تدرس مؤسسات سعودية متوسطة كثيرة الاستعانة برئيس أمن معلومات بدوام جزئي أو افتراضي لأول مرة، وهو خيار معقول حين لا يبرر حجم المؤسسة تعيينًا بدوام كامل. غير أن نتيجة هذا الخيار تتوقف في الغالب على وضوح التفويض المكتوب أكثر مما تتوقف على كفاءة الشخص نفسه. وهذا المقال عن رئيس أمن المعلومات الافتراضي في السعودية والتفويض الذي يحكم عمله: خمسة أخطاء شائعة، وما ينبغي فعله بدلًا من كل منها، ثم صيغة تفويض من صفحة واحدة يمكن إعدادها قبل بدء التعاقد.
الخطأ الأول: غياب خط رفع التقارير إلى مجلس الإدارة
حين يرفع رئيس أمن المعلومات تقاريره إلى مدير تقنية المعلومات وحده، يصل إلى المجلس ما يمر عبر هذا المدير، وقد يتعارض هذا مع استقلال الوظيفة. وتتوقع الجهات التنظيمية، ومنها البنك المركزي السعودي (ساما) والهيئة الوطنية للأمن السيبراني، أن تكون للأمن السيبراني حوكمة واضحة وأن يطّلع عليها أعلى مستوى في المؤسسة.
افعل هذا بدلًا من ذلك: حدد في التفويض الجهة التي يرفع إليها رئيس أمن المعلومات تقاريره (المجلس أو لجنة المخاطر أو لجنة المراجعة)، وتواتر التقارير، ويُستحسن أن يكون ربع سنويًا، وحقه في طلب جلسة استثنائية عند الحاجة. واشترط أن تُكتب التقارير بلغة أعمال لا بلغة تقنية.
الخطأ الثاني: مسؤولية بلا صلاحيات قرار
يُحمَّل المعيَّن مسؤولية الأمن، ثم يتبين أنه لا يستطيع إيقاف نظام عالي الخطورة، ولا رفض استثناء من سياسة، ولا اعتماد خطة معالجة. فيتحول دوره إلى توصية لا تُلزم أحدًا.
افعل هذا بدلًا من ذلك: اكتب قائمة قصيرة بالقرارات التي يملكها، والتي يوصي بها فقط، والتي تبقى للإدارة. مثال:
- يعتمد: السياسات الأمنية، وتصنيف المخاطر، وخطط المعالجة ضمن الميزانية المقرة.
- يوصي: بإيقاف نظام أو خدمة مؤقتًا عند خطر جسيم، على أن يُعرض القرار على الرئيس التنفيذي خلال مدة محددة.
- يُحال إلى الإدارة: قبول المخاطر التي تتجاوز حدًا تحدده المؤسسة.
الخطأ الثالث: حجب رؤية الميزانية
لا يستطيع من يقود الأمن أن يرسم أولويات واقعية وهو لا يعرف ما أُنفق وما هو متاح. وكثيرًا ما تُدار ميزانية الأمن ضمن ميزانية تقنية المعلومات دون أن يراها رئيس أمن المعلومات.
افعل هذا بدلًا من ذلك: امنحه في التفويض حق الاطلاع على بنود الإنفاق الأمني والعقود ذات الصلة، وحق إبداء الرأي المكتوب في أي مشروع تقني جديد قبل اعتماده. وليس المقصود بالضرورة أن يملك صلاحية الصرف، بل أن يرى الصورة كاملة ويربط الطلبات بسجل المخاطر.
الخطأ الرابع: ارتباط غير محدد بالجهة التنظيمية
تسأل المؤسسات متأخرة: من يرد على ساما أو الهيئة الوطنية للأمن السيبراني؟ ومن يقود التقييم؟ ومن يوقّع على معالجة الملاحظات؟ وحين لا يُحسم ذلك، تضيع المراسلات بين الإدارات أو تتأخر.
افعل هذا بدلًا من ذلك: حدد في التفويض هل يجوز تسميته في المراسلات التنظيمية، بشرط أن تسمح الجهة التنظيمية بذلك، وما نطاق ما يتحدث فيه باسم المؤسسة، ومن يوقّع على ما يخرج منها. وانتبه إلى أن بعض الجهات تشترط تعيينًا رسميًا أو موافقة مسبقة، فتحقق من ذلك قبل التعاقد لا بعده.
الخطأ الخامس: وقت غير محدد ومقاييس نجاح غائبة
عبارة مثل «حسب الحاجة» تعني عمليًا أن يغيب رئيس أمن المعلومات حتى تقع الأزمة. وبلا مقاييس مكتوبة يصعب على المجلس أن يقرر بعد عام هل نجح الترتيب أم لا.
افعل هذا بدلًا من ذلك: اتفق في البداية على عدد ثابت من الأيام شهريًا، وراجعه كل ربع سنة، وانص على زيادته خلال التقييمات التنظيمية والحوادث. ثم اختر عددًا قليلًا من المقاييس القابلة للتحقق، مثل:
- اعتماد استراتيجية الأمن السيبراني وخارطة الطريق من المجلس.
- وجود سجل مخاطر محدَّث وخطة معالجة بمسؤولين وتواريخ.
- انتظام التقارير الربع سنوية إلى المجلس أو لجانه.
- إغلاق ملاحظات التقييمات التنظيمية ضمن المدد المتفق عليها.
تفويض من صفحة واحدة
يمكن أن تتسع الصفحة الواحدة للعناصر التالية، ويحسن أن يوقّعها الرئيس التنفيذي ورئيس المجلس أو اللجنة المعنية:
- الغرض والنطاق: ما الذي يقوده رئيس أمن المعلومات، وما الذي يقع خارج نطاقه.
- خط الرفع: الجهة التي يرفع إليها، وتواتر التقارير، وحقه في الوصول المباشر إلى المجلس.
- صلاحيات القرار: ما يعتمده، وما يوصي به، وما يُحال إلى الإدارة.
- الميزانية: حدود الاطلاع وإبداء الرأي.
- التمثيل التنظيمي: الجهات التي يخاطبها، وحدود التسمية في المراسلات.
- الوقت: الأيام الشهرية، وآلية الزيادة، والمراجعة الربع سنوية.
- المقاييس: ما يُقاس، وموعد المراجعة، ومعيار التجديد أو الإنهاء.
- التسليم: ما يُسلَّم عند انتهاء الارتباط أو عند تعيين مسؤول دائم.
كيف نساعدكم في سيزو
نقدّم خدمة مسؤول أمن المعلومات الافتراضي والقيادة الأمنية. مسؤول أمن معلومات متمرّس يقود وظيفة الأمن السيبراني لديكم، ويرفع التقارير إلى مجلس الإدارة، ويمثّلكم أمام الجهات التنظيمية. وتشمل مخرجات الخدمة استراتيجية الأمن السيبراني وخارطة طريق لثلاث سنوات، ومنظومة السياسات وميثاق الحوكمة، وتقارير ربع سنوية لمجلس الإدارة واللجان، وسجل المخاطر وخطة معالجتها، ودعم المراسلات التنظيمية والتقييمات.
يُتفق على الوقت المخصص في البداية ويُراجع كل ربع سنة، وعادةً ما يكون عددًا ثابتًا من الأيام شهريًا، مع زيادته خلال التقييمات أو الحوادث. ونتفق كتابيًا على نطاق المسؤولية قبل بدء الارتباط، ويمكن تسمية مسؤول أمن المعلومات الافتراضي في مراسلاتكم التنظيمية متى سمحت الجهة التنظيمية بذلك. والارتباط مستمر، وعادةً ما يكون 12 شهرًا، ويتضمن تسليمًا مخططًا عند تعيين مسؤول أمن معلومات دائم.
إن كنتم بصدد أول تعيين من هذا النوع، فابدؤوا بصفحة التفويض قبل أي عقد، ويسعدنا أن نراجعها معكم.
