مقدمة في إدارة المخاطر السيبرانية

مقدمة إدارة المخاطر السيبرانية

• إدارة المخاطر السيبرانية تشمل تحديد، تقييم، وتخفيف المخاطر المتعلقة بأنظمة تكنولوجيا المعلومات، والبيانات، والعمليات.
• تتوفر معايير وأطر مختلفة لمساعدة المؤسسات في وضع ممارسات فعالة لإدارة المخاطر السيبرانية.
• هذه المعايير والأطر تقدم إرشادات وأفضل الممارسات، بالإضافة لِنهجٍ مُنظم لإدارة المخاطر السيبرانية.
• توجد عدة أطر إدارة مخاطر سيبرانية تُوفر معايير يمكن للمؤسسات استخدامها لتحديد المخاطر وتخفيفها.
• تُستخدم هذه الأطر من قِبل الإدارة العُليا وقادة الأمن لتقييم الوضع الأمني للمُؤسسة.
• تَساعِد أطر إدارة المخاطر السيبرانية على تقييم المخاطر، وتخفيفها، ومراقبتها فعَّالًا، بالإضافة لتحديد العمليات والإجراءات الأمنية اللازمة لمعالجة هذه المخاطر.

ماهي معايير وأطر إدارة المخاطر السيبرانية؟

• إطار إدارة المخاطر السيبرانية هو مجموعة مُنَظَّمة من العمليات والمبادئ التوجيهية والممارسات التي تُستَخدم لتحديد، وتقييم، وتخفيف، ومراقبة المخاطر الخاصة بالأمن السيبراني وتكنولوجيا المعلومات.
• يَوْفِّر الإطار نهجاً مُنظمًا لإدارة وتأمين الأصول الرقمية، والبيانات، ونظم المعلومات المُواجهة للتهديدات السيبرانية المتطورة.
• يتضمن الإطار عناصر مختلفة، تُشمل تقييم المخاطر، والضوابط الأمنية، والاستجابة للحوادث، والمراقبة المُستمرة.

اختيار إطار عمل إدارة مخاطر الأمن السيبراني

• يجب اختيار إطار عمل (framework) كمرجع لعمليات إدارة مخاطر الأمن السيبراني.
• تتمتع الجهة بحرية اختيار الإطار المناسب لها، مُتَّبعة شرطين:
  • توافق الإطار مع المتطلبات التشريعية والتنظيمية الوطنية، وأفضل الممارسات الدولية ذات الصلة.
  • يتضمن الإطار اعتبارات السرية، والنزاهة، والاتاحة للأصول المعلوماتية والتقنية.

عناصر إدارة المخاطر الأساسية في إطار العمل

• يجب توافر عناصر إدارة المخاطر الأساسية في الإطار المُستخدم.
• هذه العناصر تشمل: حوكمة إدارة المخاطر، الأدوار والمسؤوليات، سياسة إدارة المخاطر، مؤشرات أداء إدارة المخاطر، فئات المخاطر، وحدود تقبل و تحمل المخاطر، مؤشرات المخاطر.

أطر إدارة المخاطر السيبرانية الشائعة

• ISO/IEC 27001: معيار دولي يوفر إطارًا لإنشاء ونشر وصيانة، وتحسين نظام إدارة أمن المعلومات (ISMS). يؤكد هذا المعيار على أهمية تقييم المخاطر ومعالجتها، ومساعدة المنظمات على إدارة وتأمين أصول المعلومات الخاصة بها.
• NIST: إطار عمل تم تطويره بواسطة المعهد الوطني للمعايير والتكنولوجيا (NIST)، والذي يوفر مجموعة من المعايير الطوعية والمبادئ التوجيهية، وأفضل الممارسات لإدارة المخاطر المتعلقة بالأمن السيبراني. نطاق التركيز يتبع هيكل "التحديد والحماية والكشف والاستجابة والاسترداد".
• COBIT: إطار عمل لإدارة حوكمة وإدارة تكنولوجيا المعلومات في المؤسسات، يوفر مجموعة من الضوابط وأفضل الممارسات لتكنولوجيا المعلومات ونظم المعلومات. يؤكد COBIT على أهمية مواءمة أهداف تكنولوجيا المعلومات مع أهداف العمل، ويتضمن إطارًا لإدارة المخاطر المتعلقة بتكنولوجيا المعلومات.
• FAIR: إطار عمل لفهم وتحليل وقياس مخاطر المعلومات من الناحية المالية، يُوفر نهجًا كميا لإدارة المخاطر، يساعد على تحديد الأولويات واتخاذ قرارات مستنيرة بناءً على تحليل التكلفة والعائد لاستراتيجيات تخفيف المخاطر المختلفة.
• CIS Critical Security Controls: مجموعة من أفضل الممارسات لمساعدة المؤسسات على تحسين وضع الأمن السيبراني، تُعطى الأولوية للضوابط لمعالجة التهديدات السيبرانية الأكثر شيوعًا ويتم تحديثها بانتظام.
• ITIL: مجموعة من الممارسات لإدارة خدمات تكنولوجيا المعلومات (ITSM)، والتي تُركز على مواءمة خدمات تكنولوجيا المعلومات مع احتياجات الأعمال، تُشمل ممارسات الإدارة وتخفيف المخاطر المتعلقة بتكنولوجيا المعلومات.

تقييم قيمة الأصول

• يتم تقييم قيمة الأصول بثلاث اعتبارات رئيسية:
  • القيمة الابتدائية للأصل.
  • قيمة استبدال أو إعادة إنشاء الأصل.
  • قيمة التبعات في حال حدوث حادثة على الأصل (مثل تعطيل عمل الجهة، خسائر مالية، خسارة ولاء العملاء، وفقدان الميزة التنافسية، وتأثيرات السمعة).

عمليات إدارة المخاطر السيبرانية عبر المستويات في المنظمة

• تُحدد الأدوار والمسؤوليات لإدارة المخاطر وتُعيَّن للجهات المسؤولة عن تنفيذها، وتشمل:
  • إدارة الأمن السيبراني.
  • اللجنة الإشرافية لإدارة المخاطر السيبرانية.
  • إدارة المخاطر المؤسسية.
  • وحدات العمل (الفرق التشغيلية).

إدارة الأمن السيبراني

• اعتماد سياسة إدارة المخاطر في الجهة وأي تعديلات عليها.
• التأكُّد من فعالية الإجراءات المتخذة لضمان سلامة تطبيق سياسات إدارة المخاطر.
• الموافقة على حدود تقبل المخاطر، واستراتيجية إدارة المخاطر، ومنهجية تقييمها، وأساليب قياسها، وآلية تقييم الخسائر.

اللجنة الإشرافية على إدارة المخاطر

• اعتماد إطار إدارة المخاطر وأي تعديلات عليه.
• مراجعة مستويات تقبل المخاطر، وسياسة إدارة المخاطر، ومنهجية تقييمها وأساليب قياسها وآلية تقييم الخسائر.
• الإشراف على تنفيذ منهجية إدارة المخاطر الرئيسية.
• التأكد من فاعلية قياس مؤشرات المخاطر الرئيسية وفقًا لمستويات تقبل المخاطر المعتمدة.
• التأكد من تنفيذ الاستراتيجيات التشغيلية والمالية بما يتوافق مع مستويات تقبل المخاطر.
• الاطلاع على الموضوعات التي قد تُؤثر على قدرة الجهة على تحقيق خططها الاستراتيجية والمالية والتشغيلية، وما قد يؤثر على سمعتها.
• تقديم التوصيات للجنة حول إجراءات التعامل مع المخاطر.
• توفير الموارد اللازمة لتطبيق سياسة إدارة المخاطر.
• العمل مع إدارة المخاطر لتطوير خطط الرقابة والعمل الملائمة للحد من آثار المخاطر.
• متابعة فاعلية تطبيق السياسة والموافقة على السياسات الفرعية المنبثقة عن سياسة إدارة المخاطر.
• تقديم التوصيات والمشورة فيما يخص استراتيجية إدارة المخاطر، ومنهجية تقييمها، وأساليب قياسها، وآلية تقييم الخسائر.

إدارة المخاطر المؤسسية

• اقتراح استراتيجية إدارة المخاطر، وإعداد واقتراح حدود تقبل وتحمل المخاطر في الجهة.
• إعداد الإجراءات اللازمة لتطبيق سياسة إدارة المخاطر.
• الإشراف على تنفيذ و تقييم مراقبة تطبيق السياسة.
• ضمان شمولية التقييم لأي مبادرات أو تغييرات جوهرية جديدة طرأت على الخدمات أو الأنظمة.
• إعداد التقارير اللازمة ورفعها لذوي الشأن في الجهة لتمكين عملية صنع القرار.
• الإشراف على رفع وعي الموظفين وتدريبهم لتمكينهم من الالتزام بسياسة إدارة المخاطر.
• متابعة تطبيق حدود تقبل وتحمل المخاطر، والاستراتيجيات ذات العلاقة، ومنهجية تقييمها، وأساليب قياسها، وآلية تقييم الخسائر.
• ضمان شمولية التقييم لأي مبادرات أو تغييرات جوهرية جديدة طرأت على الخدمات أو الأنظمة.
• إعداد التقارير اللازمة ورفعها لذوي الشأن في الجهة لتمكين عملية صنع القرار.

وحدات العمل (الفرق التشغيلية)

• توفير المعلومات والبيانات بشكل دقيق وفي الوقت المناسب.
• تنفيذ الضوابط الرقابية المتعلقة بالعمليات الرئيسية للوحدة.
• تحديد وتقييم المخاطر الكامنة والمتبقية المتعلقة بالوحدة.
• تحديد وتقييم خيارات معالجة المخاطر، وإعداد خطط العمل لمعالجة المخاطر.
• ضمان توفر الموارد المطلوبة لتنفيذ خطط العمل.
• تنفيذ خطط العمل، ورفع تقارير التقدم في التنفيذ إلى إدارة المخاطر بشكل مستمر.
• مراقبة مؤشرات المخاطر الرئيسية، ورفع تقارير عن حالة المخاطر، وتوضيح أي تجاوزات لحدود المؤشرات.
• مراجعة وتحديد سجلات المخاطر بشكل مستمر.
• تحديد وتقييم أي مخاطر جديدة، ورفعها إلى إدارة المخاطر بشكل دوري.
• تسجيل الأحداث، والخسائر، وتقييمها ومعالجتها، ورفعها إلى إدارة المخاطر.

المراجع

• Cybersecurity Risk Management | Frameworks, Analysis & Assessment | Imperva
• Cybersecurity Framework | NIST
• risk-management-guide.pdf (mof.gov.sa)

إدارة المخاطر السيبرانية تشمل تحديد وتقييم وتخفيف المخاطر المتعلقة بأنظمة تكنولوجيا المعلومات. تتوفر معايير وأطر مختلفة لمساعدة المؤسسات في وضع ممارسات فعالة لإدارة المخاطر السيبرانية. تساعد أطر إدارة المخاطر على تقييم المخاطر وتخفيفها.