يشترك أغلب مسؤولي أمن المعلومات في المؤسسات المالية في مصادر استخبارات تهديدية تجارية — تقارير يومية عن الثغرات، وتحليلات للحملات الإلكترونية، ومؤشرات اختراق محدثة. لكن عندما يطلب مقيّم الإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي (ساما) أدلة على استيفاء متطلبات أدلة الاستخبارات التهديدية الإطار التنظيمي ساما في المجال الرابع، تظهر ثلاث ثغرات متكررة: غياب التخصيص للقطاع وملف المخاطر، وعدم وجود عملية موثقة تربط الاستخبارات بقرارات الضوابط، وسجلات مفقودة تثبت الاستهلاك الفعلي من قبل فرق الأمن.
هذا المقال موجه لمسؤولي أمن المعلومات ومدراء الامتثال في المؤسسات الخاضعة لساما الذين يستعدون لتقييمات الإطار التنظيمي أو يستجيبون لملاحظاتها. نحدد الثغرات الثلاث التي يشير إليها المقيّمون في أغلب الأحيان، ونوضح مسار التوثيق الذي يسد كل فجوة ويحول الاشتراك في مصادر التهديدات إلى برنامج استخبارات تهديدية قابل للإثبات.
لماذا الاشتراك في مصادر التهديدات التجارية لا يكفي
يتطلب الإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي من المؤسسات المالية إنشاء قدرة استخبارات تهديدية تدعم اتخاذ القرارات الأمنية. المقصود ليس مجرد تلقي تقارير، بل استخدام معلومات التهديدات لتحديد المخاطر الأكثر احتمالًا لقطاعكم، وتوجيه تحديثات الضوابط، وتحسين قدرات الكشف والاستجابة.
المقيّم يبحث عن أدلة على ثلاثة أمور:
- التخصيص: أن الاستخبارات التهديدية التي تستهلكونها ذات صلة بقطاعكم وملف مخاطركم وأصولكم الحرجة.
- الدمج: أن المعلومات تدخل فعلًا في عملياتكم الأمنية — تحديث قواعد الكشف، وتقييمات المخاطر، وقرارات الضوابط.
- الاستهلاك: أن فرق الأمن والعمليات تستخدم الاستخبارات بشكل منتظم وموثق، وليس أن التقارير تصل وتُحفظ دون قراءة.
عندما تفتقر المؤسسة إلى هذه الأدلة، يسجل المقيّم فجوة في المجال الرابع — حتى لو كان الاشتراك في مصادر التهديدات نشطًا ومكلفًا.
الثغرة الأولى: غياب تخصيص التهديدات الخاصة بالقطاع
أكثر الفجوات شيوعًا هي عدم القدرة على إثبات أن الاستخبارات التهديدية مخصصة لملف مخاطر المؤسسة. المقيّم يطلب أن يرى كيف تحددون التهديدات الأكثر صلة بقطاعكم — مثلًا، حملات برمجيات الفدية التي تستهدف المؤسسات المالية في المنطقة، أو تقنيات الهجوم على أنظمة الدفع، أو جهات تهديد معروفة بنشاطها ضد البنوك.
المصادر التجارية العامة توفر تقارير واسعة عن التهديدات العالمية، لكنها نادرًا ما تقدم تحليلًا مخصصًا لملف أصولكم أو سياقكم التشغيلي. إذا لم تكن لديكم عملية داخلية لتصفية هذه المعلومات وتحديد ما ينطبق على بيئتكم، فلن تستطيعوا إثبات التخصيص.
مسار التوثيق الذي يسد هذه الثغرة
لسد هذه الفجوة، تحتاجون إلى وثيقة ملف التهديدات المخصص تحدد:
- القطاعات والأصول الحرجة التي تركزون عليها (مثلًا: أنظمة الدفع، والخدمات المصرفية الرقمية، وبيانات العملاء).
- جهات التهديد الأكثر احتمالًا لاستهدافكم (مجموعات برمجيات الفدية، والتهديدات الداخلية، والاحتيال المالي).
- تقنيات الهجوم الشائعة في قطاعكم (التصيد الاحتيالي الموجه، واستغلال الثغرات في تطبيقات الويب، وهجمات سلسلة الإمداد).
- المصادر التي تستخدمونها لتحديث هذا الملف (مصادر تجارية، ومشاركة معلومات قطاعية، وتحليلات داخلية).
يجب أن تُراجع هذه الوثيقة دوريًا — على الأقل ربع سنوي — وأن تُوثق المراجعات. عندما يطلب المقيّم أدلة على التخصيص، تقدمون له هذا الملف مع سجل المراجعات وأمثلة على تقارير تهديدات تم تصفيتها بناءً عليه.
الثغرة الثانية: عدم وجود عملية موثقة تربط الاستخبارات بتغييرات الضوابط
الثغرة الثانية هي غياب الأثر القابل للإثبات بين الاستخبارات التهديدية والقرارات الأمنية. المقيّم يريد أن يرى أن المعلومات التي تستهلكونها تؤدي إلى إجراءات — مثلًا، تحديث قواعد الكشف في أنظمة SIEM، أو حظر مؤشرات اختراق جديدة في جدران الحماية، أو تعديل سياسات التحكم في الوصول بناءً على تقنيات هجوم ناشئة.
في أغلب المؤسسات، تصل تقارير التهديدات إلى فريق الأمن، لكن لا توجد عملية رسمية لمراجعتها وتقييم أثرها واتخاذ قرار بشأن الإجراءات المطلوبة. النتيجة: لا يوجد سجل يثبت أن الاستخبارات التهديدية تُستخدم فعلًا لتحسين الضوابط.
مسار التوثيق الذي يسد هذه الثغرة
تحتاجون إلى عملية موثقة لاستهلاك الاستخبارات التهديدية تتضمن:
- المراجعة الدورية: جدول ثابت (أسبوعي أو نصف شهري) لمراجعة تقارير التهديدات الواردة من المصادر المختلفة.
- التقييم: تقييم كل تهديد أو مؤشر من حيث الصلة بالبيئة والأثر المحتمل والاحتمالية.
- القرار: تحديد الإجراء المطلوب — تحديث قواعد الكشف، أو حظر مؤشرات، أو إصدار تنبيه للفرق، أو عدم اتخاذ إجراء مع توثيق السبب.
- التنفيذ والتتبع: تسجيل الإجراءات المتخذة في نظام إدارة التغيير أو نظام التذاكر، مع ربطها بالتقرير أو المؤشر الأصلي.
يجب أن تُوثق هذه العملية في إجراء تشغيلي، وأن تُسجل كل دورة مراجعة في محضر أو سجل. عندما يطلب المقيّم أدلة على الدمج، تقدمون له الإجراء ونماذج من سجلات المراجعة وأمثلة على تغييرات ضوابط تمت بناءً على استخبارات تهديدية.
الثغرة الثالثة: سجلات مفقودة لاستهلاك فرق الأمن للاستخبارات التهديدية
الثغرة الثالثة هي عدم القدرة على إثبات أن الفرق الأمنية — مركز العمليات الأمنية، وفريق الاستجابة للحوادث، وفريق إدارة الثغرات — تستهلك الاستخبارات التهديدية بشكل منتظم. المقيّم يبحث عن سجلات تثبت أن التقارير تُقرأ، وأن المؤشرات تُدمج في أدوات الكشف، وأن التحليلات تُستخدم في تحقيقات الحوادث.
في كثير من الحالات، تصل التقارير إلى صندوق بريد مشترك أو منصة مركزية، لكن لا يوجد تتبع لمن قرأها أو استخدمها. هذا يجعل من المستحيل إثبات الاستهلاك الفعلي.
مسار التوثيق الذي يسد هذه الثغرة
لسد هذه الفجوة، تحتاجون إلى سجلات استهلاك الاستخبارات التهديدية على مستوى الفرق:
- سجل دمج المؤشرات: قائمة بمؤشرات الاختراق التي تم دمجها في أنظمة الكشف (SIEM، وEDR، وجدران الحماية)، مع التاريخ والمصدر والفريق المسؤول.
- سجل التنبيهات والتحقيقات: أمثلة على حوادث أو تنبيهات تم التحقيق فيها باستخدام معلومات من الاستخبارات التهديدية، مع الإشارة إلى التقرير أو المؤشر المستخدم.
- سجل التدريب والتوعية: دورات أو جلسات إحاطة تم فيها مشاركة تحليلات التهديدات مع الفرق الأمنية، مع الحضور والموضوعات.
- سجل تحديثات الضوابط: تذاكر أو طلبات تغيير تم فيها تحديث ضوابط أمنية بناءً على استخبارات تهديدية، مع الربط بالتقرير الأصلي.
يجب أن تُحفظ هذه السجلات بشكل منتظم — شهريًا على الأقل — وأن تكون قابلة للاسترجاع. عندما يطلب المقيّم أدلة على الاستهلاك، تقدمون له نماذج من هذه السجلات تغطي فترة زمنية معقولة (مثلًا، الأشهر الستة الماضية).
كيف تُبنى هذه القدرة في الواقع
بناء قدرة استخبارات تهديدية قابلة للإثبات يتطلب أكثر من مجرد الاشتراك في مصادر تجارية. تحتاجون إلى:
- حوكمة واضحة: تحديد من يملك برنامج الاستخبارات التهديدية، ومن يراجع التقارير، ومن يتخذ القرارات بشأن الإجراءات.
- عمليات موثقة: إجراءات تشغيلية تصف كيفية استهلاك الاستخبارات ودمجها في العمليات الأمنية.
- أدوات تدعم التوثيق: منصات لإدارة مؤشرات الاختراق، وأنظمة تذاكر لتتبع الإجراءات، وسجلات لتوثيق المراجعات والقرارات.
- تدريب الفرق: تأهيل الفرق الأمنية على استخدام الاستخبارات التهديدية في عملهم اليومي، وليس فقط تلقيها.
هذه العناصر تتطلب تخطيطًا وتنفيذًا منهجيًا، وغالبًا ما تحتاج المؤسسات إلى دعم خارجي لتصميمها وتوثيقها بالشكل الذي يستوفي متطلبات الإطار التنظيمي.
متى تحتاجون إلى تقييم خارجي لقدرة الاستخبارات التهديدية
تحتاجون إلى تقييم خارجي لقدرة الاستخبارات التهديدية عندما:
- تستعدون لتقييم الإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي وتريدون معرفة موقعكم مقابل متطلبات المجال الرابع قبل وصول المقيّم.
- تلقيتم ملاحظات من مقيّم سابق حول نقص الأدلة على استخدام الاستخبارات التهديدية وتحتاجون إلى خطة معالجة واضحة.
- تشتركون في مصادر تهديدات تجارية لكنكم غير واثقين من أن لديكم التوثيق الكافي لإثبات التخصيص والدمج والاستهلاك.
- تريدون بناء قدرة استخبارات تهديدية من الصفر وتحتاجون إلى تصميم العمليات والحوكمة والتوثيق بشكل يستوفي المتطلبات التنظيمية.
العلامات التي تشير إلى أن الوقت قد حان:
- لا يوجد لديكم وثيقة تحدد ملف التهديدات المخصص لقطاعكم وأصولكم.
- تصل تقارير التهديدات لكن لا توجد عملية رسمية لمراجعتها واتخاذ قرارات بشأنها.
- لا تستطيعون تقديم أمثلة على تغييرات ضوابط تمت بناءً على استخبارات تهديدية خلال الأشهر الستة الماضية.
- فرق الأمن لا تعرف كيف تستخدم الاستخبارات التهديدية في عملها اليومي، أو لا توجد سجلات تثبت الاستخدام.
كيف يساعد تقييم الامتثال في سد هذه الثغرات
تقييم الامتثال الشامل يفحص قدرة الاستخبارات التهديدية ضابطًا ضابطًا مقابل متطلبات الإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي. يغطي التقييم الأطر والجهات والأنظمة المشمولة، ثم يجمع الأدلة من خلال الاستبيان والمقابلات والأدلة، ويجري اختبار الضوابط وتقييم النضج، وينتهي بتقرير يتضمن الملاحظات وخارطة الطريق والعرض على الإدارة.
المخرجات تشمل تقرير التقييم ودرجات النضج، وسجل الفجوات مع الأدلة، وخارطة المعالجة، وملخص لمجلس الإدارة والإدارة. التقييم يقدم تقييم ضابطًا ضابطًا، واختبار الأدلة والعينات، وتقييم النضج لكل مجال، وربط النتائج بين الأطر، وخطة معالجة مرتبة الأولويات.
المدة النموذجية للتقييم تتراوح بين أربعة إلى ثمانية أسابيع، حسب حجم المؤسسة وتعقيد البيئة.
بالنسبة لقدرة الاستخبارات التهديدية، يفحص التقييم:
- وجود ملف تهديدات مخصص وآلية تحديثه.
- العمليات الموثقة لاستهلاك الاستخبارات ودمجها في الضوابط.
- السجلات التي تثبت الاستخدام الفعلي من قبل الفرق الأمنية.
- الحوكمة والأدوار والمسؤوليات لبرنامج الاستخبارات التهديدية.
- التكامل مع عمليات إدارة الثغرات والاستجابة للحوادث وإدارة المخاطر.
النتيجة: تعرفون بدقة أين تقفون مقابل متطلبات المجال الرابع، وما هي الثغرات الثلاث (أو أكثر) التي يجب سدها، وما هو مسار التوثيق المطلوب لكل فجوة، وما هي الأولويات والجدول الزمني للمعالجة.
الخطوة التالية
إذا كنتم تستعدون لتقييم الإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي، أو تلقيتم ملاحظات حول نقص أدلة الاستخبارات التهديدية، أو تريدون بناء قدرة قابلة للإثبات من الصفر، فإن تقييم الامتثال يوفر لكم الوضوح والخطة التي تحتاجونها.
نجري تقييمات شاملة للفجوات والاستعداد وفق أطر البنك المركزي السعودي والهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية. تعرفون موقعكم بدقة مقابل المتطلبات — وما يجب إصلاحه أولًا.
