قرار مشاركة ملف حساس عبر البريد، أو منح صلاحية إدارية مؤقتة، أو التعامل مع جهاز موظف مفقود لا يجب أن يعتمد على اجتهاد شخصي في لحظة ضغط. هنا تبدأ قيمة كتابة سياسات الأمن السيبراني للشركات: تحويل ما تتوقعه الإدارة والجهات التنظيمية إلى قواعد واضحة يعرفها الموظف، ويستطيع الفريق التقني تطبيقها، ويمكن للمنشأة إثباتها عند التدقيق.
لكن السياسة ليست مستنداً أنيقاً يُعتمد مرة ثم يُحفظ في مجلد مشترك. إذا لم ترتبط بمخاطر فعلية، ومالكين محددين، وإجراءات تشغيلية وأدلة تنفيذ، فستبقى امتثالاً شكلياً لا يحمي الأعمال عند وقوع حادثة.
ما الذي يجب أن تحققه سياسة الأمن السيبراني؟
السياسة الجيدة تجيب عن أسئلة الإدارة وفرق التشغيل معاً: ما الذي نحميه؟ من المسؤول؟ ما السلوك المقبول؟ وما الذي يحدث عند المخالفة أو الاشتباه بحادث؟ لا تحتاج السياسة إلى شرح طريقة إعداد كل تقنية أو سرد تفاصيل هندسية، بل تضع الاتجاه الإلزامي والحدود التي تعمل ضمنها المؤسسة.
فمثلاً، تنص سياسة التحكم في الوصول على أن الصلاحيات تمنح وفق حاجة العمل، وتراجع دورياً، وتسحب عند انتقال الموظف أو مغادرته. أما طريقة إنشاء الحسابات، وفترة المراجعة، وخطوات إغلاق الحساب، فتأتي في إجراء تشغيلي منفصل. هذا الفصل مهم لأنه يمنع تضخم السياسة وتكرار تعديلها كلما تغيرت أداة أو إعدادات تقنية.
الفرق بين الوثيقة المفيدة والوثيقة الورقية يظهر في قابلية التطبيق. عندما يقرأ مدير الموارد البشرية سياسة إدارة الهوية، يجب أن يعرف ما المطلوب منه عند التوظيف أو إنهاء الخدمة. وعندما يقرأها مسؤول الأنظمة، يجب أن يعرف من يعتمد الصلاحيات وكيف يوثق التنفيذ. وعندما يسأل المدقق عن الدليل، يجب ألا يبدأ الفريق رحلة بحث بين رسائل البريد وجداول البيانات.
قبل كتابة السياسة: وين إحنا اليوم؟
البدء من قالب جاهز قد يبدو أسرع، لكنه غالباً ينتج نصاً عاماً لا يشبه بيئة الشركة. المؤسسة التي تعتمد على أنظمة سحابية وموظفين عن بُعد تواجه أولويات مختلفة عن منشأة تدير بنية داخلية أو بيئة تشغيل حساسة. كذلك تتغير المتطلبات بحسب القطاع، وحساسية البيانات، والالتزامات التعاقدية، ومدى الاعتماد على الموردين.
ابدؤوا بفهم الأعمال والبيئة التقنية: ما الخدمات الحرجة؟ أين توجد بيانات العملاء والبيانات الشخصية؟ ما الأنظمة التي قد يسبب توقفها خسارة تشغيلية أو قانونية؟ من يملك قرارات المخاطر؟ ثم قيّموا الضوابط القائمة والفجوات الفعلية، لا الافتراضات المكتوبة في وثائق سابقة.
هذه المرحلة تمنع خطأ شائعاً: اعتماد سياسة تطلب تشفير كل البيانات أو تفعيل ضوابط متقدمة من دون تحديد النطاق والقدرة التشغيلية. الطموح مطلوب، لكن الالتزام غير القابل للتنفيذ يخلق مخالفة داخلية مستمرة. الأفضل أن تحدد السياسة هدفاً واضحاً، مع خطة زمنية واقعية للوصول إلى المستوى المطلوب حيث توجد فجوة.
اربطوا كل سياسة بمخاطرة أو التزام
اسألوا عن سبب وجود كل بند. هل يعالج احتمال تسريب بيانات؟ هل يحد من خطر إساءة استخدام الحسابات ذات الصلاحيات المرتفعة؟ هل يلبّي التزاماً تنظيمياً أو تعاقدياً محدداً؟ إن لم تكن الإجابة واضحة، فقد يكون البند منقولاً بلا حاجة أو يحتاج إلى إعادة صياغة.
هذا الربط يساعد الإدارة على ترتيب الأولويات. سياسة الاستجابة للحوادث وإدارة الوصول قد تكونان أكثر إلحاحاً من سياسات تفصيلية أقل تأثيراً، خصوصاً عندما يكون الفريق محدوداً أو التدقيق قريباً. الأمن أولاً، والالتزام يجي معه، لكن لا يعني ذلك تجاهل الالتزامات بل تحويلها إلى ضوابط تعالج الخطر فعلياً.
كيف تُبنى سياسة قابلة للتنفيذ؟
ابدؤوا بهيكل ثابت يجعل القراءة والمراجعة أسهل. حدّدوا الغرض والنطاق والتعريفات الضرورية، ثم الأدوار والمسؤوليات، ومتطلبات السياسة، وآلية الاستثناءات، والمخالفات، ودورية المراجعة. لا تكثروا التعريفات إذا كانت لا تؤثر في التطبيق، ولا تستخدموا لغة قانونية مبهمة عندما يمكن كتابة المطلوب بجملة مباشرة.
صياغة مثل: “يجب حماية المعلومات الحساسة” صحيحة من حيث المبدأ، لكنها لا تكفي للتنفيذ. الأفضل أن توضح السياسة تصنيف المعلومات المعتمد، ومن يحدد التصنيف، والحد الأدنى من وسائل الحماية، والجهات المصرح لها بالوصول. لا يلزم إدراج إعدادات المنتج أو أسماء الأدوات، لكن يلزم أن يعرف كل طرف واجبه وحدود قراره.
عيّنوا مالكاً لكل التزام
لا توجد سياسة تعمل لأن “قسم تقنية المعلومات مسؤول”. هذا توصيف واسع يضيع معه القرار والمساءلة. ينبغي تعيين مالك سياسة مسؤول عن ملاءمتها ومراجعتها، ومالك ضابط مسؤول عن تنفيذ المتطلب، وجهة اعتماد للقرارات والاستثناءات. وقد تكون هذه الأدوار موزعة بين الأمن السيبراني وتقنية المعلومات والموارد البشرية والشؤون القانونية وإدارة المخاطر.
الاستثناءات اختبار حقيقي لنضج السياسة. بعض الأعمال تحتاج استثناءً مؤقتاً لأسباب تشغيلية، وهذا طبيعي. غير الطبيعي هو منح الاستثناء شفهياً أو تركه مفتوحاً إلى أجل غير معلوم. يجب أن يتضمن طلب الاستثناء سبباً واضحاً، وتقييماً للمخاطر، وضوابط تعويضية، ومالكاً للمخاطر، وتاريخ انتهاء ومراجعة. بهذه الطريقة لا يتحول الاستثناء إلى باب خلفي دائم.
افصلوا بين السياسة والمعيار والإجراء
السياسة تقول ماذا يجب أن يحدث ولماذا. المعيار يحدد المستوى الأدنى المطلوب، مثل طول كلمة المرور أو فترات مراجعة السجلات إذا كان ذلك مناسباً للبيئة. الإجراء يشرح كيف ينفذ الفريق المهمة خطوة بخطوة. أما السجل أو الدليل فيثبت أن التنفيذ حدث فعلاً.
هذا التقسيم ليس ترفاً وثائقياً. عندما تتغير تقنية المصادقة أو مزود الخدمة، يمكن تعديل الإجراء أو المعيار دون إعادة اعتماد السياسة بالكامل. وعندما يطلب التدقيق إثبات المراجعة الدورية، يعرف الفريق أين يجد التقارير والتذاكر وسجلات الاعتماد، بدلاً من الاكتفاء بالإشارة إلى نص السياسة.
مجموعة السياسات التي تحتاجها أغلب المؤسسات
النطاق يتحدد بحجم المنشأة وقطاعها ومخاطرها، لكن البرنامج المؤسسي يبدأ عادة بسياسة حوكمة الأمن السيبراني، وسياسة إدارة المخاطر، وسياسة التحكم في الوصول وإدارة الهوية، وسياسة تصنيف المعلومات وحمايتها. ثم تأتي سياسات إدارة الأصول والثغرات، والاستجابة للحوادث، واستمرارية الأعمال، وأمن الموردين، والاستخدام المقبول، والتوعية الأمنية.
ليست الفكرة في إصدار عشرات الوثائق بأسرع وقت. في شركة متوسطة ذات موارد محدودة، قد يكون الأجدى اعتماد حزمة أساسية مترابطة ثم توسعتها وفق خارطة معالجة واضحة. أما المؤسسة العاملة في قطاع منظم أو التي تعالج بيانات حساسة بكثافة، فقد تحتاج تفصيلاً أكبر في الاحتفاظ بالبيانات، والتشفير، ومراجعة الأطراف الثالثة، وإدارة السجلات.
المقياس ليس عدد السياسات المعتمدة، بل السؤال التالي: هل تغطي المخاطر الرئيسية؟ وهل يستطيع أصحاب المصلحة تنفيذها وإثبات تنفيذها؟
من الاعتماد إلى التشغيل والقياس
اعتماد السياسة من الإدارة خطوة ضرورية، لكنه ليس خط النهاية. يجب إيصال المتطلبات للموظفين والفرق المعنية بطريقة تتناسب مع دور كل منهم. لا يحتاج الجميع إلى التدريب نفسه: الموظف يحتاج قواعد التعامل مع البيانات والتصيد والإبلاغ، بينما يحتاج مدير النظام إلى فهم مسؤولياته في الوصول والتحديثات والسجلات.
بعد النشر، حوّلوا كل متطلب رئيسي إلى مهمة أو ضابط قابل للمتابعة. على سبيل المثال، ترتبط سياسة إدارة الثغرات بمسح دوري، وتصنيف شدة الثغرات، ومواعيد معالجة معتمدة، وتقارير استثناءات. وترتبط سياسة الموردين بتقييم قبل التعاقد، ومراجعات دورية، وبنود أمنية واضحة. هنا يصبح الفرق واضحاً بين القول إن الضابط موجود وبين القدرة على إثبات حالته وفعاليته.
تساعد منصة حوكمة ومخاطر والتزام مركزية، مثل منصة «مُنطبق» من سيكيورلوغإكس، على ربط السياسة بالضوابط والمالكين والأدلة والمخاطر وخطط المعالجة في مكان واحد. القيمة ليست في نقل ملفات PDF إلى منصة جديدة، بل في جعل الالتزام قابلاً للرؤية والمساءلة: ما المتأخر؟ ما الاستثناءات المفتوحة؟ ما الفجوات التي تؤثر في المخاطر الأعلى؟
أخطاء تضعف السياسات حتى لو كانت مكتوبة جيداً
أولها النسخ الحرفي من إطار أو قالب من دون مواءمة. القالب نقطة بداية جيدة، لكنه لا يعرف أصولكم الحرجة أو هيكل الصلاحيات أو التزاماتكم. ثانيها كتابة متطلبات مطلقة لا تستطيع المؤسسة الوفاء بها، ثم تجاهلها عملياً. وثالثها غياب الأدلة، حيث تكون السياسة معتمدة لكن لا توجد سجلات تثبت المراجعات أو التدريب أو المعالجة.
ومن الأخطاء أيضاً مراجعة السياسات فقط قبل التدقيق. المراجعة يجب أن تحدث وفق دورة محددة، وعند تغير جوهري مثل إطلاق خدمة جديدة، أو اعتماد مورد مؤثر، أو وقوع حادثة، أو تغير تنظيمي. الحادثة ليست مجرد أزمة تشغيلية، بل مصدر تعلم يكشف أين كانت السياسة غامضة أو أين تعطل الإجراء.
السياسة الناجحة لا تقاس بجودة صياغتها فقط، بل بقدرتها على جعل القرار الأمني اليومي أقل عشوائية وأكثر قابلية للقياس. ابدأوا بالمخاطر التي يمكن أن تؤثر في الأعمال الآن، عيّنوا المسؤوليات بوضوح، واجمعوا الدليل أثناء العمل لا قبل التدقيق بأيام. الاستشارة ممكن تنتهي، لكن شغلكم الأمني ما ينتهي – والسياسات الجيدة تجعل هذا الشغل منظماً وقابلاً للاستمرار.
