المدار يواجه الفريق المالي الذي يحتفظ ببيانات الدخول إلى الحسابات البنكية على حاسوب محمول سؤالاً أساسياً: من المسؤول عن هذه المخاطر على مستوى مجلس الإدارة؟ وهذا السؤال ينطبق على أي شركة، وليس على البنوك وحدها.
تندرج هذه الخدمة ضمن إطار إدارة المخاطر المؤسسية الأوسع، وتتصل اتصالاً وثيقاً بتخطيط إدارة الأزمات؛ فالحادثة السيبرانية الجسيمة من أكثر ما قد يستدعي استجابة الشركة للأزمات.
لماذا تقع المسؤولية على مجلس الإدارة وليس على تقنية المعلومات وحدها
تتوقع متطلبات حماية البيانات في المملكة وأطر الأمن السيبراني القطاعية، بصورة متزايدة، إشرافاً وتقارير على مستوى المجلس بشأن المخاطر السيبرانية، مع رؤية حوكمية تعلو إدارة تقنية المعلومات. والمجلس الذي لا يستطيع وصف وضعه من هذه المخاطر في اجتماعه يبقى عرضة للمساءلة، مهما كانت جودة الضوابط التقنية.
ما الذي يغطيه التقييم السليم
يراجع التقييم السليم الحوكمة والسياسات إلى جانب الضوابط التقنية، وغالباً بالتنسيق مع مراجعة الضوابط العامة لتقنية المعلومات. كما يختبر جاهزية الاستجابة للحوادث، ويشمل بصورة متزايدة مخاطر الأطراف الثالثة والموردين، لأن جزءاً كبيراً من البنية التحتية يعمل اليوم لدى مزودي خدمات سحابية خارجيين.
فجوة شائعة: أدوات تقنية دون حوكمة
كثيراً ما تستثمر الشركات في أدوات الأمان التقنية دون استثمار مماثل في الحوكمة وتخطيط الاستجابة للحوادث. وقد تملك الشركة ضوابط تقنية جيدة ثم تتعامل مع الحادثة بصورة ضعيفة، لغياب عملية قرار مجرَّبة تحدد من يفعل ماذا في الساعات الأولى.
التقنية التشغيلية فئة مخاطر مستقلة
مع رقمنة المنشآت الصناعية في الرياض لخطوط إنتاجها، تصبح مخاطر التقنية التشغيلية فئة مستقلة. وهي مخاطر الأنظمة التي تتحكم في المعدات المادية وليس في بيانات الشركة، ولا يعالجها عادة تقييم سيبراني مؤسسي عام صُمم لتقنية المعلومات المكتبية.
ما الذي تقدمه الخدمة
تقرير بالملاحظات مرتبة حسب الأولوية، يغطي الأبعاد الحوكمية والتقنية وأبعاد الأطراف الثالثة معاً، ويرتبها بحسب الأثر على الأعمال وليس بحسب الخطورة التقنية وحدها. فالمجلس يحتاج إلى فهم العواقب بلغة الأعمال، وليس إلى قائمة ثغرات مصنفة على مقياس تقني.