة دورية للحسابات والصلاحيات تجري دون سجل يثبتها.
- خطة معالجة بلا مالك ولا موعد.
ترتيب عملي للعمل
- تأكيد النمط والنطاق. اعتمدوا رسمًا للمكونات يوقّعه مالك البنية ومسؤول الأمن.
- تحديد قائمة الضوابط المنطبقة من الإصدار الحالي، مع تسجيل ما يقع على المزوّد.
- تقييم كل ضابط مع دليله. قيّموا الواقع لا المخطط.
- فرز الاستشاري وفق التصنيف أعلاه وتوثيق القرارات.
- معالجة الفجوات بحسب الأثر، مع مالك وموعد لكل بند.
- التحضير للمصادقة السنوية بملف أدلة مكتمل وتقرير يمكن الاعتماد عليه.
ويفيد أن يكون من يقيّم مستقلًا عن فريق التشغيل، وأن يتصل ذلك بالمراجعة الداخلية. ومتى كانت المعالجة تتطلب تغييرًا في التصميم، كالتقسيم أو تدفقات الوصول، فمراجعة البنية الأمنية تسبق التنفيذ وتقلل إعادة العمل.
كيف تساعدكم سيزو
نقدّم تقييم إطار ضوابط أمن عملاء سويفت والمصادقة، وهو تقييم مستقل لبيئة سويفت لديكم وفق الإصدار الحالي من الإطار، ويدعم مصادقتكم السنوية. يبدأ العمل بتحديد نوع البنية والمكونات المشمولة، ثم نقيّم كل ضابط مع أدلته، ونساند سد الفجوات، ونختم بالتقرير النهائي للمصادقة. ويشمل التقييم الضوابط الإلزامية والاستشارية، ويتوافق مع SWIFT CSCF وSAMA CSF.
تتضمن المخرجات تقرير التقييم المستقل، وملف أدلة لكل ضابط، وخطة معالجة الفجوات. وتستغرق مرحلة التقييم من 3 إلى 5 أسابيع.
وإذا رغبتم في أن يراجع فريق التدقيق الداخلي لديكم هذه الضوابط، فنحن ننفذ عمليات تدقيق الأمن السيبراني نيابة عن إدارة المراجعة الداخلية أو بالشراكة معها. ولبدء النقاش حول نطاقكم ونمط بنيتكم، تواصلوا معنا لطلب تقييم الإطار.
