ليست كل مؤسسة بحاجة إلى رئيس لأمن المعلومات متفرغ بخبرة عشرين عاماً، أو قادرة على إيجاده. لكن معظمها ما زال بحاجة إلى القرارات التي سيتخذها ذلك الشخص.
رئيس أمن المعلومات الافتراضي، ويُسمى أحياناً رئيس أمن المعلومات كخدمة، يمنح المؤسسة قيادة أمنية رفيعة بدوام جزئي أو مرن. فبدلاً من توظيف مسؤول تنفيذي واحد، تتعاقد مع ممارس متمرس، يسانده عادة فريق أوسع، لعدد محدد من الأيام شهرياً أو لبرنامج عمل محدد.
وهو نموذج يناسب كثيراً من المؤسسات في المملكة اليوم. فالتوقعات التنظيمية ترتفع، والطلب على قادة الأمن المتمرسين كبير، ومجالس الإدارة تريد إجابات واضحة عن المخاطر السيبرانية. إليك ما يفعله رئيس أمن المعلومات الافتراضي، ومتى يكون منطقياً، وكيف تحصل على قيمة من هذا الترتيب.
ما يقدمه رئيس أمن المعلومات الافتراضي
- الاستراتيجية وخارطة الطريق: استراتيجية أمنية مرتبطة بأهداف الأعمال، مع خطة مرتبة الأولويات يستطيع فريقك تنفيذها فعلاً.
- الحوكمة: السياسات والأدوار ونهج لإدارة المخاطر وهياكل اللجان التي تُبقي القرارات في حركة.
- الامتثال التنظيمي: تفسير متطلبات الهيئة الوطنية للأمن السيبراني والبنك المركزي ونظام حماية البيانات الشخصية لمؤسستك، وتوجيه العمل لاستيفائها.
- تقارير مجلس الإدارة والتنفيذيين: تحويل المسائل التقنية إلى مخاطر وتكاليف وأولويات تستطيع القيادة التصرف بناءً عليها.
- قيادة الاستجابة للحوادث: حكم متمرس حين يقع خلل، بما في ذلك التصعيد والتواصل والقرار تحت الضغط.
- قرارات التقنية: مشورة مستقلة فيما تشتريه وما تتخلى عنه وكيف تقيّم الموردين، دون حوافز الموزعين.
- تطوير الفريق: توجيه موظفي الأمن لديك وبناء قدراتهم مع الوقت.
من يستفيد أكثر
- المؤسسات النامية التي تجاوزت مرحلة تولّي تقنية المعلومات للأمن جانبياً، لكنها ليست مستعدة بعد لفريق قيادي أمني كامل.
- المؤسسات بين رئيسين لأمن المعلومات التي تحتاج إلى استمرارية أثناء التوظيف.
- المؤسسات المنظَّمة حديثاً التي تواجه متطلبات الهيئة أو البنك المركزي لأول مرة وتحتاج إلى بناء برنامج بسرعة.
- المؤسسات التي تمر بتغيير، كاندماج أو استحواذ أو انتقال كبير إلى السحابة أو إعادة هيكلة، حيث تتلاحق القرارات الأمنية.
- قادة الأمن الداخليون الذين يستفيدون من مستشار رفيع إلى جانبهم.
كيف يتوافق مع المتطلبات الوطنية
من المهم الدقة هنا. فبالنسبة للجهات الخاضعة لنطاق الضوابط الأساسية للأمن السيبراني من الهيئة الوطنية، يُتوقع أن يشغل رئاسة إدارة الأمن السيبراني والوظائف الحساسة فيها مواطنون سعوديون متفرغون ومؤهلون. ويتوقع البنك المركزي السعودي أن يكون لدى الجهات الأعضاء رئيس لأمن المعلومات ضمن إدارة مستقلة للأمن السيبراني.
وفي هذه الحالات لا يحل رئيس أمن المعلومات الافتراضي محل الدور الداخلي، بل يدعمه. فكثير من المؤسسات المنظَّمة تعيّن رئيساً سعودياً كفؤاً للأمن السيبراني في مرحلة مبكرة من مسيرته، وتتعاقد مع رئيس أمن معلومات افتراضي لتقديم التوجيه الرفيع وهيكلة البرنامج والاستعداد للتقييمات وتأهيل القائد الداخلي للدور. أما المؤسسات خارج هذه النطاقات فيمكن أن يكون رئيس أمن المعلومات الافتراضي قائدها الأمني مباشرة.
أول ٩٠ يوماً جيدة
- الأيام ١ إلى ٣٠، الفهم: مقابلة القيادة والفرق الرئيسية، ومراجعة السياسات والبنية والحوادث القائمة، وتقييم الوضع الحالي وفق الأطر المنطبقة عليك، وتحديد المكاسب السريعة.
- الأيام ٣١ إلى ٦٠، القرار: بناء سجل للمخاطر بمالكين، والاتفاق على مستوى تقبّل المخاطر مع القيادة، وإعداد خارطة طريق مرتبة الأولويات بتكاليف وجداول زمنية، وسد أكثر الفجوات إلحاحاً.
- الأيام ٦١ إلى ٩٠، ترسيخ الإيقاع: إطلاق روتين الحوكمة، بما فيه لجنة للأمن وتقارير شهرية، واعتماد السياسات الأساسية، والبدء بتنفيذ خارطة الطريق بمالكين واضحين.
وبنهاية الربع الأول، ينبغي أن تستطيع القيادة الإجابة عن ثلاثة أسئلة: ما أكبر مخاطرنا السيبرانية، وماذا نفعل حيالها، وكيف سنعرف أن ما نفعله ينجح.
اختيار رئيس أمن معلومات افتراضي
ابحث عن:
- خبرة في قيادة برامج أمنية، لا في تدقيقها أو تقديم الاستشارات حولها فقط.
- معرفة بالجهات التنظيمية المهمة لك، ومنها الهيئة الوطنية للأمن السيبراني والبنك المركزي وسدايا.
- فريق خلف الفرد، لتستعين بخبرات الاختبار أو العمليات أو السحابة أو الحوكمة عند الحاجة.
- استقلالية عن بيع المنتجات، لتكون المشورة التقنية محايدة.
- التزامات واضحة بالتوافر، خاصة أثناء الحوادث.
نماذج التعاقد
تُبنى معظم التعاقدات على عدد محدد من الأيام شهرياً، مع أيام إضافية أحياناً للحوادث أو التقييمات. وبعضها يُحدد نطاقه حول برنامج، مثل بلوغ المستوى الثالث في إطار البنك المركزي أو الاستعداد لتقييم الهيئة، بنقطة نهاية وتسليم محددين. وفي الحالتين، اتفق على المخرجات وإيقاع التقارير ومقاييس النجاح منذ البداية.
قياس النجاح
يكون التعاقد مع رئيس أمن معلومات افتراضي ناجحاً حين تتقدم خارطة الطريق، وتنخفض المخاطر، وتُغلق ملاحظات التدقيق والتقييم، ويتلقى مجلس الإدارة تقارير يفهمها، ويزداد فريقك قدرة. وإن كان المخرج الرئيسي كومة من الوثائق، فهناك خلل ما.
إن كنت تفكر في مدى ملاءمة رئيس أمن المعلومات كخدمة لمؤسستك، فيسعد فريقنا بمناقشة ذلك معك. والسؤال الثاني في تقييم النضج المجاني لدينا يسأل من المسؤول عن الأمن السيبراني اليوم، وهو مكان جيد لبدء الحديث.