عندما تبدأ مؤسسة مالية سعودية تقييم نضج مركز العمليات الأمنية وفق إطار الأمن السيبراني الصادر عن مؤسسة النقد العربي السعودي، تكون الخطوة الأولى عادة واحدة من اثنتين: ربط قواعد الكشف الحالية بإطار MITRE ATT&CK لقياس التغطية، أو قياس متوسط وقت الكشف ومتوسط وقت الاستجابة عبر عينة من الحوادث. كلا الخطوتين منطقيتان ظاهريًا، وكلاهما يؤديان إلى تقارير تبدو مفيدة. لكن دون إجابة واضحة على سؤال بسيط — من يملك كل حالة استخدام؟ — تتحول نتائج التقييم إلى قوائم توصيات لا يمكن تنفيذها، وتتعطل دورات التحسين لأكثر من عام ونصف.
الخطأ ليس في التقييم نفسه، بل في ترتيب الخطوات. عندما تكشف تقييمات التغطية عن فجوات — مثلاً عدم رصد تقنيات معينة من إطار MITRE أو ضعف جودة تنبيهات حالات استخدام قائمة — يحتاج فريق المركز إلى معرفة من المسؤول عن إنشاء حالة استخدام جديدة، من يوافق عليها، من يختبرها، من يضبطها عند الإيجابيات الكاذبة، ومن يراجعها دوريًا. دون هذه السجلات، تبقى التوصيات على الورق، وتتحول اجتماعات المتابعة إلى جلسات تحديد المسؤوليات بدلاً من تنفيذ التحسينات.
نشرح في هذا المقال لماذا يجب أن تكون مصفوفة ملكية حالات الاستخدام هي الخطوة الأولى في أي تقييم نضج لمركز العمليات الأمنية، وكيفية بنائها في أسبوعين، والفجوات الثلاث في الملكية التي تمدد المعالجة لأكثر من عام.
الخطأ الأول: قياس التغطية قبل توثيق من يملأ الفجوات
تبدأ معظم تقييمات نضج مراكز العمليات الأمنية بجرد حالات الاستخدام الحالية — القواعد والاستعلامات والتنبيهات المهيأة في أدوات SIEM وEDR وغيرها — ثم ربطها بإطار MITRE ATT&CK أو بمتطلبات الرصد في إطار الأمن السيبراني لمؤسسة النقد العربي السعودي. تظهر النتيجة عادة في خريطة حرارية تبين التقنيات المغطاة والتقنيات المفقودة، مع نسبة مئوية للتغطية الإجمالية.
المشكلة تظهر في الخطوة التالية. عندما يحدد التقييم — على سبيل المثال — أن المركز لا يرصد تقنية Credential Dumping أو لا يملك حالة استخدام لرصد تغييرات مجموعات الامتيازات في Active Directory، من المفترض أن يقوم شخص ما بإنشاء هذه القواعد. لكن في معظم المؤسسات المالية السعودية، لا توجد إجابة واضحة على:
- هل ينشئ محلل المركز الداخلي حالة الاستخدام الجديدة، أم مهندس الأمن، أم المزود المسند إليه تشغيل المركز؟
- من يوافق على حالة الاستخدام قبل تفعيلها في بيئة الإنتاج؟
- من يختبرها للتأكد من أنها تكشف السلوك المستهدف دون إيجابيات كاذبة مفرطة؟
- من يضبطها بعد التفعيل إذا أنتجت تنبيهات غير دقيقة؟
- من يراجعها دوريًا لضمان بقائها فعالة مع تغير البيئة؟
دون إجابات موثقة، تبقى الفجوات المكتشفة في التقرير دون معالجة. يعرف الجميع ما يجب فعله، لكن لا أحد يعرف من يفعله.
الخطأ الثاني: افتراض أن عقد المزود يحدد الملكية
في المؤسسات المالية التي تسند تشغيل مركز العمليات الأمنية إلى مزود خارجي، يفترض كثيرون أن عقد الخدمة يحدد بوضوح من يملك إنشاء حالات الاستخدام وضبطها. لكن معظم عقود الإسناد تحدد فقط مخرجات الخدمة — مثل عدد ساعات التغطية، أو مستويات الخدمة لوقت الاستجابة — دون تحديد عمليات إدارة حالات الاستخدام.
الفجوات الشائعة في عقود الإسناد تشمل:
- حالات الاستخدام المخصصة: يغطي العقد عادة حالات الاستخدام القياسية التي يوفرها المزود، لكن لا يحدد من ينشئ حالات استخدام خاصة بالمؤسسة — مثل رصد أنماط الاحتيال الخاصة بمنتجات معينة أو رصد الوصول غير المعتاد لأنظمة داخلية.
- ضبط القواعد: يوفر المزود قواعد جاهزة، لكن عندما تنتج إيجابيات كاذبة كثيرة — وهو أمر شائع في البيئات المعقدة — لا يحدد العقد من يضبط العتبات والاستثناءات، ولا كم مرة، ولا ضمن أي إطار زمني.
- المراجعة الدورية: لا تحدد معظم العقود دورية مراجعة حالات الاستخدام للتأكد من بقائها فعالة، ولا من يقود هذه المراجعة.
النتيجة: عندما يكشف تقييم النضج عن حاجة لحالات استخدام جديدة أو ضبط حالات قائمة، يبدأ نقاش طويل بين فريق المؤسسة والمزود حول ما إذا كان ذلك داخل نطاق العقد أم يتطلب طلب تغيير مدفوع. يمتد هذا النقاش أحيانًا لأشهر، وتبقى الفجوات الأمنية مفتوحة.
الخطأ الثالث: عدم التمييز بين أنواع الملكية المختلفة
حتى عندما تحاول المؤسسات توثيق ملكية حالات الاستخدام، تقع في خطأ افتراض أن الملكية دور واحد. في الواقع، لكل حالة استخدام ثلاثة أنواع من الملكية، ولكل منها متطلبات ومسؤوليات مختلفة:
الملكية الفنية
من ينشئ القاعدة تقنيًا، ويهيئها في الأداة، ويختبرها، ويضبط معاملاتها؟ هذا عادة محلل أمني أو مهندس أمن لديه معرفة بلغة الاستعلام في أداة SIEM أو EDR. في المراكز المسندة، قد يكون هذا الدور لدى المزود، لكن يجب تحديد ذلك صراحة.
الملكية الوظيفية
من يحدد ماذا يجب أن ترصد حالة الاستخدام، وما السلوك المشبوه الذي تستهدفه، وما مستوى الخطورة المناسب لتنبيهاتها؟ هذا عادة مالك العملية أو النظام الذي تراقبه حالة الاستخدام — مثلاً مدير أمن الهوية لحالات استخدام Active Directory، أو مدير أمن التطبيقات لحالات استخدام تطبيقات الويب.
ملكية الحوكمة
من يوافق على تفعيل حالة استخدام جديدة في بيئة الإنتاج، ومن يقرر إيقافها أو تعديلها، ومن يراجع فعاليتها دوريًا؟ هذا عادة دور إشرافي — مدير مركز العمليات الأمنية أو مدير أمن المعلومات — يضمن التوافق مع سياسات المؤسسة ومتطلبات الجهات التنظيمية.
عندما لا تميز المؤسسة بين هذه الأنواع الثلاثة، تحدث فجوات خطيرة. مثلاً، قد ينشئ محلل قاعدة تقنيًا سليمة لكنها ترصد سلوكًا طبيعيًا في بيئة المؤسسة لأن المالك الوظيفي لم يراجعها. أو قد تبقى قاعدة قديمة مفعّلة رغم أن النظام الذي ترصده لم يعد مستخدمًا، لأن لا أحد يملك مسؤولية الحوكمة لمراجعتها.
افعل هذا بدلاً: ابدأ بمصفوفة ملكية حالات الاستخدام
قبل أي تقييم لتغطية الكشف أو قياس لمؤشرات الأداء، يجب بناء مصفوفة ملكية حالات الاستخدام. هذه المصفوفة وثيقة بسيطة — جدول أو قاعدة بيانات — تسجل لكل حالة استخدام قائمة أو مخطط لها:
- اسم حالة الاستخدام ووصف مختصر للسلوك الذي ترصده
- المالك الفني: الشخص أو الفريق المسؤول عن إنشائها وضبطها تقنيًا
- المالك الوظيفي: الشخص أو الفريق الذي يحدد متطلباتها ويوافق على منطقها
- مالك الحوكمة: الدور المسؤول عن الموافقة على تفعيلها ومراجعتها دوريًا
- حالة الملكية: هل الأدوار الثلاثة محددة وموافق عليها؟
- تاريخ آخر مراجعة والمراجعة القادمة المخططة
يمكن بناء هذه المصفوفة في أسبوعين عبر:
- جرد حالات الاستخدام الحالية من أدوات SIEM وEDR وغيرها — لا يتطلب هذا تحليلاً عميقًا، فقط قائمة بالقواعد والاستعلامات المفعّلة.
- مقابلات قصيرة مع فريق المركز ومديري الأنظمة والمزود إن وجد، لتحديد من ينشئ كل نوع من حالات الاستخدام حاليًا، ومن يضبطها، ومن يوافق عليها.
- تحديد الفجوات حيث لا يوجد مالك واضح لأحد الأدوار الثلاثة.
- توثيق القرارات في سياسة أو إجراء يحدد الأدوار والمسؤوليات لإدارة حالات الاستخدام، ويوافق عليه مدير أمن المعلومات.
بمجرد وجود هذه المصفوفة، يصبح تقييم النضج قابلاً للتنفيذ. عندما يكشف التقييم عن فجوة في التغطية، تعرف المؤسسة فورًا من المسؤول عن إنشاء حالة الاستخدام الجديدة، ومن يختبرها، ومن يوافق عليها. عندما يوصي التقييم بضبط قاعدة قائمة، يعرف الجميع من يفعل ذلك وضمن أي إطار زمني. وعندما تتغير البيئة — مثلاً نشر نظام جديد أو تغيير مزود — تعرف المؤسسة من يراجع حالات الاستخدام المتأثرة.
الفجوات الثلاث في الملكية التي تمدد المعالجة لأكثر من عام
حتى بعد بناء مصفوفة الملكية، تواجه معظم المؤسسات المالية السعودية ثلاث فجوات متكررة تعطل التحسين:
الفجوة الأولى: حالات الاستخدام اليتيمة
هذه حالات استخدام قديمة — أحيانًا أنشأها موظف سابق أو مستشار — لا يعرف أحد بالضبط ماذا ترصد أو لماذا. لا أحد يملكها وظيفيًا، ولا أحد يراجعها. قد تكون مفعّلة وتنتج تنبيهات يتجاهلها المحللون، أو قد تكون معطلة دون أن يلاحظ أحد. تمثل هذه الحالات خطرًا مزدوجًا: إما ضوضاء تشتت المحللين، أو فجوات أمنية غير مرئية.
افعل هذا بدلاً: خصص شهرًا لمراجعة جميع حالات الاستخدام القائمة. لكل حالة لا يوجد لها مالك وظيفي واضح، إما تعيين مالك جديد بناءً على النظام أو العملية التي ترصدها، أو تعطيلها مؤقتًا حتى تحديد الحاجة إليها. لا تبق حالات استخدام يتيمة مفعّلة.
الفجوة الثانية: غياب عملية الموافقة على حالات الاستخدام الجديدة
في كثير من المراكز، يستطيع محلل أو مهندس إنشاء قاعدة جديدة وتفعيلها في بيئة الإنتاج دون موافقة رسمية. هذا يؤدي إلى تضخم عدد حالات الاستخدام دون تنسيق، وإلى قواعد متداخلة أو متناقضة، وإلى صعوبة في الصيانة.
افعل هذا بدلاً: حدد عملية موافقة بسيطة — مثلاً نموذج طلب يتضمن وصف حالة الاستخدام، والسلوك المستهدف، ومصادر السجلات المطلوبة، والمخرجات المتوقعة — يوافق عليه مدير المركز أو مدير أمن المعلومات قبل التفعيل في الإنتاج. لا تتطلب هذه العملية أكثر من يوم أو يومين، لكنها تضمن التنسيق والجودة.
الفجوة الثالثة: عدم وجود دورية مراجعة
حتى حالات الاستخدام المملوكة جيدًا تفقد فعاليتها مع الوقت. تتغير البيئة — تُنشر أنظمة جديدة، تُحدّث تطبيقات، تتغير أنماط الاستخدام — وتصبح القواعد القديمة إما غير فعالة أو تنتج إيجابيات كاذبة كثيرة. دون مراجعة دورية، تتراكم هذه المشاكل حتى يصبح المركز مثقلاً بتنبيهات لا قيمة لها.
افعل هذا بدلاً: حدد دورية مراجعة — مثلاً ربع سنوية لحالات الاستخدام الحرجة، ونصف سنوية للباقي — يراجع فيها المالك الوظيفي والمالك الفني كل حالة استخدام للتأكد من أنها ما زالت ضرورية، وأن منطقها ما زال صحيحًا، وأن جودة تنبيهاتها مقبولة. سجل نتائج كل مراجعة في المصفوفة.
كيف نساعد: تقييم نضج مركز العمليات الأمنية
نقدم في سيزو للاستشارات تقييمًا شاملاً لنضج مركز العمليات الأمنية يبدأ بالخطوة الصحيحة: توثيق ملكية حالات الاستخدام قبل قياس التغطية. نقيّم عملياتكم الأمنية — داخلية أو مسندة — عبر الأفراد والعمليات والتقنية وتغطية الرصد والاستجابة، ونقدم خطة تحسين مرتبة الأولويات.
تشمل عمليتنا المقابلات مع فريق المركز والإدارة والمزود، والربط بين مصادر السجلات والرصد مقابل الأساليب، والاختبار عبر عينات من التنبيهات ومسارات التصعيد، والتخطيط عبر تقييم النضج وخارطة الطريق.
نسلّم تقرير نضج مركز العمليات، وخريطة تغطية الرصد، وقائمة تحسين حالات الاستخدام، ونموذج التشغيل المستهدف. نراجع الأفراد والعمليات والتقنية، ونربط مصادر السجلات وتغطية الرصد، ونراجع حالات الاستخدام وجودة التنبيهات، ونختبر الفرز والتصعيد، ونراجع مستويات خدمة المزود.
يستغرق التقييم من ٣ إلى ٥ أسابيع، ويغطي متطلبات إطار الأمن السيبراني لمؤسسة النقد العربي السعودي وإطار الضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني.
إذا كنتم تخططون لتقييم نضج مركز العمليات الأمنية، أو تواجهون صعوبة في تنفيذ توصيات تقييم سابق، ابدأوا بمصفوفة ملكية حالات الاستخدام. هذه الخطوة البسيطة — التي يمكن إنجازها في أسبوعين — تحول التقييم من تقرير على الرف إلى خطة قابلة للتنفيذ.
