سجل لا يُتخذ منه قرار
مخاطر مدرجة بلا مالك يملك الصلاحية، ولا قرار معالجة، ولا موعد. يُحدَّث السجل قبل التدقيق ويُهمَل بعده.
مخاطر الأمن السيبراني وGRC
قيّم المخاطر السيبرانية، وحدّد مسؤولية معالجتها
تحدد ليمـاز المخاطر السيبرانية الجوهرية وأصحاب القرار فيها، وتربطها بالضوابط القائمة، ثم تتابع إجراءات المعالجة حتى مراجعتها وإقفالها.
سجل مخاطر يقود المعالجة، لا جدول حبيس الأدراج
يكشف التقييم الجيد لمخاطر الأمن السيبراني ما قد يؤثر في الأعمال، والأنظمة والعمليات المعرّضة، وأثر الضوابط القائمة في مستوى التعرّض، والجهة التي تملك قرار الخطوة التالية.
تحوّل ليمـاز هذا التحليل إلى أعمال معالجة واضحة المسؤولين والمواعيد والاعتماديات، موثّقة بقرارات القبول وأدلتها. وتخدم النتيجة منظومة الحوكمة والمخاطر والامتثال (GRC) والبرامج التنظيمية وتخطيط الاستثمار وأعمال التدقيق، دون أن تتحول إلى جدول جامد آخر.
ما تقدّمه ليمـاز
- النطاق والسياق
- الخدمات الحرجة، والأصول المعلوماتية، والأنظمة، والاعتماديات، وسياق التهديدات، ومعايير المخاطر.
- تقييم المخاطر السيبرانية
- سيناريوهات التهديد، والثغرات، والضوابط الحالية، والاحتمالية، والأثر، والمخاطر المتبقية.
- خطة المعالجة
- إجراءات مرتّبة بحسب الأولوية، ومسؤولون، ومواعيد مستهدفة، واعتماديات، وقرارات تمويل، ومسارات لقبول المخاطر.
- نموذج الحوكمة
- صلاحيات القرار، واللجان، والتصعيد، والتقارير، والاستثناءات، ودورية المراجعة.
- ربط الضوابط
- رؤية موحّدة للضوابط، مربوطة بمتطلبات الهيئة الوطنية للأمن السيبراني وساما وISO 27001 وPCI DSS والمتطلبات الداخلية.
- مسار عمل GRC
- سجلات وروابط أدلة ومتابعة للملاحظات وتقارير، مطبّقة على أداة GRC المعتمدة لديك.
- التحقق
- نعيد اختبار إجراءات المعالجة، ونتحقق من أن حالة المخاطر والضوابط تستند إلى أدلة محدّثة.
مراحل تقييم المخاطر ومعالجتها
التحديد
نتفق على نطاق الأعمال ومعايير المخاطر والقرارات التي يجب أن يدعمها التقييم.
الاستكشاف
نراجع الخدمات والأصول والمعمارية والاعتماديات والحوادث وأدلة الضوابط.
التحليل
نبني سيناريوهات واقعية، ونقيّم المخاطر الكامنة والمتبقية.
القرار
نحدد أولوية المعالجة أو القبول أو النقل أو التجنّب، ونسند كل قرار إلى صاحب صلاحية محدد.
التنفيذ
ندرج الإجراءات في خطط عمل الحوكمة والعمليات والفرق الهندسية.
المراجعة
نتابع باستمرار مستوى التعرّض والأدلة والاستثناءات والقرارات المتأخرة.
ما تتوقعه الجهات التنظيمية من إدارة المخاطر السيبرانية
تتعامل الجهات التنظيمية في المملكة مع إدارة مخاطر الأمن السيبراني بوصفها عملية إلزامية موثّقة ومعتمدة ومطبّقة. وتلتقي الأطر كلها على جوهر واحد: منهجية معتمدة، وتقييمات في محطات محددة، وملّاك مخاطر بأسمائهم، وقرار رسمي بشأن كل خطر.
تخصّص الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني المكوّن الفرعي 1-5 لإدارة المخاطر. فعلى إدارة الأمن السيبراني أن تحدد منهجية إدارة المخاطر وإجراءاتها وتوثّقها وتعتمدها وفق اعتبارات السرية والسلامة والتوافر للأصول المعلوماتية والتقنية، ثم تطبّقها. ويُشترط تقييم المخاطر في أربع حالات على الأقل: المراحل الأولى للمشاريع التقنية، وقبل أي تغيير جوهري في البنية التقنية، وعند التخطيط للحصول على خدمات من أطراف خارجية، وقبل إطلاق خدمات ومنتجات تقنية جديدة. وتُراجَع المنهجية على فترات مخطط لها، وكلما تغيّرت المتطلبات التشريعية والتنظيمية والمعايير.
ويضع الإطار التنظيمي للأمن السيبراني من البنك المركزي السعودي (SAMA CSF) التوقع ذاته في البند 3.2.1: عملية لإدارة المخاطر السيبرانية معرّفة ومعتمدة ومطبّقة، ومتسقة مع إدارة المخاطر المؤسسية، تشمل تحديد المخاطر وتحليلها والاستجابة لها ومراقبتها ومراجعتها. ويشترط الإطار تحديد الرغبة في المخاطر وحدود تحمّلها بوضوح واعتمادهما رسمياً، وأن يقبل ملّاك الأعمال نتائج التقييم ويصادقوا عليها.
أما ISO/IEC 27001:2022 فيجعل المخاطر محرّك نظام إدارة أمن المعلومات (ISMS). يطلب البند 6.1.2 معايير واضحة للمخاطر، وتقييمات تعطي نتائج متسقة وقابلة للمقارنة، وتحديد ملّاك المخاطر. ويطلب البند 6.1.3 خطة معالجة وبيان قابلية التطبيق (SoA)، يعتمد ملّاك المخاطر الخطة ويقبلون المخاطر المتبقية. ويُلزم البندان 8.2 و8.3 بالتقييم على فترات مخطط لها أو عند أي تغيير جوهري، وبتنفيذ خطة المعالجة وتوثيق نتائجها.
سجل مخاطر تُبنى عليه القرارات
- سيناريو الخطر
- يُكتب بلغة الأعمال سبباً وحدثاً وأثراً، مثل: حساب مورّد مخترَق يصل إلى قاعدة بيانات النظام المصرفي الأساسي فيكشف بيانات العملاء. سيناريو واحد لكل قيد.
- الخدمات والأصول المتأثرة
- الخدمة الحرجة والأنظمة وفئات البيانات والأطراف الخارجية المعنية، بما يربط الخطر بسجل الأصول وتصنيف البيانات.
- مالك الخطر
- مسؤول تنفيذي محدد بالاسم يملك صلاحية القرار والميزانية. ويشترط البند 6.1.2 من ISO 27001 تحديد ملّاك المخاطر.
- الخطر الكامن والمتبقي
- درجة الاحتمالية والأثر وفق معايير معتمدة، قبل احتساب الضوابط القائمة وبعده، لتظهر قيمة كل ضابط بوضوح.
- الضوابط القائمة وأدلتها
- الضوابط التي تخفّض الخطر اليوم، وكل منها مربوط بدليل محدّث وبمرجعه في NCA ECC أو SAMA CSF أو ISO 27001 أو PCI DSS.
- قرار المعالجة
- التخفيف أو التجنّب أو النقل أو القبول، مع تسجيل صاحب القرار وتاريخه ومبرّراته.
- الإجراءات ومواعيدها
- مهام المعالجة بمسؤوليها ومواعيدها المستهدفة واعتمادياتها، تُتابَع في النظام الذي تعمل عليه فرق التنفيذ أصلاً.
- محفّز المراجعة
- موعد المراجعة القادمة، والأحداث التي تستدعي مراجعة أبكر: حادث سيبراني، أو تغيير جوهري، أو مورّد جديد، أو منتج جديد.
منهجية تقييم المخاطر
تبني ليمـاز المنهجية على ISO/IEC 27005:2022، وهو الدليل الداعم لإدارة المخاطر في ISO 27001، وتستعين بالدليل الأمريكي NIST SP 800-30 Rev. 1 في تحليل التهديدات وتقدير الاحتمالية.
المعايير والرغبة في المخاطر
نحدد مقاييس الاحتمالية والأثر، ومستويات الخطر، ومعايير القبول، وصلاحية القبول لكل مستوى. ويعتمد مجلس الإدارة أو مَن يفوّضه الرغبة في المخاطر.
تحديد السياق
نحصر الخدمات الحرجة، والأصول والبيانات التي تقوم عليها، والأطراف الخارجية التي تعتمد عليها، والالتزامات التنظيمية المرتبطة بكل منها.
تحديد السيناريوهات
نجمع بين منهجين يقدّمهما ISO/IEC 27005:2022: سيناريوهات قائمة على الأحداث تمنح رؤية استراتيجية لما يضر الأعمال، وتحليل قائم على الأصول يتعمّق في تهديدات الأنظمة الحرجة وثغراتها.
التحليل
نقدّر الاحتمالية الواقعية والأثر مستندين إلى معلومات التهديدات وسجل الحوادث وبيانات الثغرات ونتائج اختبار الضوابط، ثم نحدد الخطر الكامن والمتبقي.
التقييم
نقارن كل خطر متبقٍّ بالمعايير المعتمدة، ونرتّب ما يستحق المعالجة أولاً.
خطة المعالجة
نختار الضوابط ونطابقها مع الملحق (أ) من ISO 27001، ونحدّث بيان قابلية التطبيق، ونحصل على اعتماد مالك الخطر للخطة وللمخاطر المتبقية.
المتابعة وإعادة التقييم
نتابع الإجراءات ومؤشرات المخاطر الرئيسية، ونعيد التقييم دورياً وعند كل محطة تنص عليها ضوابط ECC: مشروع جديد، أو تغيير جوهري، أو طرف خارجي جديد، أو منتج جديد.
المعالجة والقبول والاستثناءات
ينتهي كل خطر إلى أحد أربعة قرارات: تخفيفه بالضوابط، أو تجنّبه بتعديل النشاط أو إيقافه، أو نقل جزء منه عبر العقود أو التأمين، أو قبوله. وهي الخيارات الأربعة ذاتها التي ينص عليها إطار ساما، مع اشتراط دراسة تكلفة الضوابط وجدوى تطبيقها قبل الاختيار.
قبول الخطر قرار رسمي. فإطار ساما يشترط أن يوقّع عليه مالك الأعمال، وأن يقع الخطر المقبول في حدود الرغبة في المخاطر المعتمدة، وأن يُرفع إلى لجنة الأمن السيبراني. ويشترط البند 6.1.3 من ISO 27001 أن يعتمد ملّاك المخاطر خطة المعالجة ويقبلوا المخاطر المتبقية. وتوثّق ليمـاز كل قرار قبول بصاحبه ومبرّراته وشروطه وتاريخ انتهائه.
أما الاستثناء فقبول مؤقت لتعذّر استيفاء ضابط محدد، كنظام قديم يتعذّر عليه دعم التحقق متعدد العوامل. ولكل استثناء ضابط تعويضي ومسؤول وخطة معالجة وتاريخ انتهاء. وعند حلول هذا التاريخ يعود الاستثناء إلى اللجنة لتتخذ قراراً جديداً، فلا يتحول إلى وضع دائم بحكم الإهمال.
التقارير إلى مجلس الإدارة
- أساس الحوكمة: يشترط إطار ساما هيكل حوكمة للأمن السيبراني يصادق عليه مجلس الإدارة ولجنة للأمن السيبراني، ويشترط الضابط 1-2-3 من ECC لجنة إشرافية للأمن السيبراني يكون رئيس إدارة الأمن السيبراني عضواً فيها.
- أبرز المخاطر مقابل الرغبة في المخاطر: أعلى عشرة مخاطر متبقية واتجاهها، وموقع كل منها من حدود الرغبة المعتمدة.
- القرارات المطلوبة: المخاطر التي تتجاوز الرغبة وتحتاج إلى تمويل أو قبول أو تعديل في خطط الأعمال، مع توصية واضحة لكل منها.
- تقدّم المعالجة: الإجراءات المنجزة، والإجراءات المتأخرة، ومسؤولوها.
- المخاطر المقبولة والاستثناءات: ما قُبل، ومَن قبله، وما ينتهي خلال الربع القادم.
- مؤشرات المخاطر الرئيسية: كالثغرات الحرجة المتجاوزة لموعد معالجتها، والحسابات المميّزة التي فاتت مراجعتها، والأطراف الخارجية التي تفتقر إلى تقييم محدّث.
- الموقف التنظيمي: حالة الامتثال للضوابط الأساسية للأمن السيبراني، ومستوى النضج مقابل المستهدف في إطار ساما، وملاحظات التدقيق المفتوحة.
مخاطر الأطراف الخارجية
يوسّع المورّدون ومزوّدو الخدمات السحابية وشركاء الخدمات المُدارة مساحة الهجوم على جهتك، ولذلك تتناولهم الجهتان التنظيميتان بنصوص صريحة.
يشترط المكوّن الفرعي 4-1 من ECC-2:2024 تضمين متطلبات الأمن السيبراني في عقود الأطراف الخارجية، ومنها بنود عدم الإفصاح، والحذف الآمن لبيانات الجهة عند انتهاء الخدمة، وإجراءات التواصل عند وقوع حادث سيبراني، وإلزام الطرف الخارجي بسياسات الجهة والمتطلبات التنظيمية ذات العلاقة. وفي خدمات الإسناد التقني أو السيبراني والخدمات المُدارة، يجب تقييم المخاطر السيبرانية قبل توقيع العقد، وأن تقع مراكز عمليات الأمن السيبراني المُدارة التي تستخدم الوصول عن بُعد داخل المملكة بالكامل.
ويغطي إطار ساما في المجال 3.4 إدارة العقود والمورّدين، والإسناد، والحوسبة السحابية. فمتطلبات الأمن السيبراني المعتمدة تُستوفى قبل توقيع العقد وتُراقَب طوال مدته، ويحتاج الإسناد الجوهري واستخدام الخدمات السحابية العامة أو الهجينة إلى موافقة مسبقة من البنك المركزي. ولكل جهة تتعامل مع بيانات البطاقات، يضيف المتطلب 12.8 من معيار أمن بيانات بطاقات الدفع (PCI DSS v4.0.1) إدارة مخاطر مزوّدي الخدمات.
تصنّف ليمـاز المورّدين في مستويات بحسب البيانات والخدمات التي يصلون إليها، وتجري العناية الواجبة بما يتناسب مع كل مستوى، وتضمّن البنود المطلوبة في العقود، وتجدول إعادة التقييم. وبذلك تستقر مخاطر الأطراف الخارجية في السجل نفسه مع المخاطر الداخلية، وتصل إلى اللجنة ذاتها.
فجوات شائعة في برامج المخاطر السيبرانية
درجات بلا معايير
تُقدَّر الاحتمالية والأثر بالانطباع، فيمنح مقيّمان الخطر نفسه درجتين مختلفتين، بينما يشترط ISO 27001 نتائج متسقة وقابلة للمقارنة.
ضوابط ناقصة تُسجَّل مخاطر
قيود مثل «غياب أداة منع تسرّب البيانات» تصف فجوة في الضوابط بدلاً من خطر على الأعمال، فيتعذّر على الإدارة موازنتها بالرغبة في المخاطر.
تقييمات تفوتها المحطات
تُطلق منتجات جديدة وتُنقل أنظمة إلى السحابة ويُضاف مورّدون دون التقييم الذي يشترطه الضابط 1-5-3 من ECC.
قبول بلا تاريخ انتهاء
مخاطر قُبلت قبل سنوات على يد أشخاص غادروا الجهة، دون موعد مراجعة أو ضابط تعويضي.
مخاطر سيبرانية بمعزل عن المؤسسية
تُدار المخاطر السيبرانية في جدول مستقل عن إطار المخاطر المؤسسية، مع أن إطار ساما يشترط اتساقهما.
خدمات مترابطة
الامتثال والتدقيق
نقيّم الضوابط وفق الأطر التنظيمية المنطبقة على جهتك.
تنفيذ الضوابط الأمنية
نحوّل إجراءات المعالجة إلى ضوابط تقنية فعّالة.
تطبيق ضوابط NCA ECC وCCC
نربط أعمال المخاطر والحوكمة بالضوابط الأساسية للأمن السيبراني (ECC).
تطبيق إطار SAMA CSF
نبني الأدلة وننفّذ المعالجة للجهات الخاضعة لإشراف البنك المركزي السعودي.
أسئلة شائعة
نعم للجهات المنظَّمة. يُلزم المكوّن الفرعي 1-5 من الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الجهات الحكومية وجهات القطاع الخاص المالكة للبنى التحتية الوطنية الحساسة أو المشغّلة لها بتوثيق منهجية للمخاطر السيبرانية واعتمادها وتطبيقها. ويشترط البند 3.2.1 من إطار ساما الأمر ذاته على البنوك وشركات التأمين وشركات التمويل وشركات المعلومات الائتمانية والبنية التحتية للسوق المالية. كما يجعل ISO 27001 تقييم المخاطر شرطاً للشهادة، ويشترط PCI DSS v4.0.1 تحليلات مخاطر موجّهة وموثّقة.
أجرِ دورة تقييم شاملة على فترات مخطط لها، وتوصي ليمـاز بمرة واحدة سنوياً على الأقل، ثم أعد التقييم عند الأحداث. يشترط الضابط 1-5-3 من ECC التقييم في المراحل الأولى للمشاريع التقنية، وقبل التغييرات الجوهرية في البنية التقنية، وعند التخطيط لخدمات الأطراف الخارجية، وقبل إطلاق خدمات أو منتجات جديدة. ويضيف البند 8.2 من ISO 27001 التغييرات الجوهرية، ويشترط PCI DSS مراجعة كل تحليل مخاطر موجّه مرة كل 12 شهراً على الأقل.
الخطر الكامن هو مستوى التعرّض قبل احتساب الضوابط القائمة، والخطر المتبقي هو ما يبقى بعدها. والفارق بينهما يكشف قيمة كل ضابط. وتركّز الجهات التنظيمية على الخطر المتبقي: فمعيار ISO 27001 يشترط أن يقبله ملّاك المخاطر رسمياً، وإطار ساما يشترط أن يقع أي خطر متبقٍّ مقبول في حدود الرغبة في المخاطر المعتمدة، وأن يُرفع إلى لجنة الأمن السيبراني.
يملك الخطرَ المسؤولُ التنفيذي عن الخدمة المتأثرة. أما الرئيس التنفيذي لأمن المعلومات (CISO) وفريق الأمن السيبراني فيديرون المنهجية ويحللون الخطر ويقدّمون المشورة، ويبقى قرار المعالجة والقبول لمالك الخطر. ويشترط إطار ساما توقيع مالك الأعمال على المخاطر المقبولة ورفعها إلى لجنة الأمن السيبراني، ويشترط ISO 27001 أن يعتمد ملّاك المخاطر خطة المعالجة ويقبلوا المخاطر المتبقية.
لا تفرض أي من الجهتين منهجية بعينها. فالضابط 1-5-1 من ECC يُلزم كل جهة بتحديد منهجيتها وتوثيقها واعتمادها وفق سرية أصولها وسلامتها وتوافرها، وإطار ساما يشترط عملية معرّفة ومعتمدة ومتسقة مع إدارة المخاطر المؤسسية. ويوفّر ISO/IEC 27005:2022 والدليل NIST SP 800-30 Rev. 1 أساساً متيناً للإطارين متى وُثّقت المنهجية وطُبّقت باتساق.
ISO/IEC 27005:2022 دليل لإدارة مخاطر أمن المعلومات داخل نظام ISMS المبني على ISO 27001، يغطي السياق والتحديد والتحليل والتقييم والمعالجة، ويقدّم منهجين: قائماً على الأحداث وقائماً على الأصول. أما NIST SP 800-30 Rev. 1 فيركّز على إجراء تقييم المخاطر، ويفصّل مصادر التهديد والثغرات والاحتمالية والأثر. وتعتمد ليمـاز ISO 27005 إطاراً للعملية، وNIST SP 800-30 لعمق التحليل.
يحتاج كل قيد إلى سيناريو خطر بلغة الأعمال، والخدمات والأصول المتأثرة، ومالك خطر محدد بالاسم، ودرجة الخطر الكامن والمتبقي وفق معايير معتمدة، والضوابط القائمة بأدلتها، وقرار المعالجة، والإجراءات بمواعيدها، وموعد المراجعة. وربط كل خطر بمرجعه في NCA ECC أو SAMA CSF أو ISO 27001 أو PCI DSS يجعل السجل الواحد يخدم التدقيق والجهات التنظيمية وتقارير مجلس الإدارة.
هل لديك متطلب تريد تنفيذه؟
شاركنا النظام أو الضابط أو المتطلب التنظيمي، وسنعود إليك بخطوة تالية واضحة.