قبل اجتماع الإدارة أو التدقيق المقبل، السؤال الذي يغيّر الحوار ليس: كم سياسة لدينا؟ بل: هل نعرف فعلاً أين تقف منشأتنا، وما المخاطر التي قد تؤثر في أعمالها؟ هنا تأتي مؤشرات الأمن السيبراني بوصفها وسيلة لاتخاذ القرار، لا مجرد أرقام تُضاف إلى عرض تقديمي. المؤشر الجيد يوضح ما يحدث، ولماذا يحدث، ومن المسؤول عن معالجته، ومتى يمكن للإدارة أن تتوقع تحسناً قابلاً للإثبات.
المشكلة ليست في نقص البيانات. معظم المنشآت تملك سجلات للحوادث، وتقارير للثغرات، ونتائج تقييمات، وملفات امتثال، ورسائل متابعة كثيرة. المشكلة أن هذه البيانات تبقى متفرقة، فلا تعطي القيادة إجابة واضحة عن سؤالين مباشرين: وين مخاطرنا الحقيقية؟ وما الذي يجب أن نعالجه الآن؟
ما الذي تقيسه مؤشرات الأمن السيبراني فعلياً؟
لا يوجد رقم واحد يختصر الوضع الأمني. انخفاض عدد الحوادث لا يعني بالضرورة أن الضوابط فعالة، فقد يعني أن الاكتشاف ضعيف. وارتفاع عدد الثغرات المكتشفة ليس دليلاً تلقائياً على تدهور الوضع، إذ قد يعكس توسع نطاق الفحص وتحسن الرصد. لذلك، تُقرأ المؤشرات ضمن سياق الأعمال، وحساسية الأصول، ومستوى التهديد، وقدرة الفرق على المعالجة.
تخدم المؤشرات عادة ثلاثة مستويات. تحتاج الإدارة التنفيذية إلى رؤية أثر المخاطر على الأعمال، واتجاه النضج، وحالة الالتزامات ذات الأولوية. أما مسؤولو الأمن وتقنية المعلومات فيحتاجون إلى تفاصيل قابلة للتنفيذ، مثل الالتزام بمهل معالجة الثغرات أو تغطية السجلات. بينما يحتاج التدقيق والالتزام إلى أدلة تثبت أن الضوابط مطبقة، وأن الاستثناءات معتمدة ومتابعة.
الخطأ الشائع هو استخدام المؤشر نفسه لكل هذه المستويات. المدير التنفيذي لا يحتاج قائمة طويلة من التنبيهات التقنية، وفريق التشغيل لا يستفيد من مؤشر عام مثل «مستوى الأمن جيد». المطلوب هو ربط كل مستوى بالمعلومة التي تمكّنه من اتخاذ قرار.
مؤشرات يجب أن تبدأ بها المنشأة
البداية الصحيحة ليست جمع عشرات المؤشرات. ابدأ بمجموعة محدودة ترتبط بمخاطر واضحة وقرارات متكررة، ثم وسّعها عندما تستقر جودة البيانات وملكية المعالجة. وفي أغلب المنشآت، تشكل المجالات التالية أساساً عملياً للقياس.
1. تغطية الأصول وتصنيفها
لا يمكن حماية أصل لا تعرفه. لذلك، قِس نسبة الأصول التقنية التي تم جردها وربطها بمالك وتصنيف حساسية، مقارنة بإجمالي الأصول المتوقع وجودها. ويشمل ذلك الخوادم، والأجهزة الطرفية، والحسابات ذات الصلاحيات المرتفعة، والتطبيقات، والبيانات المهمة، والخدمات السحابية.
هذه النسبة لا تقيس اكتمال سجل الأصول فقط، بل تكشف فجوة أعمق: هل قرارات الحماية مبنية على معرفة بالأصول الحرجة أم على افتراضات؟ إذا كانت الأنظمة الحساسة غير مصنفة، فلن تستطيع ترتيب الثغرات أو تحديد متطلبات النسخ الاحتياطي أو ضبط الوصول بصورة منطقية.
2. معالجة الثغرات بحسب المخاطر
عدد الثغرات المفتوحة وحده مؤشر مضلل. الأهم هو نسبة الثغرات الحرجة والعالية التي عولجت ضمن المدة المعتمدة، مع فصل الأصول الحرجة عن غيرها. فثغرة متوسطة في نظام مكشوف للإنترنت ويحتوي بيانات حساسة قد تستحق أولوية أعلى من ثغرة مصنفة حرجة في بيئة معزولة ومسيطر عليها.
راقب أيضاً عمر الثغرات المتأخرة واتجاه تراكمها. إذا كانت المنشأة تغلق ثغرات جديدة لكنها تترك القديمة تتراكم، فالمشكلة ليست في سرعة التصحيح فقط، بل في إدارة الاستثناءات والموارد وملكية القرار. وينبغي أن يكون لكل استثناء مبرر، وضابط تعويضي عند الحاجة، ومالك، وتاريخ مراجعة.
3. فعالية إدارة الهوية والوصول
الوصول غير المنضبط من أكثر مصادر المخاطر شيوعاً، خصوصاً عند تغير مهام الموظفين أو مغادرتهم، وعند استخدام حسابات إدارية مشتركة. من المؤشرات المفيدة نسبة الحسابات ذات الصلاحيات العالية التي تستخدم مصادقة متعددة العوامل، ونسبة مراجعات الصلاحيات المنجزة في موعدها، ومتوسط زمن تعطيل حسابات المغادرين.
لكن لا تكتف بالامتثال العددي. قد تكتمل مراجعة الصلاحيات بنسبة 100% على الورق، بينما تعتمد الموافقات على قوائم قديمة أو لا تشمل الأنظمة السحابية. جودة الدليل وطريقة المراجعة جزء من قيمة المؤشر، وليستا تفصيلاً إدارياً.
4. سرعة الاكتشاف والاستجابة للحوادث
عند وقوع حادث، يهم الإدارة أن تعرف مدة بقائه دون اكتشاف، والوقت اللازم للاحتواء، وهل تحولت الدروس المستفادة إلى إجراءات فعلية. لذلك، يمكن قياس متوسط زمن الاكتشاف، ومتوسط زمن الاحتواء، ونسبة الحوادث التي أغلقت بتحليل سبب جذري وخطة معالجة مكتملة.
هذه الأرقام تحتاج إلى تفسير. قد يرتفع عدد الحوادث المسجلة بعد تحسين قدرات الرصد، وهذا قد يكون علامة إيجابية في البداية. المقارنة الصحيحة لا تكون مع رقم سابق فقط، بل مع نطاق التغطية، وشدة الحوادث، والقدرة على منع التكرار.
5. اكتمال الضوابط والأدلة
في البيئات المنظمة، لا يكفي القول إن الضابط موجود. يجب أن يكون محدداً، وله مالك، وأدلة تنفيذ حديثة، وحالة واضحة للثغرات والاستثناءات. لذلك، قِس نسبة الضوابط ذات الأدلة السارية، ونسبة المتطلبات التي لها إجراءات معالجة معتمدة، ونسبة المهام المتأخرة المرتبطة بالمخاطر أو الالتزامات.
هنا يظهر الفرق بين الامتثال الشكلي والجاهزية الفعلية. ملف أدلة مكتمل وقت التدقيق ثم يُهمل طوال العام لا يبني أمناً مستداماً. أما عندما تُدار الأدلة والمهام والمخاطر بصورة مستمرة، يصبح التدقيق نتيجة طبيعية لعمل منظم، لا حالة طوارئ موسمية.
كيف تختار المؤشر الذي يستحق المتابعة؟
المؤشر المفيد يمر بأربعة اختبارات. أولاً، هل يرتبط بمخاطرة أو هدف أعمال واضح؟ ثانياً، هل مصدر بياناته موثوق ويمكن تكراره؟ ثالثاً، هل له مالك مسؤول عن تفسيره وتحسينه؟ وأخيراً، هل يؤدي تغيره إلى قرار أو إجراء محدد؟ إذا كانت الإجابة بالنفي عن السؤال الأخير، فهو غالباً رقم للاطلاع لا أداة للإدارة.
خذ مثالاً بسيطاً: «عدد الموظفين الذين أكملوا التوعية الأمنية». هذا رقم سهل الجمع، لكنه لا يثبت تغير السلوك. قد يصبح أكثر فائدة عند ربطه بنتائج محاكاة التصيد، أو بنسب الإبلاغ عن الرسائل المشبوهة، أو بتكرار الأخطاء في الإدارات ذات الصلاحيات الحساسة. حتى هنا، يجب التعامل بحذر: الهدف ليس إحراج الموظفين، بل تحديد الفئات التي تحتاج إلى تدريب أو ضوابط إضافية.
من المؤشرات إلى قرارات قابلة للمساءلة
أفضل لوحة مؤشرات لا قيمة لها إن لم تنتهِ بقرار. عند ارتفاع الثغرات المتأخرة، يجب أن يكون المسار واضحاً: هل المشكلة في الموارد؟ أم في نافذة التغيير؟ أم في غياب مالك النظام؟ وعند تأخر الأدلة، هل السبب عدم وضوح المتطلب أم ضعف آلية جمعها أم عدم وجود متابعة تنفيذية؟
لهذا تحتاج المنشأة إلى ربط كل مؤشر بعتبة مستهدفة، ومالك، ودورية مراجعة، وخطة تصعيد عند الانحراف. ليست كل العتبات ثابتة؛ المنشأة في مرحلة تأسيس برنامجها الأمني لا تُقاس بالمعيار نفسه لمنشأة ناضجة ذات عمليات رصد واستجابة متقدمة. الأهم أن يكون الاتجاه مفهوماً وخطة التحسين واقعية.
كما ينبغي الفصل بين مؤشرات الأداء ومؤشرات المخاطر. مؤشر الأداء يخبرك هل نُفذ العمل كما خُطط له، مثل نسبة إغلاق المهام في موعدها. أما مؤشر المخاطر فينبهك إلى احتمال ارتفاع التعرض للخطر، مثل زيادة الأنظمة غير المدعومة أو الحسابات الإدارية بلا مصادقة متعددة العوامل. تحتاج الإدارة إلى النوعين كي لا تخلط بين انشغال الفريق وتحسن الوضع الأمني.
منصة واحدة تمنع تشتت القياس
عندما تُدار المخاطر والضوابط والأدلة وخطط المعالجة عبر جداول منفصلة ورسائل بريد متفرقة، تصبح الأرقام عرضة للتأخير والتناقض. المنصة المركزية، مثل منصة «مُنطبق» من سيكيورلوغإكس، تساعد على ربط المتطلب بالضابط، والضابط بالدليل، والفجوة بمالكها وخطة معالجتها. النتيجة ليست لوحة أجمل، بل قدرة أكبر على معرفة ما تأخر ولماذا، وما الأثر المتوقع، ومن يملك القرار التالي.
الأمن أولاً، والالتزام يجي معه عندما تكون المؤشرات مرتبطة بالواقع التشغيلي. لا تبدأ بطلب تقرير مليء بالألوان. ابدأ بتحديد الأصول التي لا تحتمل التعطل، والمخاطر التي تهم أعمالك، والقرارات التي تحتاجها القيادة كل شهر. عندها تتحول الأرقام من عبء تقريري إلى لغة مشتركة تحرك المعالجة وتثبت التقدم.
