تصل إلى مجالس الإدارة في المؤسسات المالية والبنى التحتية الحرجة تقارير استخبارات تهديدات سيبرانية بانتظام، لكن السؤال الذي يطرحه أعضاء المجلس بصراحة: هل تستحق هذه التقارير تكلفتها؟ عندما يُطلب من مجلس الإدارة اعتماد ميزانية لخدمات المعلومات التهديدية السيبرانية، فإن أسئلة مجلس الإدارة المعلومات التهديدية السيبرانية الصحيحة تفصل بين الإنفاق الذي يحمي المؤسسة فعلياً والإنفاق الذي يضيف ضجيجاً إلى صناديق البريد.
المشكلة ليست في أهمية الاستخبارات التهديدية بحد ذاتها، بل في طبيعة ما يُشترى. تقارير عالمية عامة عن جهات تهاجم قطاعات لا تمس المؤسسة، وتحليلات لثغرات في أنظمة لا تستخدمها، وتنبيهات عاجلة لا يستطيع الفريق التصرف بناءً عليها — كل هذا يستهلك الميزانية دون أن يقلل المخاطر.
يطرح هذا المقال ثلاثة أسئلة حوكمة أساسية يجب على مجلس الإدارة طرحها قبل اعتماد أي ميزانية لاستخبارات التهديدات، وكيف تساعد الإجابات على تمويل ما يحمي المؤسسة بالفعل.
السؤال الأول: هل تخص قطاعنا وأصولنا؟
أول سؤال يطرحه مجلس الإدارة: هل المعلومات التهديدية المقدمة ذات صلة مباشرة بقطاع المؤسسة وبيئتها التقنية؟
التقارير العامة تصف جهات مهاجمة تستهدف قطاعات متنوعة حول العالم، لكنها لا تجيب على السؤال الذي يهم المجلس: هل هذه الجهة تستهدف المؤسسات المالية السعودية؟ هل الثغرة المذكورة موجودة في أنظمتنا؟ هل الحملة المرصودة تستخدم أساليب تنجح في بيئتنا التنظيمية؟
عندما تطلب من مزود الخدمة وصف عمليته، يجب أن تسمع إجابة واضحة عن كيفية التحديد والجمع: كيف يحدد المزود أولويات الاستخبارات بناءً على قطاعكم وأصولكم؟ ما المصادر القطاعية والإقليمية التي يستخدمها؟ هل يرصد التهديدات الموجهة للمؤسسات الخاضعة للرقابة في المملكة، أم يرسل تقارير عالمية موحدة لجميع العملاء؟
المؤسسة المالية السعودية تواجه مشهد تهديدات مختلف عن مؤسسة أوروبية أو آسيوية. الجهات المهاجمة التي تستهدف البنوك في المملكة، والأساليب التي تستخدمها، والثغرات التي تستغلها في الأنظمة المنتشرة محلياً — هذه هي المعلومات التي تستحق الميزانية.
ما يجب أن يطلبه المجلس:
- وثيقة تحدد متطلبات الاستخبارات الخاصة بالمؤسسة، متفق عليها مع القيادة، وليست قائمة عامة.
- أمثلة على كيفية تصفية المعلومات لتشمل فقط التهديدات ذات الصلة بالقطاع والبيئة التقنية.
- وصف واضح للمصادر القطاعية والإقليمية، وليس فقط موجزات عالمية.
إذا لم يستطع المزود أن يشرح كيف يربط بين التهديدات المرصودة وبين أصول المؤسسة ومورديها، فالخدمة لن تخدم قرارات المجلس.
السؤال الثاني: هل يستطيع فريقنا التصرف بناءً عليها؟
السؤال الثاني الذي يطرحه مجلس الإدارة: هل المعلومات التهديدية قابلة للتطبيق من قبل فرق الأمن والمخاطر في المؤسسة؟
تقارير كثيرة تصف التهديدات بلغة تقنية معقدة، أو تقدم تحليلات استراتيجية رفيعة المستوى، لكنها لا تخبر الفريق بماذا يفعل اليوم. التقرير الذي يقول "جهة مهاجمة متقدمة تستهدف القطاع المالي" لا يساعد مدير الأمن على اتخاذ إجراء محدد.
ما يحتاجه الفريق هو معلومات مرتبة حسب الأولوية، مع إجراءات واضحة: مؤشرات اختراق يمكن إدخالها في الأدوات الأمنية، ثغرات محددة في الأنظمة المستخدمة تحتاج إلى تصحيح، أساليب هجوم يجب تحديث الضوابط لمواجهتها.
عندما يسأل المجلس عن قابلية التطبيق، يجب أن يسمع وصفاً واضحاً لمرحلتي التحليل والتنفيذ: كيف يحلل المزود مدى صلة التهديد بأصول المؤسسة ومورديها؟ كيف يحول التحليل إلى تنبيهات وتقارير ومؤشرات يستطيع الفريق استخدامها مباشرة؟
المؤسسات الخاضعة لرقابة البنك المركزي السعودي أو الهيئة الوطنية للأمن السيبراني تواجه متطلبات امتثال محددة. المعلومات التهديدية المفيدة تساعد الفريق على تلبية هذه المتطلبات — مثلاً، من خلال تحديث تقييمات المخاطر أو تحسين ضوابط الكشف — وليس فقط إضافة معلومات عامة إلى التقارير.
ما يجب أن يطلبه المجلس:
- أمثلة على التنبيهات العاجلة التي أرسلها المزود، وكيف كانت قابلة للتطبيق.
- وصف كيفية تهيئة المؤشرات لتعمل مع الأدوات الأمنية الموجودة في المؤسسة.
- تقارير شهرية للإدارة تترجم التهديدات إلى قرارات، وليس فقط معلومات تقنية.
إذا كانت الخدمة تنتج تقارير يقرأها الفريق ثم يضعها جانباً دون اتخاذ إجراء، فهي لا تستحق الميزانية.
السؤال الثالث: كيف نقيس الأثر؟
السؤال الثالث الذي يطرحه مجلس الإدارة: كيف نقيس ما إذا كانت المعلومات التهديدية تقلل المخاطر فعلياً؟
هذا أصعب سؤال، لأن قيمة الاستخبارات التهديدية تظهر في الحوادث التي لم تحدث. لكن المجلس يحتاج إلى مؤشرات ملموسة تثبت أن الإنفاق يحقق نتائج.
المقاييس المفيدة ليست عدد التقارير المستلمة أو عدد المؤشرات المرسلة، بل مدى تأثير هذه المعلومات على قرارات المؤسسة وإجراءاتها. كم ثغرة عالية الخطورة تم تصحيحها بناءً على التنبيهات؟ كم ضابطة أمنية تم تحديثها لمواجهة أساليب جديدة؟ كم مورد تم تقييمه أو استبداله بناءً على معلومات عن تهديدات تستهدف سلسلة التوريد؟
عندما يسأل المجلس عن القياس، يجب أن يسمع وصفاً واضحاً لمرحلة المراجعة: كيف يضبط المزود الخدمة بناءً على التغذية الراجعة من القيادة؟ هل هناك إحاطة دورية تراجع مشهد التهديدات ومدى فعالية الاستخبارات المقدمة؟
المؤسسات الناضجة تربط استخبارات التهديدات بإطار إدارة المخاطر. عندما تحدث مراجعة ربع سنوية للمخاطر السيبرانية، يجب أن تظهر المعلومات التهديدية في تحديث تقييمات المخاطر، وفي تبرير تغيير الأولويات، وفي قرارات تخصيص الموارد.
ما يجب أن يطلبه المجلس:
- إحاطة ربع سنوية تراجع مشهد التهديدات ومدى صلته بالمؤسسة.
- أمثلة على كيفية تحديث متطلبات الاستخبارات بناءً على التغيرات في بيئة المؤسسة أو مشهد التهديدات.
- مقاييس واضحة تربط المعلومات التهديدية بالإجراءات المتخذة: عدد الثغرات المصححة، عدد الضوابط المحدثة، عدد التنبيهات التي أدت إلى تحقيقات أو تغييرات.
إذا لم تستطع المؤسسة أن تشرح للمجلس كيف غيرت المعلومات التهديدية قراراتها في الربع الماضي، فالخدمة لا تحقق قيمة.
ما الذي يجب أن يمول المجلس؟
عندما يطرح مجلس الإدارة هذه الأسئلة الثلاثة، تتضح الفروق بين الخدمات. الخدمة التي تستحق الميزانية هي التي:
- تبدأ بتحديد متطلبات الاستخبارات الخاصة بالمؤسسة، متفق عليها مع القيادة.
- تجمع معلومات من مصادر قطاعية وإقليمية ذات صلة بالمملكة.
- تحلل مدى صلة التهديدات بأصول المؤسسة ومورديها.
- تنفذ من خلال تنبيهات عاجلة وتقارير شهرية ومؤشرات مهيأة للأدوات الأمنية.
- تراجع بانتظام مع القيادة لضبط الأولويات.
هذه ليست خدمة تقارير، بل خدمة قرارات. المعلومات التهديدية التي تستحق ميزانية المجلس هي التي تتحول إلى إجراءات تقلل المخاطر، وليس فقط معلومات تضاف إلى الملفات.
الأسئلة التي يطرحها المجلس قبل التجديد
عندما يحين وقت تجديد الاشتراك، يجب أن يطرح المجلس أسئلة إضافية:
- كم تنبيهاً عاجلاً استلمنا في الربع الماضي، وكم منها كان ذا صلة مباشرة بأصولنا؟
- كم إجراءً اتخذه الفريق بناءً على المعلومات التهديدية؟
- هل تغيرت متطلبات الاستخبارات بناءً على التغيرات في بيئتنا أو مشهد التهديدات؟
- هل ساعدتنا المعلومات على تلبية متطلبات الجهات الرقابية بشكل أفضل؟
إذا كانت الإجابات غامضة أو عامة، فالمجلس يمول ضجيجاً وليس حماية.
كيف تبدو الخدمة القابلة للتطبيق
استخبارات التهديدات السيبرانية التي تخدم مجلس الإدارة تركز على الجهات والحملات والثغرات التي تستهدف المؤسسات المالية والخاضعة للرقابة في المملكة، وتُقدَّم على شكل إجراءات مرتبة حسب الأولوية لفرق الأمن والمخاطر والقيادة.
العملية تبدأ بتحديد متطلبات الاستخبارات وأولوياتها، متفق عليها مع قياداتكم. ثم جمع المعلومات من مصادر قطاعية وإقليمية وتقنية. ثم تحليل مدى الصلة بأصولكم ومورديكم. ثم التنفيذ من خلال تنبيهات وتقارير ومؤشرات لفرقكم. وأخيراً مراجعة ربع سنوية مع قياداتكم لضبط الأولويات.
المخرجات تشمل وثيقة متطلبات الاستخبارات، وتنبيهات التهديدات العاجلة، وتقرير استخبارات شهري للإدارة، وتغذية بالمؤشرات لأدواتكم الأمنية، وإحاطة ربع سنوية بمشهد التهديدات.
الخدمة تُقدَّم على شكل اشتراك شهري، مع متطلبات استخبارات متفق عليها، ورصد تهديدات قطاعية وإقليمية، وتنبيهات للتهديدات العاجلة ذات الصلة، ومؤشرات مهيأة لأدواتكم الأمنية، وملفات تعريف للجهات المهاجمة والحملات، ومراجعة ربع سنوية للمتطلبات.
المعلومات عن التهديدات الموجهة للمؤسسات السعودية تتحول إلى قرارات، لا مجرد بلاغات. هذا ما يجب أن يمول المجلس.
