إطار الأمن السيبراني للبنك المركزي السعودي: كيف تصل إلى مستوى النضج الثالث

بالنسبة للبنوك وشركات التأمين وشركات التمويل في المملكة، المستوى الثالث هو الخط الفاصل. والانتقال إليه من المستوى الثاني لا يتعلق بتقنيات جديدة بقدر ما يتعلق بإثبات أن ما تفعله محدد ومعتمد ويُنفَّذ بالطريقة نفسها في كل مرة.

أصدر البنك المركزي السعودي إطار الأمن السيبراني عام ٢٠١٧ للجهات الخاضعة لإشرافه، ومنها البنوك وشركات التأمين وإعادة التأمين وشركات التمويل وشركات المعلومات الائتمانية والبنى التحتية للأسواق المالية. ويحدد الإطار شكل الأمن السيبراني الجيد لهذه الجهات وطريقة قياس البنك له.

وأكثر سماته عملية نموذج النضج. فبدلاً من النجاح أو الإخفاق، يُقيَّم كل ضابط على مقياس، ويتوقع البنك أن تبلغ الجهات الأعضاء المستوى الثالث على الأقل. يشرح هذا المقال ما تعنيه المستويات، وما يتطلبه عادة الانتقال من المستوى الثاني إلى الثالث.

المجالات الأربعة

• قيادة الأمن السيبراني وحوكمته: الاستراتيجية، ولجنة الأمن السيبراني، ودور رئيس أمن المعلومات، والسياسات، والأدوار والمسؤوليات، والتوعية والتدريب، والأمن السيبراني في إدارة المشاريع.
• إدارة مخاطر الأمن السيبراني والامتثال: عمليات إدارة المخاطر، والامتثال التنظيمي، والامتثال لمتطلبات البنك المركزي، ومراجعة الأمن السيبراني وتدقيقه.
• عمليات الأمن السيبراني وتقنياته: أمن الموارد البشرية، والأمن المادي، وإدارة الأصول، والبنية، وإدارة الهوية والوصول، وإدارة التطبيقات والتغيير، وأمن البنية التحتية، والتشفير، والأجهزة المحمولة وجلب الأجهزة الشخصية، والإتلاف الآمن، وأنظمة المدفوعات، والخدمات المصرفية الإلكترونية، وإدارة الأحداث الأمنية، وإدارة الحوادث، وإدارة التهديدات، وإدارة الثغرات.
• الأمن السيبراني للأطراف الثالثة: إدارة العقود والموردين، والإسناد الخارجي، والحوسبة السحابية.

مستويات النضج

الفرق الجوهري بين المستويين الثاني والثالث. ففي الثاني يحدث العمل لأن أشخاصاً متمرسين يعرفون أنه يجب أن يحدث. وفي الثالث يحدث لأن المؤسسة قررت أنه يجب أن يحدث، ودوّنت كيف، واعتمدت ذلك على المستوى المناسب، وتستطيع إثبات الالتزام به.

لماذا تتعثر المؤسسات عند المستوى الثاني

لدى كثير من المؤسسات المالية فرق أمن قادرة وأدوات جيدة، ومع ذلك تحصل على المستوى الثاني في عدد كبير من الضوابط لأسباب متوقعة:

• الإجراءات موجودة في عقول الأشخاص، أو في وثائق لم تُعتمد رسمياً.
• السياسات موجودة لكنها تصف حالة مثالية لا ما يحدث فعلاً.
• الضوابط مطبقة على بعض الأنظمة أو وحدات الأعمال دون غيرها.
• الأدلة ناقصة، فلا يستطيع المقيّم التحقق من الاتساق.

لا يُحل أي من ذلك بشراء منتج آخر، بل بانضباط الحوكمة.

الوصول إلى المستوى الثالث، مجالاً مجالاً

القيادة والحوكمة

تأكد من أن استراتيجية الأمن السيبراني معتمدة من مجلس الإدارة أو من يفوّضه ومتوافقة مع استراتيجية الأعمال. وأنشئ لجنة الأمن السيبراني بميثاق وعضوية وسجل اجتماعات منتظم. وثبّت دور رئيس أمن المعلومات وخط ارتباطه واستقلاليته. واعتمد مجموعة السياسات، وتأكد من أن لكل سياسة مالكاً وموعداً للمراجعة. وشغّل برنامجاً للتوعية مع متابعة الإتمام، وأدرج نقاط تحقق للأمن السيبراني في منهجية المشاريع.

إدارة المخاطر والامتثال

اعتمد منهجية موثقة للمخاطر وطبّقها على جميع الأصول والعمليات الحرجة، لا على ما يعرفه الفريق منها فحسب. واحتفظ بسجل للمخاطر بمالكين وخطط معالجة ومواعيد. وتابع المتطلبات التنظيمية في سجل امتثال واحد، وجدول المراجعات الداخلية والتدقيق المستقل عليه.

العمليات والتقنية

هذا أكبر المجالات، وأكثرها شيوعاً للمستوى الثاني. لكل مجال ضبط، اكتب الإجراء الذي يعكس طريقة إنجاز العمل، واعتمده، وطبّقه في كل ما يشمله النطاق. ومن الأولويات المعتادة:

• الهوية والوصول: إجراءات موثقة للالتحاق والانتقال والمغادرة، وإدارة الوصول المميز، ومراجعات دورية مسجلة للصلاحيات.
• إدارة التغيير: موافقة أمنية خطوةً رسمية، مع سجلات لكل تغيير على الأنظمة الحرجة.
• إدارة الثغرات: وتيرة فحص محددة، ومهل معالجة بحسب الخطورة، وطريقة للتعامل مع الاستثناءات.
• إدارة الأحداث والحوادث: حالات استخدام موثقة، ومسارات تصعيد، وخطة استجابة مختبرة ومحدثة.
• إدارة الأصول: جرد كامل بمالكين وتصنيف، لأن كل ضابط آخر تقريباً يعتمد عليه.

الأمن السيبراني للأطراف الثالثة

وحّد البنود الأمنية في العقود، وقيّم الموردين قبل التعاقد ودورياً بعده، وطبّق متطلبات البنك المركزي الخاصة بالإسناد الخارجي والسحابة. واحتفظ بأدلة كل مورد حرج في مكان واحد.

الأدلة التي يتوقعها المقيّمون

لكل ضابط في المستوى الثالث، كن مستعداً لعرض:

1. السياسة أو المعيار المعتمد الذي يتطلبه.
2. الإجراء الذي يصف كيفية تنفيذه.
3. سجلات تثبت تنفيذه باتساق خلال فترة، وعلى جميع الأنظمة المشمولة.
4. المالك المسؤول عنه.

ما بعد المستوى الثالث

بعد إضفاء الطابع الرسمي على الضوابط، يصبح المستوى الرابع مسألة قياس. حدّد مجموعة صغيرة من المؤشرات ذات المعنى، مثل زمن معالجة الثغرات الحرجة، ونسبة الحسابات المميزة التي روجعت في موعدها، ومتوسط زمن الاكتشاف، وراجعها في اللجنة. والمؤسسات التي تصمم إجراءات المستوى الثالث مع وضع القياس في الحسبان تجد المستوى الرابع خطوة طبيعية تالية لا مشروعاً ثانياً.

وإن أردت رأياً مستقلاً في موقع ضوابطك اليوم، فإن فريق الحوكمة لدينا يجري تقييمات للفجوات وفق إطار البنك المركزي، وتقييم النضج المجاني يعطيك مؤشراً أولياً سريعاً.