بند إخطار الحوادث في عقود الخدمات السحابية وضوابط الأمن السيبراني

تكتشف مؤسسات مالية سعودية خاضعة لضوابط الأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني أن عقود مزودي الخدمات السحابية الموقعة لديها لا تتضمن بند إخطار الحوادث في عقود الخدمات السحابية ضوابط الأمن السيبراني الذي يلزم المزود بإخطار المؤسسة بالحوادث الأمنية خلال نافذة الـ 24 ساعة المطلوبة. هذه الفجوة التعاقدية تترك المؤسسات غير قادرة على الوفاء بالتزاماتها التنظيمية في الإبلاغ عن الحوادث السيبرانية، وقد تؤخر الإخطار بما يصل إلى 72 ساعة أو أكثر.

تتطلب المادة 6.2.1 من ضوابط الأمن السيبراني الأساسية الصادرة عن الهيئة الوطنية للأمن السيبراني من الجهات الخاضعة الإبلاغ عن الحوادث السيبرانية خلال مدة زمنية محددة. لكن عندما يقع الحادث في بنية تحتية يديرها طرف ثالث—مزود سحابي، أو مزود برمجيات كخدمة، أو شريك تقني—فإن قدرة المؤسسة على الامتثال تعتمد بالكامل على سرعة إخطار المزود لها. إذا لم ينص العقد صراحةً على هذا الالتزام، فإن المزود قد يتأخر أيامًا قبل أن يبلغ العميل، أو قد لا يبلغه أصلاً إلا بعد طلب مباشر.

النمط المتكرر: اكتشاف الفجوة بعد التوقيع

تكشف المراجعات الدورية لعقود الأطراف الثالثة في مؤسسات مالية وصحية وحكومية سعودية نمطاً متكرراً: فرق المشتريات توقع عقود الخدمات السحابية والبرمجيات بناءً على اتفاقيات قياسية يقدمها المزود، دون مراجعة تفصيلية من فريق أمن المعلومات أو إدارة المخاطر. تركز المفاوضات على السعر ومستوى الخدمة والدعم الفني، بينما تُترك البنود الأمنية والتنظيمية دون تدقيق.

عند مراجعة هذه العقود لاحقاً—غالباً خلال تدقيق داخلي أو استعداداً لتقييم امتثال—تكتشف المؤسسات أن:

• العقد لا يحدد التزام المزود بإخطار العميل بالحوادث الأمنية.
• بنود الإخطار الموجودة تشير إلى "إخطار معقول" أو "في أقرب وقت ممكن" دون تحديد مدة زمنية.
• تعريف "الحادث الأمني" في العقد لا يتطابق مع تصنيف الحوادث الذي تستخدمه الهيئة الوطنية للأمن السيبراني.
• العقد لا ينص على حق المؤسسة في الحصول على أدلة رقمية أو سجلات تفصيلية عن الحادث لتقديمها للجهة التنظيمية.

هذه الفجوات تضع المؤسسة في موقف لا تُحسد عليه: فهي مسؤولة تنظيمياً عن الإبلاغ السريع، لكنها تعتمد على طرف ثالث غير ملزم تعاقدياً بتزويدها بالمعلومات في الوقت المناسب.

لماذا تفشل البنود القياسية في تلبية المتطلبات التنظيمية

تتضمن اتفاقيات مزودي الخدمات السحابية العالميين عادةً بنوداً عامة حول الأمان والخصوصية، لكنها صُممت لتلبية متطلبات تنظيمية عامة في أسواق متعددة، وليس لتلبية متطلبات محددة لضوابط الأمن السيبراني في المملكة العربية السعودية. البنود النموذجية تعاني من:

غموض المدة الزمنية: تنص على "إخطار فوري" أو "خلال فترة معقولة"، وهي عبارات قابلة للتأويل ولا تفي بمتطلب الـ 24 ساعة.

تعريف ضيق للحادث: تقتصر على الاختراقات التي تؤدي إلى تسريب بيانات شخصية، بينما تتطلب ضوابط الأمن السيبراني الإبلاغ عن فئات أوسع من الحوادث بما فيها محاولات الاختراق الفاشلة والهجمات على توافر الخدمة.

عدم وجود بروتوكول لمشاركة الأدلة: لا تحدد كيفية ونوع المعلومات التي سيشاركها المزود مع العميل عند وقوع حادث، مما يترك المؤسسة دون تفاصيل كافية لتقديم تقرير مفصل للهيئة الوطنية للأمن السيبراني.

غياب حق المراجعة والتدقيق: لا تمنح المؤسسة حق مراجعة إجراءات الاستجابة للحوادث لدى المزود أو التحقق من امتثاله لالتزاماته التعاقدية.

البنود التعاقدية الأربعة التي يجب التفاوض عليها

لسد هذه الفجوة، يجب على فرق مخاطر الأطراف الثالثة والمشتريات التفاوض على أربعة بنود محددة قبل توقيع أي عقد مع مزود خدمات سحابية أو برمجية:

1. تعريف الحادث متوافق مع تصنيف الهيئة الوطنية

يجب أن يحدد العقد ما يُعتبر "حادثاً أمنياً" بطريقة تتوافق مع تصنيف الحوادث الذي تستخدمه الهيئة الوطنية للأمن السيبراني. يشمل ذلك:

• الوصول غير المصرح به إلى أنظمة أو بيانات العميل.
• محاولات الاختراق الناجحة أو الفاشلة التي تستهدف بيئة العميل.
• الهجمات على توافر الخدمة (مثل هجمات حجب الخدمة الموزعة).
• الحوادث التي تؤثر على سرية أو سلامة أو توافر البيانات أو الأنظمة.
• أي حادث يتطلب الإبلاغ عنه بموجب الأنظمة واللوائح السعودية.

صياغة واضحة لهذا التعريف تضمن أن المزود يفهم نطاق التزامه بالإخطار.

2. الجدول الزمني للإخطار

يجب أن ينص العقد صراحةً على أن المزود سيخطر المؤسسة خلال 24 ساعة من اكتشافه لأي حادث أمني يؤثر على بيئة العميل أو بياناته. يُفضل أن يتضمن البند:

• بداية احتساب المدة: من لحظة اكتشاف المزود للحادث أو من اللحظة التي كان يجب عليه اكتشافه فيها بشكل معقول.
• وسيلة الإخطار: بريد إلكتروني إلى جهات اتصال محددة، أو عبر بوابة إلكترونية مخصصة، أو اتصال هاتفي فوري في حالات الحوادث الحرجة.
• محتوى الإخطار الأولي: وصف مبدئي للحادث، والأنظمة أو البيانات المتأثرة، والإجراءات الفورية المتخذة.

3. بروتوكول مشاركة الأدلة والمعلومات

يجب أن يلتزم المزود بتزويد المؤسسة بمعلومات تفصيلية عن الحادث لتمكينها من إعداد تقرير شامل للهيئة الوطنية للأمن السيبراني. يشمل ذلك:

• السجلات (logs) ذات الصلة بالحادث.
• الجدول الزمني للحادث: متى بدأ، متى اكتُشف، متى احتُوي.
• نطاق التأثير: البيانات أو الأنظمة المتأثرة، وعدد المستخدمين أو الحسابات المعرضة.
• الإجراءات التصحيحية المتخذة والموصى بها.
• نتائج التحقيق الأولي والنهائي.

يجب أن ينص البند أيضاً على أن المزود سيتعاون مع المؤسسة في أي تحقيق تجريه الجهات التنظيمية.

4. حق المراجعة والتدقيق

يجب أن يمنح العقد المؤسسة حق مراجعة إجراءات الاستجابة للحوادث لدى المزود، والتحقق من امتثاله لالتزاماته الأمنية. يشمل ذلك:

• الحق في طلب تقارير تدقيق خارجية (مثل SOC 2 Type II أو ISO 27001) تغطي إدارة الحوادث.
• الحق في إجراء تقييمات أمنية دورية للمزود، سواء عن بُعد أو ميدانياً، وفقاً لتصنيف مخاطر المزود.
• الحق في مراجعة سجلات الحوادث السابقة التي أثرت على عملاء آخرين، إذا كانت ذات صلة بتقييم المخاطر.

كيف تُغلق الفجوة في العقود القائمة

بالنسبة للعقود الموقعة بالفعل، إعادة التفاوض الكامل قد تكون غير عملية أو مكلفة. البديل العملي هو إعداد ملحق أمني للعقود يُرفق بالاتفاقية الأصلية ويحدد الالتزامات الأمنية والتنظيمية دون المساس بالبنود التجارية الأساسية.

يتضمن برنامج مخاطر الأطراف الثالثة السيبرانية إعداد ملحق أمني للعقود كأحد المخرجات الأساسية، يُستخدم كنموذج قياسي في جميع التعاقدات الجديدة ويُقترح كتعديل للعقود القائمة ذات المخاطر العالية. يحدد الملحق البنود الأربعة المذكورة أعلاه بصياغة واضحة قابلة للتنفيذ.

عند التعامل مع موردين كبار يرفضون تعديل اتفاقياتهم القياسية، يمكن التفاوض على بنود محددة ضمن "جدول الخدمة" أو "ملحق معالجة البيانات" بدلاً من تعديل الاتفاقية الرئيسية. الهدف هو توثيق الالتزام كتابةً، حتى لو لم يكن في صلب العقد الأصلي.

دور تصنيف الموردين في تحديد الأولويات

ليس كل مزود خدمات يتطلب نفس مستوى الدقة التعاقدية. تصنيف الموردين بناءً على المخاطر—حسب نوع البيانات المشتركة، وحساسية الأنظمة المتصلة، وأهمية الخدمة—يساعد على تحديد أولويات الجهود.

الموردون ذوو المخاطر العالية—مثل مزودي البنية التحتية السحابية الذين يستضيفون أنظمة إنتاجية أو يعالجون بيانات عملاء—يجب أن يخضعوا لمفاوضات تعاقدية صارمة تتضمن البنود الأربعة كاملة. الموردون ذوو المخاطر المتوسطة قد يكتفى بملحق مبسط. الموردون ذوو المخاطر المنخفضة—مثل مزودي أدوات مكتبية لا تتعامل مع بيانات حساسة—قد لا يتطلبون بنوداً إضافية.

يتضمن برنامج مخاطر الأطراف الثالثة السيبرانية حصر الموردين وتصنيف مخاطرهم كخطوة أولى، مما يمكّن المؤسسة من تركيز مواردها على الموردين الذين يشكلون أكبر تهديد للامتثال التنظيمي.

العملية العملية: من الحصر إلى المراقبة

لبناء برنامج شامل لإدارة مخاطر الأطراف الثالثة يعالج فجوة بند إخطار الحوادث، تتبع المؤسسات عملية من أربع مراحل:

الحصر: تحديد جميع الموردين والخدمات والبيانات المشتركة معهم. يشمل ذلك مزودي الخدمات السحابية، ومزودي البرمجيات كخدمة، والمستشارين الخارجيين، وشركاء التكامل التقني.

التصنيف: تصنيف الموردين بناءً على مستوى المخاطر، باستخدام معايير مثل نوع البيانات المشتركة، وحساسية الأنظمة، وأهمية الخدمة، ومدى الاعتماد على المزود.

التقييم: إجراء العناية الواجبة على الموردين ذوي المخاطر العالية والمتوسطة، باستخدام استبيانات مخصصة، ومراجعة الأدلة (مثل شهادات الامتثال)، وإجراء تقييمات ميدانية أو عن بُعد عند الحاجة. تشمل هذه المرحلة مراجعة العقود القائمة وتحديد الفجوات التعاقدية.

المراقبة: إعادة تقييم الموردين بشكل دوري، ومتابعة الملاحظات والإجراءات التصحيحية، ومراقبة أي تغييرات في مستوى المخاطر أو نطاق الخدمة.

تنتج هذه العملية مجموعة من المخرجات العملية: سياسة وإجراء مخاطر الأطراف الثالثة، وسجل موردين مصنّف، ومكتبة استبيانات، وملحق أمني للعقود، وتقارير تقييم الموردين.

الإطار التنظيمي: ضوابط الأمن السيبراني الأساسية

تتطلب ضوابط الأمن السيبراني الأساسية الصادرة عن الهيئة الوطنية للأمن السيبراني من الجهات الخاضعة إدارة مخاطر الأطراف الثالثة بشكل منهجي. تشمل الضوابط ذات الصلة:

• الضابط 6.2.1: الإبلاغ عن الحوادث السيبرانية للهيئة الوطنية للأمن السيبراني خلال المدة الزمنية المحددة.
• الضوابط المتعلقة بإدارة الأطراف الثالثة: تقييم المخاطر الأمنية للموردين قبل التعاقد، وإدراج متطلبات أمنية في العقود، ومراقبة امتثال الموردين بشكل مستمر.

الامتثال لهذه الضوابط لا يقتصر على وجود سياسات وإجراءات، بل يتطلب آليات تعاقدية وتشغيلية تضمن أن الأطراف الثالثة يلتزمون بنفس المعايير التي تطبقها المؤسسة داخلياً.

الخطوة التالية: بناء برنامج مخاطر الأطراف الثالثة

إذا كانت مؤسستكم تعتمد على مزودي خدمات سحابية أو برمجية، وتخضعون لضوابط الأمن السيبراني الأساسية، فإن مراجعة العقود القائمة وتحديد الفجوات التعاقدية خطوة أولى ضرورية. لكن المعالجة الفعالة تتطلب برنامجاً شاملاً يغطي الحصر والتصنيف والتقييم والمراقبة المستمرة.

نؤسس برنامج مخاطر الأطراف الثالثة السيبرانية وندير تشغيله: تصنيف الموردين، واستبيانات العناية الواجبة، والبنود التعاقدية، والتقييمات، والمراقبة المستمرة. تستغرق مرحلة الإعداد من 4 إلى 6 أسابيع، تليها خدمة مستمرة لإدارة البرنامج وتشغيله.

تشمل المخرجات سياسة وإجراء مخاطر الأطراف الثالثة، وسجل موردين مصنّف، ومكتبة استبيانات، وملحق أمني للعقود، وتقارير تقييم الموردين. يُبنى البرنامج وفق ضوابط الأمن السيبراني الأساسية الصادرة عن الهيئة الوطنية للأمن السيبراني، وإطار الأمن السيبراني لمؤسسة النقد العربي السعودي.