عندما يطلب مجلس الإدارة تقريراً عن مستوى الأمن السيبراني، لا تكفي إجابة من نوع: «لدينا جدار حماية وسياسة كلمات مرور». السؤال الحقيقي هو: وين إحنا اليوم؟ وين مخاطرنا الحقيقية؟ ومن يملك قرار معالجتها ومتى؟ هنا تبدأ كيفية بناء حوكمة الأمن السيبراني كمنظومة إدارة وقرار ومساءلة، لا كمجلد سياسات يُحدَّث قبل التدقيق ثم يعود إلى الرف.
الحوكمة الجيدة تربط الأمن بأهداف العمل، وتحوّل المتطلبات التنظيمية والضوابط التقنية إلى مسؤوليات واضحة وأدلة قابلة للتحقق ومؤشرات يفهمها التنفيذيون. الأمن أولاً… والالتزام يجي معه. أما الامتثال الشكلي، فقد ينجح في إنتاج تقرير، لكنه لا يضمن أن المنشأة مستعدة لحادث فعلي أو تدقيق مفاجئ.
ما المقصود بحوكمة الأمن السيبراني؟
حوكمة الأمن السيبراني هي الإطار الذي يحدد كيف تتخذ المنشأة قراراتها الأمنية، ومن يوافق عليها، وكيف تُدار المخاطر، وما الذي يُقاس ويُرفع للإدارة. وهي تختلف عن التشغيل اليومي للأمن. فريق التقنية قد يدير التحديثات، والنسخ الاحتياطي، والمراقبة، والاستجابة للحوادث، لكن الحوكمة تحدد الأولويات والحدود والمسؤوليات والرقابة على جودة هذه الأعمال.
بمعنى أبسط: الحوكمة تجيب عن أسئلة لا يمكن تركها للاجتهاد الفردي. ما البيانات والأنظمة التي لا تقبل المنشأة تعطلها؟ ما مستوى المخاطر المقبول؟ من يقرر قبول خطر لم تتم معالجته؟ كيف نثبت أن الضوابط تعمل فعلاً، لا أنها مكتوبة فقط؟
لا يوجد نموذج واحد يناسب الجميع. شركة مالية تخضع لمتطلبات تنظيمية صارمة تحتاج مستوى توثيق ورقابة مختلفاً عن شركة خدمات مهنية متوسطة. لكن المبدأ ثابت: يجب أن تكون الحوكمة متناسبة مع حجم المنشأة، وحساسية أصولها، وتعقيد بيئتها، والالتزامات التي تنطبق عليها.
ابدأ من الأعمال وليس من قائمة الضوابط
أكثر الأخطاء شيوعاً هو البدء بإطار أو قائمة طويلة من الضوابط ثم محاولة تطبيقها كما هي. النتيجة غالباً سياسات كثيرة، وملكية ضبابية، وفريق مرهق يطارد الأدلة. البداية الصحيحة هي فهم الأعمال: ما الخدمات التي يعتمد عليها العملاء؟ ما الأنظمة التي توقفها يسبب أثراً مالياً أو تشغيلياً؟ ما البيانات التي قد يسبب كشفها ضرراً قانونياً أو سمعة سلبية؟
بعد ذلك، ارسم نطاق الحوكمة بوضوح. لا يعني هذا تجاهل الأنظمة الأقل أهمية، بل تصنيفها بطريقة تساعد على توجيه الجهد. نظام الرواتب، ومنصة التجارة الإلكترونية، وبيئة الإنتاج، وحسابات الإدارة السحابية لا ينبغي أن تحصل على المستوى نفسه من الضوابط والرقابة.
في هذه المرحلة، تحتاج الإدارة إلى تحديد شهية المخاطر. وهي ليست عبارة عامة مثل «لا نقبل أي مخاطر»، لأن ذلك غير واقعي. المقصود هو تحديد ما يمكن قبوله مؤقتاً، وما يجب معالجته فوراً، وما يحتاج موافقة تنفيذية صريحة. عندما تكون هذه الحدود معلنة، تصبح قرارات الاستثمار والتصعيد أسرع وأقل اعتماداً على الآراء الشخصية.
كيفية بناء حوكمة الأمن السيبراني في ستة مسارات
1. حدد هيكل القرار والمساءلة
لا يمكن إدارة الأمن من خلال إدارة الامن السيبراني وحده، حتى لو كان مسؤولاً عن معظم التنفيذ. أنشئ هيكلاً واضحاً يشمل راعياً تنفيذياً، ولجنة أو جهة إشراف مناسبة، ومسؤولاً عن برنامج الأمن، وملاكاً للأصول والعمليات، ووظائف المخاطر والالتزام والتدقيق عند توفرها.
المهم ليس كثرة اللجان، بل وضوح القرار. من يعتمد السياسات؟ من يملك خطر الموردين؟ من يتابع إغلاق الثغرات الحرجة؟ من يوافق على الاستثناءات؟ ومن يتحقق بشكل مستقل أن المعالجة تمت؟ عندما تتداخل الأدوار، تضيع المسؤولية بين التقنية والالتزام والمشتريات وإدارات الأعمال.
2. ابنِ سجلاً حقيقياً للمخاطر
سجل المخاطر ليس قائمة بمصطلحات عامة مثل «هجمات إلكترونية» و«فقدان بيانات». الخطر المفيد يربط أصلاً محدداً أو عملية محددة بتهديد ونقطة ضعف وأثر متوقع ومالك وخطة معالجة وتاريخ مستهدف.
مثلاً، بدلاً من كتابة «خطر الوصول غير المصرح به»، حدّد أن حسابات الإدارة في بيئة سحابية لا تستخدم مصادقة متعددة العوامل في جميع الحالات، وأن أثر اختراقها قد يمتد إلى بيانات العملاء واستمرارية الخدمة. عندها يصبح القرار واضحاً: معالجة فورية، أو ضوابط تعويضية، أو قبول خطر موثق ومحدود المدة.
رتب المخاطر بحسب الأثر والاحتمالية، لكن لا تعتمد على التقييم الرقمي وحده. أحياناً يكون خطر احتماله منخفضاً لكنه يمس خدمة حرجة أو التزاماً تنظيمياً لا يحتمل التأخير. وهنا تظهر قيمة الحكم المهني وربط المخاطر بسياق الأعمال.
3. حوّل المتطلبات إلى ضوابط قابلة للتشغيل
السياسة الأمنية تعلن التوجه، لكنها لا تكفي وحدها. كل متطلب مهم يحتاج ضوابط تنفيذية، وإجراءات تشغيل، ومالكاً، ودليلاً يثبت التطبيق. إذا كانت السياسة تفرض مراجعة دورية للصلاحيات، فالحوكمة الجيدة تحدد دورية المراجعة، والمسؤول عنها، والأنظمة المشمولة، وطريقة معالجة الحسابات الزائدة، والدليل المطلوب للاعتماد.
تجنب نسخ السياسات الجاهزة دون مواءمة. السياسات الطويلة التي لا يفهمها الموظفون ولا يستطيع الفريق تطبيقها تتحول إلى عبء. الأفضل هو كتابة ما ستفعله المنشأة فعلاً، ثم تطويره تدريجياً مع نضج القدرات والموارد.
4. اجعل الأدلة والمهام في مكان واحد
التدقيقات تكشف مشكلة متكررة: الأدلة موزعة بين البريد الإلكتروني وجداول البيانات والمجلدات الشخصية، فيما يبقى مالك كل إجراء غير واضح. هذا التشتت لا يضعف الاستعداد للتدقيق فقط، بل يجعل الإدارة غير قادرة على معرفة حالة الضوابط في وقتها.
تحتاج المنشأة إلى مصدر مركزي يربط المتطلبات بالضوابط والمخاطر والمهام والأدلة والاستثناءات. منصة «مُنطبق» مثال على بيئة تشغيلية تساعد في تنظيم هذه العناصر وتحويلها من ملفات متفرقة إلى برنامج يمكن متابعته وقياسه. الأداة لا تبني الحوكمة بدلاً من الناس، لكنها تمنع ضياع القرارات والأدلة بين الفرق.
5. قس ما يهم الإدارة فعلاً
عدد السياسات المنشورة أو ساعات التدريب المنفذة لا يقدم وحده صورة عن الوضع الأمني. المؤشرات المفيدة تربط القياس بالنتيجة، مثل نسبة الأنظمة الحرجة التي تغطيها إدارة الثغرات، ومدة معالجة الثغرات حسب شدتها، ونسبة مراجعات الصلاحيات المنجزة في موعدها، وعدد المخاطر المتجاوزة لتاريخ المعالجة، وحالة اختبارات الاستجابة للحوادث.
اختر مجموعة مختصرة من المؤشرات وراجعها بانتظام. كثرة المؤشرات قد تخفي المشكلة بدلاً من توضيحها. وإذا كان تقرير الإدارة أخضر دائماً بينما تتراكم الاستثناءات والثغرات، فالمشكلة ليست في العرض فقط، بل في تعريف القياس نفسه.
6. اختبر فاعلية الحوكمة واستمر في تحسينها
وجود الضبط لا يعني أنه يعمل. قد تكون هناك سياسة لإدارة الثغرات، لكن الفحص لا يغطي أصولاً مهمة. وقد تكون هناك خطة استجابة للحوادث، لكن لم يختبر أحد الاتصال بين التقنية والقانونية والإدارة التنفيذية في أزمة فعلية.
اختبارات الاختراق، ومراجعات الضوابط، والتدقيق المستقل، وتمارين الاستجابة للحوادث تكشف الفرق بين التصميم والتنفيذ. لا تتعامل مع النتائج كقائمة ملاحظات يجب إغلاقها بسرعة، بل كمدخل لتحسين البرنامج. ما سبب تكرار الملاحظة؟ هل ينقصنا مالك واضح، أو إجراء عملي، أو ميزانية، أو متابعة تنفيذية؟
كيف تتجنب الحوكمة الورقية؟
الحوكمة الورقية تبدأ غالباً بنية جيدة: مشروع التزام قريب، أو طلب من عميل كبير، أو تدقيق قادم. لكنها تفشل عندما تتوقف عند تسليم الوثائق. العلامات واضحة: سياسات لم يطلع عليها المعنيون، استثناءات لا يراجعها أحد، مخاطر بلا ملاك، أدلة تُجمع في آخر لحظة، واجتماعات تستعرض المشكلات دون قرارات أو تواريخ معالجة.
العلاج ليس مزيداً من الوثائق. العلاج هو دورة تشغيلية ثابتة: تقييم دوري للوضع، ترتيب أولويات معلن، مهام مملوكة، متابعة للإغلاق، ورفع تنفيذي يوضح ما تغير وما بقي مكشوفاً. الاستشارة ممكن تنتهي… لكن شغلك ما ينتهي. لذلك يجب أن تصمم الحوكمة لتستمر بعد انتهاء أي مشروع أو تدقيق.
متى تحتاج المنشأة إلى دعم خارجي؟
قد تمتلك المنشأة فريق تقنية قوي، لكنها تفتقر إلى خبرة بناء برنامج حوكمة، أو إلى وقت كافٍ لإدارة المخاطر والأدلة والتقارير التنفيذية. وقد تحتاج جهة مستقلة للتحقق من فاعلية ضوابطها، خصوصاً عندما يكون الفريق نفسه مسؤولاً عن التنفيذ والتقييم.
الدعم الخارجي يكون مفيداً أيضاً عند التوسع السريع، أو دخول سوق منظم، أو قرب تدقيق مهم، أو عدم وجود رئيس أمن معلومات بدوام كامل. القيمة ليست في تسليم قالب سياسات، بل في نقل البرنامج من حالة رد الفعل إلى إدارة مستمرة للمخاطر والضوابط والقرارات.
ابدأ بالسؤال الذي يختصر كل شيء: هل يستطيع فريقك اليوم أن يثبت للإدارة، بالدليل، ما هي المخاطر الأعلى، ومن يعالجها، وما مستوى التقدم؟ إذا كانت الإجابة غير واضحة، فهذه ليست مشكلة تقارير. إنها نقطة البداية لبناء حوكمة تجعل الأمن جزءاً من طريقة عمل المنشأة، لا مشروعاً مؤقتاً على هامشها.
