حين تطلب الإدارة إجابة واضحة عن سؤال: «وين مخاطرنا الحقيقية؟»، لا يكفي وجود فريق تقنية معلومات جيد أو سياسات محفوظة في مجلدات متفرقة. هنا تظهر قيمة CISO داخلي وخارجي: قيادة أمنية مسؤولة عن تحويل الأمن السيبراني من مجموعة مهام وردود فعل إلى برنامج مؤسسي له أولويات ومالكون ومؤشرات قياس.
القرار ليس مسألة تفضيل بين موظف داخل المنشأة ومستشار خارجي فقط. هو قرار يتعلق بحجم أعمالكم، ونضجكم الأمني، وسرعة التغير في بيئتكم التقنية، والمتطلبات التنظيمية التي تخضعون لها. الأهم: هل تحتاجون إلى قائد أمني حاضر يومياً في تفاصيل العمل، أم إلى خبرة تنفيذية مركزة تبني البرنامج وتقوده وتتابع أثره بمرونة أكبر؟
ما دور رئيس أمن المعلومات فعلياً؟
رئيس أمن المعلومات ليس مسؤولاً عن شراء أدوات الحماية أو متابعة التنبيهات فقط. دوره التنفيذي يبدأ من فهم الأعمال: ما الأنظمة والبيانات التي لا يمكن تعطلها؟ ما المخاطر التي قد تؤثر في الإيرادات أو السمعة أو الالتزامات التنظيمية؟ ومن يملك قرار قبول المخاطر أو معالجتها؟
بعد ذلك، يحوّل هذه الإجابات إلى حوكمة قابلة للتطبيق. يحدد السياسات، ويبني سجل المخاطر، ويرتب الضوابط، ويوزع المسؤوليات، ويتابع معالجة الثغرات، ويرفع للإدارة صورة مفهومة عن مستوى النضج والجاهزية. وعند قرب تدقيق أو ظهور حادثة، يكون دوره توحيد القرار بين التقنية والمخاطر والالتزام والإدارة التنفيذية.
لهذا السبب، لا تقاس قيمة رئيس أمن المعلومات بعدد التقارير التي يصدرها. تقاس بقدرة المنشأة على معرفة وضعها الحالي، وتحديد ما يجب معالجته أولاً، وإثبات أن المعالجة تمت وأن أثرها قابل للقياس.
CISO داخلي وخارجي: الفرق في نموذج المسؤولية
رئيس أمن المعلومات الداخلي هو قائد موظف بدوام كامل داخل المنشأة. يعيش تفاصيل الأعمال والهيكل التنظيمي والقرارات اليومية، ويستطيع بناء علاقات مستمرة مع الإدارات والفرق. هذا النموذج مناسب غالباً للمنشآت الكبيرة، أو الجهات ذات التعقيد التشغيلي العالي، أو المؤسسات التي تتطلب طبيعة عملها وجود قيادة أمنية دائمة ومباشرة.
أما رئيس أمن المعلومات الخارجي، ويشار إليه أحياناً برئيس أمن المعلومات الافتراضي، فهو قائد أمني متخصص يعمل وفق نطاق خدمة متفق عليه. لا يعني ذلك حضوراً بعيداً أو تقريراً دورياً ينتهي أثره بعد التسليم. النموذج الجيد يضع قيادة تنفيذية على رأس برنامج مستمر: تقييم، وترتيب أولويات، وتوجيه فرق التنفيذ، ومتابعة المخاطر، وإعداد تقارير للإدارة، والاستعداد للتدقيقات والمتطلبات التنظيمية.
الفرق الحقيقي إذاً ليس في مكان عمل الشخص، بل في مدى وضوح المسؤولية، وصلاحية الوصول إلى المعلومات، وآلية اتخاذ القرار، وإيقاع المتابعة. يمكن لرئيس أمن معلومات خارجي أن يقدم أثراً أكبر من منصب داخلي غير محدد الصلاحيات. والعكس صحيح: وجود قائد داخلي قوي لا يعوض نقص الخبرات المتخصصة أو غياب أدوات تشغيل البرنامج.
متى يكون النموذج الداخلي الخيار الأقوى؟
يكون التوظيف الداخلي منطقياً عندما تحتاج المنشأة إلى وجود يومي في لجان الإدارة، وتدير محفظة تقنية ضخمة أو بيئات تشغيلية حساسة، أو لديها فريق أمن متكامل يحتاج إلى قائد مباشر بدوام كامل. كما يناسب الجهات التي تتغير فيها المنتجات والأنظمة والعمليات بسرعة، بحيث تصبح المعرفة المؤسسية المتراكمة عاملاً حاسماً.
لكن هذا الخيار يحمل التزامات يجب النظر إليها بواقعية. التوظيف لا يقتصر على الراتب، بل يشمل تكلفة الاستقطاب، وبناء الفريق، والتدريب، واستمرارية المعرفة عند تغير الموظفين. كذلك، قد يكون من الصعب إيجاد قائد يجمع بين الحوكمة وإدارة المخاطر والالتزام والخبرة التقنية والقدرة على مخاطبة مجلس الإدارة بلغة الأعمال.
متى يقدم النموذج الخارجي قيمة أعلى؟
يكون رئيس أمن المعلومات الخارجي مناسباً عندما تحتاج المنشأة إلى قيادة أمنية تنفيذية، لكنها لا تحتاجها بدوام كامل أو لا تملك بعد البنية اللازمة لمنصب داخلي. وهو خيار عملي للشركات المتوسطة، والمنشآت التي تستعد لتوسع سريع، والجهات التي تواجه متطلبات التزام أو تدقيقاً قريباً، أو التي تمتلك فريق تقنية جيداً لكنه يحتاج إلى إطار حوكمة وقرار أمني واضح.
الميزة ليست خفض التكلفة وحده. النموذج الخارجي الجيد يمنحكم خبرات تراكمية من بيئات وقطاعات مختلفة، ويقلل الاعتماد على شخص واحد، ويوفر مرونة في زيادة الجهد عند وجود مشروع حساس أو حادثة أو تدقيق. لكنه لا ينجح إذا تعاملت معه المنشأة كمورد بعيد يُطلب منه تقرير كل ثلاثة أشهر. يحتاج إلى راعٍ تنفيذي داخلي، وفرق تتجاوب مع المهام، ومسار واضح لتصعيد القرارات.
لا تختاروا بناءً على المسمى الوظيفي
السؤال الأدق ليس: «هل نريد CISO داخلياً أم خارجياً؟». السؤال هو: «ما الذي ينقص برنامجنا الآن؟». قد تكون المشكلة غياب ملكية المخاطر، أو عدم وجود سجل موحد للضوابط والأدلة، أو تراكم ثغرات بلا خطة معالجة، أو عدم قدرة الإدارة على رؤية الفجوات الفعلية.
إذا كانت المشكلة تشغيلية يومية، مثل إدارة مركز عمليات أمنية كبير أو فرق هندسية متعددة، فقد تحتاجون إلى قيادة داخلية أقرب. أما إذا كانت المشكلة هي تأسيس الحوكمة، ورفع النضج، وتوحيد الالتزام، وترتيب الاستثمارات الأمنية، فقد يكون النموذج الخارجي أكثر سرعة وفعالية.
وفي بعض المنشآت، لا يكون الاختيار ثنائياً. يمكن أن يبدأ البرنامج بقيادة خارجية تبني الأساس، وتحدد الهيكل والصلاحيات والخطة السنوية، ثم تنتقل المعرفة تدريجياً إلى قائد داخلي. ويمكن أيضاً أن يعمل قائد داخلي مع خبرة خارجية مستقلة في مجالات مثل اختبار الاختراق، والتدقيق، وتقييم النضج، أو مراجعة القرارات الاستراتيجية.
ما الذي يجب أن يقدمه رئيس أمن المعلومات الخارجي؟
إذا قررتم الاستعانة بقيادة أمنية خارجية، فلا تقبلوا نطاقاً عاماً مثل «تقديم استشارات أمنية». اطلبوا مخرجات تشغيلية واضحة يمكن متابعتها. يجب أن يبدأ العمل بفهم نموذج الأعمال والبيئة التقنية والأصول الحساسة والمتطلبات المنظمة للقطاع، ثم تقييم الفجوات وربطها بالمخاطر الواقعية، لا بقوائم ضوابط معزولة.
بعد التقييم، يجب أن تظهر خارطة طريق مرتبة بحسب الأولوية: ما الذي يعالج فوراً؟ ما الذي يحتاج قراراً إدارياً؟ ما الضوابط التي يمكن تحسينها بجهد محدود؟ وما المشاريع التي تتطلب ميزانية أو تغييراً في البنية التقنية؟ كل بند يحتاج مالكاً وموعداً وحالة تنفيذ وأدلة تثبت الإغلاق.
ومن المهم أن تشمل الخدمة متابعة دورية، لا مجرد خطة أولية. المخاطر تتغير، والثغرات تظهر، والأنظمة تتوسع، واللوائح تتطور. الاستشارة ممكن تنتهي، لكن شغلكم لا ينتهي. لذلك تحتاج المنشأة إلى دورة تشغيلية تجمع التقييم والتحسين والقياس والمراجعة المستمرة.
منصة تشغيلية أم جداول متفرقة؟
أحد أسباب تعثر برامج الأمن هو تشتت العمل بين جداول بيانات ورسائل بريد ووثائق منفصلة. قد يكون لدى المنشأة سياسة جيدة وتقييم فجوات ممتاز، لكنها لا تستطيع الإجابة بسرعة: ما الضوابط غير المكتملة؟ من المسؤول عنها؟ ما الأدلة المتاحة؟ وما المخاطر التي بقيت مقبولة بقرار إداري؟
المنصة المركزية لإدارة الحوكمة والمخاطر والالتزام تجعل هذه الصورة قابلة للإدارة. فهي تربط المتطلبات بالضوابط، والضوابط بالمهام، والمهام بالأدلة، والأدلة بحالة الجاهزية. هذا لا يلغي دور الخبرة البشرية، بل يجعل عمل رئيس أمن المعلومات وفريقه قابلاً للمتابعة والمساءلة بدلاً من أن يبقى معتمداً على ذاكرة الأفراد.
في سيكيورلوغإكس، يتكامل دور رئيس أمن المعلومات كخدمة مع منصة «مُنطبق» لتتحول التوصيات إلى مهام ومخاطر وأدلة ومؤشرات حالة. الهدف ليس إنتاج ملف التزام أجمل، بل بناء قدرة مؤسسية تعرف أين تقف وماذا تفعل بعد ذلك.
أسئلة تحسم القرار
قبل اختيار النموذج، ناقشوا هذه الأسئلة داخل الإدارة: هل نعرف أصولنا وبياناتنا الحرجة؟ هل لدينا مالك واضح لكل خطر وقرار؟ هل يستطيع فريقنا الحالي تنفيذ التحسينات إذا توفرت له القيادة؟ وهل نحتاج وجوداً يومياً أم توجيهاً تنفيذياً منظماً في نقاط القرار الرئيسية؟
ثم انظروا إلى الأفق الزمني. إذا كان المطلوب اجتياز تدقيق قريب فقط، فقد تحصلون على نتيجة مؤقتة، لكنكم ستعودون إلى المشكلة نفسها لاحقاً. أما إذا كان الهدف تقوية الوضع الأمني فعلياً، فاختاروا نموذجاً يثبت الحوكمة ويعالج الفجوات ويقيس التقدم بانتظام.
الأمن أولاً، والالتزام يأتي معه. سواء اخترتم رئيس أمن معلومات داخلياً أو خارجياً، لا تجعلوا القرار نهاية النقاش. اجعلوه بداية برنامج يعرف المخاطر الحقيقية، يوزع المسؤوليات بوضوح، ويحافظ على الجاهزية عندما تتغير الأعمال أو تزداد الضغوط.
