تمارس معظم الجهات "إدارة المخاطر" بشكل أو بآخر: جدول بيانات، أو قائمة ملاحظات من آخر تدقيق، أو سطور في تقرير لمجلس الإدارة. لكن المشكلة أن كل فريق يقيّم المخاطر بطريقته، فلا يستطيع أحد مقارنة خطر بآخر، ولا تحديد ما يستحق المعالجة أولًا بثقة.

عالجت الهيئة الوطنية للأمن السيبراني ذلك بإصدار الإطار الوطني لإدارة مخاطر الأمن السيبراني (NFCRM-1:2025)، الذي يمنح الجهات منهجية واحدة، ومصفوفة مخاطر واحدة بمقياس 5x5، والتزامات واضحة، منها المخاطر التي يجب رفعها للهيئة.

على من ينطبق الإطار؟ #

ينطبق الإطار على الجهات الحكومية في المملكة (الوزارات والهيئات والمؤسسات وغيرها)، والجهات والشركات التابعة لها داخل المملكة وخارجها، وجهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها.

كما تشجّع الهيئة بشدة الجهات الأخرى في المملكة على الاستفادة منه بوصفه من أفضل الممارسات. وهذا مهم للشركات الخاصة أيضًا، فضوابط NCNICC تُلزم الجهات الخاصة الكبيرة بتحديد منهجية لإدارة مخاطر الأمن السيبراني وتطبيقها، وتوصي بذلك للجهات الصغيرة والمتوسطة، والإطار الوطني هو المرجع الطبيعي لتلك المنهجية.

ما يجب على الجهات المشمولة تجاه الهيئة #

يحدد الإطار التزامات على المستوى الوطني، فيجب على كل جهة ضمن نطاقه:

  • تسمية ضابط اتصال مع الهيئة معني بإدارة مخاطر الأمن السيبراني.
  • حصر أصولها وتصنيفها، مثل الأنظمة الحساسة، والمرافق والأنظمة التشغيلية، وحسابات التواصل الاجتماعي، ومراجعة التصنيف دوريًا.
  • حصر أصولها المواجهة للإنترنت، أي الأصول التي لها عناوين IP مخصصة يمكن الوصول إليها عبر الإنترنت.
  • رفع هذه الأصول للهيئة دوريًا وعند تغيّرها، من خلال منصة حصين أو أي قناة أخرى تحددها الهيئة.
  • رفع المخاطر ذات المستوى الكارثي والمرتفع للهيئة فور التعرف عليها وفق مصفوفة الإطار، ومشاركة خطط التعامل معها دوريًا وعند تحديثها.
  • معالجة ما يرد من الهيئة من مخاطر وثغرات وملحوظات، والإفادة بما جرى حيالها.

والرفع الفوري للمخاطر الكارثية والمرتفعة هو الالتزام الأكثر تأثيرًا في الممارسة، لأنه يعني أن تقييمك يجب أن يكون متسقًا وقابلًا للدفاع عنه، فالدرجة هي التي تحدد ما يُرفع خارج الجهة.

المنهجية: أربع مراحل #

يتطلب الإطار على مستوى الجهة برنامجًا مستمرًا لتفعيل المنهجية، مع تخصيص الموارد اللازمة، وإشراك أصحاب المصلحة مثل اللجنة الإشرافية للأمن السيبراني وإدارة تقنية المعلومات. أما المنهجية نفسها فتتكون من أربع مراحل.

1. مرحلة التحديد #

  • حصر أصول الجهة وتصنيفها.
  • حصر ثغرات الأمن السيبراني والتهديدات المحتملة.
  • تطوير سيناريوهات المخاطر المتوقعة التي تجمع تلك التهديدات والثغرات.
  • تحديد الضوابط المطبقة حاليًا لكل سيناريو.
  • تحديد المستوى المقبول من المخاطر لدى الجهة.

2. مرحلة التقييم #

  • تحليل المخاطر الكامنة لجميع السيناريوهات مع مراعاة الضوابط الحالية، وتقييم الاحتمالية والأثر وفق مصفوفة الإطار.
  • توثيق نتائج التحليل والتقييم في سجل مخاطر الأمن السيبراني.

3. مرحلة التعامل #

لكل خطر، يُتخذ قرار بقبوله أو مشاركته أو معالجته أو تجنّب وقوعه، ثم:

  • تحديد خطط التعامل وتطويرها، وتقييم المخاطر المتبقية المتوقعة للتأكد من الوصول إلى المستوى المقبول.
  • ترتيب الخطط حسب الأولوية وتنفيذها، وتحديث السجل بالخطط والمخاطر المتبقية.

4. مرحلة المتابعة #

  • إعداد تقارير إدارة المخاطر، ووضع معايير لجمع البيانات الإحصائية لمتابعتها.
  • متابعة تنفيذ خطط التعامل دوريًا.
  • إعادة تنفيذ المنهجية كاملة دوريًا، أو وفق ما تصدره الهيئة، أو عند تحديث خطط التعامل أو التهديدات أو السيناريوهات أو حالة تطبيق الضوابط أو البنية التحتية الرقمية.

مصفوفة 5x5 #

يقيّم الإطار كل خطر بالمعادلة: مستوى الخطر = الأثر x الاحتمالية، ولكل منهما مقياس من 1 إلى 5. ويقع الناتج في أحد خمسة مستويات:

  • منخفض جدًا: من 1 إلى 2
  • منخفض: من 3 إلى 7
  • متوسط: من 8 إلى 14
  • مرتفع: من 15 إلى 19
  • كارثي: من 20 إلى 25

الأثر يُقدَّر على عناصر السرية والسلامة والتوافر. في أدنى المستويات يكون التأثير على الجهة معدومًا، وفي أعلاها يكون كبيرًا لا يمكن تحمّله، أو يمتد أثره إلى المستوى الوطني.

الاحتمالية تُقدَّر بالفترة الزمنية المتوقعة للحدوث، أو بمدى سهولة استغلال الثغرة:

  • 5، شبه مؤكد: يتكرر عدة مرات في السنة، أو يمكن استغلال الثغرة من مهاجم غير متمكن بأكواد استغلال جاهزة.
  • 4، مرجّح: مرة كل سنة تقريبًا، أو يمكن استغلالها من مهاجم متقدم بأدوات مخصصة.
  • 3، غير مرجّح: مرة كل سنتين إلى ثلاث سنوات، أو قابلة للاستغلال من مهاجم متقدم بشروط معينة فقط.
  • 2، نادر: مرة كل ثلاث إلى عشر سنوات، أو لا يمكن استغلالها مباشرة الآن مع إمكانية ذلك مستقبلًا.
  • 1، نادر جدًا: أقل من مرة كل عشر إلى عشرين سنة، أو غير قابلة للاستغلال حاليًا.

مثال تطبيقي #

لنفترض خادم ملفات يحفظ العقود والسجلات المالية، وعليه خدمة وصول عن بُعد مواجهة للإنترنت متأخرة إصدارين في التحديثات. سيناريو هجوم فدية عليه قد يوقف العمل أيامًا: أثر 4. وتوجد أكواد استغلال منشورة للثغرة، لكنها تحتاج إلى مهارة لربط خطوات الهجوم: احتمالية 4. الناتج 16، مرتفع.

وللجهة المشمولة بالإطار، هذه الدرجة ليست ملاحظة داخلية فقط، بل يجب رفعها للهيئة فور التعرف عليها مع خطة التعامل. وقد يؤدي تحديث الخدمة ووضعها خلف شبكة VPN بتحقق متعدد العناصر إلى خفض الاحتمالية إلى 2، فيصبح الخطر المتبقي 8، متوسطًا، لتقرر الإدارة قبوله أو خفضه أكثر.

كيف يتكامل مع الضوابط التي تطبقها #

  • ضوابط ECC: تطلب الضوابط الأساسية (الضابط 1-5) منهجية موثقة لإدارة المخاطر، وتقييمًا للمخاطر في المراحل الأولى للمشاريع التقنية، وقبل التغييرات الجوهرية في البنية التحتية، وعند التخطيط للاستعانة بأطراف خارجية، وقبل إطلاق الخدمات الجديدة. ويأتي الإطار الوطني ليوحّد طريقة التقييم والرفع.
  • ضوابط NCNICC: المنهجية الموثقة والمطبقة إلزامية للجهات الخاصة الكبيرة، وموصى بها للجهات الصغيرة والمتوسطة.
  • ISO 31000 وISO/IEC 27005: إذا كنت تطبق هذين المعيارين الدوليين، فحافظ على عمليتك وواءم مقاييسها وتعريفاتها مع مصفوفة الإطار، ليخدم السجل نفسه الطرفين.

ثماني خطوات للبدء #

  1. تأكد من شمول جهتك بالإطار، وسمِّ ضابط الاتصال مع الهيئة إن كانت مشمولة.
  2. ابنِ سجل الأصول أو حدّثه، بما في ذلك الأصول المواجهة للإنترنت وحسابات التواصل الاجتماعي.
  3. اعتمد تعريفات الأثر والاحتمالية في الإطار كما هي في منهجيتك.
  4. اكتب سيناريوهات مخاطر لا ملاحظات منفصلة: التهديد والثغرة والأصل والنتيجة معًا.
  5. قيّم الخطر الكامن وسجّله في سجل واحد، وحدد المستوى المقبول من المخاطر مع الإدارة.
  6. اتفق على خطط التعامل مع مالكيها ومواعيدها، وقيّم الخطر المتبقي المتوقع.
  7. جهّز مسار رفع المخاطر الكارثية والمرتفعة ليتم فور التعرف عليها.
  8. حدد موعد الدورة الكاملة التالية، والمحفزات التي تستدعي دورة مبكرة.

تساعد خدمة إدارة مخاطر الأمن السيبراني لدينا الجهات على بناء المنهجية والسجل وآلية الرفع، وربطها ببرنامج الضوابط الأساسية.

الأسئلة الشائعة #

من يجب عليه تطبيق الإطار الوطني لإدارة المخاطر؟

الجهات الحكومية والجهات والشركات التابعة لها داخل المملكة وخارجها، وجهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. وتشجع الهيئة بشدة بقية الجهات على الاستفادة منه.

ما المخاطر التي يجب رفعها للهيئة؟

المخاطر التي يكون مستواها مرتفعًا (15 إلى 19) أو كارثيًا (20 إلى 25) وفق مصفوفة الإطار، فور التعرف عليها، مع مشاركة خطط التعامل معها دوريًا وعند تحديثها.

كيف يُحسب مستوى الخطر في الإطار؟

مستوى الخطر يساوي الأثر مضروبًا في الاحتمالية، ولكل منهما مقياس من 1 إلى 5. من 1 إلى 2 منخفض جدًا، ومن 3 إلى 7 منخفض، ومن 8 إلى 14 متوسط، ومن 15 إلى 19 مرتفع، ومن 20 إلى 25 كارثي.

نطبق ISO 31000 بالفعل، فهل نحتاج إلى عملية جديدة؟

غالبًا لا. حافظ على عمليتك وواءم مقاييسها وتعريفاتها وسجلها مع مصفوفة الإطار، ليلبي سجل واحد متطلبات المعيار والإطار الوطني معًا.

المصادر الرسمية والمراجع #

الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.