يفرض معيار PCI DSS على المؤسسات التي تقبل بطاقات الدفع إدارة الثغرات الأمنية بشكل منهجي، لكن أغلب مجالس الإدارة لا تطّلع إلا على عدد المسوحات الشهرية أو ملخص تنفيذي عام. هذا المستوى من التقارير لا يكفي لتوقع أسئلة المدقق ولا يعكس نضج البرنامج الفعلي. نحدد في هذا المقال ثلاثة مؤشرات إدارة الثغرات PCI DSS مجلس الإدارة التي تكشف الفجوات التشغيلية وتثبت الامتثال قبل المراجعة.
لماذا لا يكفي عدد المسوحات
يقيس أغلب مجالس الإدارة نشاط إدارة الثغرات بعدد المسوحات المنفذة شهريًا أو ربع سنويًا. هذا المؤشر يثبت وجود نشاط، لكنه لا يجيب على الأسئلة التي يطرحها المدقق المعتمد لمعيار PCI DSS:
- هل تغطي المسوحات جميع الأصول في بيئة بيانات حاملي البطاقات؟
- ما المدة التي تستغرقها المؤسسة لمعالجة الثغرات الحرجة؟
- كم ثغرة حرجة لا تزال مفتوحة رغم مرور المدة المتفق عليها؟
- هل توجد استثناءات قديمة لم تُراجع أو تُجدد؟
يتطلب معيار PCI DSS من المؤسسة أن تحدد الثغرات وترتبها حسب المخاطر وتعالجها وفق مدد محددة، وأن تحتفظ بسجل لكل استثناء أو قبول مخاطر. عدد المسوحات لا يثبت شيئًا من ذلك.
المؤشر الأول: سرعة معالجة النتائج الحرجة
سرعة المعالجة هي الفترة الزمنية بين اكتشاف الثغرة الحرجة وإغلاقها أو قبولها رسميًا. يفرض معيار PCI DSS معالجة الثغرات الحرجة خلال مدة محددة — غالبًا ثلاثين يومًا — لكن المدة الفعلية تعتمد على سياسة المؤسسة وتصنيف المخاطر.
ما يجب على المجلس قياسه
- متوسط عدد الأيام من الاكتشاف إلى الإغلاق للثغرات المصنفة حرجة.
- عدد الثغرات الحرجة التي تجاوزت المدة المتفق عليها وما زالت مفتوحة.
- نسبة الثغرات الحرجة المُغلقة خلال المدة المحددة في الشهر الماضي.
كيف تقرأ الإجابات
إذا كان متوسط المعالجة أكثر من ثلاثين يومًا، فالبرنامج لا يلبي الحد الأدنى من متطلبات PCI DSS. إذا كانت نسبة الإغلاق في الوقت المحدد أقل من 80%، فهناك خلل في التنسيق بين فريق الأمن ومالكي الأصول. إذا كان عدد الثغرات المتأخرة يتزايد شهريًا، فالمؤسسة تتراكم عليها المخاطر وستواجه ملاحظات جوهرية في المراجعة.
المؤشر الثاني: نسبة التغطية في بيئة بيانات حاملي البطاقات
التغطية تعني نسبة الأصول المشمولة في نطاق الفحص الدوري مقارنة بجميع الأصول الموجودة فعليًا في بيئة بيانات حاملي البطاقات. يتطلب معيار PCI DSS فحص جميع الأصول — الخوادم والشبكات والتطبيقات — التي تخزن أو تعالج أو تنقل بيانات حاملي البطاقات.
ما يجب على المجلس قياسه
- عدد الأصول المُحصاة في بيئة بيانات حاملي البطاقات.
- عدد الأصول المشمولة في آخر دورة فحص.
- تاريخ آخر مراجعة لحصر الأصول.
كيف تقرأ الإجابات
إذا كانت نسبة التغطية أقل من 100%، فهناك أصول غير مفحوصة قد تحتوي على ثغرات حرجة. إذا كان آخر حصر للأصول قبل أكثر من ثلاثة أشهر، فالقائمة قديمة ولا تعكس التغييرات في البيئة. يطلب المدقق دليلًا على أن جميع الأصول في النطاق مُفحوصة بانتظام، وأي فجوة في التغطية تعني ملاحظة جوهرية.
الفحص الدوري يشمل فحص داخلي وخارجي بصلاحيات لضمان اكتشاف الثغرات في جميع طبقات البيئة. التغطية الكاملة تتطلب حصر الأصول ونطاق الفحص بشكل دقيق ومُحدّث.
المؤشر الثالث: عمر الاستثناءات وقبول المخاطر
الاستثناء هو قرار موثّق بتأجيل معالجة ثغرة أو قبول المخاطر الناتجة عنها لفترة محددة. يسمح معيار PCI DSS بالاستثناءات بشرط أن تكون مُبررة ومُوافق عليها من الإدارة العليا ومُراجعة دوريًا. لكن الاستثناءات القديمة التي لم تُراجع أو تُجدد تُعتبر ثغرات مفتوحة.
ما يجب على المجلس قياسه
- عدد الاستثناءات المفتوحة حاليًا.
- عمر كل استثناء (عدد الأيام منذ الموافقة الأولى).
- عدد الاستثناءات التي تجاوزت تاريخ المراجعة المحدد.
كيف تقرأ الإجابات
إذا كان عدد الاستثناءات يتزايد، فالبرنامج يتحول إلى آلية لتأجيل المعالجة بدلًا من إدارة المخاطر. إذا كان عمر أي استثناء أكثر من ستة أشهر دون مراجعة، فالمؤسسة لا تلتزم بمتطلب المراجعة الدورية. إذا كانت الاستثناءات تُوافق عليها فرق تقنية دون إشراك الإدارة العليا، فالحوكمة ضعيفة.
يجب أن يحتفظ البرنامج بـ سجل الاستثناءات وقبول المخاطر يوثق المبرر والموافق والمدة والمراجعة، ويُرفع إلى المجلس بانتظام.
كيف يدعم برنامج إدارة الثغرات هذه المؤشرات
برنامج إدارة الثغرات المنضبط يوفر البيانات التي يحتاجها المجلس لقياس هذه المؤشرات والإجابة على أسئلة المدقق. يشمل البرنامج مراجعة الأصول وتغطية الفحص لضمان شمول جميع الأصول في النطاق، وترتيب مبني على المخاطر لتحديد الأولويات، ومدد معالجة ومتابعتها لضمان الإغلاق في الوقت المحدد.
تُرفع تقارير التعرض الشهرية إلى الإدارة العليا والمجلس، وتتضمن المؤشرات الثلاثة وأي انحراف عن المدد المتفق عليها. يوفر متتبع المعالجة رؤية مباشرة لحالة كل ثغرة ومالكها والمدة المتبقية، بينما يوثق سجل الاستثناءات وقبول المخاطر كل قرار تأجيل أو قبول.
يُنفذ البرنامج على دورة مستمر (دورة شهرية) لضمان الفحص الدوري والمتابعة المنتظمة، ويلتزم بمتطلبات PCI DSS وأطر العمل الأخرى مثل SAMA CSF وNCA ECC.
الأسئلة التي يجب على المجلس طرحها
قبل المراجعة القادمة لمعيار PCI DSS، يجب على المجلس طرح الأسئلة التالية على الإدارة التنفيذية:
- ما متوسط عدد الأيام لمعالجة الثغرات الحرجة في الربع الماضي؟
- كم ثغرة حرجة تجاوزت المدة المحددة وما زالت مفتوحة؟
- ما نسبة التغطية الحالية في بيئة بيانات حاملي البطاقات؟
- متى كان آخر حصر للأصول في النطاق؟
- كم استثناء مفتوح حاليًا، وما عمر أقدم استثناء؟
- كم استثناء تجاوز تاريخ المراجعة المحدد؟
إذا لم تكن الإجابات واضحة أو موثقة، فالبرنامج غير جاهز للمراجعة.
ما يجب تمويله
لتحسين هذه المؤشرات، يجب على المجلس تمويل:
- أدوات فحص دورية تغطي الفحص الداخلي والخارجي بصلاحيات.
- نظام متابعة يربط كل ثغرة بمالكها ومدتها ويرسل تنبيهات تلقائية.
- موارد بشرية لمراجعة الاستثناءات وتحديث حصر الأصول وإعداد التقارير الشهرية.
- تدريب لمالكي الأصول على تصنيف المخاطر وأولويات المعالجة.
الاستثمار في هذه المكونات يقلل من احتمال الملاحظات الجوهرية ويثبت للمدقق أن البرنامج ناضج ومستدام.
الخلاصة
المؤشرات الثلاثة — سرعة معالجة النتائج الحرجة، نسبة التغطية في بيئة بيانات حاملي البطاقات، وعمر الاستثناءات — تكشف نضج برنامج إدارة الثغرات وتتنبأ بأسئلة المدقق قبل المراجعة. عدد المسوحات لا يكفي؛ المجلس يحتاج إلى بيانات تشغيلية تثبت الامتثال الفعلي لمتطلبات PCI DSS.
إذا كانت مؤسستكم بحاجة إلى تطوير برنامج إدارة الثغرات أو تحسين المؤشرات الحالية قبل المراجعة القادمة، نقدم برنامج إدارة الثغرات الذي يشمل التغطية: حصر الأصول ونطاق الفحص، والفحص: فحص دوري بصلاحيات، والترتيب: ملاحظات مرتبة حسب المخاطر لكل مالك، والمتابعة: متابعة المعالجة ورفع التقارير. تشمل المخرجات معيار إدارة الثغرات، وتقارير الثغرات الشهرية، ومتتبع المعالجة، وسجل الاستثناءات وقبول المخاطر، ويُنفذ البرنامج بشكل مستمر (دورة شهرية) وفق متطلبات PCI DSS وSAMA CSF وNCA ECC.
