- من التحديات التي لا تحظى بالتقدير الكافي في كثير من المؤسسات كيفية تحويل المخاوف المتعلقة بالأمن السيبراني إلى نقاشات حقيقية حول الحوكمة وقرارات يتخذها مجلس الإدارة.
- هناك ثلاثة منظورات متكاملة تساعد على تشكيل النقاشات المتعلقة بالأمن السيبراني، وهي: مستوى نضج الأمن السيبراني، وشهية المخاطر السيبرانية، والمخاطر السيبرانية الراهنة.
- الهدف هو خلق حوار يتيح لخبرات مجلس الإدارة ورؤيته وحكمه المهني أن تؤثر فعلياً في الخطوات التالية.
قدّمتُ مؤخراً لمجلس إدارتنا عرضاً حول وضع الأمن السيبراني. وأكد النقاش الذي أعقب العرض أن النهج الذي اتبعته حقق ما كنت أطمح إليه، إذ أتاح حواراً مثمراً حول المخاطر الأكثر أهمية والمجالات التي يمكن لمجلس الإدارة أن يضيف فيها قيمة حقيقية.
وخلال الأسابيع التالية، شاركت هذا النهج مع عشرات من مسؤولي أمن المعلومات التنفيذيين (CISOs). وشجعتني ملاحظاتهم على الكتابة عن التحدي نفسه الذي تواجهه العديد من المؤسسات، والمتمثل في كيفية تحويل تحديث يُقدَّم إلى مجلس الإدارة إلى نقاش حقيقي وهادف حول الحوكمة.
وفيما يلي النهج الذي أثبت فعاليته بالنسبة لنا. وهو ليس الطريقة الوحيدة للتفاعل مع مجلس الإدارة، لكنه ساعد على خلق نوع النقاش الذي يأمل كل مسؤول أمن معلومات تنفيذي في الوصول إليه.
ابدأ ببيئة المخاطر التي تعمل فيها الشركة
بالنسبة إلى شركة متخصصة في الأمن السيبراني، فإن السياق بالغ الأهمية. فنحن جزء من سلاسل التوريد الخاصة بعملائنا، ونحتفظ بمعلومات حساسة عن التهديدات، كما تمثل الشفرة المصدرية لدينا ملكية فكرية استراتيجية. والأهم من ذلك كله أن عملاءنا يثقون بنا لمساعدتهم على حماية أعمالهم.
وبالتالي، فإن أي هجوم ناجح على شركة للأمن السيبراني قد يؤثر ليس فقط في المؤسسة نفسها، بل أيضاً في مستوى الثقة عبر المنظومة الأوسع التي تعمل ضمنها.
وتزداد هذه البيئة صعوبة وتعقيداً. فالتوترات الجيوسياسية تواصل إعادة تشكيل النشاط السيبراني، بينما يعمل الذكاء الاصطناعي على تقليص الوقت والخبرة والموارد اللازمة لتنفيذ هجمات متطورة بشكل كبير.
وقد وصل هذا التطور بالفعل إلى مرحلة متقدمة، إذ انتقل الذكاء الاصطناعي من مجرد مساعدة المهاجمين إلى المشاركة المباشرة في تنفيذ عمليات الاختراق، ووصل في بعض الحالات الموثقة إلى تنفيذ خطوات استغلال الثغرات مع قدر محدود جداً من التوجيه البشري.
وفي الوقت نفسه، تقلصت الفترة الفاصلة بين الكشف عن ثغرة أمنية وبدء استغلالها من أيام إلى ساعات. وتعمل هذه التطورات مجتمعة على تغيير حجم المخاطر السيبرانية وسرعة تطورها في آن واحد.
وقد ساعد بدء النقاش بهذا السياق على تكوين فهم مشترك للبيئة المحيطة قبل الانتقال إلى مناقشة كيفية إدارتنا لهذه المخاطر.
3 طرق لمناقشة حوكمة الأمن السيبراني
وجدت أنه من المفيد بناء النقاش حول ثلاثة منظورات متكاملة: نضج الأمن السيبراني، وشهية المخاطر السيبرانية، والمخاطر السيبرانية التي كانت تتطلب اهتمام مجلس الإدارة في ذلك الوقت.
ولا تمثل هذه المنظورات بدائل متنافسة، بل يضيف كل واحد منها بُعداً مختلفاً ومهماً إلى نقاش مجلس الإدارة.
1. نضج الأمن السيبراني
يساعد تقييم مستوى النضج، الذي يستند غالباً إلى إطار المعهد الوطني للمعايير والتكنولوجيا، على توضيح ما إذا كانت القدرات الأساسية في مجالات الحوكمة والحماية والكشف والاستجابة والتعافي موجودة وتواصل التحسن.
وأعتقد أن هذا التقييم يجب أن يكون جزءاً أساسياً من كل نقاش مع مجلس الإدارة. ومع ذلك، فإن مستوى النضج يظل مؤشراً وليس نتيجة نهائية بحد ذاته.
فالتقييم القوي لمستوى النضج يمنح مجلس الإدارة الثقة في أن المؤسسة تعمل على بناء الأسس الصحيحة للأمن السيبراني. لكنه في الوقت نفسه لا يجيب بالضرورة عن سؤال مختلف يحتاج مجلس الإدارة أيضاً إلى فهمه، وهو ما إذا كانت هذه القدرات تعالج بصورة كافية المخاطر السيبرانية التي تواجه أعمال المؤسسة اليوم.
2. شهية المخاطر السيبرانية
تمثل شهية المخاطر السيبرانية مفهوماً مهماً آخر في مجال الحوكمة.
وبالنسبة إلى بعض المؤسسات، ولا سيما تلك التي تتمتع بأنظمة متقدمة لإدارة المخاطر المالية، يمكن أن توفر هذه المقاربة وسيلة فعالة للتعبير عن مستوى التعرض للمخاطر السيبرانية ودعم قرارات الاستثمار.
أما في حالتنا، فإن بعضاً من أهم أصولنا، مثل الشفرة المصدرية وثقة العملاء والسمعة الاستراتيجية، لا يمكن اختزال قيمتها بصورة واقعية في رقم مالي دقيق.
ولذلك، وجدت أن مفهوم شهية المخاطر يكون أكثر فائدة كوسيلة لتأطير النقاش حول المخاطر المقبولة وغير المقبولة، بدلاً من استخدامه كمبدأ رئيسي لتنظيم العرض بأكمله.
3. المخاطر السيبرانية الراهنة
تم تنظيم النقاش نفسه حول المخاطر السيبرانية التي كانت تحتاج إلى اهتمام مجلس الإدارة في ذلك الوقت.
فعلى عكس مستوى النضج، الذي يتطور تدريجياً بمرور الوقت، تتغير باستمرار المخاطر السيبرانية التي تستحق اهتمام مجلس الإدارة. إذ تعيد التقنيات الجديدة وأساليب الهجوم المستحدثة والتغيرات التي تطرأ على الأعمال تشكيل المجالات التي ينبغي للإدارة ومجلس الإدارة التركيز عليها.
وقد ظهر مثال واضح على ذلك في مرحلة مبكرة من تحولنا في مجال الذكاء الاصطناعي، عندما أصبحنا نفهم المخاطر المرتبطة به بصورة أفضل. فبدلاً من استخدام هذه الصورة الأكثر وضوحاً للمخاطر كسبب للتراجع، دفع عدد من أعضاء مجلس الإدارة الحوار في اتجاه مختلف، وطالبوا بتسريع عملية التحول شريطة أن نتمكن من تنفيذها بصورة آمنة.
وقد أدى هذا التحول، من مجرد احتواء المخاطر إلى تمكين أولوية استراتيجية بصورة نشطة، إلى إعادة تشكيل الطريقة التي تعاملنا بها مع المبادرة منذ تلك اللحظة.
وبالنسبة إلى كل خطر، أجبنا عن سبعة أسئلة ثابتة:
ما الخطر؟
لماذا يمثل هذا الخطر أهمية بالنسبة إلى أعمالنا؟
ما التأثير المحتمل في الأعمال؟
ماذا نفعل للحد من مستوى التعرض لهذا الخطر؟
ما التقدم الذي أحرزناه؟
ما أوجه عدم اليقين أو المخاطر المتبقية؟
في أي المجالات يمكن لرؤية مجلس الإدارة أو تحديه لافتراضاتنا أو دعمه أن يكون أكثر قيمة؟
وقد أدى التركيز على النقاش بهذه الطريقة إلى تغيير طبيعته. فبدلاً من قضاء الوقت في مراجعة الضوابط الأمنية أو مشروعات الأمن السيبراني، تركز الحوار على الأولويات والافتراضات وسرعة التنفيذ والمفاضلات التي ينبغي القيام بها.
وتحدى مجلس الإدارة طريقة تفكيرنا، واختبر صحة أولوياتنا، وساعد على ضمان تركيزنا على المخاطر الأكثر أهمية.
قِس النجاح بجودة النقاش
كان أوضح دليل على نجاح هذا النهج ما حدث خلال مناقشة التحول في مجال الذكاء الاصطناعي. فلم يكتفِ مجلس الإدارة بالتفاعل مع المخاطر التي عرضناها، بل أعاد صياغة السؤال نفسه بالكامل.
ومن خلال وضع النقاش في إطار بيئة المخاطر التي تواجه الشركة، وإظهار الثقة في الأسس التي يقوم عليها الأمن السيبراني، والتركيز على المخاطر التي تتطلب الاهتمام في اللحظة الراهنة، أصبح الحوار أكثر ارتباطاً باحتياجات كل من الإدارة ومجلس الإدارة.
كان هذا هو النهج الذي نجح معنا. وفي النهاية، فإن أفضل مقياس لنجاح أي عرض يُقدَّم إلى مجلس الإدارة ليس مقدار المعلومات التي يتضمنها، بل مدى قدرته على نقل الحوار من مجرد تقديم التقارير إلى ممارسة الحكم واتخاذ القرار، بحيث تستطيع خبرات مجلس الإدارة ورؤيته أن تؤثر فعلياً في ما سيحدث بعد ذلك.
