لماذا تختلف تجربة شركات التقنية المالية مع الإطار
صدر الإطار التنظيمي للأمن السيبراني من البنك المركزي السعودي (SAMA CSF) لأول مرة في مايو 2017، وينطبق على الجهات الخاضعة لإشراف البنك المركزي: البنوك، وشركات التأمين، وشركات التمويل، ومقدّمي خدمات المدفوعات، وبقية مؤسسات القطاع المالي المنظّم. ويقوم الإطار على المبادئ، فهو يحدد ما يجب أن يتحقق، ولا يفرض منتجاً أو أداة بعينها.
في البنوك، تجد معظم متطلبات الإطار فرقاً ولجاناً قائمة أصلاً. أما شركة التقنية المالية فتبدأ من موقع مختلف: فريق صغير، وبنية تحتية سحابية، واعتماد كبير على الأطراف الخارجية، ومنتج يتغيّر مع كل دورة تطوير. المتطلبات واحدة، لكن الطريق إليها مختلف.
يتكوّن الإطار من أربعة مجالات رئيسية و32 مجالاً فرعياً، ويتوقع البنك المركزي أن تعمل الجهات عند مستوى النضج الثالث، المنظّم والمعتمد رسمياً، أو أعلى منه. ويعني المستوى الثالث أن الضابط محدد ومعتمد ومطبّق بانتظام ومدعوم بالأدلة. أما السياسة المكتوبة وحدها فلا تتجاوز المستوى الأول أو الثاني.
المجالات الأربعة من منظور شركة تقنية مالية
| المجال | المجالات الفرعية | ما يعنيه لشركة تقنية مالية |
|---|---|---|
| القيادة والحوكمة | 7 | لجنة أمن سيبراني تجتمع فعلاً، واستراتيجية وسياسات يعتمدها مجلس الإدارة، وأدوار محددة، وبرامج للتوعية والتدريب |
| إدارة المخاطر والالتزام | 5 | سجل مخاطر مرتبط بأصول حقيقية، وخريطة لمتطلبات البنك المركزي، ومراجعات وتدقيق وفق جدول معتمد |
| العمليات والتقنية | 17 | جرد الأصول، وإدارة الهويات والصلاحيات، وأمن التطبيقات، وإدارة التغيير، والتشفير، وأمن أنظمة المدفوعات والخدمات المصرفية الإلكترونية، والمراقبة، وإدارة الحوادث والتهديدات والثغرات |
| الأطراف الخارجية | 3 | بنود أمنية في عقود الموردين، وحوكمة الإسناد، وضوابط الحوسبة السحابية |
يضم مجال العمليات والتقنية أكثر من نصف المجالات الفرعية. لكن في شركة تقنية مالية تعتمد على السحابة، يحمل مجال الأطراف الخارجية مخاطر أكبر بكثير مما توحي به مجالاته الفرعية الثلاثة.
الأشهر 1 إلى 3: الأساس الذي يقوم عليه كل شيء
- حوكمة تعمل فعلاً. شكّل لجنة الأمن السيبراني، واعتمد ميثاقها، ووثّق محاضر اجتماعاتها الأولى. يبحث المراجع عن قرارات اتُّخذت، لا عن ميثاق محفوظ في ملف.
- جرد أصول يمكن الاعتماد عليه. كل حساب سحابي وقاعدة بيانات وأداة SaaS وواجهة API وخدمة، ولكل منها مالك محدد. ومن دون هذا الجرد تبقى مراجعات الصلاحيات وفحص الثغرات وتصنيف البيانات ناقصة دون أن تعرف أين النقص.
- إدارة الهويات والصلاحيات. دخول موحّد لأدوات الموظفين، وتحقق متعدد العوامل في كل مكان، وفصل الصلاحيات المميّزة وتسجيلها، وربط إجراءات الالتحاق والانتقال والمغادرة بالموارد البشرية. وهذا ما نقدّمه في خدمة إدارة الهويات والصلاحيات.
- سجل مخاطر وخريطة لمتطلبات البنك المركزي. اربط كل مجال فرعي في الإطار بمالك، والضابط الذي يحققه، والموقع الذي تُحفظ فيه أدلته.
الأشهر 4 إلى 6: الضوابط الهندسية
- التطوير الآمن. مراجعة الشفرة، وفحص المكتبات والأسرار، والاختبار الأمني قبل الإطلاق. وإدارة تغيير تشمل البنية التحتية كرمز، لا إصدارات التطبيق فقط.
- السجلات والمراقبة. تجميع سجلات السحابة والهويات والأجهزة والمنصة الأساسية في مكان واحد، مع قواعد تنبيه لكل منها مالك.
- إدارة الثغرات. فحص دوري، ومدد معالجة بحسب الخطورة، واستثناءات محددة بتاريخ انتهاء.
- التشفير. معيار لإدارة المفاتيح، وتشفير البيانات المخزّنة والمنقولة، وسجل يوضح أين تُحفظ المفاتيح.
- إدارة الحوادث. خطة استجابة مختبرة تتضمن خطوات إبلاغ البنك المركزي، وتمرين محاكاة واحد على الأقل موثّق.
الأشهر 7 إلى 9: الأطراف الخارجية والسحابة
تعمل شركة التقنية المالية على مزوّدي خدمات سحابية، وموردي التحقق من الهوية، ومعالجي المدفوعات، وأدوات SaaS. ويتوقع الإطار:
- متطلبات أمنية في كل عقد، منها الإبلاغ عن الاختراقات وحق التدقيق؛
- العناية الواجبة قبل التعاقد مع أي مورد، وإعادة التقييم دورياً بعد ذلك؛
- حوكمة للإسناد تتوافق مع قواعد الإسناد الصادرة عن البنك المركزي؛
- ضوابط سحابية تغطي موقع البيانات والصلاحيات والتشفير وخطة الخروج، مع الحصول على موافقة البنك المركزي قبل نقل بيانات الإنتاج متى اشترطت القواعد ذلك.
احتفظ بسجل موحّد للموردين يبيّن أهمية كل مورد، والبيانات التي يصل إليها، والبنود التعاقدية، وتاريخ آخر مراجعة. هذا السجل يجيب عن معظم أسئلة الأطراف الخارجية من صفحة واحدة.
الأشهر 10 إلى 12: إثبات المستوى الثالث
في هذه المرحلة تكون الضوابط قائمة، ويصبح التركيز على الإثبات:
- نفّذ التقييم الذاتي على المجالات الفرعية الـ32، وقيّم كل مجال بموضوعية؛
- اجمع أدلة تثبت التشغيل على مدى زمني: التذاكر، والسجلات، ومحاضر المراجعة، ونتائج المؤشرات؛
- عالج الفجوات، أو اقبلها رسمياً مع ضوابط تعويضية حين يتعذّر تطبيق الضابط؛
- خطّط للانتقال إلى المستوى الرابع، حيث تُقاس الضوابط وتُدار بالمؤشرات.
يشرح دليلنا للتقييم الذاتي لإطار SAMA CSF طريقة التقييم خطوة بخطوة.
الأدلة التي يُعتدّ بها
| نوع الدليل | أمثلة |
|---|---|
| وثائق معتمدة | الاستراتيجية والسياسات والمعايير وميثاق اللجنة، موقّعة ومحددة الإصدار |
| سجلات الحوكمة | محاضر اللجنة، والقرارات، وموافقات قبول المخاطر |
| إثبات التشغيل | سجلات مراجعة الصلاحيات، وتذاكر التغيير، وتقارير الفحص، وتذاكر الحوادث |
| القياس | مؤشرات أداء بنتائج فعلية على مدى عدة أشهر |
| الأطراف الخارجية | تقييمات الموردين، والبنود التعاقدية، والموافقات السحابية |
الضابط الذي لا يملك دليلاً على تشغيله يُقيَّم كأنه غير موجود.
أين تتعثر شركات التقنية المالية عادة
- سياسات منسوخة من نماذج جاهزة تصف فرقاً وأدوات لا تملكها الشركة.
- بيانات دخول مشتركة لبيئة الإنتاج من دون تسجيل للجلسات.
- خدمات سحابية قيد الاستخدام قبل اكتمال تقييم المورد أو الحصول على موافقة البنك المركزي.
- تدريب توعوي يُقدَّم مرة واحدة عند الالتحاق ثم لا يتكرر.
- خطة استجابة للحوادث لم تُختبر قط.
العلاقة بمكافحة الاحتيال وغسل الأموال
يحمي إطار SAMA CSF الأنظمة، ويحمي إطار مكافحة الاحتيال الصادر عن البنك المركزي، المصمَّم ليُطبَّق معه، الأموال التي تمر عبر هذه الأنظمة. والشركة التي تبني الإطارين على جرد الأصول ونموذج الهويات والسجلات نفسها توفّر أشهراً من العمل المكرر. نتناول جانب الاحتيال في مقالنا عن نظام مكافحة الاحتيال المالي وإطار ساما لمكافحة الاحتيال، وتتولى نيزا قرارات مكافحة الاحتيال وغسل الأموال في الوقت الفعلي.
تطبّق ليمـاز إطار SAMA CSF للبنوك وشركات التمويل والتقنية المالية، من تقييم الفجوات حتى اكتمال الأدلة. تعرّف على خدمة تطبيق إطار SAMA CSF.