كيف يعمل التقييم الذاتي
وفق الإطار التنظيمي للأمن السيبراني من البنك المركزي السعودي (SAMA CSF)، تقيّم كل جهة خاضعة للإشراف نفسها دورياً باستخدام استبيان التقييم الذاتي الصادر عن البنك المركزي، ثم يراجع البنك المركزي هذا التقييم ويدققه ليحدد مدى التزام الجهة ومستوى نضجها.
والتقييم الذاتي ليس نموذجاً يُعبّأ، بل إفادة للجهة التنظيمية عن طريقة عمل ضوابطك، ويُنتظر أن تصمد كل درجة فيه أمام الأدلة.
مستويات النضج الستة
يقيس الإطار كل مجال فرعي على مقياس من 0 إلى 5، ويُنتظر من الجهات أن تعمل عند المستوى الثالث أو أعلى. ولا يتحقق أي مستوى إلا باستيفاء جميع متطلبات المستويات التي قبله.
| المستوى | الاسم | كيف يبدو عملياً |
|---|---|---|
| 0 | غير موجود | لا يوجد ضابط موثّق أو مطبّق |
| 1 | اجتهادي | يؤدي الأفراد العمل حين يتذكرونه، دون انتظام أو توثيق |
| 2 | متكرر لكنه غير رسمي | يُؤدّى العمل بانتظام، لكنه غير محدد أو معتمد أو موثّق بالأدلة رسمياً |
| 3 | منظّم ومعتمد رسمياً | الضابط محدد ومعتمد ومطبّق على نطاقه كاملاً ومدعوم بالأدلة. وهذا هو الحد الأدنى. |
| 4 | مُدار وقابل للقياس | يُقاس الضابط بمؤشرات أداء، ويُراجع ويُحسَّن بناءً على النتائج |
| 5 | متكيّف | يتطور الضابط باستمرار وفق نتائج القياس والحوادث وتغيّر التهديدات |
الاختبارات الأربعة للمستوى الثالث
يبلغ المجال الفرعي المستوى الثالث حين تتحقق الشروط الأربعة كلها:
- محدد ومعتمد. سياسة أو معيار يصف الضابط، واعتمدته الجهة المخوّلة، وهي في الغالب لجنة الأمن السيبراني أو مجلس الإدارة.
- مطبّق على النطاق كاملاً. يشمل كل نظام وجهة تابعة وفريق معني، لا المنصة الأساسية فقط.
- يعمل بانتظام. تثبت السجلات أنه عمل كما صُمّم، وفي موعده، على مدى زمني كافٍ.
- له مالك. شخص محدد مسؤول عنه، يستطيع شرحه وعرض أدلته.
وإذا اختل أي شرط من الأربعة، بقي المجال الفرعي عند المستوى الثاني مهما بدت الوثائق متقنة.
تقييم مجال فرعي واحد: مثال تطبيقي
لنأخذ إدارة الهويات والصلاحيات، وهي المجال الفرعي 3.3.5 في الإطار، ونمرّ على الأسئلة بالترتيب:
| السؤال | الدليل | النتيجة |
|---|---|---|
| هل توجد سياسة معتمدة لإدارة الصلاحيات؟ | السياسة، ورقم الإصدار، ومحضر الاعتماد | نعم |
| هل يُفرض التحقق متعدد العوامل على الدخول عن بُعد والصلاحيات المميّزة؟ | إعدادات مزوّد الهوية، وقائمة الاستثناءات | نعم |
| هل تُراجع صلاحيات المستخدمين في مواعيدها؟ | سجلات المراجعة للربعين الأخيرين | نعم للنظام المصرفي الأساسي، ولا لوحدة التحكم السحابية |
| هل تُلغى حسابات المغادرين خلال المدة المحددة؟ | قائمة المغادرين من الموارد البشرية مطابقة لتذاكر التعطيل | نعم |
| هل تُسجَّل جلسات الصلاحيات المميّزة وتُراجع؟ | سجلات الجلسات، واعتماد المراجعة | نعم |
فجوة مراجعة الصلاحيات تعني أن الضابط غير مطبّق على نطاقه كاملاً. قيّم المجال الفرعي عند المستوى الثاني، ووثّق الفجوة، وحدد موعداً لمعالجتها. أما منحه المستوى الثالث لأن معظمه يعمل فهو أول خطأ يكتشفه المراجع.
القاعدة: قيّم أضعف حالة مطبّقة بانتظام، لا أفضل نظام لديك.
الأدلة التي تصمد أمام المراجعة
- وثائق معتمدة سارية، ومحددة الإصدار، وموقّعة.
- سجلات على مدى زمني. عدة أشهر من التشغيل، لا مثال واحد أُعدّ في الأسبوع الذي سبق التقديم.
- تغطية كاملة. أدلة تشمل كل نظام ضمن النطاق، أو عينة موثّقة مسحوبة من القائمة الكاملة.
- قابلية التتبع. يشير كل دليل إلى المجال الفرعي والضابط الذي يدعمه.
- استثناءات موثّقة. استثناءات معتمدة بتواريخ انتهاء وضوابط تعويضية.
الفجوات والضوابط التعويضية والاستثناءات
حين يتعذّر تطبيق أحد متطلبات الضابط، يحدد الإطار المسار: النظر في ضابط تعويضي، وتوثيق قبول داخلي للمخاطر، وطلب استثناء رسمي من البنك المركزي.
والفجوة التي وثّقتها بمالك وخطة وموعد تدل على حوكمة تعمل. أما الفجوة التي يكتشفها البنك المركزي بنفسه فتدل على العكس.
أخطاء التقييم الشائعة
- تقييم الوثائق بدلاً من التشغيل.
- تقييم المنصة الأساسية وإغفال السحابة وأدوات SaaS والشركات التابعة.
- ادعاء المستوى الرابع دون مؤشرات أداء بنتائج فعلية على مدى زمني.
- تقديم أدلة أقدم من فترة المراجعة.
- مالكو ضوابط لا يستطيعون شرح طريقة عمل ضوابطهم.
- تقييم فرق مختلفة لمجالات فرعية مترابطة بمعايير مختلفة.
من المستوى الثالث إلى الرابع
المستوى الرابع قائم على القياس. حدد لكل مجال فرعي مؤشرات أداء بمستهدفات، وارفع نتائجها إلى لجنة الأمن السيبراني، وأثبت القرارات المتخذة بناءً عليها. ومن الأمثلة: نسبة مراجعات الصلاحيات المنجزة في موعدها، ومتوسط مدة معالجة الثغرات الحرجة، ونسبة الموردين المعاد تقييمهم ضمن دورتهم. ويصدر البنك المركزي كذلك متطلبات محددة لمستوى النضج الرابع.
تنفيذ التقييم خطوة بخطوة
- عيّن مالكاً لكل مجال من المجالات الفرعية الـ32.
- اتفق على قواعد التقييم قبل أن يبدأ أحد، ومنها قاعدة أضعف حالة.
- اطلب من المالكين التقييم بالأدلة، ثم راجع كل درجة مراجعة مستقلة.
- وحّد النتائج، ووثّق الفجوات، واعتمد خطط المعالجة بمواعيدها.
- اعرض النتائج على لجنة الأمن السيبراني لاعتمادها قبل التقديم.
تنفّذ ليمـاز تقييمات إطار SAMA CSF وأعمال المعالجة التي تليها، من التقييم حتى اكتمال الأدلة. تعرّف على خدمة تطبيق إطار SAMA CSF، أو اقرأ مقال SAMA CSF لشركات التقنية المالية لخطة السنة الأولى.