عندما تتقدم مؤسسة مالية سعودية بطلب اكتتاب أو تجديد وثيقة تأمين سيبراني، يواجه المدير المالي ومدير أمن المعلومات ومدير المخاطر استبيانًا مطولًا يتضمن أسئلة عن الضوابط الأمنية والسياسات والإجراءات. لكن الواقع الذي يكتشفه كثيرون متأخرًا هو أن المكتتبين لا يكتفون بالإجابات النصية أو بإرفاق وثائق السياسات. ما يبحثون عنه فعليًا هو أرقام مُقاسة تعكس التعرّض المالي الحقيقي للمؤسسة في سيناريوهات محددة، وهذه الأرقام هي ما يحدد القسط والحدود والاستثناءات في الوثيقة النهائية. يتحقق مكتتبو التأمين السيبراني من ضوابط محددة في ISO 27001 من خلال تقديرات خسارة قائمة على السيناريوهات وليس وثائق السياسات، وهذا ما يجعل حساب قسط التأمين السيبراني ISO 27001 عملية تتطلب إعدادًا كميًا دقيقًا.
لماذا تحوّل المكتتبون من التقييمات الذاتية إلى السيناريوهات المُقاسة
في السنوات الماضية، كان الاكتتاب السيبراني يعتمد على استبيانات ذاتية تسأل عن وجود سياسة للنسخ الاحتياطي أو برنامج للتوعية الأمنية أو خطة لاستمرارية الأعمال. لكن موجة المطالبات الكبيرة الناتجة عن هجمات الفدية والاحتيال المالي والهجمات على سلاسل الإمداد دفعت شركات التأمين إلى تغيير منهجيتها. اليوم، يطلب المكتتب تقديرًا كميًا للخسارة المحتملة في سيناريوهات محددة، ويقارن هذا التقدير بالحدود المطلوبة ومبلغ التحمل المقترح ليحدد ما إذا كانت المؤسسة تفهم تعرّضها الفعلي أم تطلب تغطية تقديرية.
هذا التحول يعني أن الإجابة بـ "نعم، لدينا سياسة" لم تعد كافية. المكتتب يريد أن يعرف: إذا تعطلت أنظمتكم الحرجة لمدة ثلاثة أيام بسبب فدية، كم ستخسرون من الإيرادات؟ كم ستدفعون لفريق الطب الشرعي والاستجابة؟ ما حجم الغرامة المحتملة من البنك المركزي السعودي (ساما) إذا تأثرت بيانات العملاء؟ هذه الأسئلة تتطلب أرقامًا لا أوصافًا.
الضوابط الثلاثة من الملحق أ لـ ISO 27001:2022 التي يختبرها كل مكتتب
من بين الضوابط الـ 93 في الملحق أ من ISO 27001:2022، يركز مكتتبو التأمين السيبراني بشكل خاص على ثلاثة ضوابط يمكن قياس أثرها المالي مباشرة:
الضابط A.5.24: تخطيط وإعداد إدارة الحوادث الأمنية المعلوماتية
يتحقق المكتتب من أن المؤسسة لديها خطة موثقة للاستجابة للحوادث، لكنه يريد أن يعرف بالتحديد: كم من الوقت ستستغرق الاستجابة؟ ما تكلفة تفعيل الفريق الداخلي والاستعانة بخبراء خارجيين؟ كم ستكلف عملية الطب الشرعي الرقمي والتحقيق؟ ما مدة التوقف المتوقعة للأنظمة الحرجة؟
السيناريو الذي يختبره المكتتب هنا هو هجوم الفدية. يطلب تقديرًا لنطاق الخسارة يشمل:
- تكلفة فريق الاستجابة الداخلي (ساعات العمل الإضافية، تكلفة الفرصة البديلة)
- أتعاب الاستشاريين الخارجيين للطب الشرعي والتحقيق
- تكلفة إعادة بناء الأنظمة أو استعادتها من النسخ الاحتياطية
- الإيرادات المتوقفة خلال فترة التعطل (يوم واحد، ثلاثة أيام، أسبوع)
- تكاليف الإشعار والاتصال بالعملاء والجهات التنظيمية
المؤسسات التي تقدم نطاقًا مُقاسًا لهذه التكاليف — مثلًا: "توقف لمدة يومين يكلف بين ١٫٥ و٣ ملايين ريال" — تحصل على تقييم أفضل من تلك التي تكتفي بالقول "لدينا خطة استجابة موثقة".
الضابط A.8.16: أنشطة الاختبار
يتحقق المكتتب من أن المؤسسة تختبر ضوابطها بانتظام، لكنه يريد أن يعرف: هل الاختبار يغطي السيناريوهات التي تؤدي إلى خسائر مالية كبيرة؟ هل تم اختبار قدرة الفريق على اكتشاف محاولة احتيال مالي قبل تنفيذ التحويل؟
السيناريو الذي يختبره المكتتب هنا هو الاحتيال المالي عبر الهندسة الاجتماعية (Business Email Compromise). يطلب تقديرًا لنطاق الخسارة يشمل:
- متوسط قيمة التحويلات المالية التي يمكن تنفيذها قبل الاكتشاف
- تكلفة محاولة استرداد الأموال (أتعاب قانونية، رسوم تحقيق)
- الأثر على السمعة والثقة (تكلفة إعادة طمأنة العملاء والشركاء)
- الغرامات المحتملة إذا كان الاحتيال ناتجًا عن ضعف في الضوابط الداخلية
المؤسسات التي تُجري اختبارات دورية للهندسة الاجتماعية وتقيس نسبة النجاح والفشل، ثم تترجم ذلك إلى تقدير مالي للخسارة المحتملة، تحصل على شروط أفضل في الوثيقة.
الضابط A.5.7: استخبارات التهديدات
يتحقق المكتتب من أن المؤسسة تتابع التهديدات ذات الصلة بقطاعها وجغرافيتها، لكنه يريد أن يعرف: هل تفهمون التهديدات التي تستهدف البنية التحتية الحرجة لديكم؟ هل لديكم تقدير لأثر هجوم حرمان من الخدمة الموزع (DDoS) على خدماتكم الرقمية؟
السيناريو الذي يختبره المكتتب هنا هو هجوم الحرمان من الخدمة على الخدمات المصرفية الرقمية أو المنصات الإلكترونية. يطلب تقديرًا لنطاق الخسارة يشمل:
- الإيرادات المفقودة خلال فترة التعطل (بالساعة أو باليوم)
- تكلفة تفعيل خدمات التخفيف (Mitigation) الطارئة
- الأثر على رضا العملاء والاحتفاظ بهم
- الغرامات المحتملة من البنك المركزي السعودي إذا تأثرت الخدمات الأساسية
المؤسسات التي تقدم نموذجًا يربط بين شدة الهجوم ومدة التعطل والخسارة المالية تبرز في نظر المكتتب.
كيف تُعِدّ تقديرات الخسارة المُقاسة لهذه السيناريوهات
إعداد تقديرات خسارة مُقاسة لا يتطلب بيانات تاريخية كاملة عن حوادث سابقة، بل يعتمد على منهجية منظمة تجمع بين المعرفة بالعمليات التشغيلية والتقييم الواقعي للضوابط الحالية. الخطوات التالية تساعد على بناء نموذج تقدير يثق به المكتتب ومجلس الإدارة:
اختيار السيناريوهات المهمة لأعمالكم
ابدأ بتحديد السيناريوهات التي تمثل أكبر تعرّض مالي لمؤسستكم. لا تحاول تغطية كل تهديد ممكن، بل ركز على الثلاثة أو الأربعة الأكثر احتمالًا وأثرًا. بالنسبة لمؤسسة مالية، هذه السيناريوهات عادة تشمل:
- هجوم فدية يشفّر الأنظمة الحرجة
- احتيال مالي عبر الهندسة الاجتماعية
- هجوم حرمان من الخدمة على المنصات الرقمية
- اختراق بيانات العملاء وتسريبها
تقدير التكاليف حسب فئة الخسارة
لكل سيناريو، قسّم الخسارة إلى فئات واضحة:
تكاليف الاستجابة المباشرة: أتعاب الاستشاريين، تكلفة الطب الشرعي، ساعات عمل الفريق الداخلي، تكاليف الإشعار والاتصال.
توقف الأعمال: الإيرادات المفقودة خلال فترة التعطل، تكلفة الفرصة البديلة، الأثر على العقود والالتزامات التعاقدية.
المسؤولية تجاه الأطراف الثالثة: تكاليف الدعاوى، التعويضات، تكاليف إعادة إصدار البطاقات أو الحسابات.
الغرامات التنظيمية: الغرامات المحتملة من البنك المركزي السعودي أو هيئة السوق المالية بناءً على الإطار التنظيمي المعمول به.
الأثر على السمعة: تكاليف إعادة بناء الثقة، حملات العلاقات العامة، الخصومات أو الحوافز للاحتفاظ بالعملاء.
بناء نطاقات الخسارة لا نقاط واحدة
المكتتبون لا يثقون بتقدير واحد دقيق، بل يفضلون نطاقًا يعكس عدم اليقين. لكل سيناريو، قدّم:
- الحد الأدنى للخسارة: السيناريو الأفضل حيث تعمل الضوابط كما هو مخطط وتكون الاستجابة سريعة.
- الخسارة المتوقعة: السيناريو الأكثر احتمالًا بناءً على الضوابط الحالية والوقت المتوقع للاستجابة.
- الحد الأقصى للخسارة: السيناريو الأسوأ حيث تفشل بعض الضوابط أو يحدث تعقيد غير متوقع.
مثال: سيناريو فدية لمؤسسة مالية متوسطة الحجم قد ينتج نطاق خسارة كالتالي:
- الحد الأدنى: ١٫٢ مليون ريال (استعادة سريعة من النسخ الاحتياطية، توقف لمدة يوم واحد)
- المتوقع: ٣٫٥ مليون ريال (استعادة خلال ثلاثة أيام، حاجة لاستشاريين خارجيين)
- الحد الأقصى: ٨ ملايين ريال (تعقيدات في الاستعادة، توقف لمدة أسبوع، غرامة تنظيمية)
توثيق الافتراضات بوضوح
كل تقدير يعتمد على افتراضات. وضّح هذه الافتراضات صراحة:
- ما الأنظمة الحرجة المشمولة في السيناريو؟
- ما مدة التوقف المفترضة؟
- ما معدل الإيرادات اليومي المستخدم في الحساب؟
- ما الضوابط التي افترضت أنها تعمل أو لا تعمل؟
- ما الجهات الخارجية المفترض الاستعانة بها؟
هذا التوثيق يساعد المكتتب على فهم منطق التقدير ويسهّل المناقشة حول الحدود ومبلغ التحمل.
مقارنة خيارات الحدود ومبالغ التحمل
بمجرد أن يكون لديك نطاقات خسارة لكل سيناريو، قارن بين خيارات التغطية المختلفة:
- إذا كان الحد الأقصى للخسارة في أسوأ سيناريو هو ٨ ملايين ريال، فإن حد تغطية قدره ٥ ملايين يترك فجوة.
- إذا كانت الخسارة المتوقعة ٣٫٥ مليون ومبلغ التحمل مليون، فأنت تشتري تغطية لـ ٢٫٥ مليون فقط.
- إذا كانت الخسارة الدنيا ١٫٢ مليون ومبلغ التحمل ٥٠٠ ألف، فأنت تدفع قسطًا لتغطية ٧٠٠ ألف في أفضل الأحوال.
هذه المقارنة تساعد على اختيار الحد ومبلغ التحمل الذي يعكس شهيتكم للمخاطر وميزانيتكم.
كيف يستخدم المكتتب هذه التقديرات في حساب القسط
عندما تقدم تقديرات خسارة مُقاسة مع طلب الاكتتاب، يستخدمها المكتتب بطريقتين:
التحقق من الاتساق: يقارن المكتتب بين الحد المطلوب والخسارة المتوقعة. إذا طلبت حد تغطية ٢٠ مليون ريال لكن تقديراتك تشير إلى خسارة قصوى ٨ ملايين، فهذا يثير سؤالًا: لماذا تطلب ضعف ما تحتاج؟ هل هناك سيناريوهات لم تفصح عنها؟ الاتساق بين التقديرات والحدود المطلوبة يبني الثقة.
تسعير القسط: المكتتب يستخدم نموذجه الخاص لحساب القسط، لكن تقديراتك تساعده على فهم ملف المخاطر. مؤسسة تقدم تقديرات دقيقة وتوضح الضوابط التي تخفض الخسارة المتوقعة تحصل على قسط أقل من مؤسسة تقدم إجابات عامة.
الإعداد العملي: خدمة التقدير الكمي للمخاطر السيبرانية لأغراض التأمين
لمساعدة المؤسسات المالية السعودية على الاستعداد لطلبات الاكتتاب أو التجديد بتقديرات مُقاسة، نقدم خدمة تقدّر الأثر المالي لأرجح السيناريوهات السيبرانية وأشدها، لتستند الحدود ومبالغ التحمل والميزانيات إلى أرقام يثق بها مجلس الإدارة.
تتضمن العملية أربع مراحل: اختيار السيناريوهات المهمة لأعمالكم، ثم تقدير التكاليف وتوقف الأعمال والمسؤولية والغرامات، ثم مقارنة خيارات الحدود ومبالغ التحمل، وأخيرًا العرض في توصية وملخص لمجلس الإدارة.
المخرجات تشمل نموذج خسائر السيناريوهات، وتوصية الحد ومبلغ التحمل، وعرضًا جاهزًا لمجلس الإدارة.
من مميزات الخدمة اختيار السيناريوهات مع ملاك الأعمال، وتقدير الخسائر حسب فئة التكلفة، ومقارنة خيارات الحدود ومبالغ التحمل، وملخص جاهز لمجلس الإدارة.
المدة المعتادة للمشروع من ٤ إلى ٦ أسابيع.
الخدمة متوافقة مع متطلبات الإطار السيبراني للبنك المركزي السعودي (SAMA CSF) ومع ISO 27001.
بالنسبة للمنهجية، نستخدم منهجية قائمة على السيناريوهات ومتوافقة مع أساليب التقدير الكمي المعروفة، ومكيّفة مع البيانات المتاحة لديكم. ولا تحتاجون إلى بيانات كثيرة؛ نبدأ بما لديكم ونوضح الافتراضات صراحة.
الخلاصة: من السياسات إلى الأرقام
التأمين السيبراني لم يعد مجرد خانة في قائمة الامتثال، بل أصبح قرارًا ماليًا استراتيجيًا يتطلب فهمًا كميًا للتعرّض. المكتتبون يختبرون ضوابط ISO 27001 الثلاثة — A.5.24 و A.8.16 و A.5.7 — من خلال سيناريوهات مُقاسة لا من خلال وثائق السياسات. المؤسسات التي تُعِدّ تقديرات خسارة واضحة لسيناريوهات الفدية والاحتيال وهجمات الحرمان من الخدمة تحصل على شروط أفضل وأقساط تعكس تعرّضها الفعلي، وتتجنب المفاجآت عند تقديم مطالبة.
إذا كنتم تستعدون لتجديد وثيقة التأمين السيبراني أو تتقدمون بطلب اكتتاب أولي، فإن الاستثمار في تقدير كمي للمخاطر قبل التوجه للسوق يوفر الوقت والتكلفة ويضمن أن الحد ومبلغ التحمل يعكسان احتياجاتكم الحقيقية لا تقديرًا عامًا.
