غالباً ما تواجه المؤسسات صعوبة في بناء برامج فعالة للأمن السيبراني. إذ يستثمر قادة الأمن في أدوات متطورة، وينشرون وثائق سياسات موسعة، ويمتثلون لمعايير الصناعة، ومع ذلك يظلون عرضة لاضطرابات تشغيلية كبرى. وتحدث هذه الفجوة لأن العديد من البرامج تركز على نشر ضوابط التحكم بدلاً من بناء قدرة مؤسسية على إدارة المخاطر.

 عندما تعتمد برامج الأمن على عمليات تفاعلية أو قوائم مراجعة مدفوعة بالامتثال، فإنها تواجه أنماط فشل واضحة:

• ضوابط أمنية مجزأة: تعمل الأدوات الأمنية بمعزل عن بعضها البعض، مما يخلق ثغرات في الرؤية وضوضاء تشغيلية دون تقليل المخاطر الفعلية.

• أمن مدفوع بالامتثال: تركز البرامج على إرضاء مدققي الحسابات الخارجيين بدلاً من معالجة نواقل التهديد الحقيقية التي تواجه الأعمال.

• إدارة غير متسقة للمخاطر: يتم تقييم المخاطر بشكل متقطع، غالباً أثناء عمليات التدقيق السنوية، بدلاً من دمجها في قرارات الأعمال اليومية.

• ملكية غير واضحة: ينظر قادة قطاعات الأعمال إلى الأمن السيبراني باعتباره "مشكلة تكنولوجيا معلومات"، مما يترك المسؤولية عن التعامل مع المخاطر غير محددة.

• أهداف غير متوافقة: تفرض فرق الأمن ضوابط تعيق سرعة الأعمال عن غير قصد، بينما تتجاوز وحدات الأعمال الأمن لتحقيق الأهداف التشغيلية.

يوفر إطار الأمن السيبراني (CSF) التابع للمعهد الوطني للمعايير والتكنولوجيا (NIST) طريقة منظمة لمعالجة هذه التحديات. وبينما تركز العديد من المؤسسات على النواة الأساسية للإطار (CSF Core) — الوظائف والفئات والفئات الفرعية التي تحدد نتائج أمنية محددة — فإن مستويات تطبيق إطار NIST CSF تعالج بعداً مختلفاً: دقة وحوكمة وتطور ممارسات إدارة مخاطر الأمن السيبراني في المؤسسة.

 إن فهم هذه المستويات وتطبيقها يمكن مدراء أمن المعلومات (CISOs)، ومدراء تكنولوجيا المعلومات (CIOs)، وقادة المخاطر من تقييم سياقهم التشغيلي الحالي، ومواءمة الممارسات الأمنية مع أهداف العمل، ورسم مسار واقعي نحو إدارة مرنة للمخاطر.

ما هي مستويات تطبيق إطار NIST CSF؟

تصف مستويات تطبيق إطار NIST CSF كيفية نظر المؤسسة إلى مخاطر الأمن السيبراني والعمليات القائمة لإدارة تلك المخاطر. وتتراوح المستويات من جزئي (المستوى 1) إلى تكيّفي (المستوى 4).

لا تمثل هذه المستويات نموذج نضج تقليدياً يتطلب من كل مؤسسة تحقيق أعلى مستوى فيه. حيث يذكر المعهد (NIST) صراحةً أن المستويات لا تعكس مقياساً تقليدياً لنموذج نضج القدرات المتكامل (CMMI). فالوصول إلى المستوى 4 ليس إلزامياً لجميع المؤسسات؛ بل يتعين على المؤسسات تحديد المستوى المستهدف بناءً على قابليتها للمخاطر، والقيود التشغيلية، ومشهد التهديدات، والمتطلبات القانونية، وأهداف العمل.

المستوى 1 — جزئي

في المستوى 1، تدار مخاطر الأمن السيبراني بطريقة مخصصة وتفاعلية عند الطلب.

• حوكمة المخاطر: إدارة مخاطر الأمن السيبراني غير منظمة. ونادراً ما توثق العمليات، وتعتمد بشكل شبه كامل على مهارات ومبادرات الموظفين الفنيين الأفراد.

• تكامل المخاطر: هناك حد أدنى من الوعي بمخاطر الأمن السيبراني على مستوى المؤسسة. ويقيم فريق القيادة الأمن باعتباره قضية تقنية معزولة وليس كعامل خطر يهدد المؤسسة بأكملها.

• التعاون الخارجي: تفتقر المؤسسة إلى آليات رسمية لتلقي معلومات التهديدات أو مشاركتها مع الشركاء الخارجيين، أو النظراء، أو مراكز مشاركة وتحليل المعلومات (ISACs). وتظل مخاطر سلاسل التوريد غير معالجة إلى حد كبير.

 المستوى 2 — مطلع على المخاطر

في المستوى 2، تدرك الإدارة مخاطر الأمن السيبراني، ولكن لا يتم تنفيذ العمليات بشكل متسق عبر المؤسسة.

• حوكمة المخاطر: تعتمد الإدارة الممارسات التشغيلية، ولكن لا يتم إضفاء الطابع المؤسسي عليها كمعايير شاملة للمؤسسة. وتُعطى الأولوية لأنظمة محددة أو لمتطلبات الامتثال بدلاً من تقييم التعرض الشامل للمخاطر.

• تكامل المخاطر: يوجد وعي مؤسسي بمخاطر الأمن السيبراني، لكن تدفق المعلومات إلى الإدارة العليا يتم بشكل غير متساوٍ. وتُطرح اعتبارات المخاطر السيبرانية على القيادة بشكل تفاعلي أو أثناء مبادرات تكنولوجيا المعلومات الكبرى بدلاً من كونها جزءاً من إدارة المخاطر المؤسسية (ERM) القياسية.

• التعاون الخارجي: تفهم المؤسسة مكانتها في المنظومة الأوسع، ولكن تظل مشاركة المعلومات الخارجية غير رسمية وتعتمد على السياق وغير متسقة.

  
  

المستوى 3 — قابل للتكرار

يمثل المستوى 3 تحولاً مؤسسياً كبيراً: حيث تكون ممارسات إدارة مخاطر الأمن السيبراني محددة رسمياً، وموثقة، ومطبقة بشكل متسق عبر المؤسسة.

• حوكمة المخاطر: تُعتمد ممارسات إدارة المخاطر رسمياً وتُصاغ كسياسات واضحة وشاملة للمؤسسة. ويتم تدقيق هذه الممارسات وتحديثها بشكل دوري بناءً على التغييرات التشغيلية ورؤى التهديدات.

• تكامل المخاطر: تدمج مخاطر الأمن السيبراني مباشرة في إدارة المخاطر المؤسسية (ERM). ويتواصل القادة التنفيذيون ومدراء وحدات الأعمال بانتظام بشأن المخاطر السيبرانية ويتخذون قرارات تخصيص الموارد بناءً على عتبات المخاطر المعتمدة رسمياً.

• التعاون الخارجي: تتعاون المؤسسة بنشاط مع الشركاء الخارجيين، والمجموعات الصناعية، وشبكات مشاركة التهديدات لإثراء موقفها الدفاعي والحد من مخاطر الأطراف الخارجية وسلاسل التوريد.

 المستوى 4 — تكيّفي

في المستوى 4، تقوم المؤسسة باستمرار بتكييف ممارسات الأمن السيبراني الخاصة بها بناءً على الدروس المستفادة، والمعلومات الاستباقية، والظروف التشغيلية المتطورة.

• حوكمة المخاطر: تعد إدارة مخاطر الأمن السيبراني قدرة ديناميكية وتتطور باستمرار. وتتكيف السياسات والضوابط والبنية الأمنية في الوقت الفعلي أو في وقت قريب من الوقت الفعلي للاستجابة للجهات الفاعلة بالتهديدات المعقدة وتغيرات الأعمال.

• تكامل المخاطر: تدمج إدارة مخاطر الأمن السيبراني بالكامل في ثقافة المؤسسة وإدارة المخاطر المؤسسية (ERM). ويقوم كبار التنفيذيين بتقييم مخاطر الأمن السيبراني جنباً إلى جنب مع المخاطر المالية ومخاطر السوق والمخاطر التشغيلية عند اتخاذ قرارات الأعمال الاستراتيجية.

• التعاون الخارجي: تساهم المؤسسة بنشاط في منظومة الأمن السيبراني الأوسع نطاقاً من خلال إنتاج معلومات التهديدات، والمشاركة في ترتيبات متقدمة لمشاركة التهديدات، وقيادة معايير أمن سلاسل التوريد.

 تمميز رئيسي: لا يُعرّف المستوى 4 بشراء أدوات أمنية باهظة الثمن، أو أتمتة كافة سير العمل، أو نشر الذكاء الاصطناعي. بل يُعرّف بالمرونة المؤسسية وتطور إدارة المخاطر — أي القدرة على ضبط الموقف الأمني والحوكمة ديناميكياً استجابةً للتحولات التشغيلية الداخلية وديناميكيات التهديد الخارجية.

المستويات، والملفات التعريفية، ونواة الإطار (CSF Core)

يتطلب فهم كيفية بناء برنامج أمني توضيح كيفية تفاعل المكونات الرئيسية لإصدار NIST CSF 2.0.

يتكون الإطار من ثلاثة عناصر رئيسية:

1. نواة الإطار (CSF Core): مجموعة من نتائج الأمن السيبراني المنظمة في ست وظائف رفيعة المستوى: الحوكمة (GV)، التحديد (ID)، الحماية (PR)، الكشف (DE)، الاستجابة (RS)، والاسترداد (RC). وتتفرع هذه الوظائف إلى فئات وفئات فرعية.

2. الملفات التعريفية للمؤسسة (Profiles): مواءمة نتائج نواة الإطار مع متطلبات عمل المؤسسة، وتحملها للمخاطر، ومواردها.

   • الملف التعريفي الحالي: يوثق النتائج التي يتم تحقيقها حالياً.

   • الملف التعريفي المستهدف: يوثق النتائج المطلوبة لتحقيق أهداف إدارة المخاطر المنشودة.

3. مستويات التطبيق: تميز مدى دقة وتطور الآليات التشغيلية للحوكمة وإدارة المخاطر المستخدمة لتحقيق تلك النتائج.

الدورة التشغيلية

توفر المستويات السياق لكيفية تنفيذ الملفات التعريفية. ويتطلب الانتقال من ملف تعريفي حالي إلى ملف تعريفي مستهدف تحسين ضوابط تقنية محددة ورفع المستوى التشغيلي لعمليات إدارة المخاطر الأساسية.

تتبع الدورة مساراً محدداً:

1. تحديد الأهداف: تحديد أهداف العمل، والقيود التنظيمية، والقدرة الإجمالية على تحمل المخاطر.

2. تقييم الوضع الحالي: توثيق الملف التعريفي الحالي (ما هي نتائج النواة التي تم تحقيقها) وتقييم المستوى الحالي (كيف تعمل حوكمة المخاطر).

3. إجراء تحليل الفجوات: مقارنة الملف التعريفي الحالي بالملف المستهدف مع تقييم ما إذا كانت ممارسات المخاطر الحالية (المستويات) تدعم تلك الأهداف.

4. بناء خطة معالجة المخاطر: إعطاء الأولوية للمشاريع التي تسد فجوات الضوابط التقنية وترفع من دقة الحوكمة.

5. التنفيذ والقياس: تطبيق الضوابط، ومراقبة الأداء مقارنة بالمقاييس، وتحسين العمليات بناءً على الملاحظات التشغيلية.

تقييم مستواك الحالي

يتطلب تحديد المستوى الحالي للمؤسسة تقييم كيفية اتخاذ قرارات إدارة المخاطر، وإبلاغها، والحفاظ عليها عبر أبعاد تشغيلية متعددة.

لا يفرض المعهد (NIST) صيغة تسجيل رقمية صارمة لتعيين تصنيف رسمي للمستويات. ومع ذلك، يمكن للمؤسسات تقييم ممارساتها بشكل منهجي عبر ثلاثة أبعاد أساسية حددها المعهد:

1. عملية إدارة المخاطر: كيف يتم دمج الوظائف، والوعي بالتهديدات، وتقييمات المخاطر في القرارات الأمنية اليومية.

2. البرنامج المتكامل لإدارة المخاطر: درجة دمج مخاطر الأمن السيبراني في إدارة المخاطر المؤسسية (ERM) والحوكمة العامة للشركة.

3. المشاركة الخارجية: مدى فعالية المؤسسة في إدارة مخاطر سلاسل التوريد، وتلقي بيانات التهديدات الخارجية، ومشاركة المعلومات الاستخباراتية القابلة للتنفيذ.

منهجية التقييم العملي

لإجراء تقييم داخلي، يجب على فرق الأمن تقييم الأدلة التشغيلية عبر 13 مجال تركيز وظيفي:

تسجيل تقييم وتوزيع الأدلة

يمكن للفرق تقييم كل مجال على مقياس من 1 إلى 4 بناءً على الخصائص التشغيلية:

• المستوى 1 (جزئي): تعتمد الممارسة على المعرفة الفردية غير الموثقة. العمليات تفاعلية، غير موثقة، وغير متسقة عبر وحدات الأعمال.

• المستوى 2 (مطلع على المخاطر): الممارسة معترف بها من قبل القيادة. وتوثق العمليات الأساسية، ولكن يختلف التنفيذ؛ ويتم تقييم المخاطر على أساس مخصص أو لكل مشروع على حدة.

• المستوى 3 (قابل للتكرار): الممارسة محددة رسمياً كسياسة للمؤسسة. ويكون التنفيذ متسقاً عبر جميع وحدات الأعمال؛ ويتم تدقيق الأدلة بشكل دوري.

• المستوى 4 (تكيّفي): تتكيف الممارسة ديناميكياً بناءً على البيانات التشغيلية، ومعلومات التهديدات، وتغيرات الأعمال. وتوجه المؤشرات المؤتمتة التعديلات المستمرة للحوكمة.

مصفوفة قدرات البرنامج الأمني عبر المستويات

توضح المصفوفة التالية كيفية تغير القدرات الأمنية عبر مستويات NIST CSF الأربعة:

الانتقال من المستوى 1 إلى المستوى 2: التحول إلى مطلع على المخاطر

يتطلب الانتقال من المستوى 1 (جزئي) إلى المستوى 2 (مطلع على المخاطر) الانتقال من الأنشطة التفاعلية غير المنسقة نحو اتخاذ قرارات منظمة وواعية بالمخاطر.

التغييرات المؤسسية الرئيسية

1. تحديد ملكية المخاطر: تعيين شخص مسؤول (مثل مدير أمن المعلومات CISO أو مدير الأمن) يتولى المسؤولية الرسمية عن حوكمة مخاطر الأمن السيبراني.

2. تحديد خدمات الأعمال الحيوية: تحديد وظائف العمل الأساسية للمؤسسة ورسم الأنظمة والتطبيقات ومستودعات البيانات الأساسية التي تدعمها.

3. إضفاء الطابع الرسمي على السياسات الأساسية: تحويل المعرفة التشغيلية غير الرسمية إلى سياسات موثقة تغطي التحكم في الوصول، وإدارة التحديثات، والإبلاغ عن الحوادث، والاستخدام المقبول.

4. تنفيذ تحديد الأولويات الواعي بالمخاطر: الابتعاد عن إصلاح المشكلات بشكل عشوائي. وترتيب المهام الأمنية بناءً على الأهمية الأساسية للأصول وخطورة التهديد.

خطة العمل والخطوات ذات الأولوية

• الخطوة 1: إجراء اكتشاف أولي للأصول والمخاطر. إنشاء سجل جرد أساسي للأجهزة والبرامج وبيئات الحوسبة السحابية. وتحديد الأصول عالية القيمة (HVAs).

• الخطوة 2: مأسسة إدارة الثغرات الأمنية. وضع جداول فحص شهري للثغرات للأصول الحيوية. وتركيز جهود المعالجة على الثغرات عالية الخطورة التي تؤثر على الأنظمة الخارجية.

• الخطوة 3: صياغة خطة الاستجابة للحوادث (IR). توثيق إجراءات خطوة بخطوة للكشف عن الحوادث الأمنية واحتوائها وتصعيدها. وتعيين أدوار واضحة للموظفين الفنيين الداخليين والمستشار القانوني.

• الخطوة 4: وضع تقارير الإدارة التنفيذية. إنشاء تحديث ربع سنوي لمخاطر الأمن السيبراني للقيادة يسلط الضوء على أهم المخاطر ومشاريع المعالجة الجارية وقيود الموارد.

 الانتقال من المستوى 2 إلى المستوى 3: تحقيق ممارسات قابلة للتكرار

غالباً ما يكون الانتقال من المستوى 2 (مطلع على المخاطر) إلى المستوى 3 (قابل للتكرار) هو المرحلة الأكثر تحدياً. حيث يتطلب الانتقال من الجهود المحلية غير المتسقة إلى التنفيذ المؤسسي الشامل على مستوى الشركة.

مأسسة الممارسات

الفرق الأساسي بين المستوى 2 والمستوى 3 هو الإنفاذ والاتساق.

في المستوى 2، قد تمتلك المؤسسة سياسة موثقة لإدارة التحديثات يتبعها فريق البنية التحتية الأساسي بجدية، ولكن يتجاهلها مهندسو الحوسبة السحابية أو موظفو التكنولوجيا التشغيلية. أما في المستوى 3، فتُطبق السياسات بشكل شامل على الجميع، ويتم تدقيق الامتثال بانتظام، وتتطلب الاستثناءات موافقة رسمية من الإدارة التنفيذية.

التغييرات المؤسسية الرئيسية

1. التكامل مع إدارة المخاطر المؤسسية (ERM): وضع إطار رسمي لإدارة المخاطر (مثل NIST SP 800-30). وترجمة المخاطر التقنية إلى مقاييس مالية وتشيغلية مستخدمة في سجل مخاطر الشركة.

2. توحيد البنية الأمنية: نشر أنماط تصميم قابلة للتكرار عبر كافة الأنظمة. واشتراط الحصول على موافقات أمنية أثناء مراحل تصميم البنية الأمنية (DevSecOps).

3. إنشاء مراقبة مركزية: تشغيل مركز عمليات أمنية (SOC) — سواء كان داخلياً أو مداراً من جهة خارجية — قادر على ربط التنبيهات وتحليلها على مدار الساعة عبر بيئات الأجهزة الطرفية والشبكات والسحابة.

4. بناء برنامج رسمي لإدارة مخاطر سلاسل التوريد (C-SCRM): تقييم جميع موردي البرامج الخارجيين والبائعين والمتعاقدين بناءً على مستويات وصولهم ومدى أهميتهم لعمليات الأعمال.

Transitioning from Tier 3 to Tier 4: Becoming Adaptive

الانتقال من المستوى 3 (قابل للتكرار) إلى المستوى 4 (تكيّفي) يحول الأمن من نموذج تطبيق سياسات ثابت إلى قدرة استباقية مرنة.

التحولات الأساسية نحو التكيف

1. من التقييم الدوري إلى الوعي المستمر بالمخاطر

بدلاً من الاعتماد على تقييمات المخاطر السنوية أو فحوصات الثغرات ربع السنوية، تتبع برامج المستوى 4 متغيرات المخاطر باستمرار. ويتم دمج البيانات المرسلة من أنظمة كشف الأجهزة الطرفية، ومراقبي تكوين السحابة، وفاحصي الثغرات، ومصادر معلومات التهديدات لتحديث تصنيفات مخاطر المؤسسة تلقائياً.

2. من الضوابط الثابتة إلى البنية التكيفية

يتم استبدال القواعد الأمنية الثابتة بضوابط وصول سياقية وتكيفية. وباستخدام مبادئ بنية الثقة الصفرية (ZTA) (كما هو مفصل في معيار NIST SP 800-207)، يتم احتساب قرارات الوصول إلى النظام ديناميكياً بناءً على سياق المستخدم، وسلامة الجهاز، والموقع، ومؤشرات التهديد في الوقت الفعلي.

3. من التقارير التاريخية إلى معلومات المخاطر التنبؤية

تحول مؤسسات المستوى 4 تركيزها من مراقبة المقاييس الماضية (مثل "عدد الحوادث التي وقعت في الربع الأخير") إلى تقييم معلومات التهديدات التنبؤية (مثل "كيف ستؤثر التغييرات في تكتيكات المهاجمين على استراتيجيتنا الحالية للانتقال إلى السحابة").

4. من الاستجابة للحوادث إلى التعلم المؤسسي

يتم التعامل مع كل حدث أمني، أو هجوم فاشل، أو تمرين للمحاكاة (Red Team) كبيانات تشغيلية. وتدمج الأسباب الجذرية لما بعد الحوادث تلقائياً في تعديلات البنية الأمنية، وتحديثات السياسات، وبرامج تدريب الموظفين لمنع تكرار ثغرات مماثلة.

5. التكامل العميق مع الأعمال وإدارة المخاطر المؤسسية (ERM)

في المستوى 4، يتم تضمين الأمن السيبراني بالكامل في استراتيجية الأعمال. وعندما يقيم كبار القادة عملية استحواذ، أو دخولاً إلى سوق جديدة، أو إطلاق منتج رئيسي، تؤخذ نماذج مخاطر الأمن السيبراني في الاعتبار جنباً إلى جنب مع التحليلات المالية وتحليلات السوق.

خارطة طريق متعددة المراحل للتنفيذ نحو المستوى 4

يستغرق بناء برنامج أمني تكيفي وقتاً. وتوضح خارطة الطريق متعددة المراحل التالية كيف يمكن للمؤسسات التقدم بشكل منطقي دون تخطي القدرات التأسيسية الضرورية.

المرحلة 1: بناء الرؤية والحوكمة الأساسية

• الهدف الرئيسي: بناء رؤية شاملة للموجودات وتحديد المسؤولية المؤسسية الأساسية.

• الأنشطة الرئيسية:

  • تعيين مدير لأمن المعلومات (CISO) أو مدير لبرنامج الأمن.

  • تنفيذ اكتشاف مؤتمت للأصول عبر الشبكات الداخلية وبيئات السحابة.

  • وضع سياسات أمنية أساسية (التحكم في الوصول، إدارة كلمات المرور، إجراءات النسخ الاحتياطي).

• الأطراف المعنية الرئيسية: مدير أمن المعلومات (CISO)، مدير تكنولوجيا المعلومات (CIO)، فريق العمليات للبنية التحتية.

• النتائج المتوقعة: جرد كامل للأصول عالية القيمة؛ وإجراءات أساسية لتصعيد الحوادث.

• نمط الفشل الرئيسي: محاولة فرض سياسات معقدة قبل معرفة الأصول الموجودة بالفعل.

• مؤشر التقدم: تغطية جرد تفوق 90% للأصول الحيوية في المؤسسة.

المرحلة 2: أن تصبح مطلعاً على المخاطر

• الهدف الرئيسي: مواءمة الأولويات الأمنية مع مخاطر الأعمال والأثر التشغيلي.

• الأنشطة الرئيسية:

  • ربط خدمات الأعمال الحيوية بالتبعيات التقنية.

  • تنفيذ إدارة التحديثات وفحص الثغرات القائم على مواءمة المخاطر والأولويات.

  • صياغة أدلة استجابة رسمية للحوادث لأبرز سيناريوهات التهديد (مثل برامج الفدية، وتسريب البيانات).

• الأطراف المعنية الرئيسية: مدير أمن المعلومات (CISO)، قادة وحدات الأعمال، عمليات تكنولوجيا المعلومات.

• النتائج المتوقعة: إدارة ثغرات متوافقة مع متطلبات العمل؛ تقارير موثقة للإدارة التنفيذية.

• نمط الفشل الرئيسي: قيام فرق الأمن بتحديد أولويات المخاطر دون مدخلات من قادة الأعمال.

• مؤشر التقدم: اتخاذ قرارات المعالجة الأمنية باستخدام تصنيفات الأثر على الأعمال.

المرحلة 3: مأسسة الممارسات القابلة للتكرار

• الهدف الرئيسي: تحقيق تنفيذ متسق للضوابط والسياسات الأمنية على مستوى المؤسسة.

• الأنشطة الرئيسية:

  • توحيد الخطوط الأساسية للأمن عبر بيئات السحابة والشبكة والأجهزة الطرفية.

  • تفعيل قدرة مركز العمليات الأمنية (SOC) على مدار الساعة بمسارات تصعيد موحدة.

  • إنشاء عملية رسمية لإدارة مخاطر الطرف الثالث (TPRM) لتأهيل الموردين الجدد.

• الأطراف المعنية الرئيسية: مدير أمن المعلومات (CISO)، فريق هندسة الأمن، رئيس مركز العمليات الأمنية (SOC)، المشتريات، الشؤون القانونية.

• النتائج المتوقعة: إنفاذ موحد للضوابط؛ قدرات مؤكدة للاستجابة للحوادث والتعافي من الكوارث.

• نمط الفشل الرئيسي: السماح لوحدات الأعمال بطلب استثناءات من السياسات الأمنية دون توقيع رسمي على المخاطر.

• مؤشر التقدم: تظهر عمليات التدقيق الداخلي الدورية امتثالاً متسقاً للسياسات عبر جميع وحدات الأعمال.

المرحلة 4: التكامل مع إدارة المخاطر المؤسسية (ERM)

• الهدف الرئيسي: ربط مقاييس الأمن السيبراني مباشرة بحوكمة الشركات وإدارة المخاطر العامة.

• الأنشطة الرئيسية:

  • تبني إطار عمل رسمي للمخاطر (مثل FAIR أو NIST SP 800-30) لقياس المخاطر السيبرانية بمصطلحات تجارية مالية.

  • دمج المراجعات الأمنية في تطوير المنتجات ودورات حياة عمليات الاندماج والاستحواذ للشركات.

  • تنفيذ مراقبة مستمرة لمخاطر الأطراف الخارجية لشركاء سلاسل التوريد الحرجين.

• الأطراف المعنية الرئيسية: مدير أمن المعلومات (CISO)، لجنة المخاطر المؤسسية، المدير المالي، مجلس الإدارة.

• النتائج المتوقعة: إدراج المخاطر السيبرانية في سجلات مخاطر الشركة؛ وتقييم القيادة التنفيذية للمقايضات السيبرانية أثناء التخطيط الاستراتيجي.

• نمط الفشل الرئيسي: تقديم مقاييس أمنية تقنية إلى القيادة التنفيذية بدلاً من المقاييس المرتبطة بالأثر المالي والتشغيلي على الأعمال.

• مؤشر التقدم: تخصص القيادة التنفيذية ميزانيات الأمن بناءً على أهداف صريحة للحد من المخاطر.

المرحلة 5: إنشاء حلقات التحسين المستمر

• الهدف الرئيسي: أتمتة حلقات التغذية الراجعة بين مراقبة التهديدات، والاستجابة للحوادث، وتعديل الضوابط.

• الأنشطة الرئيسية:

  • إجراء تمارين دورية لمحاكاة المهاجمين (Red Team) والسيناريوهات الواقعية.

  • دمج الدروس المستفادة من الحوادث مباشرة في تحديثات البنية الأمنية والسياسات.

  • الانتقال من فحوصات الثغرات الدورية إلى الإدارة المستمرة للتهديدات والتعرض (CTEM).

• الأطراف المعنية الرئيسية: مدير أمن المعلومات (CISO)، الفريق الأحمر/العمليات الأمنية (SecOps)، رئيس قسم معلومات التهديدات.

• النتائج المتوقعة: ضبط سريع لعمليات الكشف؛ وتحديث الضوابط الأمنية تلقائياً بناءً على تكتيكات وأساليب وإجراءات التهديدات الناشئة (TTPs).

• نمط الفشل الرئيسي: التعامل مع مراجعات الأسباب الجذرية بعد الحوادث كأوراق امتثال روتينية بدلاً من كونها دافعاً للتغيير التشغيلي.

• مؤشر التقدم: تحديث الضوابط الأمنية في غضون ساعات أو أيام من تحديد تكتيكات وأساليب وإجراءات تهديد جديدة.

المرحلة 6: بناء القدرات التكيفية

• الهدف الرئيسي: الحفاظ على التكيف مع التهديدات في الوقت الفعلي والتحكم الديناميكي في الوصول القائم على المخاطر.

• الأنشطة الرئيسية:

  • النشر الكامل لسياسات الوصول المشروط القائمة على الثقة الصفرية والتي تقيم درجات المخاطر في الوقت الفعلي.

  • أتمتة الكشف عن التهديدات، وأدلة الاستجابة، وإجراءات الاحتواء عبر الأجهزة الطرفية وبيئات السحابة.

  • المشاركة في شبكات مشاركة معلومات التهديدات الصناعية للمساهمة في الدفاع المشترك.

• الأطراف المعنية الرئيسية: مدير أمن المعلومات (CISO)، كبير مهندسي البنية الأمنية، مهندسو الأتمتة/DevSecOps.

• النتائج المتوقعة: موقف أمني ديناميكي ومتكيف مع المخاطر؛ مرونة تشغيلية مستمرة.

• نمط الفشل الرئيسي: الاعتماد الزائد على الأنظمة المؤتمتة دون إشراف بشري، مما يؤدي إلى اضطرابات تشغيلية غير مقصودة.

• مؤشر التقدم: ضبط ضوابط الوصول ودفاعات النظام تلقائياً بناءً على قياسات التهديدات في الوقت الفعلي.

الأدلة والوثائق التي تثبت التقدم

لإثبات نضج البرنامج للمدققين الداخليين، أو أعضاء مجلس الإدارة، أو الهيئات التنظيمية، يجب على فرق الأمن الاحتفاظ بأدلة تشغيلية معتمدة في كل مستوى.

الوثائق والأدلة الرئيسية حسب الفئة

• الحوكمة واستراتيجية المخاطر:

  • المستوى 1: رسائل بريد إلكتروني غير رسمية أو ملاحظات محلية تظهر تتبع المشكلات الفنية.

  • المستوى 2: سياسات أمنية موقعة من الإدارة؛ تقييمات مخاطر المشاريع المحلية.

  • المستوى 3: سياسات أمنية على مستوى المؤسسة مع سجلات موافقة سنوية؛ سجل مخاطر الشركة الذي يضم مدخلات مخصصة للمخاطر السيبرانية؛ سجلات استثناءات المخاطر الرسمية الموقعة من قبل أصحاب المصلحة في الأعمال.

  • المستوى 4: لوحات معلومات ديناميكية لإدارة المخاطر تراجعها لجان مجلس الإدارة التنفيذي؛ نتائج نمذجة المخاطر الكمية (مثل محاكاة مونت كارلو) المستخدمة في التخطيط الاستراتيجي للأعمال.

• الضوابط التشغيلية والبنية الأمنية:

  • المستوى 1: جداول بيانات يدوية تتبع معدات الشبكة والخوادم.

  • المستوى 2: تقارير فحص الثغرات المجدولة؛ مخططات البنية الأساسية للشبكة.

  • المستوى 3: سجلات منصة إدارة الأصول المؤتمتة والمستمرة؛ وثائق البنية الأمنية المرجعية للثقة الصفرية؛ مستودعات قواعد الكشف المركزية لنظام SIEM والمتوافقة مع إطار MITRE ATT&CK.

  • المستوى 4: سجلات فحص أمن البنية التحتية كبرمجية (IaC)؛ تتبع تنفيذ أدلة الاستجابة المؤتمتة؛ بيانات قياس الإدارة المستمرة للتعرض للتهديدات.

• المرونة وإدارة الأطراف الخارجية:

  • المستوى 1: خطط شفهية للنسخ الاحتياطي للنظام.

  • المستوى 2: استبيانات تقييم أمن الموردين؛ سجلات اختبار استعادة النسخ الاحتياطي السنوية.

  • المستوى 3: سجلات سياسة C-SCRM الرسمية؛ تقارير درجات المخاطر المستمرة للأطراف الخارجية؛ نتائج تمارين المحاكاة المكتبية الموثقة للاستجابة للحوادث بمشاركة فرق قيادية متعددة الوظائف.

  • المستوى 4: قياسات مستمرة لمنظومة مخاطر الموردين؛ بيانات اختبار الاسترداد المؤتمت في الوقت الفعلي؛ سجلات إجراءات المعالجة بعد الحوادث التي تثبت حدوث تغييرات في البنية الأمنية بعد وقوع الحادث.

المقاييس: كيف تقيس التحسن الحقيقي للبرنامج

إن تقييم تقدم برنامج الأمن بناءً على مقياس الأنشطة فقط يعطي شعوراً زائفاً بالأمان. ويتطلب قياس التقدم تتبع مقاييس المخاطر والنتائج التي تعكس المرونة التشغيلية الفعلية.

مقاييس الأنشطة مقابل مقاييس النتائج

المقاييس الأساسية لتتبع البرنامج

1. متوسط الوقت للكشف (MTTD) والاحتواء (MTTC): يتتبع الكفاءة التشغيلية. فالانتقال من المستوى 1 إلى المستوى 3 يقلل MTTD من أسابيع إلى ساعات؛ بينما تحقق بيئات المستوى 4 الاحتواء في دقائق عبر الأتمتة الديناميكية.

2. نافذة تعرض الأصول الحيوية للثغرات: يقيس المدة الزمنية التي تظل فيها الأنظمة عالية القيمة معرضة للثغرات الأمنية المعروفة والمستغلة.

3. عمق تغطية الضوابط: النسبة المئوية لأنظمة المؤسسة المتوافقة مع الخطوط الأساسية الأمنية المعتمدة (المستهدف >95% للمستوى 3).

4. رؤية مخاطر الأطراف الخارجية: النسبة المئوية للموردين الحرجين من المستوى الأول الذين تتم مراقبة وضعهم الأمني باستمرار.

5. معدل الحوادث المتكررة: يقيس مدى فعالية تطبيق الدروس المستفادة بعد الحوادث لمنع تكرار نواقل هجوم مماثلة.

الأخطاء الشائعة والأنماط المعاكسة للنجاح

غالباً ما تواجه المؤسسات التي تحاول تطبيق مستويات إطار NIST CSF أخطاء استراتيجية تؤدي إلى تعثر التقدم.

أبرز الأنماط التشغيلية المعاكسة

1. التعامل مع المستوى 4 كشهادة إلزامية: يذكر المعهد (NIST) صراحةً أن المستوى 4 ليس مناسباً لجميع المؤسسات أو الأنظمة. فالسعي لتحقيق المستوى 4 للبيئات منخفضة المخاطر وغير الحيوية يهدر الموارد التي يمكن توظيفها بفعالية في أماكن أخرى.

2. مساواة نشر الأدوات بالنضج: إن شراء أدوات متطورة للبحث عن التهديدات أو منصات مؤتمتة لا يرفع مستوى المؤسسة تلقائياً. فإذا تم نشر الأدوات دون عمليات موثقة، أو ملكية واضحة، أو موظفين مدربين، تظل المؤسسة في المستوى 1 أو المستوى 2.

3. الخلط بين الامتثال وإدارة المخاطر: إن اجتياز تدقيق الامتثال الخارجي (مثل PCI-DSS، SOC 2) يثبت فقط أن ضوابط محددة كانت قائمة في لحظة زمنية معينة. ولا يعني ذلك أن المؤسسة قد حققت ممارسات إدارة مخاطر قابلة للتكرار (المستوى 3) أو تكيفية (المستوى 4).

4. الفصل بين مخاطر تكنولوجيا المعلومات (IT) ومخاطر التكنولوجيا التشغيلية (OT): إن تطبيق قوالب أمان تكنولوجيا المعلومات القياسية مباشرة على بيئات التكنولوجيا التشغيلية دون مراعاة السلامة المادية، والتوافر التشغيلي، وقيود الأنظمة القديمة يخلق مخاطر تشغيلية جسيمة.

5. الفشل في تحديد القابلية للمخاطر: إن بناء ملف تعريفي مستهدف دون توجيه صريح من قيادة الشركة بشأن مستويات المخاطر المقبولة يؤدي إلى عدم توافق ميزانيات الأمن وحدوث احتكاك تشغيلي.

اعتبارات خاصة ببيئات تكنولوجيا المعلومات/التكنولوجيا التشغيلية (IT/OT) والبنية التحتية الحيوية

تواجه المؤسسات التي تدير نظم التحكم الصناعي (ICS)، والتكنولوجيا التشغيلية (OT)، والبنية التحتية الحيوية تحديات فريدة عند تطبيق مستويات إطار NIST CSF.

القيود التشغيلية في بيئات التكنولوجيا التشغيلية (OT)

يتطلب تطبيق المستويات داخل بيئات التكنولوجيا التشغيلية تكييف الممارسات لمراعاة القيود التشغيلية التالية:

• السلامة كأولوية قصوى: في تكنولوجيا المعلومات، غالباً ما تكون السرية هي الهدف الأساسي. أما في التكنولوجيا التشغيلية (مثل شبكات الكهرباء، والمصانع الكيميائية، والتصنيع)، فإن السلامة الجسدية واستمرارية العمليات لهما الأسبقية القصوى.

• ثغرات الأنظمة القديمة: غالباً ما تستخدم بيئات التكنولوجيا التشغيلية وحدات تحكم قديمة صُممت منذ عقود دون قدرات مدمجة للمصادقة أو التشفير أو تسجيل السجلات. ويمكن أن تؤدي استراتيجيات إدارة الثغرات التقليدية الخاصة بتكنولوجيا المعلومات (مثل التحديث السريع للأنظمة) إلى عدم استقرار النظام أو توقف العمليات.

• تجزئة البنية الأمنية: يعتمد تحقيق المستوى 3 أو المستوى 4 في بيئات التكنولوجيا التشغيلية بشكل كبير على التجزئة الصارمة للشبكة (مثل نموذج بيردو Purdue Model) والمراقبة السلبية للشبكة، بدلاً من نشر برمجيات وكيلة نشطة على الأجهزة الطرفية قد تقاطع حلقات التحكم المادي.

تخصيص تدرج المستويات للبنية التحتية الحيوية

خلاصة تنفيذية وقائمة مراجعة قابلة للتنفيذ

لا يُقاس برنامج الأمن السيبراني الناضج بعدد التقنيات الأمنية المنشورة. بل يُقاس بمدى فعالية المؤسسة في فهم مخاطر الأمن السيبراني وإدارتها ونقلها والتكيف المستمر معها. 

إن التقدم عبر مستويات تطبيق إطار NIST CSF هو تحول مؤسسي، وليس مجرد ترقية تقنية. ويتطلب الارتقاء عبر هذه المستويات قيادة قوية، وحوكمة واضحة، ومواءمة مع متطلبات العمل، وثقافة قائمة على التحسين التشغيلي المستمر.

قائمة مراجعة التقدم للإدارة التنفيذية

استخدم قائمة التقييم الذاتي هذه لتحديد ما إذا كانت مؤسستك تتقدم عبر مستويات التطبيق:

• [ ] ملكية محددة للمخاطر: هل يتولى مسؤول تنفيذي معين المسؤولية الرسمية عن إدارة المخاطر السيبرانية عبر المؤسسة بأكملها؟

• [ ] مواءمة الأعمال: هل تم ربط وظائف العمل عالية القيمة مباشرة بالأصول التقنية الأساسية التي تدعمها؟

• [ ] إنفاذ شامل للسياسات: هل سياسات الأمن السيبراني موثقة رسمياً، ومعتمدة من القيادة، ومُدققة بشكل متسق عبر جميع وحدات الأعمال؟

• [ ] التكامل مع إدارة المخاطر المؤسسية (ERM): هل يتم تقييم مخاطر الأمن السيبراني بمصطلحات تجارية ومالية جنباً إلى جنب مع المخاطر المؤسسية أثناء التخطيط التنفيذي؟

• [ ] الإشراف على سلاسل التوريد: هل تتبع المؤسسة بنشاط المخاطر السيبرانية التي يقدمها بائعو الأطراف الخارجية وموردو البرمجيات وتقيمها وتديرها؟

• [ ] المراقبة المستمرة ومركز العمليات الأمنية (SOC): هل تحافظ المؤسسة على رؤية شاملة على مدار الساعة للشبكات مع وجود أدلة استجابة مختبرة وواضحة للحوادث؟

• [ ] المقاييس القائمة على النتائج: هل تتبع القيادة مقاييس تركز على الحد من المخاطر وأداء الاستجابة (مثل MTTD، MTTR) بدلاً من مجرد تعداد الأنشطة؟

• [ ] التعلم المؤسسي: هل توجد عملية رسمية لدمج الدروس المستفادة بعد الحوادث ومعلومات التهديدات في تحديثات البنية الأمنية والسياسات؟

المصادر والمراجع

1. المعهد الوطني للمعايير والتكنولوجيا (NIST): إطار الأمن السيبراني (CSF) 2.0 من NIST (NIST CSWP 29)، مارس 2024.

2. المعهد الوطني للمعايير والتكنولوجيا (NIST): تطبيق إطار الأمن السيبراني من NIST الإصدار 2.0، وثائق إرشادات NIST، 2024.

3. منشور NIST الخاص 800-30 مراجعة 1: إجراء تقييمات مخاطر أمن المعلومات، NIST، سبتمبر 2012.

4. منشور NIST الخاص 800-37 مراجعة 2: إطار إدارة المخاطر لنظم المعلومات والمؤسسات، NIST، ديسمبر 2018.

5. منشور NIST الخاص 800-207: بنية الثقة الصفرية، NIST، أغسطس 2020.

6. منشور NIST الخاص 800-82 مراجعة 3: دليل أمن التكنولوجيا التشغيلية (OT)، NIST، سبتمبر 2023.

7. وكالة الأمن السيبراني وأمن البنية التحتية (CISA): أهداف أداء الأمن السيبراني متعددة القطاعات (CPGs)، الإصدار 2.0، CISA، 2023.