تبحث هذه دراسة حالة استخبارات التهديدات مؤسسة مالية سعودية في سؤال يواجهه كثير من رؤساء أمن المعلومات: لماذا نشترك في خلاصات تهديدات متعددة، ثم يعجز التقرير عن إثبات أنها غيّرت قرارًا واحدًا؟ الحالة مجهولة الهوية عمدًا، ولا تكشف اسم المؤسسة ولا ما يدل عليها، لكنها تعكس نمطًا مألوفًا في القطاع المالي بالمملكة.
نقطة البداية: كثرة مؤشرات وقلة قرارات
كانت المؤسسة تستقبل يوميًا كمًّا كبيرًا من المؤشرات العالمية: عناوين وعناصر نطاقات وبصمات ملفات وتقارير حملات. وكان فريق مركز العمليات يستهلك وقته في فرزها، ولا يملك معيارًا واضحًا لمعرفة ما يخص بيئته. أما التقرير المرفوع إلى المجلس فكان يعرض أعدادًا من التنبيهات، دون أن يقول ما الذي ينبغي أن يقرره المجلس أو الإدارة بسببها.
ظهرت المشكلة في ثلاث صور:
- قواعد الحجب تتراكم دون سبب موثق لكل قاعدة.
- أولويات الترقيع تُحدَّد بدرجات الخطورة العامة وحدها، لا بما يستهدفه المهاجمون فعلاً.
- تقارير المجلس تصف نشاطًا ولا تصف قرارات.
متى تحتاج المؤسسة إلى هذه الخدمة
هناك علامات عملية تدل على أن الوقت قد حان لإعادة النظر في طريقة استهلاك الاستخبارات:
- لا تستطيع ربط اشتراك الخلاصات بقرار محدد اتُّخذ بسببه.
- يشتكي المحللون من تنبيهات كثيرة لا تنطبق على أصول المؤسسة أو مورديها.
- يسأل المجلس أو لجنة المخاطر عما تغيّر بفضل هذه الخلاصات فلا تجد الإدارة جوابًا مباشرًا.
- لا تعرف الفرق ما التهديدات التي تستهدف المؤسسات المالية السعودية تحديدًا، وما الذي يمر عبر المنطقة.
إن وُجدت علامتان من هذه العلامات فالمشكلة غالبًا في الربط بين المعلومة والقرار، لا في قلة المصادر.
ما الذي تغيّر: من البلاغات إلى القرارات
بدأ التحول بتحديد ما تحتاج المؤسسة إلى معرفته قبل البحث عن مصادر جديدة. اتُّفق مع القيادات على متطلبات استخبارات مكتوبة: ما الأصول الأهم، وما المورّدون الذين يمسّون الخدمات الحرجة، وما القرارات التي يُنتظر أن تدعمها المعلومة. صارت كل خلاصة تُقاس بهذه المتطلبات، فإن لم تخدم متطلبًا منها فهي ضجيج مهما بدت غنية.
الحجب
بعد أن حُصرت المعلومات في الجهات والحملات ذات الصلة، صارت المؤشرات تصل إلى أدوات الأمن مهيأة لها، وصار لكل قاعدة حجب سبب مرتبط بتهديد معروف. وانخفضت الحاجة إلى مراجعة قوائم طويلة لا يعرف أحد مصدرها، لأن القاعدة التي لا سند لها تُراجع وتُسحب.
أولويات الترقيع
صارت الثغرات تُرتَّب بسؤالين لا بسؤال واحد: ما خطورتها؟ وهل هناك جهة أو حملة تستغلها ضد مؤسسات شبيهة بنا؟ بهذا يتقدم ترقيع ثغرة تُستغل فعلاً في القطاع على ثغرة أعلى درجة نظريًا لكن لا نشاط حولها. وهذا قرار يمكن لفريق إدارة الثغرات أن يشرحه ويدافع عنه أمام الإدارة.
تقارير المجلس
تغيّر شكل التقرير. بدل عرض أعداد التنبيهات، صار يجيب عن أسئلة يهتم بها المجلس: ما أبرز التهديدات المتصلة بنا هذا الشهر؟ ما الذي قررناه بسببها؟ وما القرار المطلوب من المجلس أو الإدارة؟ وفي هذا انسجام مع توجه الجهات الرقابية، ومنها البنك المركزي السعودي والهيئة الوطنية للأمن السيبراني، إلى مساءلة القيادة عن إدارة المخاطر السيبرانية، وإن اختلفت صياغة المتطلبات من جهة إلى أخرى.
كيف نشغّل الخدمة
نقدّم استخبارات التهديدات السيبرانية خدمةً تركّز على الجهات والحملات والثغرات التي تستهدف المؤسسات المالية والخاضعة للرقابة في المملكة. وتُقدَّم على شكل إجراءات مرتّبة حسب الأولوية لفرق الأمن والمخاطر والقيادة. ونمضي في خمس مراحل:
- التحديد: متطلبات الاستخبارات وأولوياتها.
- الجمع: من مصادر قطاعية وإقليمية وتقنية.
- التحليل: مدى الصلة بأصولكم ومورديكم.
- التنفيذ: تنبيهات وتقارير ومؤشرات لفرقكم.
- المراجعة: ضبط ربع سنوي مع قياداتكم.
ما الذي تتسلّمه المؤسسة
- وثيقة متطلبات الاستخبارات
- تنبيهات التهديدات العاجلة
- تقرير استخبارات شهري للإدارة
- تغذية بالمؤشرات لأدواتكم الأمنية
- إحاطة ربع سنوية بمشهد التهديدات
وتتضمن الخدمة كذلك ملفات تعريف للجهات المهاجِمة والحملات، ومراجعة ربع سنوية للمتطلبات. وتُقدَّم الخدمة باشتراك شهري.
كيف تفرز الخلاصات المفيدة من الضجيج
يمكن لأي رئيس أمن معلومات أن يختبر خلاصاته الحالية بخمسة أسئلة:
- هل تقابل هذه الخلاصة متطلبًا مكتوبًا اتفقنا عليه مع القيادة؟
- هل تخص قطاعنا أو منطقتنا، أم هي عامة لكل الجهات؟
- هل نستطيع ربطها بأصل محدد أو مورّد محدد لدينا؟
- هل أدت في الأشهر الماضية إلى قرار في الحجب أو الترقيع أو التقارير؟
- هل تصل إلى أدواتنا بصيغة قابلة للتشغيل، أم تحتاج إلى معالجة يدوية؟
الخلاصة التي تفشل في السؤالين الثالث والرابع معًا مرشحة للمراجعة عند التجديد. والخلاصة التي تنجح فيهما تستحق أن تبقى، حتى لو كان حجمها أصغر.
ما يبدو عليه النجاح
النتيجة الجيدة ليست عددًا أقل من التنبيهات بحد ذاته، بل وضوحٌ في العلاقة بين المعلومة والقرار. يعرف المحلل لماذا حُجب هذا المؤشر، ويعرف مدير الثغرات لماذا تقدّمت هذه الثغرة، ويعرف المجلس ما المطلوب منه. وتُراجَع المتطلبات كل ربع سنة، لأن أولويات المؤسسة وموردّيها وبيئة التهديد كلها تتغير.
الخطوة التالية
إن كانت مؤسستك تدفع مقابل خلاصات لا تستطيع إثبات أثرها، فابدأ بمراجعة المتطلبات قبل المصادر. ويسعدنا في سيزو أن نناقش معك خدمة استخبارات التهديدات السيبرانية، وكيف تتحول المعلومات عن التهديدات الموجّهة للمؤسسات السعودية إلى قرارات لا إلى بلاغات فحسب.
