عندما يقدم مسؤول أمن المعلومات ميثاق لجنة الأمن السيبراني إلى مجلس الإدارة للمرة الأولى، يتوقع أن يحصل على الموافقة في الاجتماع نفسه أو في الاجتماع التالي. لكن في كثير من البنوك وشركات المدفوعات الخاضعة لرقابة البنك المركزي السعودي (ساما)، يعود الميثاق من المجلس بسؤال واحد يؤخر الموافقة ثمانية أسابيع: "أين صلاحية اللجنة في تصعيد الحوادث الأمنية؟" الإجابة المعتادة هي أن عتبات التصعيد موجودة في سياسة الاستجابة للحوادث، لكن هذا بالضبط هو الفجوة التي يشير إليها إطار الحوكمة التقنية لساما.
يتطلب الإطار أن تمتلك لجنة الأمن السيبراني — أو اللجنة الفرعية المنبثقة عن لجنة المخاطر أو لجنة التدقيق — صلاحية واضحة في الحوكمة لتصعيد الحوادث الأمنية إلى مجلس الإدارة أو إلى الإدارة التنفيذية العليا. هذه الصلاحية ليست مجرد إجراء تشغيلي يُذكر في السياسات؛ إنها صلاحية حوكمة يجب أن تُنص عليها في الميثاق نفسه. عندما تكون العتبات موجودة فقط في سياسة الاستجابة للحوادث، يفتقد الميثاق إلى عنصر أساسي من عناصر الحوكمة، ويلاحظ المدققون الداخليون والخارجيون هذه الفجوة بسرعة.
هذا المقال يوضح لماذا تنتمي عتبات تصعيد الحوادث إلى ميثاق اللجنة وليس إلى السياسة التشغيلية، وأي خمس نقاط قرار يجب أن تُدرج في الميثاق، وكيف نجحت ثلاث مؤسسات مالية في المملكة في الحصول على موافقة مجلس الإدارة من أول تقديم.
لماذا يتطلب إطار الحوكمة التقنية لساما عتبات التصعيد في الميثاق
إطار الحوكمة التقنية الصادر عن البنك المركزي السعودي يحدد توقعات واضحة لحوكمة الأمن السيبراني. يجب أن تكون هناك لجنة أو لجنة فرعية مسؤولة عن الإشراف على الأمن السيبراني، وأن تمتلك هذه اللجنة صلاحيات محددة في اتخاذ القرارات والتصعيد. الميثاق هو الوثيقة التي تحدد نطاق عمل اللجنة وصلاحياتها وآليات رفع التقارير.
عندما تكون عتبات التصعيد موجودة فقط في سياسة الاستجابة للحوادث — وهي وثيقة تشغيلية يعدها فريق الأمن — فإن اللجنة لا تمتلك صلاحية حوكمة مباشرة في تحديد متى يُصعّد الحادث. بدلاً من ذلك، تعتمد على تقدير الفريق التشغيلي. هذا يخلق فجوة بين الحوكمة والتنفيذ، ويضعف دور اللجنة في الإشراف الفعلي.
المدققون — سواء كانوا داخليين أو خارجيين — يبحثون عن هذه الفجوة. يسألون: هل الميثاق يمنح اللجنة صلاحية واضحة في تصعيد الحوادث؟ هل هناك عتبات محددة في الميثاق نفسه؟ إذا كانت الإجابة لا، فإن المدقق يشير إلى أن الحوكمة غير مكتملة، وأن الميثاق يحتاج إلى مراجعة قبل أن يُعتمد.
الفرق بين الصلاحية الحوكمية والإجراء التشغيلي
الصلاحية الحوكمية تُحدد في الميثاق: من يقرر، ومتى، وبناءً على أي معايير. الإجراء التشغيلي يُحدد في السياسة: كيف يُنفذ القرار، ومن يُبلّغ، وما هي الخطوات التفصيلية.
عندما يقول الميثاق "تمتلك اللجنة صلاحية تصعيد الحوادث الأمنية إلى مجلس الإدارة عندما يتجاوز الأثر المالي المتوقع خمسة ملايين ريال"، فهذا بيان حوكمة. يحدد عتبة واضحة ويمنح اللجنة صلاحية اتخاذ القرار. عندما تقول السياسة "في حالة حادث من الفئة الأولى، يُبلّغ مسؤول أمن المعلومات رئيس اللجنة خلال ساعتين"، فهذا إجراء تشغيلي. يصف كيف يُنفذ القرار بعد أن تُحدد الصلاحية.
المؤسسات التي تضع العتبات فقط في السياسات تفترض أن الحوكمة ضمنية. لكن الجهات التنظيمية ومجالس الإدارة تتوقع أن تكون الحوكمة صريحة ومكتوبة في الميثاق. هذا الفرق البسيط هو ما يؤخر الموافقة.
خمس نقاط قرار تنتمي إلى ميثاق اللجنة
ليست كل تفاصيل الحوادث الأمنية تنتمي إلى الميثاق. العتبات التي يجب أن تُدرج هي تلك التي تحدد متى تتدخل الحوكمة — متى يجب على اللجنة أن تُبلّغ، أو أن تُصعّد، أو أن تتخذ قراراً. بناءً على تجربة ثلاث مؤسسات مالية في المملكة نجحت في الحصول على موافقة مجلس الإدارة من أول تقديم، هذه هي نقاط القرار الخمس التي يجب أن تُنص عليها في الميثاق:
1. الأثر المالي المتوقع أو الفعلي
عتبة واضحة بالريال السعودي. مثلاً: "تُصعّد اللجنة إلى مجلس الإدارة أي حادث يُتوقع أن يتجاوز أثره المالي المباشر أو غير المباشر خمسة ملايين ريال." هذا يشمل الخسائر المباشرة، وتكاليف الاستجابة، والغرامات المحتملة، والتعويضات.
2. حجم بيانات العملاء المتأثرة
عدد السجلات أو نوع البيانات. مثلاً: "تُصعّد اللجنة إلى مجلس الإدارة أي حادث يؤثر على بيانات أكثر من عشرة آلاف عميل، أو أي حادث يتضمن تسرب بيانات مالية حساسة بغض النظر عن العدد." هذا يتماشى مع متطلبات نظام حماية البيانات الشخصية.
3. توقف الخدمات الحرجة
المدة والنطاق. مثلاً: "تُصعّد اللجنة إلى مجلس الإدارة أي حادث يؤدي إلى توقف خدمة حرجة — مثل الخدمات المصرفية الإلكترونية أو نقاط البيع — لأكثر من أربع ساعات متواصلة، أو أي توقف يؤثر على أكثر من خمسين بالمئة من قاعدة العملاء."
4. الإبلاغ التنظيمي الإلزامي
أي حادث يتطلب إبلاغ البنك المركزي السعودي أو الهيئة الوطنية للأمن السيبراني. مثلاً: "تُصعّد اللجنة إلى مجلس الإدارة أي حادث يستوجب الإبلاغ الفوري إلى البنك المركزي السعودي بموجب الضوابط الرقابية، أو إلى الهيئة الوطنية للأمن السيبراني بموجب الضوابط الأساسية للأمن السيبراني."
5. التعرض السمعي أو الإعلامي
احتمال التغطية الإعلامية أو التأثير على السمعة. مثلاً: "تُصعّد اللجنة إلى مجلس الإدارة أي حادث يُحتمل أن يُنشر في وسائل الإعلام أو وسائل التواصل الاجتماعي، أو أي حادث يؤثر على ثقة العملاء أو الشركاء بشكل جوهري."
هذه العتبات الخمس تُكتب في قسم الصلاحيات في الميثاق. لا تحتاج إلى تفاصيل تشغيلية؛ تحتاج فقط إلى وضوح كافٍ لكي يفهم مجلس الإدارة متى ستُبلّغ اللجنة ومتى ستُصعّد.
كيف نجحت ثلاث مؤسسات في تجنب التأخير
المؤسسة الأولى — بنك تجاري متوسط الحجم — قدمت ميثاق لجنة الأمن السيبراني إلى مجلس الإدارة بعد أن أعدته إدارة الامتثال بالتعاون مع مسؤول أمن المعلومات. كان الميثاق يشير إلى "الالتزام بسياسة الاستجابة للحوادث المعتمدة"، لكنه لم يحدد عتبات التصعيد. عاد المجلس بسؤال: "ما هي المعايير التي تستخدمها اللجنة لتقرر متى تُبلّغنا؟" استغرقت المراجعة ستة أسابيع، لأن الفريق احتاج إلى استخراج العتبات من السياسة، وإعادة صياغتها كصلاحيات حوكمة، ثم إعادة تقديم الميثاق.
المؤسسة الثانية — شركة مدفوعات — راجعت الميثاق قبل التقديم. أدرجت العتبات الخمس في قسم الصلاحيات، مع إشارة واضحة إلى أن التفاصيل التشغيلية موجودة في السياسات. حصلت على موافقة مجلس الإدارة في الاجتماع الأول، لأن المجلس رأى أن اللجنة تمتلك صلاحية واضحة ومحددة.
المؤسسة الثالثة — بنك إسلامي — واجهت سؤالاً من المدقق الداخلي قبل أن يصل الميثاق إلى المجلس. المدقق لاحظ أن الميثاق يذكر "الإشراف على إدارة الحوادث الأمنية" لكنه لا يحدد متى تتدخل اللجنة. راجعت المؤسسة الميثاق، وأضافت العتبات الخمس، وقدمته إلى المجلس. حصلت على الموافقة في الاجتماع نفسه.
القاسم المشترك بين المؤسستين الثانية والثالثة هو أنهما فهمتا أن الميثاق ليس مجرد وثيقة إدارية؛ إنه عقد حوكمة بين مجلس الإدارة واللجنة. يجب أن يكون واضحاً ومحدداً بما يكفي لكي يعرف المجلس متى سيُبلّغ، ولكي تعرف اللجنة متى تمتلك الصلاحية للتصعيد.
العلاقة بين الميثاق والسياسات
إدراج العتبات في الميثاق لا يعني حذفها من السياسات. السياسات تبقى هي المرجع التشغيلي التفصيلي. الميثاق يحدد العتبات الحوكمية، والسياسة تحدد كيف يُطبّق القرار.
مثلاً، يقول الميثاق: "تُصعّد اللجنة إلى مجلس الإدارة أي حادث يتجاوز أثره المالي خمسة ملايين ريال." تقول السياسة: "يقوم فريق الاستجابة للحوادث بتقدير الأثر المالي خلال أربع ساعات من اكتشاف الحادث، ويُبلّغ مسؤول أمن المعلومات، الذي يُبلّغ بدوره رئيس اللجنة إذا تجاوز التقدير العتبة المحددة في ميثاق اللجنة."
هذا الربط الواضح بين الحوكمة والتنفيذ هو ما يبحث عنه المدققون. يريدون أن يروا أن العتبات ليست مجرد قرارات تشغيلية يتخذها الفريق، بل هي صلاحيات حوكمة منحها مجلس الإدارة للجنة.
متى تحتاج المؤسسة إلى مراجعة الميثاق
هناك ثلاث علامات تشير إلى أن ميثاق لجنة الأمن السيبراني يحتاج إلى مراجعة:
أولاً، عندما يسأل مجلس الإدارة أو المدقق الداخلي عن صلاحيات اللجنة في التصعيد، ولا يجد إجابة واضحة في الميثاق.
ثانياً، عندما تكون المؤسسة تستعد لتقييم امتثال — سواء داخلي أو من قبل البنك المركزي السعودي أو الهيئة الوطنية للأمن السيبراني — ويُتوقع أن يُراجع المدققون حوكمة الأمن السيبراني.
ثالثاً، عندما تكون المؤسسة قد أعدت الميثاق منذ أكثر من سنتين، ولم تُراجعه بعد صدور تحديثات على إطار الحوكمة التقنية أو الضوابط الأساسية للأمن السيبراني.
في هذه الحالات، المراجعة ليست اختيارية؛ إنها ضرورة حوكمة.
كيف نصمم ميثاق اللجنة ليتوافق مع إطار الحوكمة التقنية لساما
عندما تطلب مؤسسة مالية مراجعة أو تصميم ميثاق لجنة الأمن السيبراني، نبدأ بمراجعة الهيكل الحالي والصلاحيات واللجان ورفع التقارير. نقارن الميثاق الحالي — إن وُجد — بالتوقعات التنظيمية الواردة في إطار الحوكمة التقنية الصادر عن البنك المركزي السعودي، وبالضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، وبالممارسات الجيدة في الحوكمة.
نحدد الفجوات: هل الميثاق يحدد صلاحيات واضحة؟ هل عتبات التصعيد موجودة؟ هل خطوط رفع التقارير واضحة؟ هل هناك فصل مناسب بين المهام؟
بعد ذلك، نصمم الميثاق أو نعززه. نُعد ميثاق اللجنة ونماذج جداول الأعمال، ونُعد مصفوفة المسؤوليات التي تربط بين الأعمال والتقنية والأمن، ونُعد الهيكل التنظيمي والأوصاف الوظيفية إذا لزم الأمر. نُدرج في الميثاق العتبات الخمس التي ذكرناها، ونصيغها بوضوح كصلاحيات حوكمة.
أخيراً، نرسّخ الحوكمة: ندعم اعتماد الميثاق من مجلس الإدارة، وندعم أول دورة للجنة، ونسلّم الوثائق والنماذج إلى الفريق الداخلي.
المخرجات تشمل وثيقة إطار الحوكمة، وميثاق وظيفة الأمن السيبراني، وميثاق اللجنة ونماذج جداول الأعمال، ومصفوفة المسؤوليات، والهيكل التنظيمي والأوصاف الوظيفية. المدة المعتادة لهذا العمل من أربعة إلى ستة أسابيع.
الخلاصة: الحوكمة الواضحة تبدأ من الميثاق
عتبات تصعيد الحوادث الأمنية ليست مجرد تفاصيل تشغيلية. إنها صلاحيات حوكمة يجب أن تُنص عليها في ميثاق لجنة الأمن السيبراني. عندما تكون العتبات موجودة فقط في السياسات، يفتقد الميثاق إلى عنصر أساسي من عناصر الحوكمة، ويؤخر ذلك موافقة مجلس الإدارة ويخلق فجوة يشير إليها المدققون.
المؤسسات المالية التي تُدرج العتبات الخمس — الأثر المالي، وحجم بيانات العملاء، وتوقف الخدمة، والإبلاغ التنظيمي، والتعرض السمعي — في ميثاق اللجنة تحصل على موافقة مجلس الإدارة من أول تقديم، وتتجنب التأخير والمراجعات المتكررة.
إذا كنتم تعدون ميثاق لجنة الأمن السيبراني للمرة الأولى، أو تراجعون ميثاقاً قائماً استعداداً لتقييم امتثال أو اجتماع مجلس إدارة، فإن التأكد من أن الصلاحيات الحوكمية واضحة ومحددة في الميثاق نفسه — وليس فقط في السياسات — هو ما يحقق الامتثال لإطار الحوكمة التقنية الصادر عن البنك المركزي السعودي، ويمنح مجلس الإدارة الثقة في أن الحوكمة مكتملة ومُطبّقة.
---
هل تحتاجون إلى مراجعة أو تصميم ميثاق لجنة الأمن السيبراني؟
إذا كنتم تستعدون لتقديم ميثاق لجنة الأمن السيبراني إلى مجلس الإدارة، أو تراجعون ميثاقاً قائماً بعد ملاحظات من المدققين أو الجهات التنظيمية، فإن خدمة حوكمة الأمن السيبراني والهيكل التنظيمي تساعدكم على تصميم حوكمة واضحة ومكتملة.
نراجع الهيكل الحالي والصلاحيات واللجان ورفع التقارير، ونحدد الفجوات بالمقارنة بالتوقعات التنظيمية والممارسات الجيدة، ونصمم الميثاق واللجان ومصفوفة المسؤوليات والأوصاف الوظيفية، وندعم الاعتماد وأول دورة للجنة والتسليم.
المخرجات تشمل وثيقة إطار الحوكمة، وميثاق وظيفة الأمن السيبراني، وميثاق اللجنة ونماذج جداول الأعمال، ومصفوفة المسؤوليات، والهيكل التنظيمي والأوصاف الوظيفية. المدة المعتادة من أربعة إلى ستة أسابيع.
تواصلوا معنا لمناقشة وضعكم الحالي وكيف نساعدكم على تحقيق حوكمة أمن سيبراني واضحة ومعتمدة من مجلس الإدارة.
