عند تسلم تقرير مراجعة من البنك المركزي السعودي (ساما) بعد تقييم الإطار التنظيمي للأمن السيبراني، يواجه مسؤولو أمن المعلومات ورؤساء الامتثال قراراً حاسماً: كيف يرتبون ترتيب أولويات معالجة الإطار التنظيمي للأمن السيبراني ساما في برنامج المعالجة؟ الخطأ الأكثر شيوعاً — والأكثر كلفة — هو افتراض أن النتائج المصنفة 'غير مستوفاة' تستحق الأولوية الأعلى، بينما النتائج 'المستوفاة جزئياً' يمكن تأجيلها لأنها تبدو أقرب إلى الامتثال الكامل.
الواقع أن هذا الافتراض يقلب ترتيب المعالجة رأساً على عقب. النتائج المستوفاة جزئياً غالباً ما تخفي أعمق الثغرات البنيوية — ثغرات في الحوكمة، في عمليات إدارة الهوية والوصول، في هياكل الأدوار والمسؤوليات — التي تخلق تبعيات متتالية تعيق حل النتائج الأخرى التي تبدو أبسط ظاهرياً. عندما تؤجل معالجة هذه النتائج، تمدد الجدول الزمني للبرنامج بأكمله ستة أشهر أو أكثر، لأنك تكتشف متأخراً أن الضوابط التي ظننت أنك أغلقتها تعتمد على أساسات لم تبنها بعد.
هذا المقال يوضح كيف يقيّم فاحصو ساما طيف نضج الأدلة، ولماذا يجب ترتيب المعالجة حسب تبعية الضوابط بدلاً من تصنيف الامتثال، وكيف تتجنب الأخطاء الشائعة التي تحول برنامج معالجة من ثلاثة أشهر إلى تسعة.
طيف نضج الأدلة: كيف يصنف الفاحصون النتائج
قبل أن نتحدث عن الترتيب، من الضروري فهم كيف يصل الفاحص إلى تصنيف 'مستوفاة جزئياً' أو 'غير مستوفاة'. البنك المركزي السعودي لا يطبق معياراً ثنائياً (موجود/غير موجود)، بل يقيّم طيف نضج الأدلة عبر أربعة أبعاد:
- الوجود: هل السياسة أو الإجراء موثّق؟
- التطبيق: هل يُطبّق فعلياً في البيئة التشغيلية؟
- الاتساق: هل يُطبّق بانتظام عبر جميع الأنظمة والوحدات؟
- الإثبات: هل توجد أدلة قابلة للمراجعة تثبت التطبيق المستمر؟
النتيجة 'غير مستوفاة' عادة تعني غياب البعد الأول أو الثاني: لا توجد سياسة موثقة، أو توجد سياسة لكن لا يوجد تطبيق على الإطلاق. النتيجة 'المستوفاة جزئياً' تعني أن الأبعاد الأولى موجودة، لكن الاتساق أو الإثبات ضعيف أو مفقود.
هنا يكمن الفخ: المؤسسة ترى 'مستوفاة جزئياً' وتفترض أن المطلوب هو مجرد تحسين توثيق أو إضافة بعض الأدلة. لكن عندما تحفر أعمق، تكتشف أن غياب الاتساق يعود إلى غياب حوكمة مركزية، أو أن غياب الإثبات يعود إلى غياب عمليات آلية أو أدوار واضحة المسؤولية.
الخطأ الأول: ترتيب المعالجة حسب تصنيف الامتثال بدلاً من التبعية
لماذا يحدث هذا الخطأ
عندما يتسلم فريق الامتثال تقرير المراجعة، يرى قائمة من النتائج مصنفة: حرجة، عالية، متوسطة؛ مستوفاة جزئياً، غير مستوفاة، غير قابلة للتطبيق. الاستجابة الطبيعية هي فرز القائمة حسب هذه التصنيفات وبدء العمل من الأعلى.
المشكلة أن هذا الترتيب يتجاهل تبعيات الضوابط. على سبيل المثال:
- نتيجة 'غير مستوفاة': "لا توجد مراجعة دورية لصلاحيات المستخدمين المميزة."
- نتيجة 'مستوفاة جزئياً': "عمليات منح الصلاحيات غير موحدة عبر الأنظمة، ولا توجد أدوار معرّفة بوضوح."
الفريق يبدأ بالنتيجة الأولى لأنها 'غير مستوفاة'، فيبني إجراء مراجعة ويجري أول دورة مراجعة. لكن بعد ثلاثة أشهر، يكتشف أن المراجعة لا تنتج نتائج موثوقة لأن الصلاحيات نفسها غير موحدة — بعض الأنظمة تستخدم مجموعات Active Directory، وبعضها يستخدم صلاحيات مباشرة، وبعضها لا يوجد له مالك واضح. النتيجة: يجب إيقاف المراجعة، والعودة لمعالجة النتيجة 'المستوفاة جزئياً' أولاً، ثم إعادة بناء إجراء المراجعة من جديد.
ماذا تفعل بدلاً من ذلك
ارسم خريطة تبعية الضوابط قبل ترتيب الأولويات. اسأل عن كل نتيجة: ما الضوابط الأخرى التي تعتمد على حل هذه النتيجة؟ وما الضوابط التي يجب أن تكون موجودة قبل أن نحل هذه النتيجة؟
الضوابط التي تظهر كـ متطلبات مسبقة لعدة ضوابط أخرى — حتى لو كانت مصنفة 'مستوفاة جزئياً' — يجب أن تُعالج أولاً. هذه عادة ضوابط الحوكمة والهيكل التنظيمي وإدارة الهوية والوصول.
الخطأ الثاني: افتراض أن 'مستوفاة جزئياً' تعني جهداً أقل
لماذا يحدث هذا الخطأ
عندما ترى نتيجة 'مستوفاة جزئياً'، تفترض أن الجزء الأكبر من العمل منجز، وأن المطلوب هو مجرد 'إكمال' ما تبقى. هذا صحيح أحياناً — مثلاً، سياسة موجودة لكن تحتاج إلى تحديث بسيط — لكنه خاطئ في أغلب الحالات الحرجة.
النتائج المستوفاة جزئياً في مجالات مثل حوكمة الهوية والوصول أو حوكمة الأمن السيبراني والهيكل التنظيمي غالباً ما تعني أن هناك عمليات مجزأة أو أدوار غير واضحة أو أدوات غير متكاملة. حل هذه النتائج يتطلب إعادة تصميم العمليات، وتوحيد الأدوات، وإعادة تعريف المسؤوليات — وهو جهد أكبر بكثير من بناء ضابط جديد من الصفر.
ماذا تفعل بدلاً من ذلك
قيّم الجهد الفعلي لكل نتيجة بناءً على الحالة الحالية، لا على التصنيف. عندما تقرأ نتيجة 'مستوفاة جزئياً'، اسأل:
- ما السبب الجذري لعدم الاتساق؟
- هل يتطلب الحل تغيير عمليات متعددة أو دمج أنظمة؟
- كم عدد الوحدات أو الأنظمة التي يجب توحيدها؟
- هل يتطلب الحل تغيير الحوكمة أو الأدوار؟
إذا كانت الإجابات تشير إلى تعقيد بنيوي، فهذه النتيجة تستحق أولوية أعلى من نتيجة 'غير مستوفاة' بسيطة يمكن حلها بإجراء واحد.
الخطأ الثالث: بناء الأدلة قبل بناء العمليات
لماذا يحدث هذا الخطأ
عندما تكون تحت ضغط الموعد النهائي للمعالجة، تميل الفرق إلى التركيز على إنتاج الأدلة التي يطلبها الفاحص — تقارير، سجلات، لقطات شاشة — دون التأكد من أن العمليات الأساسية مستقرة ومستدامة.
مثلاً، نتيجة 'مستوفاة جزئياً': "لا توجد مراجعات دورية موثقة لصلاحيات المستخدمين." الفريق يجري مراجعة يدوية لمرة واحدة، ويوثق النتائج في جدول بيانات، ويرسلها كدليل. الفاحص يقبل الدليل مؤقتاً، لكن في المراجعة التالية يكتشف أن المراجعة لم تتكرر، أو أن النتائج لم تُتابع، أو أن العملية لم تُدمج في دورة العمل العادية.
النتيجة: الملاحظة تُعاد فتحها، والجهد المبذول يُهدر، والمؤسسة تفقد الثقة أمام الجهة التنظيمية.
ماذا تفعل بدلاً من ذلك
ابنِ العملية أولاً، ثم اجمع الأدلة. قبل أن تبدأ في توثيق الامتثال، تأكد من:
- وجود إجراء واضح يحدد من يفعل ماذا ومتى.
- وجود أدوات أو أنظمة تدعم تنفيذ الإجراء بشكل متكرر.
- وجود مالك مسؤول عن تنفيذ الإجراء ومراقبته.
- وجود آلية لتسجيل الأدلة تلقائياً أو بأقل تدخل يدوي.
عندما تبني العملية بهذا الشكل، الأدلة تتولد بشكل طبيعي ومستمر، ولا تحتاج إلى جهد استثنائي عند كل مراجعة.
الخطأ الرابع: تجاهل التبعيات المتتالية في الحوكمة
لماذا يحدث هذا الخطأ
بعض النتائج المستوفاة جزئياً تتعلق بالحوكمة — مثل غياب لجنة أمن سيبراني فعّالة، أو عدم وضوح صلاحيات مسؤول أمن المعلومات، أو غياب خطوط رفع التقارير إلى مجلس الإدارة. هذه النتائج تبدو 'إدارية' أو 'ورقية'، فتُؤجل لصالح نتائج 'تقنية' تبدو أكثر إلحاحاً.
لكن الحوكمة هي الأساس الذي تُبنى عليه جميع الضوابط الأخرى. إذا لم تكن الأدوار واضحة، فمن يملك الضوابط؟ إذا لم تكن اللجان فعّالة، فمن يوافق على السياسات؟ إذا لم تكن خطوط الرفع واضحة، فكيف تُصعّد المخاطر؟
عندما تؤجل معالجة نتائج الحوكمة، تجد نفسك تعيد فتح نتائج أخرى لأن القرارات التي اتُخذت لم تكن من الجهة الصحيحة، أو لأن الملكية لم تكن واضحة، أو لأن التمويل لم يُوافق عليه في الوقت المناسب.
ماذا تفعل بدلاً من ذلك
عالج نتائج الحوكمة والهيكل التنظيمي في المرحلة الأولى من البرنامج. قبل أن تبدأ في تطبيق ضوابط تقنية، تأكد من:
- وجود حوكمة واضحة للأمن السيبراني: اللجان، الأدوار، المسؤوليات، خطوط الرفع.
- وجود ملكية واضحة لكل ضابط: من يطبقه، من يراقبه، من يوافق على التغييرات.
- وجود آلية لتمويل المعالجة واتخاذ القرارات بسرعة.
هذا الاستثمار في الحوكمة يوفر أشهراً من التأخير لاحقاً.
كيف ترتب أولويات المعالجة بشكل صحيح
بناءً على ما سبق، إليك إطار عمل عملي لترتيب أولويات معالجة الإطار التنظيمي للأمن السيبراني ساما:
1. صنّف النتائج حسب نوع الثغرة، لا حسب تصنيف الامتثال
قسّم النتائج إلى ثلاث فئات:
- ثغرات حوكمة: تتعلق بالأدوار، اللجان، السياسات، خطوط الرفع.
- ثغرات عمليات: تتعلق بإجراءات التشغيل، دورات العمل، التكامل بين الأنظمة.
- ثغرات تطبيق: تتعلق بضوابط تقنية محددة أو أدوات أو إعدادات.
2. ارسم خريطة التبعية
لكل نتيجة، حدد:
- ما الضوابط التي تعتمد على حل هذه النتيجة؟
- ما الضوابط التي يجب أن تكون موجودة قبل حل هذه النتيجة؟
الضوابط التي تظهر كمتطلبات مسبقة لعدة ضوابط أخرى تُعطى أولوية أعلى.
3. رتّب المعالجة في ثلاث موجات
الموجة الأولى (الشهر الأول إلى الثاني): حوكمة وعمليات أساسية — حتى لو كانت 'مستوفاة جزئياً'. هذه تشمل:
- حوكمة الأمن السيبراني والهيكل التنظيمي.
- حوكمة الهوية والوصول (عمليات منح الصلاحيات، الأدوار، الفصل بين المهام).
- عمليات إدارة التغيير والتكوين.
- عمليات إدارة الثغرات والتصحيح.
الموجة الثانية (الشهر الثاني إلى الرابع): ضوابط تطبيق تعتمد على الموجة الأولى — مثل:
- المراجعات الدورية للصلاحيات (تعتمد على حوكمة الهوية).
- ضوابط الوصول المنطقي (تعتمد على الأدوار الموحدة).
- ضوابط التشفير والحماية (تعتمد على إدارة التكوين).
الموجة الثالثة (الشهر الرابع إلى السادس): ضوابط مستقلة أو تحسينات إضافية — مثل:
- تحسينات في التوثيق أو السياسات.
- ضوابط إضافية غير حرجة.
- تحسينات في الأدلة أو التقارير.
4. راجع الأدلة قبل الإغلاق
لا تغلق أي نتيجة حتى تتأكد من أن الأدلة تغطي الأبعاد الأربعة: الوجود، التطبيق، الاتساق، الإثبات. راجع الأدلة مع فريق داخلي محايد قبل إرسالها إلى الجهة التنظيمية.
كيف ندعم برنامج المعالجة
عندما تواجه تقرير مراجعة معقد وتحتاج إلى ترتيب أولويات واضح وإدارة منضبطة للبرنامج، ندير برنامج المعالجة بعد التقييم أو المراجعة التنظيمية: ترتيب الفجوات حسب الأولوية، وتنسيق المالكين، وتطبيق الضوابط، وبناء الأدلة التي تغلق كل ملاحظة.
نتبع أربع مراحل واضحة:
الترتيب: ترتيب الفجوات حسب المخاطر والمواعيد التنظيمية والجهد.
الإطلاق: الاتفاق على المالكين والخطط والحوكمة.
المعالجة: دعم التطبيق والمتابعة الأسبوعية.
الإثبات: مراجعة الأدلة والإغلاق الرسمي للملاحظات.
نسلّم خارطة المعالجة، وتقرير حالة أسبوعي وسجل المخاطر والقضايا، وحزم الأدلة لكل ضابط، وتقرير شهري للجنة التوجيهية، وتقرير الإغلاق للجهة التنظيمية.
البرنامج يستمر من ثلاثة إلى تسعة أشهر حسب عدد الملاحظات وتعقيدها، ونعمل إلى جانب فريقك الداخلي — وهذا هو النموذج المعتاد — حيث نوفر انضباط البرنامج والعمق التخصصي، وتملك فرقكم الضوابط وتشغّلها.
نطبق هذا النموذج على الإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي، وضوابط الأمن السيبراني الأساسية الصادرة عن الهيئة الوطنية للأمن السيبراني، والإطار التنظيمي لمكافحة الجرائم المالية الصادر عن البنك المركزي السعودي.
إذا كنت تدير برنامج معالجة الآن وتريد التأكد من أن ترتيب الأولويات يعكس التبعيات الحقيقية — لا مجرد تصنيفات الامتثال — تواصل معنا لمناقشة كيف نبني خارطة المعالجة ونديرها حتى الإغلاق.
