تقرير الاستعداد للمستقبل: ركائز استشراف السلامة الرقمية

من خلال الجمع بين ست ركائز وأربعة مسارات للاستجابة، يقدّم هذا التقرير دليلاً عملياً لتطبيق الاستشراف داخل المؤسسات.

لطالما كان الاستعداد للتحولات التي يشهدها العالم الرقمي أمراً بالغ الأهمية بالنسبة إلى المؤسسات، إلا أنه أصبح اليوم أكثر إلحاحاً من أي وقت مضى. فالتقنيات الجديدة، مثل الذكاء الاصطناعي الوكيلي، والذكاء الاصطناعي التوليدي، والتقارب بين الأجهزة القابلة للارتداء والمنصات الغامرة مثل الواقع الافتراضي والواقع المعزز، تفتح مسارات جديدة للضرر يسارع الخصوم إلى تبنيها واستغلالها.

يساعد الاستشراف فرق الأعمال، ولا سيما العاملين في مجال الثقة والسلامة، على توقّع الأضرار الناشئة قبل أن تتوسع، وعلى التخطيط للاستجابة لها مع إدراك أن بعض الأضرار قد تنجح رغم التدابير الوقائية. وتستخدم مؤسسات عديدة الاستشراف بهذه الطريقة بالفعل، غير أن بعضها، خصوصاً المؤسسات ذات القدرات المحدودة، لا يمتلك عملية أو آلية مخصصة لهذا الغرض.

يبني هذا التقرير حول الاستشراف على تقرير التحالف العالمي للسلامة الرقمية الصادر عام 2023 بعنوان «مجموعة أدوات تدخلات وابتكارات تصميم السلامة الرقمية: تصنيف الأضرار عبر الإنترنت»، وعلى تقرير عام 2025 بعنوان «رحلة التدخل: خارطة طريق لتدابير فعالة للسلامة الرقمية».

وتستخلص ركائز الاستشراف الواردة في هذا التقرير أفضل الممارسات التي جُمعت من المؤسسات التي جرت استشارتها، وتحولها إلى ستة عناصر أساسية لاستشراف السلامة الرقمية:

التأطير والحوكمة

تحديد السؤال، والنطاق، والحدود، وصلاحيات اتخاذ القرار.

الرصد

توسيع مجال رؤية المؤسسة ليتجاوز ما يجري قياسه بالفعل، أو مناقشته داخلياً، أو ملاحظته من خلال العمليات اليومية.

النمذجة

تحويل إشارات التغيير إلى تفسيرات مفيدة لصنع القرار، توضّح كيف يمكن للأضرار أن تظهر وتتوسع وتتكيّف في العالم الواقعي.

تقييم الجاهزية

اختبار مدى قدرة المؤسسة فعلياً على منع أضرار السلامة الرقمية التي قد تواجهها، أو اكتشافها، أو الاستجابة لها، أو التعلم منها.

إرساء الإنذار المبكر

تحويل نتائج النمذجة إلى وعي مستمر وجهود داعمة لضمان الجاهزية.

التوليف

دمج مخرجات الركائز الأخرى في رؤية موحّدة وواضحة وجاهزة لاتخاذ القرار بشأن الضرر الناشئ.

لا يُقصد بهذه الركائز أن تكون مجموعة إلزامية ومتتابعة من الخطوات، بل دليلاً يوضّح العناصر الأكثر أهمية لتحقيق استشراف فعال للسلامة الرقمية.

واستناداً إلى مخرجات هذه الركائز، يعرض التقرير أيضاً أربعة مسارات للاستجابة تساعد المؤسسات على تحديد خطواتها التالية:

1. معروف ومشمول بالحماية

حيث تعزز المؤسسات تدابير الحماية القائمة.

2. جديد أو تغطيته غير مؤكدة

حيث تختبر الفرق الحلول، وتتعلّم، وتقرر ما إذا كان يتعين تغيير نهج المؤسسة.

3. غير مشمول بالحماية

حيث ينبغي بناء ضمانات وقائية جديدة قبل اتساع نطاق التعرض للضرر.

4. غير قابل للتنبؤ أو مجهول

حيث تساعد آليات التنبيه، وأنظمة المراقبة، وسبل الانتصاف القوية المؤسسات على التصرف بحذر في ظل حالة عدم اليقين.

من خلال ركائز استشراف السلامة الرقمية ومسارات الاستجابة، يقدّم هذا التقرير نهجاً تأسيسياً ومنظماً لتطبيق الاستشراف داخل المؤسسات، ويضمن انتقال هذا العمل من مجرد نشاط معرفي أو قائم على التكهن إلى عملية أكثر توجهاً نحو التنفيذ والعمل.

المقدمة

لمواجهة التهديدات المحتملة في عالم رقمي سريع التطور، ستستفيد المؤسسات من مشاركة أفضل الممارسات.

لا يكفي التحرك بعد وقوع الضرر واتساع نطاقه؛ بل يجب على المؤسسات رصد مؤشرات التغيير التي قد تؤدي إلى ظهور مسارات وأضرار جديدة.

يتغير عالم الإنترنت اليوم باستمرار. فالتطورات السريعة في الذكاء الاصطناعي، والوسائط الاصطناعية، وخدمات المراسلة الخاصة، والبيئات الرقمية الغامرة، تعيد تشكيل طرق التأثير في الأفراد، وبناء الثقة، وسرعة انتشار السلوكيات الضارة.

وتوسّع هذه التحولات فرص وقوع أضرار مثل الاحتيال، والإكراه، والتحرش، والاستدراج، وإساءة استخدام الخدمات، والاستغلال المرتبط بالخصوصية. وقد تنشأ هذه الأضرار من خلال المحتوى المرئي والتفاعلات بين الأفراد، لكنها قد تحدث أيضاً من خلال إساءة استخدام خدمات المؤسسات والحوسبة السحابية والبنية التحتية التي يجري استغلالها لإلحاق الضرر بأطراف ثالثة.

ولا يكفي التحرك بعد وقوع الضرر واتساع نطاقه؛ بل يجب على المؤسسات رصد مؤشرات التغيير التي قد تؤدي إلى ظهور مسارات وأضرار جديدة.

ومن السمات الأساسية لهذا المشهد أن الخصوم يتعلمون ويتكيفون عبر مختلف الأنظمة والمنصات. وبات الضرر موزعاً بصورة متزايدة بين مؤسسات متعددة، في حين تقلل الأتمتة منخفضة التكلفة والهويات الاصطناعية من الصعوبات التي تواجه من يحاولون اختبار الضوابط، أو انتحال شخصيات موثوقة، أو تجاوز الحماية، أو التلاعب بالضحايا.

وفي الوقت نفسه، تتطور بيئة الحوكمة بالتوازي مع مشهد التهديدات، ولكن ليس بصورة متساوية دائماً. فأنظمة المخاطر النظامية، ومتطلبات السلامة عبر الإنترنت، وقوانين الخصوصية، تدفع المؤسسات نحو إدارة مستمرة للمخاطر وتعزيز المساءلة. كما تفرض حوكمة الذكاء الاصطناعي، وتنظيم الخصوصية، والقواعد الخاصة بكل قطاع، التزامات متداخلة وتوقعات متغيرة.

وتتفاوت القدرات التشغيلية بين المؤسسات. فبعضها يمتلك وظائف قوية ومتطورة في مجالات الثقة والسلامة، واستخبارات التهديدات، والاستعداد، في حين تعمل مؤسسات أخرى بفرق صغيرة، وتعاني محدودية الرؤية، وقد تخفض أولوية مهام الاستشراف.

وينتج عن ذلك تفاوت في الحد الأدنى لمستوى السلامة، إذ يمكن أن تبدو الأضرار المتشابهة مختلفة تماماً باختلاف المكان الذي تتوفر فيه الأدلة، والجهة التي تمتلك صلاحية التدخل، والأدوات المتاحة للمؤسسة.

تعالج العديد من الأساليب القائمة مخاطر السلامة بفعالية بالفعل، ولا سيما المخاطر المرتبطة بالتغييرات الداخلية في المنتجات، مثل إطلاق ميزات جديدة، أو تحديث السياسات، أو إصدار نماذج جديدة. ويظل هذا المنظور الداخلي ضرورياً.

ومع ذلك، تحتاج المؤسسات أيضاً إلى النظر خارج أنظمتها الخاصة، لأن التحولات في التكنولوجيا أو اللوائح أو الأحداث العالمية أو أساليب المهاجمين قد تخلق مخاطر جديدة.

لا يتمثل هدف هذا التقرير في تقديم الاستشراف باعتباره مفهوماً جديداً، بل في الاعتراف بما تقوم به فرق عديدة بالفعل وتعزيزه من خلال مشاركة أفضل الممارسات التي طورتها المؤسسات، وصياغتها في شكل ست ركائز لاستشراف السلامة الرقمية.

كما يعرض التقرير أربعة مسارات للاستجابة تساعد المؤسسات على تحديد توجهاتها العامة استناداً إلى نتائج عمليات الاستشراف لديها.

ولا يسعى التقرير إلى فرض سير عمل واحد باعتباره النهج الصحيح، أو افتراض أن المؤسسات تمتلك فرقاً كبيرة، بل يهدف إلى التأكيد على ضرورة اعتماد الاستشراف داخل المؤسسات.

وقد صُممت الركائز بحيث تكون قابلة للاستخدام والتكيّف وفقاً للقدرات المتاحة، بما في ذلك اقتراح طرق لاستخدام الذكاء الاصطناعي لتقليل عبء العمل مع الحفاظ على المساءلة البشرية.

1. محركات التغيير في البيئة الرقمية

تفرض خمسة مجالات سريعة التطور، من بينها الذكاء الاصطناعي والتكنولوجيا العصبية، تحديات أمام الجهات الساعية إلى تعزيز السلامة الرقمية.

تتغير البيئة الرقمية بوتيرة متسارعة مع نضوج قدرات جديدة للذكاء الاصطناعي، وتجزؤ قنوات التوزيع ثم إعادة دمجها، وتحول الحوافز التجارية، وتطور التوقعات التنظيمية.

ولا تؤدي هذه التحولات إلى زيادة عدد الحوادث فحسب، بل تخلق أيضاً مسارات ضرر أسرع وأكثر قدرة على التكيف، إذ يمكن للأساليب والأهداف والأسطح المعرضة للخطر أن تتغير خلال أسابيع قليلة.

ويجعل ذلك الاستشراف أكثر أهمية، لأنه يساعد الفرق على التعرف مبكراً إلى الظروف الناشئة، ومراجعة الافتراضات قبل أن تتحول إلى نقاط عمياء، والاستعداد مسبقاً باستجابات متناسبة قبل أن تتوسع الأضرار إلى مستوى يصعب احتواؤه.

ولا تمثل محركات التغيير الواردة أدناه قائمة شاملة، بل تسلط الضوء على تحولات خارجية بارزة تعيد تشكيل كيفية نشوء الضرر واتساع نطاقه واستغلاله وإخفائه عبر النظام الرقمي الأوسع.

ولا تكمن المشكلة في أن هذه التقنيات ضارة بطبيعتها، بل في أن القدرات نفسها التي توفر قيمة للمستخدمين والمؤسسات تغيّر أيضاً نطاق مخاطر السلامة بطرق يجب على الاستشراف توقعها.

وتجري بالفعل معالجة هذه المحركات، إلا أن التحدي يتمثل في أن الظروف الكامنة وراءها تتسارع وتتداخل بطرق جديدة، مما يخلق مسارات جديدة وآثاراً ممتدة قد لا تتوافق مع الأنماط التاريخية أو افتراضات المؤسسات.

1.1 الذكاء الاصطناعي والأتمتة

يمكن للوكلاء القائمين على الذكاء الاصطناعي تضخيم حملات التحرش والتأثير المعلوماتي من خلال أتمتة التفاعلات المسيئة واسعة النطاق وتنسيقها.

لم يعد الذكاء الاصطناعي مجرد وظيفة منفصلة في روبوت محادثة، بل يتحول إلى طبقة عامة قوية تتوسط عمليات التواصل والبحث والإبداع واتخاذ القرار من خلال الذكاء الاصطناعي الوكيلي.

كما أصبحت الأتمتة أكثر تشبهاً بالبشر، إذ باتت النماذج قادرة على إنتاج لغة ووسائط مقنعة، وإجراء محادثات طويلة، وتنفيذ إجراءات في البيئات الرقمية باستخدام الأدوات.

وتوفر هذه القدرات فوائد للمستخدمين والمؤسسات، لكنها تقلل أيضاً التكلفة والصعوبة المرتبطتين بالتأثير في المستخدمين وارتكاب الاحتيال والإساءة، مما يمكّن الخصوم من العمل بسرعة ونطاق ودرجة من المصداقية تفوق ما كان ممكناً في عصور «الروبوتات» السابقة.

العلاقات شبه الاجتماعية والعلاقات مع الذكاء الاصطناعي

يتزايد استخدام الأنظمة الحوارية بوصفها شركاء اجتماعيين، بدءاً من الرفقاء والمدربين وشخصيات لعب الأدوار، وصولاً إلى الأطراف المتاحة باستمرار للاستماع والثقة.

وبالنسبة إلى كثير من المستخدمين، يمكن لهذه الأنظمة أن توفر الرفقة، والمساعدة في الدراسة، والدعم العاطفي، وتعزيز إمكانية الوصول، والمساعدة السهلة عندما لا يتوفر الدعم البشري.

وتشير استطلاعات الرأي إلى أن هذا الاستخدام أصبح شائعاً بالفعل بين المراهقين، إذ جرّبت نسبة كبيرة منهم رفقاء الذكاء الاصطناعي، كما أصبح استخدام روبوتات المحادثة واسع الانتشار، مع تفاعل بعضهم معها بصورة يومية.

ولا يتمثل التحول المرتبط بالسلامة فقط في تفاعل الأفراد مع الذكاء الاصطناعي، بل في تكوينهم أنماطاً من الثقة والإفصاح مع أنظمة قادرة على محاكاة نبرة الحديث، وتذكر التفاصيل، والتكيف مع الإشارات العاطفية.

ولا يقتصر الأمر على الذكاء الاصطناعي، إذ تعمل الشخصيات المؤثرة عبر الإنترنت، سواء بقصد أو من دون قصد، على تعزيز العلاقات شبه الاجتماعية من خلال مشاركة تحديثات شخصية متكررة، والتحدث مباشرة إلى الجمهور، وبناء المجتمعات الرقمية.

وقد يؤدي ذلك إلى نشوء روابط تبدو شبيهة بالصداقة بفعل الإحساس بالتقارب والصدق.

وتخلق هذه الديناميكيات العاطفية مسارات جديدة للتلاعب والاستدراج. إذ يمكن للخصوم إطلاق رفقاء اصطناعيين أو شخصيات حوارية بهدف بناء علاقة وثقة مع أعداد كبيرة من الأفراد، والتعرف تدريجياً إلى تفاصيلهم الشخصية، واختبار حدودهم، ودفعهم خطوة بعد أخرى نحو سلوكيات معينة.

ونظراً إلى أن هذه التفاعلات تجري بصورة خاصة ومستمرّة، فقد يبدو التلاعب في صورة اهتمام أو رعاية، من خلال رسائل تجعل السلوكيات الخطرة تبدو طبيعية، أو تشجع على السرية، أو تدفع المستخدمين إلى الانتقال إلى منصات أخرى، أو تجمع إفصاحات حساسة يمكن استخدامها لاحقاً في الإكراه.

وغالباً ما تظهر الأضرار في شكل اعتماد تدريجي أو تصعيد متواصل، بدلاً من رسالة واحدة تنتهك السياسات، مما يجعل اكتشافها والإبلاغ عنها ومعالجتها أكثر صعوبة.

وكلاء الذكاء الاصطناعي

يتمثل أحد التحولات التكنولوجية الكبرى في ظهور أنظمة ذكاء اصطناعي قادرة على التخطيط للمهام وتنفيذها، بدلاً من الاكتفاء بالاستجابة للأوامر.

فالوكلاء الذين يستخدمون المتصفحات وأجهزة الحاسوب يستطيعون التنقل بين الواجهات، والنقر على الأزرار، وإكمال عمليات متعددة المراحل داخل بيئات صُممت في الأصل للبشر.

ويؤثر ذلك في السلامة الرقمية لأنه يخفض الحواجز التي تحول دون مشاركة الأتمتة في أي مساحة يشارك فيها البشر، بما في ذلك قنوات الدعم، والأسواق الرقمية، وإجراءات تسجيل المستخدمين، وبوابات المطورين، والأدوات الداخلية للمؤسسات، دون الحاجة إلى وصول مميز إلى واجهات برمجة التطبيقات.

وفي الاستخدامات المشروعة، يمكن لهؤلاء الوكلاء تقليل العبء التشغيلي، وتحسين إمكانية الوصول، ومساعدة المستخدمين والعاملين على إكمال المهام الرقمية المعقدة بكفاءة أكبر.

أما بالنسبة إلى الخصوم، فتوسّع الأتمتة الوكيلية نطاق العمليات ومساحة الهجوم في آن واحد. إذ يمكن للوكلاء تسجيل الحسابات، واختبار نقاط الاحتكاك، وإنشاء طلبات دعم مقنعة، أو تنفيذ حملات هندسة اجتماعية تتكيف مع الردود المباشرة.

كما يمكن للوكلاء الذين يستخدمون واجهات المستخدم توسيع المشاركة غير الأصيلة بصورة كبيرة، مما يقوض الثقة في ما يبدو شائعاً أو مشروعاً. وقد ارتبط هذا التأثير سابقاً بالروبوتات الاجتماعية، إلا أن تنفيذه عبر خدمات متعددة قد يصبح أسهل باستخدام الوكلاء.

ويمكن للوكلاء أيضاً تضخيم حملات التحرش والتأثير المعلوماتي من خلال أتمتة التفاعلات المسيئة واسعة النطاق وتنسيقها.

وتسرّع الأتمتة الوكيلية كذلك إساءة استخدام البنية التحتية، إذ يستطيع الوكلاء إنشاء موارد سحابية آلياً، وتسجيل نطاقات إلكترونية، ونشر بنية تحتية للتصيد الاحتيالي أو توزيع البرمجيات الخبيثة، والتنقل بين الحسابات وعناوين بروتوكول الإنترنت بسرعة تفوق العمليات اليدوية.

كما يقدم هؤلاء الوكلاء فئات جديدة من الهجمات. فعندما يستهلكون محتوى غير موثوق، يمكن التلاعب بهم من خلال حقن الأوامر وتقنيات مشابهة، بما يؤدي إلى إعادة توجيه سلوكهم أو استخراج البيانات منهم.

ويُعد حقن الأوامر خطراً مستمراً بالنسبة إلى الوكلاء العاملين عبر الإنترنت والذين يتفاعلون مع محتوى مفتوح.

وينقل ذلك جزءاً من أعمال السلامة من الإشراف على المحتوى إلى التحكم في التنفيذ، مثل منح الأدوات أقل قدر ممكن من الصلاحيات، وتوفير سجلات تدقيق، وطلب تأكيد المعاملات، وإتاحة إيقاف الإجراءات أو التراجع عنها عندما ينحرف السلوك عن المتوقع.

الذكاء الاصطناعي وطبقة المعلومات

تتحول النماذج الأساسية ومساعدات الذكاء الاصطناعي إلى طبقة وسيطة للوصول إلى المعلومات، إذ تلخص المحتوى، وتقدم التوصيات، وتجيب عن الأسئلة ضمن تدفق حواري واحد.

ويمكن لذلك أن يخلق قيمة حقيقية من خلال تقليل صعوبة البحث، وتسريع عملية تجميع المعلومات وتحليلها، ومساعدة المستخدمين على التنقل داخل بيئات معلوماتية واسعة أو معقدة.

ويتزايد اعتماد الجمهور على هذه الأدوات بسرعة، بما في ذلك استخدامها للحصول على الأخبار ومتابعة الشؤون الجارية.

ولا يقتصر الخطر على اختلاق المعلومات، بل يشمل أيضاً السلطة التي تكتسبها الإجابات. فعندما يقدم المساعد خلاصة واثقة، قد تقل احتمالية مراجعة المستخدمين للمصادر، وقد تنتشر الأخطاء من خلال إعادة النشر ولقطات الشاشة والقرارات اللاحقة.

ويغيّر ذلك ديناميكيات التأثير، لأن الإقناع يصبح أقل تكلفة وأكثر استهدافاً. إذ يستطيع المهاجمون إنشاء روايات مصممة خصيصاً لفئات معينة، واختبار نسخ متعددة لتحقيق أعلى مستوى من التفاعل، وإغراق البيئات المعلوماتية بحجج تبدو غنية بالأدلة ومقنعة، لكنها غير موثوقة.

وفي بيئات المؤسسات، تنشئ المساعدات أيضاً تدفقات جديدة للبيانات، مثل الأوامر وسجلات التفاعل التي قد تتضمن معلومات حساسة. وقد يحاول الخصوم عمداً دفع الأنظمة إلى كشف معلومات سرية أو إنتاج إرشادات ضارة.

ولذلك، تحتاج فرق السلامة إلى متابعة كيفية تغيير أنظمة الذكاء الاصطناعي لسلوك المستخدمين ولمساحة الهجوم التي تواجه المؤسسة عبر منتجاتها وسير العمل لديها.

1.2 الوسائط والهويات الاصطناعية

انتقلت الوسائط الاصطناعية من أدوات متخصصة إلى جزء من سير العمل اليومي. فقد أصبحت تقنيات استنساخ الأصوات، والدبلجة بالذكاء الاصطناعي، وتحويل النصوص إلى صور أو مقاطع فيديو، والفلاتر الفورية، متاحة داخل تطبيقات المستهلكين ومنتجات المؤسسات.

وتدعم هذه الأدوات استخدامات مشروعة مثل الترجمة والتوطين، وتعزيز إمكانية الوصول، والإنتاج الإبداعي، والتعبير عن الهوية.

لكن مع انخفاض تكلفتها وسهولة استخدامها، يتمثل التحول الأساسي المرتبط بالسلامة في تراجع الثقة التلقائية، إذ أصبحت الإشارات البصرية والصوتية التي كانت تُعد في السابق أدلة قوية تحتاج اليوم إلى التحقق والسياق.

المعلومات والهويات الاصطناعية

تتيح المعلومات الاصطناعية تنفيذ عمليات احتيال وإكراه وانتحال أكثر إقناعاً. وقد حذرت الجهات التنظيمية المالية من استخدام مقاطع الصوت والفيديو المزيفة في مخططات احتيال تستهدف المؤسسات والعملاء.

وفي إحدى الحالات المتداولة على نطاق واسع، تعرضت شركة للخداع وحوّلت نحو 25 مليون دولار بعدما استخدم المحتالون مقاطع صوت وفيديو مزيفة خلال اجتماع عبر الفيديو.

وتوضح هذه الحوادث نمطاً أوسع يجمع فيه الخصوم بين الوسائط التي يولدها الذكاء الاصطناعي، والبيانات المخترقة، والهندسة الاجتماعية، وأنظمة الدفع السريع، لاستغلال اللحظات التي تكون فيها إجراءات التحقق أضعف.

وتمتد الأضرار أيضاً إلى التحرش والإساءة. إذ تشير الأبحاث وتقارير القطاع باستمرار إلى أن نسبة كبيرة جداً من المقاطع المزيفة المنتشرة عبر الإنترنت تتمثل في محتوى جنسي غير توافقي، وأن أكثر من 90% من المقاطع المزيفة ذات الطابع الإباحي تُنتج دون موافقة الأشخاص المستهدفين، وغالباً ما تستهدف النساء والفتيات.

ويمكن استخدام الصور الحميمة الاصطناعية للإذلال أو الابتزاز أو الإكراه. كما يمكن استغلال إمكانية إنكار صحة المحتوى من جانب الجناة، أو من جانب جهات تسعى إلى التشكيك في أدلة حقيقية.

وأصبحت الهوية نفسها أكثر قابلية للتصنيع. إذ يستطيع الذكاء الاصطناعي التوليدي إنشاء ملفات شخصية ووثائق وعينات صوتية وسجلات تفاعل مقنعة، مما يتيح عمليات احتيال بالهوية الاصطناعية تمزج بيانات حقيقية بأخرى ملفقة لتجاوز التحقق.

وبالنسبة إلى الخدمات الرقمية، تستطيع الهويات الاصطناعية فتح الحسابات، وتجاوز الحظر، والتسلل إلى المجتمعات، وإساءة استخدام الأسواق، والوصول إلى سير العمل داخل المؤسسات الذي يفترض وجود طرف بشري حقيقي.

ومع مرور الوقت، قد يؤدي انتشار المحتوى الاصطناعي إلى إضعاف أدوات السلامة نفسها. فقد أظهرت الأبحاث المتعلقة بـ«انهيار النماذج» أن تدريب نماذج الذكاء الاصطناعي بصورة متكررة على بيانات مولدة قد يؤدي إلى تراجع أدائها، بدءاً بالحالات النادرة والاستثنائية، وهي تحديداً الحالات اللازمة لاكتشاف أشكال الإساءة الجديدة والأضرار التي تطال الفئات الأقل تمثيلاً.

مصدر المحتوى وأصالته

تظهر معايير جديدة لحفظ سجل يوضح السياق الذي أُنشئ فيه المحتوى الإعلامي وكيف جرى تعديله.

وتحدد مواصفة تحالف مصدر المحتوى وأصالته طريقة لإرفاق بيانات اعتماد مشفرة وموقعة بالصور ومقاطع الفيديو والتسجيلات الصوتية.

وبدأت منصات ومزودو أدوات كبار تجربة هذه الإشارات، بما في ذلك الالتزام بإرفاق بيانات اعتماد أو عرضها على أنواع معينة من المحتوى الذي يولده الذكاء الاصطناعي.

وعندما تُطبق هذه الأنظمة بصورة جيدة وعلى نطاق واسع، يمكنها دعم فرز الحالات بسرعة أكبر، وتزويد المستخدمين بسياق أوضح، وتعزيز المساءلة عند إعادة النشر أو توزيع المحتوى عبر قنوات متعددة.

ومع ذلك، لا يزال اعتماد هذه المعايير غير متساوٍ، ويمكن للخصوم تجاوز بيانات الاعتماد من خلال إزالة البيانات الوصفية، أو إعادة تسجيل المحتوى، أو تمريره عبر قنوات لا تحتفظ بالتوقيعات أو العلامات المائية أو البيانات الوصفية.

كما قد يحاولون تزويرها باستخدام مفاتيح مخترقة أو إضافة علامات تحقق زائفة.

ولذلك، يعتمد الاستخدام الفعال لهذه التقنيات على حفظ بيانات المصدر بصورة متكاملة عبر مراحل الالتقاط والتحرير والاستضافة والعرض، إلى جانب توفير واجهات استخدام مقاومة للتلاعب وتوضح بجلاء ما الذي تثبته بيانات الاعتماد وما الذي لا تضمنه.

1.3 الاستشعار المستمر والبيئات الغامرة

أصبح التفاعل الرقمي أكثر استمرارية وغنى بأجهزة الاستشعار. فالهواتف الذكية، والأجهزة القابلة للارتداء، والمساعدات المحيطة، تجعل التواصل وإجراء المعاملات في الوقت الفعلي أسهل، في حين تضيف الواجهات الغامرة شعوراً بالحضور المكاني وإشارات متعددة الوسائط.

وتوسّع هذه التحولات أنواع البيانات التي يجري جمعها، والسياقات التي قد يقع فيها الضرر، والسرعة التي يستطيع بها الخصوم الوصول إلى أهدافهم.

الاتصال المستمر والتفاعل في الوقت الفعلي

يغيّر الاتصال الدائم، الذي أصبح سمة أساسية للحياة الرقمية، إيقاع الأضرار. إذ أفاد 41% من البالغين في الولايات المتحدة بأنهم متصلون بالإنترنت «بصورة شبه مستمرة»، مع ارتفاع هذه النسبة بين البالغين الأصغر سناً.

ويعني الوصول المستمر وجود وقت أقل للهدوء والانفصال، مما قد يجعل المستخدمين أقل انتباهاً وأكثر عرضة لمختلف أشكال الهندسة الاجتماعية.

كما تتصاعد عمليات الاحتيال بسرعة عبر حلقات الإشعارات، والمكالمات العاجلة، والضغط عبر قنوات متعددة، في حين يمكن استغلال أدوات التعاون داخل المؤسسات لتنفيذ عمليات تصيد سريعة لسرقة بيانات الدخول أو الاحتيال للحصول على الموافقات.

ويمكن استغلال الأجهزة الغنية بأجهزة الاستشعار من خلال دمج بيانات الموقع وجهات الاتصال والآثار السلوكية مع الوسائط الاصطناعية لإنشاء محاولات انتحال وإكراه مصممة بدقة.

ومع دمج مزيد من الخدمات للذكاء الاصطناعي، تزداد أهمية تقليل تعرض البيانات الحساسة إلى أدنى حد ممكن.

التكنولوجيا العصبية

تتجه التكنولوجيا العصبية نحو الاندماج في منظومات المستهلكين وأماكن العمل من خلال الأجهزة القابلة للارتداء، وتطبيقات الارتجاع العصبي، وواجهات الدماغ والحاسوب الناشئة.

وقد تدعم هذه الأدوات إعادة التأهيل، وإمكانية الوصول، والرفاه، وأشكالاً جديدة من التفاعل بين الإنسان والحاسوب.

واعتمدت منظمة الأمم المتحدة للتربية والعلم والثقافة عام 2025 توصية بشأن أخلاقيات التكنولوجيا العصبية، تعكس المخاوف من قدرة البيانات العصبية على كشف معلومات شديدة الحساسية عن الإدراك والعواطف والصحة.

ويتمثل التحول في أن الحياة الداخلية للفرد تتحول إلى بيانات، مما يوسع المخاطر لتتجاوز الخصوصية إلى الاستقلالية وحرية التفكير.

وفي البيئات شديدة الضغط، قد تتيح البيانات العصبية مراقبة قسرية واتخاذ قرارات تمييزية استناداً إلى صفات مستنتجة. أما في البيئات الاستهلاكية، فقد تُستخدم الإشارات العصبية أو العاطفية لتحسين أساليب الإقناع والتأثير.

وحتى عندما لا تستخدم المؤسسات التكنولوجيا العصبية مباشرة، فقد تعتمد على مزودين أو منظومات أجهزة تستخدمها، مما ينشئ تبعيات خارجية وفئات جديدة من التعرض للبيانات.

الواجهات الغامرة

تظهر الواجهات الغامرة، بما فيها الواقع الافتراضي والواقع المعزز والواقع المختلط، بصورة متزايدة في الحياة اليومية، بدءاً من غرف المعيشة لأغراض الألعاب واللياقة البدنية، مروراً بأماكن العمل للتعاون والتدريب، وصولاً إلى التطبيقات المعتمدة على الكاميرا في الحفلات والمتاجر.

وعند استخدامها بصورة جيدة، يمكن لهذه التقنيات تحسين التدريب والتعاون وإمكانية الوصول والترفيه والتواصل الغني بالسياق.

ومع ذلك، تغيّر هذه الواجهات مساحة الضرر لأن التفاعل فيها مجسّد وفوري. فقد يجعل الصوت المكاني، وتتبع النظر واليدين، وردود الفعل اللمسية، التحرش يبدو قريباً جسدياً، بينما تتيح الشخصيات الاصطناعية وفلاتر الصوت خداع الهوية في الوقت الفعلي.

كما ينقل الواقع المعزز المخاطر الرقمية إلى البيئات المادية، إذ يمكن للطبقات الرقمية أن تضلل المستخدمين بشأن ما يرونه، ويمكن للعناصر الافتراضية المثبتة في أماكن محددة أن تستخدم للتحرش المرتبط بالموقع، فيما تثير الكاميرات المستمرة مخاوف بشأن خصوصية الأشخاص الموجودين في المحيط.

وتتمثل النتيجة العامة في أن الأضرار قد تصبح أصعب في الملاحظة وإعادة البناء. وغالباً ما تكون الأدلة مؤقتة، كما يحدث في الجلسات المباشرة أو الطبقات المرئية العابرة.

وقد يتطلب الإبلاغ عنها أشكالاً جديدة من التوثيق، مثل المقاطع المسجلة، أو السياق المكاني، أو بيانات الأجهزة، مع ضرورة الموازنة بين ذلك وبين متطلبات الخصوصية وموافقة الأشخاص الموجودين في المكان.

1.4 التحول نحو المساحات الخاصة وشبه الخاصة

تتيح المساحات الخاصة وشبه الخاصة للخصوم تنفيذ عمليات تلاعب قائمة على مستوى مرتفع من الثقة، وتجربة أساليبهم بمخاطر أقل.

ينتقل مزيد من التفاعلات إلى قنوات خاصة وشبه خاصة، مثل تطبيقات المراسلة المشفرة، والمجموعات التي تتطلب دعوة، وقنوات البث، ومجتمعات المشتركين، وهو ما يغيّر المواقع التي يجري فيها التنسيق والإقناع وتشكيل الضرر.

وقد أعلن تطبيق واتساب وحده امتلاكه أكثر من ثلاثة مليارات مستخدم شهرياً، مما يوضح حجم المراسلة الخاصة باعتبارها طبقة أساسية للتواصل.

وقد تبدو هذه البيئات أكثر ثقة وغنى بالسياق. كما أن بعض القيود المفروضة على مراقبتها، مثل التشفير من طرف إلى طرف وخيارات التصميم التي تعطي الأولوية للخصوصية، تمثل ميزات مشروعة للأمن والخصوصية وليست عيوباً.

وفي الوقت نفسه، تقلل هذه الخصائص من قدرة مزودي الخدمات على الرؤية، مما يفرض على الفرق العمل ضمن هذه الحدود باستخدام الإشارات الهيكلية، والبيانات الوصفية، والتقارير الخارجية.

ونتيجة لذلك، أصبح النشاط الضار أكثر توزيعاً، فقد يجري تنظيمه في مساحات مغلقة، واختباره داخل مجتمعات صغيرة، ثم تنفيذه في أماكن أخرى، بما يخلق آثاراً ممتدة عبر خدمات ووسطاء ومؤسسات متعددة قد لا تكون قد استضافت التنسيق الأصلي.

وتتيح المساحات الخاصة وشبه الخاصة للخصوم التلاعب القائم على مستوى مرتفع من الثقة وتجربة أساليبهم بمخاطر أقل.

ففي هذه المساحات، تنتشر عمليات الاحتيال عبر الرسائل المعاد توجيهها، بينما تجري عمليات التجنيد والإكراه بعيداً عن الأنظار العامة، ويمكن تكييف الروايات لمجتمعات محددة مع الحصول على ردود فعل سريعة.

وغالباً ما تنتشر الأدلة في صورة لقطات شاشة أو مقاطع قصيرة أو منشورات معاد صياغتها، يصعب التحقق من صحتها ويسهل استخدامها كسلاح، في حين يمتلك المشرفون والمستجيبون إشارات أقل ويواجهون درجة أعلى من عدم اليقين.

وتدعم هذه الديناميكية أيضاً أساليب نقل الضحايا بين الخدمات، حيث يحدث الإغراء أو الاستدراج الأولي في قناة مغلقة، ثم يُنقل الضحية إلى مساحة أخرى لإجراء الدفع، أو سرقة بيانات الدخول، أو تنفيذ الاستغلال.

ويؤدي ذلك إلى تعقيد عمليات تحديد المسؤولية والإنفاذ ودعم الضحايا عبر الحدود التنظيمية للمؤسسات.

ويتمثل التحول الأساسي في أن الوقاية والاستجابة أصبحتا تعتمدان بدرجة أقل على رؤية المحتوى، وبدرجة أكبر على الإشارات الهيكلية، وأدوات تحكم المستخدمين والمشرفين، والتنسيق بين الخدمات.

ويتطلب ذلك أطر قياس واتخاذ قرار تختلف عن تلك المستخدمة في الإشراف على المنشورات العامة، مع الحفاظ على فعاليتها رغم محدودية الرؤية.

1.5 تطور الأطر التنظيمية

يمكن لاختلاف الحدود العمرية ومتطلبات التحقق أن يدفع المستخدمين نحو خدمات أقل موثوقية تتجاهل تدابير الحماية.

في أوروبا، يدفع قانون الخدمات الرقمية المنصات نحو حوكمة مستمرة قائمة على المخاطر. ويجب على الخدمات الكبيرة تحديد المخاطر النظامية، وتنفيذ إجراءات للتخفيف منها، والخضوع لعمليات تدقيق مستقلة، وإتاحة وصول الباحثين، وتعزيز الشفافية وخيارات المستخدم المتعلقة بأنظمة التوصية، والتحقق من التجار في الأسواق الرقمية، ودعم آليات الاستجابة للأزمات.

ويجمع قانون الذكاء الاصطناعي في الاتحاد الأوروبي بين نظام قائم على مستويات المخاطر، يتضمن حظر بعض الاستخدامات، وفرض التزامات صارمة على التطبيقات عالية المخاطر، واعتماد نهج مخصص للذكاء الاصطناعي ذي الأغراض العامة.

كما يفرض متطلبات للشفافية بشأن الوسائط الاصطناعية والتفاعلات مع الذكاء الاصطناعي، مما يدفع إلى تطوير سجلات دائمة، ومسارات للتقييم، وممارسات سلامة قابلة للتدقيق.

أما قانون السلامة عبر الإنترنت في المملكة المتحدة، فيلزم خدمات التواصل بين المستخدمين وخدمات البحث المشمولة بتقييم مخاطر المحتوى غير القانوني، واعتماد تدابير سلامة متناسبة قائمة على التصميم وفقاً للقواعد الصادرة عن هيئة الاتصالات البريطانية.

كما يعطي القانون الأولوية لحماية الأطفال من خلال آليات قوية للتحقق من العمر، ويفرض متطلبات أشد للشفافية والاستئناف، مدعومة بعقوبات كبيرة وصلاحيات لتعطيل الأعمال.

وخارج أوروبا، تطبق أستراليا قانوناً للسلامة عبر الإنترنت منذ عام 2015، واعتمدت مؤخراً التزاماً جديداً بالحد الأدنى لسن استخدام وسائل التواصل الاجتماعي، يفرض اتخاذ «خطوات معقولة» لمنع من تقل أعمارهم عن 16 عاماً من امتلاك حسابات على المنصات المشمولة.

وفي سنغافورة، تطبق هيئة تطوير الإعلام والاتصالات مدونة ممارسات للسلامة عبر الإنترنت على المنصات المحددة، وتطلب منها وضع ضوابط للمخاطر وتقديم تقارير سنوية.

كما توجد تشريعات أخرى، مثل القانون الأساسي للذكاء الاصطناعي في كوريا الجنوبية، وقانون سلامة الأطفال والمراهقين على الإنترنت في البرازيل، وقانون سلامة الطفل الرقمية وقانون السلامة عبر الإنترنت في دولة الإمارات العربية المتحدة.

ويخلق تشتت الأطر التنظيمية تعقيداً تشغيلياً للمؤسسات، كما يفتح فرصاً أمام الخصوم.

وتؤثر الاختلافات في التعريفات بصورة مباشرة في الاستشراف. فعندما تعرّف الولايات القضائية الضرر نفسه بطرق مختلفة، سواء من خلال اختلاف الحدود العمرية، أو نطاق المحتوى الذي يولده الذكاء الاصطناعي، أو المعايير المستخدمة لتحديد المواد غير القانونية أو الضارة، فقد تعكس الفئات التي ترصدها المؤسسة تصور ولاية قضائية واحدة وتفشل في ملاحظة أنماط اعترفت بها مناطق أخرى بالفعل.

وفي الوقت نفسه، يمكن لمتطلبات الشفافية والتدقيق وإدارة المخاطر الأكثر صرامة أن تحسن قاعدة الأدلة المشتركة، إذا نُفذت بطريقة تدعم التعلم وقياس فعالية التخفيف من المخاطر، بدلاً من الاكتفاء بتقارير شكلية، وكانت قابلة للتطبيق واقعياً.

وقد أشار التجمع العالمي لهيئات تنظيم السلامة عبر الإنترنت إلى تحديات الامتثال، وسعى إلى تعزيز الاتساق التنظيمي لضمان ألا تتوقف السلامة «عند الحدود»، ولتمكين الشركات من الاستفادة من اليقين القانوني.

ولا يقتصر التشتت التنظيمي على قوانين السلامة عبر الإنترنت والذكاء الاصطناعي. إذ تعمل المؤسسات بصورة متزايدة ضمن شبكة متداخلة من القواعد التي تؤثر في حوكمة البيانات والهوية والإعلانات والخصوصية، ولكل منها تعريفات وجداول زمنية ونماذج إنفاذ مختلفة.

وقد تؤدي التزامات الامتثال إلى تغيير الشركات لمنتجاتها وعملياتها، من خلال التحقق من العمر والهوية، وتوسيع تقارير الشفافية، وفرض قيود على الميزات تختلف بحسب الولاية القضائية. ويمكن لذلك أن يغيّر أماكن وقوع الأضرار ونوعية الأدلة المتاحة للتحقيق فيها.

وتظهر المراجعات المقارنة لتنظيم السلامة عبر الإنترنت اختلافات كبيرة بين الولايات القضائية في المتطلبات المتعلقة بالمحتوى، والتصميم، والشفافية، والإجراءات، مما يرفع تكلفة وتعقيد تشغيل الخدمات بصورة متسقة عبر الأسواق المختلفة.

ويستغل الخصوم هذه الفجوات. فقد تؤدي القيود المفروضة على تبادل البيانات عبر الحدود إلى إضعاف الإنذار المبكر والإنفاذ، من خلال منع تجميع الإشارات، وإبطاء التحقيقات، وتمكين الجهات الضارة من تمرير نشاطها عبر ولايات قضائية ذات مستويات تعاون أضعف.

كما يمكن أن تتحول آليات الامتثال نفسها إلى أسطح للهجوم. فقد تخلق إجراءات تقييد الوصول وفقاً للعمر والتحقق من الهوية فرصاً جديدة للتصيد الاحتيالي، وسرقة الهوية، وتجاوز الأنظمة باستخدام هويات اصطناعية.

وقد تدفع الاختلافات في الحدود العمرية ومتطلبات التحقق المستخدمين إلى التوجه نحو خدمات أقل موثوقية تتجاهل تدابير الحماية.

ولذلك، ينبغي التعامل مع اللوائح التنظيمية باعتبارها متغيراً يؤثر في السلامة، وليس مجرد مسألة قانونية.

2. ركائز استشراف السلامة الرقمية

من خلال توظيف الاستشراف في عمليات السلامة الرقمية، تستطيع المؤسسات الاستعداد للتصرف بسرعة وبصورة استباقية في مواجهة الخصوم.

يقدم هذا القسم مجموعة من ركائز الاستشراف المخصصة لعمليات السلامة الرقمية، والمستندة إلى أفضل الممارسات التي يمكن أن تساعد المؤسسات على البقاء في موقع متقدم أمام الأضرار الناشئة، بدلاً من الاكتفاء بالاستجابة بعد انتشار آثارها على نطاق واسع.

وتحوّل هذه الركائز الإشارات والمخاوف المبكرة إلى مخرجات منظمة وجاهزة لاتخاذ القرار.

ونظراً إلى أن معظم المؤسسات تقيّم بالفعل المخاطر الناتجة عن التغييرات التي تجريها على منتجاتها، سواء بسبب السياسات الداخلية أو اللوائح الخارجية، فقد صُممت هذه الركائز عمداً للتركيز على الأضرار الناتجة عن التغيرات الخارجية.

وتشمل هذه التغيرات التحولات في التكنولوجيا والسياسة والأسواق والثقافة وسلوك الخصوم، وهي تحولات تحدث خارج خارطة طريق المنتج، لكنها تستخدم القدرات القائمة للمنتجات بطرق جديدة أو ضارة.

ولا يعني ذلك تجاهل المخاطر الداخلية، بل تُدرج عندما تتفاعل مع هذه المحركات الخارجية أو تخلق أشكالاً جديدة من التعرض.

وتنتهي الركائز بإعداد بطاقة موجزة للضرر، تُستخدم مباشرة في القسم الثالث.

ويستند تحديد موقع الضرر ضمن مسارات الاستجابة الواردة في القسم الثالث إلى المعلومات المستخلصة من ركائز الاستشراف.

ولتوضيح كيفية تطبيق الركائز عملياً، يُستخدم المثال التوضيحي نفسه طوال التقرير:

انتشار أدوات منخفضة التكلفة لانتحال الهوية باستخدام الذكاء الاصطناعي، حيث يستخدم الفاعلون أصواتاً ومقاطع فيديو مولدة بالذكاء الاصطناعي، إلى جانب الوكلاء المؤتمتين، لانتحال شخصيات جهات اتصال موثوقة في الوقت الفعلي وعبر قنوات متعددة، مما يتيح تنفيذ عمليات احتيال وإكراه وتحرش وإساءة استخدام للوصول على نطاق واسع.

2.1 التأطير والحوكمة

تمثل ركيزة التأطير والحوكمة العنصر الذي يجعل استشراف السلامة الرقمية مرتبطاً باتخاذ القرار وخاضعاً للمساءلة. فهي تحدد السؤال والنطاق والحدود وصلاحيات اتخاذ القرار، بحيث تتحول التحليلات اللاحقة إلى إجراءات عملية.

موجز القرار وسؤال تحديد النطاق

ترتكز مؤسسات عديدة في هذا العمل على موجز قصير للقرار يُستخدم بوصفه سؤالاً لتحديد النطاق. ويوضح هذا الموجز الأهداف، ويحدد الأفق الزمني، ويؤطر العمل بطريقة تمنعه من التحول إلى مجرد متابعة عامة للاتجاهات.

وبمجرد الاتفاق عليه، ينبغي أن يوجّه سؤال تحديد النطاق جميع الأساليب المستخدمة ضمن مجموعة الركائز. كما ينبغي إشراك صانعي القرار منذ البداية وطوال العملية، حتى تؤدي المخرجات إلى تغيير فعلي في نهج المؤسسة.

ويجب أيضاً أن يحدد التأطير بوضوح وجهات النظر التي ينبغي تمثيلها، مثل التجارب الحياتية للأفراد، والسياقات الإقليمية، والخبرات المتخصصة اللازمة لكشف النقاط العمياء والافتراضات الداخلية.

يكون الموجز الفعال مختصراً، لكنه واضح ومحدد. وعادة ما يتضمن ما يلي:

– القرار أو القرارات التي تستعد المؤسسة لاتخاذها، والجهة المسؤولة عنها.

– الأفق أو الآفاق الزمنية المهمة، مثل الأسابيع عند الاستعداد للأزمات، أو الأشهر عند تقييم مدى تعرض المنتجات للمخاطر.

– المناطق الجغرافية واللغات وأنماط المحتوى وسياقات المستخدمين أو العملاء المشمولة بالنطاق.

– ما الذي سيُعد تغيراً جوهرياً في نهج التعامل مع المخاطر.

– أي تعريفات خاصة بولاية قضائية معينة من شأنها أن تغيّر بصورة جوهرية تصنيف الأضرار أو التزامات الاستجابة.

وينبغي للموجز أيضاً أن يميز بين محركات التغيير الخارجية التي تقع خارج سيطرة المؤسسة، ومحركات التغيير الداخلية الناتجة عن قراراتها، لأن خيارات الاستجابة والحوافز والمسؤوليات تختلف بين الحالتين.

عادة ما تكون الحوكمة متعددة الوظائف. فالهدف ليس الإدارة الدقيقة لكل تفصيل، بل تحقيق توافق خاضع للمساءلة بشأن شهية المؤسسة للمخاطر ونهجها في الاستجابة.

السياق التشغيلي والافتراضات

غالباً ما يفشل استشراف السلامة الرقمية عندما يفترض شكلاً معيناً للخدمة، مثل وجود علاقة مباشرة أو غير مباشرة مع المستخدمين، أو رؤية كاملة للمحتوى، أو الاعتماد على سطح واحد لتطبيق الإجراءات والضوابط.

ولذلك، ينبغي أن يوضح التأطير السياق التشغيلي منذ البداية، بما في ذلك ما يمكن ملاحظته، والمجالات التي تتقاسم فيها المسؤوليات بين الشركاء والعملاء والأطراف الثالثة، والأدوات المتاحة للتدخل.

وقد تشمل هذه الأدوات فرض قيود في تصميم المنتج، أو اكتشاف عمليات التسجيل المشبوهة أو إساءة الاستخدام، أو إرسال إشعارات إلى العملاء، أو تعليق الحسابات أو الأصول، أو تنفيذ إجراءات إزالة المحتوى، أو تطبيق ضوابط تعاقدية، أو إضافة نقاط احتكاك وقيود على الاستخدام، أو تطبيق السياسات والإنفاذ، وغيرها.

وتؤثر هذه القيود في نوعية الأدلة المتاحة، وفي الإشارات المبكرة التي يمكن الاعتماد عليها واقعياً، وفي الإجراءات التي يمكن تنفيذها بمصداقية. ولذلك، ينبغي تصميم الاستشراف ليعمل ضمن هذه القيود.

كما يجب التعامل مع الافتراضات باعتبارها فرضيات عمل، لا مسلّمات خفية. ويساعد سجل مبسط لحالات عدم اليقين أو الافتراضات الفرق على متابعة ما تعتمد عليه، وما الذي قد يثبت خطأ تلك الافتراضات، وأي الافتراضات من شأنه أن يغيّر القرار بصورة جوهرية إذا تبيّن عدم صحته.

الدورية والمسؤولية والتوثيق

لا يكتمل التأطير من دون تحديد المسؤولية. فإذا لم تكن هناك جهة مسؤولة عن التصرف استناداً إلى المخرجات، يتحول الاستشراف إلى مجرد تحليل.

وينبغي للحوكمة أن تحدد بوضوح صلاحيات اتخاذ القرار، بما في ذلك الجهة التي يمكنها قبول المخاطر، أو تغيير المنتج أو السياسة، أو تفعيل استجابة مماثلة للاستجابة للحوادث.

كما يجب أن توضّح نهج المؤسسة تجاه مخاطر السلامة الرقمية، مثل المقايضات المقبولة، وحدود التصعيد التي ينبغي تطبيقها عندما تكون الأدلة محدودة، لكن العواقب المحتملة مرتفعة.

ونظراً إلى أن السلامة الرقمية تشمل مجالات الثقة والسلامة، والأمن، والخصوصية، والشؤون القانونية، واستراتيجية المنتج، فعادة ما تكون الحوكمة متعددة الوظائف. ولا يتمثل الهدف في الإدارة الدقيقة، بل في تحقيق توافق خاضع للمساءلة بشأن شهية المخاطر ونهج الاستجابة.

وتستمر الحوكمة من خلال تطبيق عملية قابلة للتكرار بأقل قدر ممكن من الأعباء. ويمكن أن يتضمن الإطار العملي ما يلي:

– سجل للرصد يوثق ما جرت ملاحظته وسبب أهميته.

– سجل للافتراضات يوثق حالات عدم اليقين وما الذي قد يغيّر التقييم.

– سجل للقرارات يوثق الأسئلة المطروحة، والقرارات المتخذة أو المؤجلة، وأسباب ذلك.

وينبغي أن تكون هذه الوثائق مبسطة وقابلة للمراجعة، حتى تتمكن الفرق من تحديثها. ويسهم ذلك في إنشاء ذاكرة مؤسسية واضحة وقابلة للفهم والتدقيق.

المثال التطبيقي للضرر: ركيزة التأطير والحوكمة

يبدأ العمل بتأطير «أدوات انتحال الهوية منخفضة التكلفة باستخدام الذكاء الاصطناعي» باعتبارها خطراً ملموساً يرتبط مباشرة باتخاذ القرار.

ويشمل ذلك تحديد ما إذا كان ينبغي تغيير نهج المؤسسة وكيفية تغييره في اللحظات التي يستغل فيها انتحال الهوية الاصطناعي الثقة بأكبر قدر من الفعالية، مثل إشارات الثقة وادعاءات الهوية، واستعادة الحسابات، وتغيير صلاحيات الإدارة أو الأذونات، والإجراءات ذات العواقب الخطيرة، مثل التحويلات والمدفوعات والوصول إلى البيانات الحساسة.

ويحدد موجز القرار الحدود المهمة لهذا الضرر، مثل الأسطح المشمولة بالنطاق، والمناطق الجغرافية واللغات وسياقات المستخدمين أو العملاء الأكثر تعرضاً، والنتائج التي تحظى بالأولوية، مثل الاحتيال المالي، أو الإكراه، أو اختراق الحسابات أو الصلاحيات.

كما تُسجل الافتراضات التي ستوجّه العمل اللاحق. وفي هذا المثال، قد تشمل امتلاك المهاجمين عينات صوتية أو مرئية، واحتمال استهداف المسؤولين أو أصحاب الأدوار التي تتمتع بدرجة عالية من الثقة، والقنوات المتوقعة للاتصال الأول، وأساليب التوسع المحتملة، مثل نقل النشاط وإخفائه عبر قنوات متعددة.

ونظراً إلى أن الأدلة المتاحة تختلف بحسب طبيعة الخدمة، يوضح التأطير صراحة ما يمكن ملاحظته وما لا يمكن ملاحظته، ويحدد الأدوات المتاحة للتدخل.

كما يضع قاعدة واضحة للتصعيد في حالات عدم اليقين ذات العواقب الخطيرة. وقد يتمثل ذلك، على سبيل المثال، في ورود تقارير خارجية تفيد بأن أساليب الانتحال تستهدف العلامة التجارية للمؤسسة، أو ظهور مجموعة من محاولات استعادة الحساب المرتبطة بانتحال الهوية.

ويسمح ذلك للمؤسسة بالانتقال إلى نمذجة أكثر تعمقاً، وإجراء اختبارات للجاهزية، وتركيب أنظمة الإنذار المبكر، من دون انتظار تأكيد الضرر بالكامل.

2.2 الرصد

يمثل الرصد الركيزة التي توسّع مجال رؤية المؤسسة ليتجاوز ما تتم مناقشته داخلياً بالفعل أو ما يظهر حالياً من خلال العمليات اليومية.

ويشمل ذلك شكلاً منضبطاً من استشراف الآفاق، وهو ممارسة منظمة لجمع الأدلة وتحديد الإشارات المبكرة للتغيير التي يمكن بصورة معقولة أن تنشئ مسارات جديدة للضرر.

ولا يهدف الرصد إلى التنبؤ بمستقبل واحد، بل إلى ملاحظة التغيير في وقت مبكر بما يكفي من أجل:

– مراجعة الافتراضات وتحديها.

– توضيح ما قد يصبح مهماً من الناحية العملية.

– تزويد الركائز الأخرى بتحليلات مرتبطة باتخاذ القرار.

يتسع نطاق الرصد للكشف عن الظروف الناشئة والقدرات الجديدة والحوافز المتغيرة.

ويكون الرصد أكثر قوة عندما يُعامل باعتباره شكلاً من أشكال الذكاء الجماعي الذي يجمع وجهات نظر متعددة ويدمجها بصورة فعالة.

ما الذي يبحث عنه الرصد؟

تعمل مؤسسات السلامة الرقمية عبر أنواع متعددة من المنصات والأنظمة ونماذج المنتجات. وقد تكون علاقاتها بالمستخدمين مباشرة أو غير مباشرة، وقد تتمتع بمستوى مرتفع أو منخفض من الرؤية، كما قد تعمل على أسطح مرتبطة بالمحتوى أو غير مرتبطة به، وفي سياقات استهلاكية أو مؤسسية.

ولذلك، يركز الرصد على أنواع التغيير التي يمكن أن تنتقل بين السياقات المختلفة.

وعملياً، يبحث الرصد غالباً عن التحولات في المجالات التالية:

– القدرات: الأدوات والأساليب التي تقلل تكلفة إساءة الاستخدام، مثل الأتمتة، والوسائط الاصطناعية، والترجمة، وتسجيل النطاقات، والبنية التحتية للتوسع، وتزييف الهوية.

– الحوافز: مسارات تحقيق الأرباح، والطلب في السوق، وديناميكيات الإنفاذ، والتحولات التنظيمية أو التجارية التي تغيّر مدى جاذبية السلوك الضار.

– الوصول والتوزيع: عمليات التكامل والمنظومات الرقمية وإنشاء المستأجرين والإعدادات الافتراضية والوسطاء والقنوات الجديدة التي تغيّر مدى الوصول أو القدرة على التوسع.

– التهرب والتكيف: الأنماط الجديدة لإخفاء النشاط ونقله، وسلوكيات الاختبار، والتنقل بين الحسابات أو عناوين بروتوكول الإنترنت، والحلول الالتفافية التي تشير إلى أن الخصوم يطوّرون أساليبهم باستمرار.

الإشارات

ينبغي أن يشمل الرصد مصادر تعكس مجال الخدمة، والمجالات المجاورة التي يمكن أن تنتقل إليها الأضرار، والتحولات الواسعة التي تعيد تشكيل البيئة.

وبدلاً من الاعتماد على قائمة موحدة، تنظم مؤسسات عديدة مدخلات الرصد في شكل إشارات خارجية وداخلية.

قد تشمل الإشارات الخارجية الأبحاث وتقارير المجتمع المدني، والصحافة الاستقصائية، وملاحظات الممارسين، والتطورات التنظيمية والمعيارية، والأنماط المشتركة بين القطاعات.

ولجعل هذه الإشارات قابلة للاستخدام، ينبغي للمؤسسات إنشاء قنوات خارجية ثابتة ومتوقعة لاستقبال المعلومات. وقد تشمل هذه القنوات بريداً إلكترونياً مخصصاً أو نموذجاً إلكترونياً للتقارير الموثوقة، ونقطة اتصال دائمة للباحثين ومنظمات المجتمع المدني، وإرشادات واضحة بشأن نوعية المعلومات الأكثر فائدة.

وفي القضايا الحساسة للوقت، ينبغي توفير مسار سريع يتيح للشركاء الموثوقين التنبيه إلى الحالات العاجلة والوصول إلى عملية تقييم سريعة تدعمها بروتوكولات داخلية.

كما ينبغي إطلاع الجهات الخارجية، عندما يكون ذلك ممكناً، على المستجدات المتعلقة بالمعلومات التي قدمتها.

ويكون الرصد أكثر متانة عندما يُعامل باعتباره ذكاءً جماعياً يجمع وجهات نظر متعددة بصورة فعالة، من خلال اجتماعات متابعة دورية، أو موائد مستديرة مع الشركاء، أو التواصل مع الباحثين.

وقد تشمل الإشارات الداخلية بيانات عمليات الثقة والسلامة، مثل مجموعات البلاغات المتشابهة، وطلبات الاستئناف، والحالات الاستثنائية.

كما قد تشمل مؤشرات الأمن والخصوصية، مثل العلامات الأولية لإساءة استخدام الخدمات، وحالات الوصول غير الاعتيادية، والارتفاع المفاجئ في محاولات استعادة الحسابات.

ويمكن أن تشمل أيضاً قنوات العملاء والمسؤولين، مثل التذاكر أو حالات التصعيد، وملاحظات المنتجات والمنظومات الرقمية، مثل أنماط الاستخدام غير المتوقعة ونقاط الضغط.

وتختلف الإشارات المحددة باختلاف السياق، لكن المهم هو أن تدرك الركيزة المجالات التي تكون فيها الإشارات قوية أو غير مباشرة، والحالات التي يجب فيها استخدام مؤشرات بديلة بسبب غياب الإشارات المباشرة.

ومن المهم أيضاً تحديد خطوط الأساس ومحفزات بسيطة للتحرك. فبالنسبة إلى كل مؤشر، ينبغي الاتفاق على الشكل الطبيعي للنشاط، ثم تحديد شروط مبسطة للتنبيه، مثل حجم الانحراف المثير للقلق، أو سرعة حدوثه، أو مدة استمرار الارتفاع.

ولا ينصب التركيز على وضع حدود إحصائية مثالية، بل على تبني قواعد تقريبية مشتركة وموثقة.

وتُعد الثقة في القياسات أمراً بالغ الأهمية، لأنها تحدد مدى إمكانية الاعتماد على الصورة التي ترسمها البيانات.

ومع ذلك، لا يزال فهم نتائج السلامة الرقمية وقياسها أمراً معقداً. ويصنّف أحد التقارير السابقة مقاييس السلامة الرقمية في ثلاث مجموعات:

– الأثر: مقاييس توضّح التأثيرات الواقعة على الأفراد، وتقدّم معلومات عن خصائص تجاربهم الحياتية وأنماطها.

– المخاطر: مقاييس تمكّن من اكتشاف الأضرار المحتملة والتخفيف منها.

– العمليات: مقاييس تغطي النهج المتبع وتنفيذ الأنظمة المرتبطة بالسلامة الرقمية ونتائجها.

وعلى الرغم من اختلاف المقاييس الفعلية، يمكن لهذه الفئات المساعدة في تنظيمها.

تفسير الإشارات

يضيف الرصد قيمة عندما ينتج مخرجات قابلة للتفسير، تتمثل في رؤى قصيرة ومترابطة تشرح ما الذي يتغير ولماذا قد يكون مهماً، بدلاً من تجميع قائمة طويلة من المراجع.

وعادة ما يرتكز سجل الرؤية على العناصر التالية:

– التغيير: ما الذي أصبح قابلاً للملاحظة حديثاً، أو ما الذي أصبح احتمال وقوعه أكثر واقعية.

– سبب الأهمية: الآثار المحتملة في أضرار السلامة الرقمية، بما في ذلك إساءة استخدام الخدمات والأضرار المرتبطة بالخصوصية.

– الظروف والافتراضات: ما الذي يجب أن يكون صحيحاً حتى يصبح التغيير مؤثراً بصورة جوهرية.

– جودة الأدلة: ما هو معروف، وما هو مستنتج، وما لا يزال غير مؤكد.

– الأفق الزمني: ما إذا كان التغيير يمثل ضغطاً تشغيلياً قريب المدى أو محركاً هيكلياً طويل المدى.

وينبغي للرصد أن يوضح القيود التشغيلية التي تؤثر في جودة الأدلة. ولا يجب اعتبار هذه القيود، خصوصاً المرتبطة بالخصوصية، عيوباً ينبغي التخلص منها تلقائياً، بل ضوابط يجب استيعابها والعمل ضمنها.

وتكون الإشارات الضعيفة غامضة بطبيعتها، كما تعمل بعض الخدمات بمستوى محدود من الرؤية. ولا تمنع هذه القيود عملية الرصد، لكنها تزيد أهمية مقارنة المعلومات الواردة من مصادر متعددة.

وينبغي للمؤسسات تجنب اعتبار الإشارات التي يصعب رصدها قليلة الأهمية، أو الخلط بين الرؤية الجزئية واليقين الكامل.

كما ينبغي إضافة ملاحظة مبسطة بشأن مستوى الثقة، تميز بين ما تمت ملاحظته فعلياً وما جرى استنتاجه.

المثال التطبيقي للضرر: ركيزة الرصد

قد تشمل الإشارات المبكرة لانتشار أدوات انتحال الهوية منخفضة التكلفة باستخدام الذكاء الاصطناعي الانتشار السريع لأدوات استنساخ الصوت والفيديو منخفضة التكلفة، وتزايد التقارير العامة عن عمليات الاحتيال أو التحرش القائمة على انتحال الهوية، وبدء اهتمام الجهات المعنية بالسياسات بقضايا التشابه البيومتري والموافقة والمصادقة.

وللعمل ضمن ركيزة الرصد، يمكن للمؤسسة إدخال هذه الإشارات الخارجية عمداً في سجل الرصد الخاص بها، من خلال قائمة متابعة منتقاة ومسار مخصص لاستقبال المعلومات الخارجية، حتى لا يجري تجاهل المخاوف الموثوقة.

أما داخلياً، فيبحث الفريق عن الموضوعات المتقاربة والمؤشرات البديلة المناسبة، مثل مجموعات البلاغات المرتبطة بانتحال الهوية، أو الارتفاع المفاجئ في محاولات استعادة الحسابات، أو الأنماط غير الاعتيادية في سير العمل الذي ينطوي على مستويات عالية من الثقة أو المخاطر.

وقد تشمل المؤشرات أيضاً حالات تصعيد من الدعم أو العملاء أو المسؤولين بشأن عمليات التحقق، أو شكاوى تشير إلى استخدام صورة أو صوت شخص من دون موافقته.

2.3 النمذجة

تمثل النمذجة الركيزة التي تحوّل إشارات التغيير إلى تفسيرات مرتبطة باتخاذ القرار، توضّح كيف يمكن للأضرار أن تظهر وتتوسع وتتكيّف.

وفي حين توسّع ركيزة الرصد مجال الرؤية، تضيق النمذجة هذا المجال وتحوله إلى تفكير منظم بشأن الآليات والمسارات المحتملة التي يمكن من خلالها للقدرات أو الحوافز أو إمكانات الوصول أو أساليب التهرب أن تتحول إلى ضرر.

وتساعد النمذجة الفرق على بناء فهم مشترك للعلاقات المباشرة وغير المباشرة، ومستويات الرؤية المرتفعة أو المنخفضة، والوسائل التي تحمي الخصوصية، والمنظومات التي تضم أطرافاً متعددة، من خلال توضيح الافتراضات وحالات عدم اليقين.

تشمل الجوانب الأساسية التي ينبغي تناولها ضمن ركيزة النمذجة ما يلي:

– الجهات الفاعلة ودوافعها: تحديد الجهات التي قد تدفع الضرر، بما في ذلك مرتكبو الإساءة الانتهازيون والجهات المنظمة، وما الذي تسعى إليه، والقيود التي تواجهها.

– الظروف الممكّنة: تحديد ما الذي يجب أن يتحقق حتى يتوسع الضرر، مثل إمكانات الميزات، والإعدادات الافتراضية، والوصول إلى المنظومات، والظروف الاجتماعية، والحوافز التجارية.

– المسارات ونقاط التأثير: توضيح كيفية تطور الضرر عبر مراحله، والمواقع التي يمكن عندها تعطيله، بدءاً من نقاط الاحتكاك في التصميم، وحدود السياسات، وأدوات الإنفاذ، وضوابط المسؤولين، وصولاً إلى التدخلات على مستوى المنظومة.

– التكيف والتهرب: تحديد كيفية تجاوز الجهة الفاعلة ذات الدافع للضوابط، أو تغيير أهدافها، أو الانتقال إلى قنوات جديدة مع تغير الظروف.

– الآثار وتوزيعها: تحديد الأشخاص المتضررين وكيفية تضررهم، بما في ذلك الآثار المختلفة في الفئات المعرضة للخطر، وما إذا كانت الأضرار مؤقتة أو تراكمية أو غير قابلة للعكس.

الجهات الفاعلة ودوافعها

يُعد فهم الجهة التي قد تتسبب في الضرر وأسباب ذلك أمراً أساسياً، لأنه يحدد سرعة اتساع الضرر ومدى استمراره وأشكال الردع أو الاحتكاك التي يمكن أن تؤثر فيه.

كما يساعد تحليل الجهات الفاعلة على تجنب نمذجة الأضرار كما لو كانت ناتجة عن إساءة استخدام عامة وغير محددة، بينما تقودها في الواقع غالباً مجموعة صغيرة من الجهات ذات الدوافع، التي تطوّر أساليبها وتنسق أنشطتها وتعيد استخدام الوسائل نفسها عبر أنظمة متعددة.

ولرصد الجهات الفاعلة ودوافعها، تستخدم المؤسسات غالباً خريطة مبسطة تصف عدداً من الفئات المحتملة للجهات الفاعلة والقيود التي تواجهها.

ولا يتعلق الأمر بإجراء تحليل شامل لاستخبارات التهديدات، بل بالتعرف إلى نماذج العمل، مثل الجهات الانتهازية أو المنظمة أو الداخلية أو الأيديولوجية أو المدفوعة مالياً أو التي تستخدم الإكراه، وكيفية تفاعل هذه النماذج مع بنية علاقات المؤسسة بالمستخدمين المباشرين والمسؤولين والعملاء والشركاء والمنظومات.

يمكن توثيق ذلك من خلال ما يلي:

مخطط الجهة الفاعلة والهدف والقدرة

بالنسبة إلى كل آلية للضرر، يتم تحديد:

– أنواع الجهات الفاعلة المحتملة.

– أهدافها.

– قدراتها ومواردها.

– القيود أو التكاليف التي تواجهها.

– ما الذي يمثل نجاحاً بالنسبة إليها.

الظروف الممكّنة

تصف الظروف الممكّنة ما الذي يجب أن يتحقق داخل المنتج أو المنظومة أو البيئة الخارجية حتى يصبح مسار الضرر قابلاً للتنفيذ والتوسع.

ومن خلال هذا المنظور، تميز الفرق بين ما هو ممكن نظرياً وما قد يصبح مؤثراً فعلياً، لأن الأضرار نادراً ما تظهر من فراغ، بل تنشأ عندما تتوافق القدرات والحوافز وإمكانات الوصول والفجوات.

وينبغي أن تشمل هذه الظروف إمكانات النظام، بما فيها خيارات التصميم والإعدادات الافتراضية وسير العمل، إضافة إلى إمكانات السياق، مثل ديناميكيات السوق والوسطاء والتحولات الجيوسياسية والأعراف الاجتماعية.

ومن المهم أيضاً مراعاة القيود الحقيقية التي تواجه المؤسسة، بدءاً من محدودية الرؤية وصولاً إلى اعتمادها على الشركاء.

يمكن توثيق ذلك من خلال ما يلي:

قائمة التحقق من الظروف

تحديد ما بين ثلاثة وسبعة شروط من شأنها أن تجعل وقوع الضرر أكثر احتمالاً بصورة جوهرية، مثل سهولة تسجيل المستخدمين مع حد أدنى من الاحتكاك، وضعف إشارات الثقة، ووجود سير عمل يتمتع بصلاحيات مرتفعة، وانخفاض تكلفة التوسع.

رسم خريطة التبعيات

تحديد الأنظمة الخارجية أو الجهات الوسيطة ذات التأثير الأكبر في الضرر، مثل عمليات التكامل مع مؤسسات أخرى، والأسواق، ومزودي خدمات الدفع والهوية.

تميز الفرق بين ما هو ممكن وما قد يصبح مؤثراً فعلياً، لأن الأضرار نادراً ما تنشأ من فراغ، بل تظهر عندما تتوافق القدرات والحوافز وإمكانات الوصول والفجوات.

المسارات ونقاط التأثير

ترصد نمذجة المسارات تسلسل الأحداث والقرارات التي يتطور الضرر من خلالها، بما في ذلك المواقع التي يمكن عندها تعطيله.

وغالباً ما تكون هذه النمذجة أكثر المخرجات فائدة من الناحية التشغيلية، لأنها تحوّل المخاطر المجردة إلى نقاط ملموسة يمكن التعامل معها.

وتشمل نقاط التأثير الأساسية خيارات المنتج، ونقاط الاحتكاك، وحدود السياسات، وخطوات الإنفاذ، والتنسيق مع الشركاء، ومحفزات الاستجابة.

يمكن توثيق ذلك من خلال ما يلي:

خريطة المسار السببي

تحديد حالة البداية، والخطوات الوسيطة، والأضرار الناتجة، مع إضافة توضيح إلى كل خطوة يبين ما الذي يمكّن حدوثها وما الذي يمكن أن يمنعها.

نموذج ربطة العنق

اختيار النقطة المحورية التي يحدث عندها فقدان السيطرة، ثم رسم العوامل السابقة لها على الجانب الأول، والنتائج المترتبة عليها على الجانب الآخر، وإدراج الحواجز الموجودة على الجانبين.

أسئلة تحديد نقاط التأثير

تحديد لحظتين إلى أربع لحظات يمكن أن يؤدي فيها تدخل محدود إلى تغيير النتائج بصورة غير متناسبة مع حجمه، مثل الإعدادات الافتراضية، والإجراءات غير القابلة للعكس، وإشارات الثقة المرتفعة.

التكيف والتهرب

تتوقع نمذجة التكيف كيفية استجابة الجهات الفاعلة بعد إدخال إجراءات التخفيف، مثل كيفية تجاوزها للضوابط، أو انتقالها إلى أسطح مجاورة، أو تغييرها لاختيار الأهداف، أو استغلالها للآثار الثانوية.

ومن دون هذا المنظور، قد تكون أعمال الجاهزية فعالة في مواجهة الموجة الأولى من الإساءة، لكنها هشة أمام التطوير المستمر للأساليب.

ولا تتطلب دراسة التهرب نشر تفاصيل تشغيلية تشرح كيفية تنفيذ الإساءة، بل تتطلب تحديد فئات محتملة من طرق التجاوز.

وقد تشمل هذه الفئات التنقل بين الحسابات، وإخفاء النشاط عبر قنوات متعددة، والاختبار والاستكشاف، وبناء الثقة تدريجياً قبل تنفيذ الإساءة، واستغلال سير العمل المشروع.

كما ينبغي تحديد الآثار المحتملة من الدرجة الثانية لإجراءات التخفيف، بما في ذلك انتقال النشاط إلى قنوات جديدة وزيادة استهداف الفئات الضعيفة.

يمكن توثيق ذلك من خلال ما يلي:

شجرة التهرب

بالنسبة إلى كل حاجز أساسي، تُحدد من ثلاث إلى خمس وسائل محتملة لتجاوزه، مثل الاستبدال، أو تغيير التوقيت، أو الانتقال، أو استغلال الحالات الاستثنائية.

رسم خريطة لأنماط الأساليب

وصف كيفية حصول الجهات الفاعلة على الوصول، وبنائها للثقة، وتوسيعها للنشاط، وتهربها من الضوابط، مع إبقاء الوصف على مستوى السلوك العام.

الآثار وتوزيعها

توضح نمذجة الآثار الأشخاص الذين يتعرضون للضرر، ومدى شدته، وكيفية انتشاره.

ويكتسب هذا المنظور أهميته لأن الآلية نفسها قد تنتج نتائج مختلفة بحسب الفئات المعرضة لها، ومستوى ضعفها، وقدرتها على التعامل مع الضرر أو التعافي منه.

ومن المفيد الفصل بين احتمال استخدام مسار الضرر وبين أثره الناتج.

ولتمثيل توزيع الأضرار، يمكن للمؤسسات تكييف أسلوب التفكير القائم على «القابلية للتضرر والتعرض والقدرة»، المستخدم عادة في مجالات المخاطر والمرونة.

وتعكس القابلية للتضرر مدى استعداد الفرد أو المجموعة للتأثر بالضرر، بينما يعكس التعرض الأشخاص الذين يُرجح أن يواجهوا الخطر، وتعكس القدرة مدى إمكانية توقع الضرر والتعامل معه والتعافي منه.

يمكن توثيق ذلك من خلال ما يلي:

مخطط القابلية للتضرر والتعرض والقدرة

بالنسبة إلى الفئات أو السياقات ذات الأولوية، تُعرض مستويات القابلية للتضرر والتعرض والقدرة على مخطط مبسط لإظهار التوزيع غير المتساوي للمخاطر.

سلم الآثار

تصنيف الآثار بحسب مستوى شدتها، وإمكانية عكسها، ومدى تراكمها.

أسئلة توزيع الضرر

تحديد الفئات التي تتعرض للاستهداف بدرجة غير متناسبة، والمستخدمين أو العملاء الذين يمتلكون موارد حماية أقل، والمجالات التي تكون فيها آليات الإبلاغ والانتصاف أضعف.

المربع 3: مثال على الضرر – ركيزة النمذجة

ستحوّل المؤسسة ملاحظة أن «انتحال الهوية الاصطناعي آخذ في الانتشار» إلى توثيق منظم لآلية الضرر، يوضح كيف يمكن أن تعمل بصورة واقعية داخل هذه الخدمة، وأين يمكن تعطيلها.

ويشمل ذلك ما يلي:

– الجهات الفاعلة ودوافعها، مثل المحتالين الانتهازيين، وشبكات الاحتيال المنظمة، والمتحرشين أو ممارسي الإكراه الذين يستهدفون أفراداً بعينهم، إلى جانب تحديد ما الذي يمثل نجاحاً بالنسبة إليهم.

– الظروف الممكّنة، مثل سهولة الوصول إلى عينات الصوت أو الفيديو، وضعف إشارات الثقة، ووجود إجراءات حساسة وعالية المخاطر يمكن استغلالها بالهندسة الاجتماعية، بما في ذلك استعادة الحسابات، وتغيير صلاحيات المسؤولين أو الأذونات، والمدفوعات أو التحويلات، والوصول إلى البيانات الحساسة، إضافة إلى التبعيات المرتبطة بها.

– خريطة للمسار ونقاط التأثير، مثل: اختيار الهدف ← جمع بيانات الهوية ← إنشاء شخصية اصطناعية ← بناء الثقة ← بدء التواصل ← تحفيز الإجراء، مثل التحويل المالي أو إعادة تعيين بيانات الدخول أو تغيير صلاحيات المسؤول ← توسيع النطاق باستخدام الأتمتة.

وينبغي إبراز ما بين نقطتين وأربع نقاط تأثير يمكن عندها لنقاط الاحتكاك أو إجراءات التحقق تعطيل المسار.

– توقعات التكيف والتهرب، وتوثيقها في ملاحظة قصيرة توضح كيفية تجاوز الحواجز، مثل تمويه النشاط عبر قنوات متعددة، وتهيئة الحسابات تدريجياً، واختبار حدود الضوابط.

– الآثار وكيفية توزيعها، من خلال إجراء تحليل سريع للقابلية للتضرر والتعرض والقدرة على الاستجابة، لتحديد الفئات الأكثر تعرضاً والأقل قدرة على التحقق أو التعافي.

2.4 تقييم الجاهزية

تمثل ركيزة تقييم الجاهزية الاختبار الذي يحدد ما إذا كانت المؤسسة قادرة بصورة موثوقة على منع أضرار السلامة الرقمية واكتشافها والاستجابة لها والتعلم منها.

وتطرح هذه الركيزة السؤال التالي: إذا بدأت مسارات الضرر الموضحة في ركيزة النمذجة بالتحقق، فهل تمتلك المؤسسة تغطية وقدرات كافيتين للحد من الأثر، وبصورة متسقة تحول دون تأثر خدماتها؟

لا يتمثل الهدف في تقييم المؤسسة وفق معيار مثالي، بل في توضيح المجالات التي تكون فيها التغطية قوية أو محدودة.

ويكتسب ذلك أهمية لأن الممارسات التي تعمل بفعالية في نوع معين من المؤسسات قد تكون غير فعالة في مؤسسة أخرى أو تؤدي إلى عواقب غير مقصودة. ونادراً ما تنجح الأساليب الجامدة عند نقلها بين سياقات مختلفة.

لا تقتصر الجاهزية على مجموعة من الضوابط، بل تشمل القدرة على تنسيق القرارات وتنفيذها عبر الفرق والتبعيات الخارجية.

تحديد أسطح التدخل

ينبغي تقييم الجاهزية استناداً إلى الأدوات والقيود الفعلية للمؤسسة.

وبدلاً من افتراض وجود سطح واحد للإنفاذ، تنظر ركيزة تقييم الجاهزية في مختلف أسطح التدخل والضبط، التي قد تشمل ما يلي:

– أدوات المنتج والتصميم: كيفية بناء النظام، والإعدادات الافتراضية، ونقاط الاحتكاك، ومسارات المستخدمين والمسؤولين.

– أدوات السياسات والحوكمة: القواعد والمعايير وصلاحيات اتخاذ القرار التي تحدد ما تستطيع المؤسسة قبوله، والجهة المخولة بالتحرك.

– الأدوات التشغيلية وأدوات الاستجابة: مسارات التصعيد، وأدلة الاستجابة، والاتصالات، وخبرات الموظفين، وسبل الانتصاف، وآليات التنسيق التي تحوّل نهج التعامل مع المخاطر إلى إجراءات عملية.

– أدوات المنظومة والأدوات الخارجية: سياسات الشركاء، والشروط التعاقدية، وآليات الأسواق، والتنسيق مع الجهات الخارجية في المجالات التي تكون فيها أدوات المؤسسة الداخلية محدودة.

التغطية

تكون ركيزة تقييم الجاهزية أكثر قوة عندما تستطيع إثبات وجود تغطية عبر مختلف مراحل مسار الضرر.

ولذلك، يدرس تقييم الجاهزية مدى امتلاك المؤسسة قدرات موثوقة في ثلاثة مجالات:

– الوقاية: هل توجد خيارات تصميم أو إعدادات افتراضية أو ضمانات تقلل احتمال وقوع الضرر أو تبطئ توسعه؟

– الاكتشاف: هل تستطيع المؤسسة ملاحظة الضرر في وقت مبكر بما يكفي، من خلال الإشارات المباشرة أو المؤشرات البديلة؟ وهل يمكنها تفسير ما تراه في ظل عدم اليقين؟

– التصحيح: هل توجد طريقة قابلة للتكرار لتوثيق ما حدث، وتحديث الافتراضات، وتحسين الضوابط من دون انتظار وقوع أزمة؟ وهل تستطيع المؤسسة التحرك بسرعة واتساق، مع تحديد واضح للمسؤوليات وتحقيق التوافق بين الوظائف المختلفة؟

لا تقتصر الجاهزية على مجموعة من الضوابط، بل تشمل القدرة على تنسيق القرارات والتنفيذ عبر الفرق والتبعيات الخارجية، ولا سيما في الحالات التي لا تمتلك فيها المؤسسة سيطرة مباشرة، ويجب عليها تصميم استجابات قابلة للتكيف.

وينبغي أن يختبر التقييم قدرة المؤسسة على التحرك عندما تكون الأدلة غير واضحة، لكن الأثر المحتمل مرتفعاً.

ويمكن أن يساعد استخدام خريطة للتغطية والضوابط على تحديد الفجوات بصورة متسقة.

وينبغي اعتبار التغطية مشروطة عندما يعتمد أحد الضوابط على تفعيله من جانب العميل أو استجابته، أو على تدخل طرف ثالث.

فالضابط الذي تستطيع المؤسسة توفيره، لكنها لا تستطيع تفعيله أو فرضه، لا يعادل ضابطاً تملكه وتتحكم فيه بالكامل.

الجدول 1: نموذج لخريطة التغطية والضوابط

وقائي = ضابط يهدف إلى منع الضرر، وكشفي = ضابط يهدف إلى اكتشافه، وتصحيحي = ضابط يهدف إلى معالجة آثاره والتعلم منه.

الأدلة

تكون ركيزة تقييم الجاهزية أكثر قوة عندما تمتلك المؤسسة وسيلة للتحقق من أن الحواجز والعمليات تعمل بالطريقة المقصودة، ولا سيما بعد أن يكيّف الفاعلون أساليبهم.

ولا يجب أن تكون عمليات التحقق معقدة أو مرهقة. إذ تستخدم مؤسسات عديدة ممارسات مبسطة، مثل:

– استعراض السيناريوهات وتمارين المحاكاة المكتبية: للكشف عن الاختناقات في اتخاذ القرار، وحالات الغموض، وفجوات التنسيق.

– «اختبارات كسر الضوابط»: مراجعات مركزة لنقاط الضعف المعروفة، مثل الإجراءات ذات التأثير الكبير، والجوانب الغامضة في السياسات، ومسارات التصعيد مع الشركاء.

– فحوص العواقب غير المقصودة: للتحقق مما إذا كانت الضمانات تنقل الأضرار إلى أسطح يصعب رصدها، أو تزيد العبء على المستخدمين والعملاء، أو تؤثر بصورة غير متناسبة في فئات معينة.

ويساعد هذا الجزء على تجنب افتراض أن وجود بعض الضوابط يعني بالضرورة تحقق الجاهزية، في حين قد تتمثل القيود الحقيقية في سرعة الاستجابة، والصلاحيات، وجودة الأدلة، والتنسيق بين الفرق.

المربع 4: مثال على الضرر – ركيزة تقييم الجاهزية

استناداً إلى توثيق آلية الضرر الناتج من ركيزة النمذجة، تختبر المؤسسة ما إذا كانت تمتلك تغطية موثوقة عند نقاط التأثير التي يستغلها انتحال الهوية، وما إذا كانت هذه التغطية تظل فعالة في ظل القيود القائمة.

ويعني ذلك رسم مسار انتحال الهوية عبر مراحل الظروف الممكّنة، ومحاولة إساءة الاستخدام، ووقوع الحدث الضار، والانتشار أو التصعيد، وتعافي المستخدم أو العميل.

وينبغي أن تتبع هذه الخطوة تعبئة خريطة التغطية والضوابط.

وبالنسبة إلى انتحال الهوية، تركز مراجعة الجاهزية على اللحظات ذات الأثر المرتفع، مثل إشارات الثقة وادعاءات الهوية، وتغيير صلاحيات المسؤولين أو الأذونات، والمدفوعات، وغيرها من الإجراءات الحساسة.

ثم تخضع هذه الجوانب لاختبارات إجهاد لتحديد ما إذا كان الاكتشاف قابلاً للتنفيذ باستخدام الإشارات المتاحة.

وفي النهاية، يقيّم الاختبار مدى الجاهزية للتنفيذ.

وتتمثل المخرجات في بيان واضح لمستوى الجاهزية، يتضمن ملاحظات بشأن القيود، وأهم الفجوات وحالات الإخفاق، ومجموعة محدودة من التحسينات ذات المسؤوليات المحددة التي من شأنها تقليل الأثر بصورة ملموسة.

2.5 إرساء الإنذار المبكر

تمثل ركيزة إرساء الإنذار المبكر العنصر الذي يحوّل النمذجة إلى وعي مستمر وجهود داعمة لضمان الجاهزية.

ولذلك، لا يتمثل سؤالها في: «ما الذي يتغير بصورة عامة؟»، بل في: «هل تتغير الظروف المرتبطة بهذا الضرر بالقدر الذي يتطلب منا تغيير نهجنا؟».

ويتمثل الهدف في تقليل المفاجآت الاستراتيجية والتأخر في اتخاذ القرار، من خلال مراقبة مجموعة محدودة من العناصر المهمة القابلة للرصد، والمرتبطة بآلية الضرر ونقاط الضبط ذات الصلة ومسارات التصعيد الواضحة.

ولا يتعلق الأمر بالتنبؤ المثالي أو القياس الشامل، بل برؤية قدر كافٍ من المؤشرات في وقت مبكر بما يكفي لاتخاذ إجراء متناسب.

يتمثل الهدف في تقليل المفاجآت الاستراتيجية والتأخر في اتخاذ القرار، من خلال مراقبة مجموعة محدودة من العناصر المهمة والمرتبطة بآلية الضرر.

المراقبة

تنشئ مؤسسات عديدة محفظة من المؤشرات تغطي أربع فئات:

– مؤشرات البيئة الخارجية: التطورات الخارجية التي تغير مشهد الضرر، مثل انتشار الأدوات، ونشوء الأسواق، والتحولات التنظيمية، وأنماط الانتقال، والأحداث الجيوسياسية الكبرى التي تغير أساليب الاستهداف.

– مؤشرات الجهات الفاعلة والقدرات: الأدلة القابلة للملاحظة التي تشير إلى أن الجهات المعنية تختبر أساليبها أو تنسقها أو توسعها، إلى جانب التغيرات في التكتيكات والمؤشرات الدالة على زيادة الاحتراف.

– مؤشرات النظام والضوابط: إشارات الضغط التي تدل على أن ضوابط المؤسسة تتعرض للاختبار أو الإجهاد، مثل الأنماط غير الاعتيادية في الإجراءات ذات التأثير المرتفع، والارتفاع المفاجئ في الحالات الاستثنائية، وإنشاء الموارد بصورة مشبوهة، وزيادة محاولات التجاوز، أو ارتفاع النتائج الإيجابية الخاطئة وطلبات الاستئناف.

– إشارات تأكيد وقوع الضرر: البلاغات، والشكاوى، والتذاكر، وحالات التصعيد من المستخدمين أو العملاء، وغيرها من الأدلة التي تؤكد أن الأثر قد بدأ في الظهور.

ونظراً إلى صعوبة ملاحظة كثير من الأضرار الناشئة بصورة مباشرة في مراحلها الأولى، ينبغي أن تجمع المراقبة بين المدخلات الكمية والنوعية.

وينبغي النظر، بحسب السياق، في بيانات القياس الداخلية، وبيانات الدعم، وقوائم انتظار الإشراف، وعمليات مكافحة الاحتيال، ونتائج فرق الاختبار الهجومي، ومراجعات الثقة والسلامة، وتقارير الشركاء، وتقارير الخبراء الخارجيين.

وغالباً لا يأتي الإنذار الأول من مقياس واضح ومنظم، بل من نمط غير اعتيادي تلاحظه فرق الخطوط الأمامية أو الشركاء الخارجيون، بحكم تعرضهم المباشر للأنماط السلوكية أو التحولات في الاستخدام أو الأشكال الجديدة من التلاعب.

ولذلك، ينبغي أن تتضمن المراقبة طريقة واضحة لدمج الملاحظات غير التقليدية، بدلاً من اعتبار البيانات المنظمة وحدها أدلة مشروعة.

المؤشرات

ينبغي اختيار المؤشرات لأنها يُرجح أن تتغير عند بدء تفعيل مسار الضرر أو إخفاق أحد الضوابط، ولأن المؤسسة تستطيع مراقبتها بوتيرة تسمح بالتدخل.

ومن الأساليب العملية إعداد مجموعة من عناصر الرصد تشمل ما يلي:

– الجهات الفاعلة ودوافعها: إشارات إلى مستوى الدافع والنطاق، مثل مسارات تحقيق الأرباح، وحجم النشاط، والمؤشرات البديلة للتنسيق، وأنماط الاستهداف.

– الظروف الممكّنة: مؤشرات تدل على ازدياد قوة هذه الظروف، مثل انخفاض تكلفة القدرات أو ظهور قنوات توزيع جديدة.

– المسارات ونقاط التأثير: مؤشرات عند اللحظات ذات التأثير المرتفع، مثل ادعاءات الهوية، والإجراءات الحساسة، والتوزيع واسع النطاق.

– التكيف والتهرب: مؤشرات إلى محاولات التجاوز أو الانتقال، مثل ظهور حلول التفافية جديدة، أو التبديل بين القنوات، أو تمويه النشاط.

– الآثار وتوزيعها: إشارات إلى عدم التناسب، مثل الفئات المتضررة، وشدة الضرر، وإمكانية عكسه، وتركيزه داخل شرائح محددة.

وينبغي أن تشمل المؤشرات الحدود العددية والأنماط معاً.

فقد تظهر بعض الأضرار من خلال ارتفاعات واضحة ومفاجئة، بينما تظهر أضرار أخرى من خلال تجمع الحالات، أو استمرارها بمرور الوقت، أو تحرك إشارات متعددة في الوقت نفسه.

وعندما تكون خطوط الأساس جديدة ولا تزال قيد التطوير، ينبغي للمؤسسات استخدام نقاط مرجعية مؤقتة، مثل المتوسطات المتحركة أو فئات الأضرار ذات الصلة، مع توضيح محدودية هذه المقارنات.

وغالباً ما يكون خط أساس ضعيف أفضل من عدم وجود أي عنصر قابل للرصد.

وتحوّل الفرق هذا النهج إلى إجراءات تشغيلية من خلال طرح سؤالين:

1. ما أول شيء يُرجح أن نراه إذا بدأ هذا المسار بالظهور؟ أي ما أول مؤشر سابق قابل للملاحظة؟

2. ما الذي يجب أن نراه حتى يكون تغيير نهج المؤسسة مبرراً؟ أي ما عتبة التأكيد المطلوبة؟

ويحافظ ذلك على ارتباط ركيزة الإنذار المبكر باتخاذ القرار، بدلاً من ارتباطها بالأمور الأسهل من حيث العد والإحصاء.

وينبغي أيضاً تفصيل المؤشرات بحسب الفئات متى كان ذلك ممكناً.

فقد يخفي تغير إجمالي محدود تركّزاً خطيراً داخل منطقة جغرافية أو مسار عمل أو فئة معرضة بعينها.

كما ينبغي تحسين المؤشرات بمرور الوقت مع تعلّم الفرق واكتسابها مزيداً من الأدلة.

محفزات التحرك وجهات الرصد البشري

بالنسبة إلى بعض الأضرار، قد لا تمتلك المؤسسات مؤشرات قوية بما يكفي لانتظار الأدلة التقليدية.

وينطبق ذلك خصوصاً عندما تكون الأضرار جديدة، أو صعبة القياس، أو شديدة العواقب، أو مرشحة للتوسع بسرعة.

وفي هذه الحالات، ينبغي للمؤسسات استخدام محفزات التحرك وجهات الرصد البشري.

محفزات التحرك هي شروط متفق عليها مسبقاً لاتخاذ إجراء احترازي.

ولذلك، لا ينبغي تقديم محفز التحرك باعتباره دليلاً يثبت وقوع الضرر على نطاق واسع، بل بوصفه قاعدة لاتخاذ القرار عندما يصبح عدم اليقين مقلقاً بدرجة تكفي لاعتماد نهج أكثر صرامة.

وينبغي أن يحدد محفز التحرك ما يلي:

– الشرط أو مجموعة الشروط المهمة.

– الجهة التي تمتلك صلاحية تفعيله.

– الإجراء الذي يجب اتخاذه بعد التفعيل.

– ما إذا كان الإجراء قابلاً للعكس.

– مدى سرعة إعادة مراجعة القرار.

– الأدلة الإضافية التي تدعم التصعيد أو التراجع عن الإجراء.

وعادة ما تعتمد أقوى محفزات التحرك على مجموعة من الإشارات، لا على نقطة بيانات واحدة.

وغالباً ما يصعب ضبط حساسية محفزات التحرك.

فإذا كانت غير حساسة بما يكفي، فلن تتفعل إلا بعد توفر أدلة كثيرة بالفعل. وإذا كانت شديدة الحساسية، فقد تؤدي إلى اضطرابات غير ضرورية وتضعف الثقة فيها.

ويتمثل الحل العملي في إبقاء عددها محدوداً، وربطها بالأضرار ذات العواقب الكبيرة، وإقرانها بإجراءات محددة زمنياً وقابلة للمراجعة.

وبعبارة أخرى، ينبغي ألا تؤدي محفزات التحرك إلى إجراءات مفتوحة الأجل تحكمها حالة من الذعر، بل إلى خطوات احترازية محددة يمكن إعادة تقييمها بسرعة.

وتوفر جهات الرصد البشري طبقة الاكتشاف البشرية.

وهي الأشخاص والهياكل التي تلاحظ الإشارات التي لا تتوافق بعد مع المقاييس أو الفئات القائمة، وتفسرها، وترفعها إلى الجهات المختصة.

وتحتاج هذه الجهات إلى تفويض واضح ومسار للتصعيد يؤدي فعلياً إلى إجراء مراجعة.

ويعني ذلك تحديد جهات الرصد المعنية، ومنحها وسيلة للتصعيد، وإنشاء منتدى سريع للفرز الأولي يستطيع تقييم الإشارات من دون إجراءات مفرطة، وضمان توثيق المخاوف حتى يمكن مقارنتها بالملاحظات اللاحقة.

المربع 5: مثال على الضرر – ركيزة الإنذار المبكر

بعد نمذجة آلية انتحال الهوية وتحديد نقاط التأثير، ينبغي للمؤسسة إعداد بطاقة للإنذار المبكر تتضمن مجموعة قصيرة من المؤشرات التي يجب مراقبتها، والجهة المسؤولة عن كل منها، والتغييرات التي يجري تفعيلها عند بلوغ مستويات مختلفة.

وتكون مجموعة المراقبة أضيق نطاقاً عمداً من ركيزة الرصد، وترتبط بأولى المؤشرات السابقة القابلة للملاحظة والإشارات ذات الأثر المرتفع.

وقد يتابع الفريق، على سبيل المثال، ما يلي:

– مؤشرات الانتشار الخارجية، مثل زيادة استخدام أدوات الاستنساخ منخفضة التكلفة، وظهور أدلة أو أساليب جديدة يجري تداولها على نطاق واسع، والارتفاع المفاجئ في التقارير العامة.

– الإشارات الداخلية السابقة عند نقاط التأثير، مثل محاولات استعادة الحسابات غير الاعتيادية، وتسلسل تسجيل جهاز جديد يتبعه إجراء حساس، والمحاولات المتكررة لاختبار إجراءات التحقق أو إشارات الثقة.

– إشارات الضغط على الضوابط، مثل الارتفاع المفاجئ في التذاكر أو طلبات الاستئناف المرتبطة بانتحال الهوية، أو تراكم أعمال الإشراف.

– تأكيدات الأثر، مثل تجمع البلاغات التي تذكر انتحال الهوية، وحالات الاحتيال أو الإكراه المؤكدة، والاستهداف غير المتناسب للفئات شديدة التعرض.

وبعد ذلك، تتبع المؤسسة إجراءات محددة مسبقاً تتناسب مع الضرر وشدته، إلى حين وضع استجابة أكثر استدامة واكتمالاً ضمن مسارات الاستجابة.

2.6 التوليف

تمثل ركيزة التوليف العنصر الذي يجمع مخرجات الركائز الأخرى في رؤية موحدة وجاهزة لاتخاذ القرار.

ويتمثل هدفها في عرض صورة مترابطة وواضحة.

ويجمع التوليف بين النطاق والقيود المحددة في ركيزة التأطير والحوكمة، والإشارات المفسرة وسجلات الرؤى الناتجة من ركيزة الرصد، وآلية الضرر الناتجة من النمذجة، والتغطية والفجوات المحددة في تقييم الجاهزية، والمؤشرات ومحفزات التحرك المحددة ضمن ركيزة إرساء الإنذار المبكر.

وينبغي أن تتمثل النتيجة في وثيقة موجزة تستطيع القيادات والفرق التشغيلية استخدامها لاختيار مسار الاستجابة المناسب.

ومن المخرجات الشائعة لعملية التوليف «بطاقة الضرر»، أو مذكرة إحاطة مماثلة، تكون قصيرة بما يكفي لقراءتها بسرعة، لكنها منظمة بما يكفي للحفاظ على منطق التحليل وإمكانية تتبعه.

ويمكن أن تتضمن بطاقة الضرر ما يلي:

– وصفاً بلغة واضحة للقضية الناشئة وسبب أهميتها.

– ملخصاً لآلية الضرر، يتضمن أنواع الجهات الفاعلة، والظروف الممكّنة، والمسار ونقاط التأثير، وأشكال التكيف المحتملة.

– تحديد الفئات الأكثر تأثراً والمجالات التي تتركز فيها الآثار.

– القيود التشغيلية.

– لمحة عن الجاهزية توضح ما إذا كانت التغطية محدودة أو جزئية أو قوية، إلى جانب أهم الفجوات وحالات الإخفاق.

– مؤشرات الإنذار المبكر.

ليست كل الأضرار المحتملة التي يكشف عنها تمرين الاستشراف متساوية من حيث مستوى التهديد. وينبغي للمؤسسات تتبع أكبر المخاطر وأكثرها حساسية للوقت. فمن دون تحديد الأولويات، قد تشتت المؤسسات مواردها، وتتفاعل مع الضوضاء، وتغفل الأضرار المتراكمة والمتفاقمة.

ينبغي للفرق تقييم كل سيناريو استناداً إلى بُعدين على الأقل من أبعاد المخاطر:

1. شدة الضرر الذي قد ينجم عن الخطر محل الدراسة.

2. احتمال وقوع هذا الضرر، وهو ما يعتمد على:

– مستوى التعرض للخطر.

– وقوع حدث خطِر.

– إمكانات تجنب الضرر أو الحد منه.

ويمكن للمؤسسات استخدام مقاييس نوعية أو شبه كمية لتقييم الشدة والاحتمال، ثم دمجهما ضمن مستويات أو فئات محددة. وينبغي ربط هذه المستويات بقواعد عملية، مثل تخصيص التمويل، والتصعيد، ووتيرة المراقبة، حتى يؤدي تحديد الأولويات إلى إجراءات فعلية.

كما أن تحويل هذه العوامل إلى درجة تقييم يجعل عملية تحديد الأولويات أكثر شفافية وقابلية للتكرار، ويساعد القادة على معرفة القضايا التي ينبغي التركيز عليها.

ومن الضروري إبقاء تقييم الشدة والاحتمال منفصلاً من الناحية المفاهيمية عن أمرين آخرين: مدى وضوح الضرر بالنسبة إلى المؤسسة، وقدرتها على إدارته بفعالية.