ثلاثة أسئلة مجلس الإدارة حول ميزانية معلومات التهديدات
عندما يُعرض على مجلس الإدارة بند ميزانية لخدمة استخبارات التهديدات السيبرانية، غالباً ما يُقدَّم المبرر على شكل أوصاف عامة: "رصد التهديدات العالمية"، أو "تغذية بمؤشرات الاختراق"، أو "تقارير عن الجهات المهاجِمة". هذه العبارات لا تجيب على السؤال الذي يهم المجلس فعلاً: هل ستغيّر هذه الميزانية قراراتنا الأمنية، أم أنها ستضيف تقريراً آخر لا يُقرأ؟
الفارق بين أسئلة مجلس الإدارة ميزانية معلومات التهديدات التي تقود إلى قرارات، وتلك التي تقود إلى اشتراكات لا تُستخدم، يكمن في ثلاثة أسئلة محددة. إذا لم تستطع الإدارة التنفيذية الإجابة عليها بوضوح قبل الموافقة على الميزانية، فإن الاستثمار على الأرجح سيُهدَر على ضجيج لا يُترجَم إلى إجراءات.
هذا المقال يوضح الأسئلة الثلاثة، وكيف تبدو الإجابات الصحيحة، وكيف يميّز المجلس بين المعلومات الاستخباراتية القابلة للتنفيذ والتقارير العامة التي لا تستحق تكلفتها.
السؤال الأول: أي جهات تهديد تستهدف قطاعنا في المملكة؟
معظم تغذيات التهديدات العالمية تقدم قوائم طويلة بالجهات المهاجِمة النشطة في العالم. لكن مجلس الإدارة لا يحتاج إلى معرفة كل مجموعة تهديد متقدمة مستمرة APT نشطة في آسيا أو أوروبا. يحتاج إلى معرفة: أي من هذه الجهات تستهدف المؤسسات المالية أو البنية التحتية الحرجة في المملكة، وما هي أهدافها، وما هي قدراتها؟
كيف تبدو الإجابة الصحيحة
الإجابة المفيدة تحدد جهات تهديد بالاسم أو بالوصف، وتربطها بقطاعكم وموقعكم الجغرافي. على سبيل المثال:
- مجموعات تستهدف المؤسسات المالية في الخليج، وتستخدم هجمات تصيّد موجّهة بلغة عربية لاختراق حسابات الموظفين ذوي الصلاحيات العالية.
- جهات تستهدف سلاسل التوريد للبنية التحتية الحرجة، وتركّز على موردي الأنظمة الصناعية والخدمات السحابية المستخدمة في المنطقة.
- حملات برمجيات فدية تستهدف القطاع الصحي والتعليمي في المملكة، وتستغل ثغرات في أنظمة إدارة المستشفيات والجامعات.
الإجابة الصحيحة تذكر أيضاً المصادر: هل تأتي المعلومات من رصد إقليمي، أم من تحليل حوادث محلية، أم من شراكات مع جهات حكومية أو قطاعية؟ إذا كانت المعلومات مجرد إعادة نشر لتقارير عالمية عامة، فهي لا تستحق الميزانية.
ما يجب أن يطلبه المجلس
قبل الموافقة على الميزانية، يجب أن يطلب المجلس من الإدارة التنفيذية:
- قائمة بثلاث إلى خمس جهات تهديد أو حملات نشطة تستهدف قطاعنا في المنطقة خلال الاثني عشر شهراً الماضية.
- وصف موجز لأهداف كل جهة وقدراتها.
- تأكيد أن الخدمة المقترحة ستقدم تحديثات منتظمة عن هذه الجهات، وليس فقط تقارير عامة عن التهديدات العالمية.
إذا لم تستطع الإدارة تقديم هذه القائمة، فهذا يعني أن الخدمة المقترحة لا تركّز على التهديدات ذات الصلة بالمؤسسة.
السؤال الثاني: أي تكتيكات وتقنيات تتجاوز ضوابطنا الحالية؟
معرفة أسماء الجهات المهاجِمة ليست كافية. ما يهم المجلس هو: هل تستطيع هذه الجهات تجاوز الضوابط الأمنية التي استثمرنا فيها بالفعل؟ إذا كانت الإجابة "نعم"، فما هي التكتيكات والتقنيات والإجراءات TTPs المحددة التي تتجاوز قواعد الكشف في أنظمة EDR أو SIEM أو جدران الحماية المنشورة لدينا؟
كيف تبدو الإجابة الصحيحة
الإجابة المفيدة تربط بين ملفات تعريف الجهات المهاجِمة وبين الضوابط المنشورة في المؤسسة. على سبيل المثال:
- جهة مهاجِمة تستخدم أدوات Living off the Land لتنفيذ أوامر PowerShell مشروعة الشكل، وهذه الأوامر لا تُكتشف بواسطة قواعد EDR الافتراضية المنشورة لديكم.
- حملة تصيّد تستخدم مرفقات OneNote تحتوي على نصوص برمجية مخفية، وهذه المرفقات تتجاوز فلاتر البريد الإلكتروني الحالية.
- تقنية استغلال ثغرة في نظام إدارة الهوية المستخدم في المؤسسة، ولا توجد قاعدة SIEM تكشف محاولات الاستغلال.
الإجابة الصحيحة تتضمن أيضاً توصيات محددة لتحديث الضوابط: قاعدة كشف جديدة، أو تحديث لسياسة جدار الحماية، أو تغيير في إعدادات النظام. إذا كانت المعلومات الاستخباراتية لا تؤدي إلى تحديث ضوابط، فهي مجرد معلومات نظرية.
ما يجب أن يطلبه المجلس
قبل الموافقة على الميزانية، يجب أن يطلب المجلس من الإدارة التنفيذية:
- مثال واحد على الأقل لتكتيك أو تقنية حديثة تتجاوز ضوابطنا الحالية، مع توضيح كيف اكتُشفت هذه الثغرة.
- خطة لكيفية تحويل المعلومات الاستخباراتية إلى تحديثات للضوابط: من سيراجع التنبيهات، ومن سيُحدّث القواعد، وكم مرة ستُراجَع الضوابط.
- تأكيد أن الخدمة المقترحة ستقدم مؤشرات اختراق IOCs ومؤشرات سلوك مهيأة لأدواتنا الأمنية، وليس فقط تقارير PDF.
إذا لم تستطع الإدارة توضيح كيف ستُترجَم المعلومات إلى تحديثات ضوابط، فالميزانية ستُنفَق على تقارير لا تُطبَّق.
السؤال الثالث: كيف ستغيّر المعلومات الاستخباراتية أولويات الربع القادم؟
السؤال الأهم الذي يجب على المجلس طرحه هو: كيف ستؤثر المعلومات الاستخباراتية على قرارات الاستثمار والأولويات الأمنية خلال الأشهر الثلاثة إلى الستة القادمة؟ إذا لم تكن الإجابة واضحة، فهذا يعني أن الخدمة ستُستخدَم كمصدر معلومات سلبي، وليس كأداة لتوجيه القرارات.
كيف تبدو الإجابة الصحيحة
الإجابة المفيدة تربط نتائج المعلومات الاستخباراتية بخريطة طريق الضوابط والاستثمارات. على سبيل المثال:
- إذا أظهرت المعلومات الاستخباراتية أن جهة مهاجِمة تستهدف موردي الخدمات السحابية في القطاع المالي، فإن الأولوية في الربع القادم ستكون مراجعة ضوابط الوصول للموردين وتطبيق مصادقة متعددة العوامل على جميع حسابات الموردين ذوي الصلاحيات العالية.
- إذا كشفت المعلومات عن حملة برمجيات فدية تستهدف أنظمة النسخ الاحتياطي، فإن الأولوية ستكون اختبار إجراءات الاستعادة والتأكد من عزل نسخ احتياطية غير متصلة بالشبكة.
- إذا حددت المعلومات ثغرة في نظام مستخدم على نطاق واسع في المؤسسة، فإن الأولوية ستكون تطبيق التحديثات الأمنية خلال أسبوعين، وليس خلال دورة الصيانة الاعتيادية.
الإجابة الصحيحة تتضمن أيضاً آلية مراجعة منتظمة: كيف ستُراجَع المعلومات الاستخباراتية مع الإدارة العليا، وكم مرة، ومن سيقرر تغيير الأولويات بناءً على النتائج.
ما يجب أن يطلبه المجلس
قبل الموافقة على الميزانية، يجب أن يطلب المجلس من الإدارة التنفيذية:
- مثال على قرار أمني واحد على الأقل سيتغير أو يتسارع بناءً على المعلومات الاستخباراتية المتوقعة.
- جدول زمني للمراجعات: كم مرة ستُراجَع المعلومات الاستخباراتية مع الإدارة العليا، وكيف ستُترجَم النتائج إلى تحديثات لخطة الأمن السيبراني.
- مؤشرات أداء واضحة: ليس عدد التقارير المستلمة، بل عدد الضوابط المحدّثة، أو عدد الثغرات المعالجة قبل استغلالها، أو عدد التنبيهات التي أدت إلى إجراءات.
إذا لم تستطع الإدارة توضيح كيف ستتغير الأولويات، فالميزانية ستُنفَق على اشتراك لا يُستخدَم.
لماذا تفشل معظم اشتراكات التهديدات في الإجابة على هذه الأسئلة
السبب الرئيسي لفشل معظم تغذيات التهديدات العالمية في تبرير تكلفتها هو أنها مصممة لتقديم تغطية واسعة، وليس عمق إقليمي وقطاعي. تقدم هذه الخدمات آلاف المؤشرات يومياً، ومئات التقارير شهرياً، لكن معظمها لا يتعلق بالتهديدات التي تستهدف المؤسسات السعودية فعلاً.
النتيجة: تُغرَق فرق الأمن بالتنبيهات، ولا تستطيع التمييز بين ما يستحق الاهتمام وما هو ضجيج. تُقرأ التقارير الشهرية مرة واحدة ثم تُحفَظ. ولا تتغير الأولويات أو الضوابط بناءً على المعلومات الواردة.
الحل ليس شراء المزيد من التغذيات، بل التركيز على خدمة استخبارات تهديدات تجيب على الأسئلة الثلاثة بوضوح:
- تحدد الجهات والحملات التي تستهدف قطاعكم في المملكة.
- تكشف التكتيكات التي تتجاوز ضوابطكم الحالية.
- تُترجَم إلى خريطة طريق ربع سنوية تربط النتائج بالاستثمارات.
كيف يضمن المجلس أن الميزانية تقدم قرارات وليس تقارير
لضمان أن ميزانية المعلومات الاستخباراتية للتهديدات تُستخدَم بفعالية، يجب على المجلس أن يطلب من الإدارة التنفيذية تقديم ما يلي قبل الموافقة:
وثيقة متطلبات واضحة
يجب أن تحدد الإدارة التنفيذية متطلبات الاستخبارات قبل اختيار الخدمة: ما هي الأسئلة التي نحتاج إلى إجابات عليها؟ ما هي القطاعات والمناطق الجغرافية التي يجب أن يغطيها الرصد؟ ما هي الأنظمة والموردين الذين يجب أن تركّز عليهم المعلومات؟
إذا لم توجد وثيقة متطلبات، فهذا يعني أن الخدمة ستُشترى بناءً على عروض الموردين، وليس بناءً على احتياجات المؤسسة.
آلية تنفيذ محددة
يجب أن توضح الإدارة كيف ستُترجَم المعلومات الاستخباراتية إلى إجراءات: من سيستلم التنبيهات، وكيف ستُراجَع، ومن سيُحدّث الضوابط، وكيف ستُدمَج المؤشرات في الأدوات الأمنية الحالية.
إذا لم توجد آلية تنفيذ، فالمعلومات ستبقى في صناديق البريد الإلكتروني ولن تُطبَّق.
مراجعة ربع سنوية مع القيادة
يجب أن تلتزم الإدارة بمراجعة المعلومات الاستخباراتية مع القيادة العليا كل ربع سنة، لتقييم: هل تغيرت التهديدات؟ هل تحتاج المتطلبات إلى تحديث؟ هل أدت المعلومات إلى تحسين الضوابط؟
إذا لم توجد مراجعة منتظمة، فالخدمة ستصبح اشتراكاً يُجدَّد تلقائياً دون تقييم فعلي للقيمة.
كيف تبدو خدمة استخبارات التهديدات التي تجيب على الأسئلة الثلاثة
خدمة استخبارات التهديدات السيبرانية التي تستحق الميزانية هي تلك التي تركّز على الجهات والحملات والثغرات التي تستهدف المؤسسات المالية والخاضعة للرقابة في المملكة، وتُقدَّم على شكل إجراءات مرتّبة حسب الأولوية لفرق الأمن والمخاطر والقيادة.
تبدأ الخدمة بتحديد متطلبات الاستخبارات وأولوياتها مع قياداتكم، ثم تجمع المعلومات من مصادر قطاعية وإقليمية وتقنية، ثم تحلل مدى الصلة بأصولكم ومورديكم، ثم تنفّذ النتائج على شكل تنبيهات وتقارير ومؤشرات لفرقكم، ثم تراجع المتطلبات والنتائج في ضبط ربع سنوي مع قياداتكم.
المخرجات ليست تقارير عامة، بل:
- وثيقة متطلبات الاستخبارات المتفق عليها مع قياداتكم.
- تنبيهات التهديدات العاجلة ذات الصلة بقطاعكم.
- تقرير استخبارات شهري للإدارة يربط التهديدات بالضوابط.
- تغذية بالمؤشرات مهيأة لأدواتكم الأمنية.
- إحاطة ربع سنوية بمشهد التهديدات وتوصيات الأولويات.
هذا النموذج يضمن أن المعلومات الاستخباراتية تتحول إلى قرارات، لا مجرد بلاغات.
الخلاصة: الميزانية يجب أن تقود إلى قرارات
قبل أن يوافق مجلس الإدارة على ميزانية المعلومات الاستخباراتية للتهديدات، يجب أن تجيب الإدارة التنفيذية على ثلاثة أسئلة بوضوح:
- أي جهات تهديد تستهدف قطاعنا في المملكة؟
- أي تكتيكات وتقنيات تتجاوز ضوابطنا الحالية؟
- كيف ستغيّر المعلومات الاستخباراتية أولويات الربع القادم؟
إذا لم تكن الإجابات محددة وقابلة للتنفيذ، فالميزانية ستُنفَق على اشتراك لا يُستخدَم. أما إذا كانت الإجابات واضحة، وكانت الخدمة مصممة لتقديم معلومات قطاعية وإقليمية تُترجَم إلى تحديثات ضوابط وأولويات، فالاستثمار سيقود إلى قرارات تحسّن الوضع الأمني فعلاً.
استخبارات التهديدات السيبرانية في سيزو مصممة للإجابة على هذه الأسئلة الثلاثة، وتُقدَّم كاشتراك شهري يركّز على التهديدات الموجّهة للمؤسسات السعودية، ويحوّل المعلومات إلى قرارات قابلة للتنفيذ.
