- تتراجع ثقة قادة الأعمال في قدرة شركاتهم على الصمود أمام المخاطر السيبرانية، في وقت يتزايد فيه اعتمادها على الأنظمة الرقمية.
- بدلاً من التساؤل عما إذا كانت الشركة تتمتع بالمرونة السيبرانية أم لا، ينبغي لمجالس الإدارة أن تسأل عن التدابير المعتمدة التي تجعل المؤسسة «مرنة بما يكفي».
- لتحقيق أقصى استفادة من الاستثمارات في المرونة السيبرانية، يجب على الشركات إجراء نقاشات على مستوى مجالس الإدارة حول القيمة المعرّضة للخطر والعائد على الاستثمار في المرونة.
عندما نشر المنتدى الاقتصادي العالمي «مؤشر المرونة السيبرانية» في عام 2022، أتاح لقادة الأعمال لغة مشتركة للتعامل مع سؤال صعب: إلى أي مدى تستعد مؤسستك للصمود أمام الاضطرابات السيبرانية والتعافي منها؟
وبعد ثلاث سنوات، أظهر تقرير «التوقعات العالمية للأمن السيبراني 2025» الصادر عن المنتدى أن 35% من المؤسسات الصغيرة لا تزال تعتبر مرونتها السيبرانية غير كافية، وهي نسبة تمثل زيادة بمقدار سبعة أضعاف مقارنة بعام 2022، في حين ترى 54% من المؤسسات الكبيرة أن تعقيد سلاسل التوريد يشكل أكبر عائق منفرد أمام تعزيز المرونة. وإضافة إلى ذلك، وفي عصر الهجمات الموجّهة بالذكاء الاصطناعي، وجدت دراسة أجرتها Rubrik Zero Labs أن 86% من قادة تكنولوجيا المعلومات والأمن يتوقعون أن ينتشر استخدام وكلاء الذكاء الاصطناعي بوتيرة أسرع من قدرة شركاتهم على تطوير الضوابط الأمنية اللازمة خلال العام المقبل.
وفي هذا العصر الجديد، تتراجع الثقة في المرونة السيبرانية، بينما يزداد الاعتماد على الأنظمة الرقمية.
ففي حين كان 92% من التنفيذيين يعتقدون أن المرونة السيبرانية مدمجة ضمن إدارة مخاطر المؤسسة، وفقاً لمؤشر المرونة السيبرانية، لم يكن سوى 19% من قادة الأمن السيبراني واثقين من أن مؤسساتهم تتمتع فعلاً بالمرونة اللازمة. ويجب سد هذه الفجوة بين الاطمئنان السائد في مجالس الإدارة والواقع التشغيلي قبل أن تتمكن المؤسسات من تعزيز قدرتها الحقيقية على الصمود أمام المخاطر السيبرانية.
وتوقفت مجالس الإدارة الأكثر تقدماً عن طرح سؤال: هل نحن قادرون على الصمود؟ وبدأت بدلاً من ذلك في التساؤل عن التدابير التي يجب توافرها حتى تُعتبر المؤسسة «مرنة بما يكفي». ويعني ذلك تحديد حجم التأثير المالي الذي تستطيع المؤسسة تحمله، وكيفية موازنة استثمارات المرونة السيبرانية بين الوقاية والحماية والتعافي، وكيفية قياس العائد الناتج عنها.
المرونة السيبرانية موصوفة أكثر مما هي مقاسة
تتبع العديد من الشركات نمطاً متشابهاً عند التعامل مع المرونة السيبرانية. فخطط التعافي موجودة، وتُجرى اختبارات لاستعادة الأنظمة، لكنها لا تتم دائماً في ظل الظروف الصعبة والمعقدة التي قد تواجهها المؤسسة بالفعل أثناء هجوم مدمّر.
وغالباً ما تستطيع المؤسسات تحديد أهداف زمن التعافي وأهداف نقاط الاستعادة، لكنها تواجه صعوبة في تقديم دليل على قدرتها على التعافي انطلاقاً من بيئة نظيفة وموثوقة. كما أن النسخ الاحتياطية منتشرة على نطاق واسع، لكن ضمان عدم قابليتها للتعديل أو الحذف، إلى جانب وجود بيئات معزولة ونظيفة للتعافي، لا يزال غير متسق بين المؤسسات.
ونادراً ما تخطط المؤسسات لسيناريوهات تكون فيها النسخ الاحتياطية نفسها هدفاً للهجوم ويتم تعطيلها. وقد لا يتم تحديد الأنظمة الأكثر أهمية وحساسية من منظور هجومي يحاكي طريقة تفكير الخصم. كما قد تتوزع المسؤولية داخل المؤسسة بشكل غير واضح، بحيث يُنظر إلى المرونة باعتبارها إجراءً تقنياً تتحمل مسؤوليته فرق تكنولوجيا المعلومات، وليس قدرة استراتيجية تقع مسؤوليتها على أعلى مستويات القيادة.
كما أن مستوى نضج المرونة السيبرانية متفاوت بدرجة كبيرة. فمعظم المؤسسات تستثمر بشكل مكثف في منع الهجمات واكتشافها، لكنها تنفق بدرجة أقل نسبياً على قدرتها على مواصلة العمل أثناء الهجوم وعلى التعافي بعد وقوعه. وهذه القدرات هي التي تحدد ما إذا كان الاختراق سيظل حادثاً أمنياً محدوداً أم سيتحول إلى أزمة تطال الأعمال بأكملها.
ولهذا الاختلال تكلفة واضحة. ففي السابق، كان يمكن أن تمتلك الشركات ما يصل إلى 60 يوماً بين حدوث الاختراق وبدء الأضرار الفعلية، أما اليوم فقد تقلصت هذه الفترة إلى 27 ثانية فقط في بعض الحالات، وفقاً لأبحاث التهديدات التي أجرتها Rubrik. وهذا يترك للمؤسسات وقتاً شبه معدوم للاستجابة بعد بدء الهجوم.
ومع تقلص هذه النافذة الزمنية، تستمر تكلفة تعطّل الأعمال في الارتفاع. فقد وجد تقرير «تكلفة اختراق البيانات لعام 2025» الصادر عن IBM أن خسائر الأعمال لا تزال واحدة من أكبر العوامل المساهمة في متوسط التكلفة العالمية لاختراق البيانات، والتي تبلغ 4.44 مليون دولار. ولهذا السبب يجب أن تتحول المرونة السيبرانية وسرعة التعافي إلى ضرورات أساسية للأعمال.
قياس النوع الصحيح من المخاطر
غير أن إعادة صياغة طريقة التفكير هذه تعتمد على قياس النوع الصحيح من المخاطر. ويوفر إطار «تحديد وتقدير مخاطر الأمن السيبراني لإدارة مخاطر المؤسسة» الصادر عن المعهد الوطني الأمريكي للمعايير والتكنولوجيا منهجية منظمة تساعد المؤسسات على التعبير عن تعرضها للمخاطر السيبرانية بلغة مؤسسية، من خلال الاحتمالية والتأثير والخسارة المتوقعة، بحيث يمكن التعامل معها إلى جانب بقية المخاطر التي يشرف عليها مجلس الإدارة.
لكن مخاطر المرونة يجب أن تُقاس بطريقة مختلفة عن المخاطر السيبرانية التقليدية. فالبرامج التقليدية تركز بشكل أساسي على احتمال وقوع حدث ما، بينما تعتمد أهداف المرونة على ثلاثة محاور مختلفة.
أولاً، تهدف إلى تقليل حجم التأثير من خلال احتواء الضرر، ومواصلة العمليات، وإعادة بناء القدرات. وثانياً، تعمل على زيادة فهم احتمال وقوع الحادث من خلال الفهم والوقاية. وثالثاً، تساعد في حساب احتمال تحول الحادث إلى ضرر فعلي في ضوء نقاط الضعف القائمة، وذلك من خلال الفهم والاستعداد والاحتواء والتحول وإعادة تصميم البنية.
تقلل الوقاية من احتمالية التعرض للهجوم، بينما تخفض آليات التعافي التقليدية تكلفة الاضطرابات المعتادة، وتقلل المرونة من تكلفة التعرض لاختراق واسع النطاق. وبالتالي، فإن قياس وعرض مؤشرات الوقاية والتعافي التقليدي فقط يخلق نقطة عمياء أمام مجلس الإدارة، لأنه في غياب المرونة قد يحدث تأثير متسلسل يمتد عبر خدمات التكنولوجيا المشتركة وعمليات الأعمال الحيوية التي تعتمد عليها.
المرونة السيبرانية: من التأثير إلى القيمة
هنا يجب الربط بين نضج القدرات وقيمة الأعمال. ويصف «نموذج نضج قدرات المرونة السيبرانية»، الذي يحظى بدعم مجتمع الأمن السيبراني، المرونة عبر عشر قدرات تشمل الدفاع المستند إلى معلومات التهديدات، وإدارة الأزمات، والتعافي السيبراني.
ولا تكمن قيمته الحقيقية في الدرجة التي تحصل عليها المؤسسة بحد ذاتها، بل في المسار الواضح الذي ينشئه. إذ يمكن ربط كل قدرة ومستوى نضجها بمحرك محدد للقيمة يفهمه قطاع الأعمال بالفعل. فعلى سبيل المثال، يمكن أن يؤدي تحسين مستوى نضج التعافي بطريقة تخفض زمن استعادة الأنظمة إلى النصف إلى تقليص الخسائر المتوقعة بملايين الدولارات.
ويساهم إدخال مثل هذه المقاييس الخاصة بالمرونة في خلق قيمة للأعمال عبر عدة طرق:
- تحقيق وفورات في التكاليف من خلال دمج أدوات النسخ الاحتياطي والتعافي.
- زيادة مستوى الرؤية والوضوح من خلال منصة موحدة للمرونة تشمل مختلف أقسام المؤسسة.
- تقليل احتمالية فقدان البيانات وتوقف الأنظمة، وخفض تأثير ذلك على الإيرادات.
- تحقيق مكاسب في الكفاءة التشغيلية من خلال تقليل الجهد اليدوي.
وهكذا يتحول سؤال «ما مقدار المرونة الكافي؟» إلى سؤال استثماري. وينبغي للمؤسسات أن تحسب حجم التأثير المالي الذي لا تستطيع تحمله، وأن تحدد القدرات التي يمكنها خفض هذا التأثير بأكبر قدر ممكن، ثم توجه الإنفاق بين ضوابط الوقاية والحماية والتعافي إلى المجالات التي تحقق أعلى عائد.
وبهذه الطريقة، لا تعود المرونة السيبرانية تتنافس على الميزانية اعتماداً على الثقة أو الافتراضات وحدها، بل تبدأ في المنافسة استناداً إلى مقدار قابل للقياس من خفض المخاطر.
قياس المرونة السيبرانية
لا يمكن تحقيق أي من ذلك من دون وجود مسؤولية واضحة. فالمرونة السيبرانية تحتاج إلى مسؤول تنفيذي واحد يتحمل المساءلة، مثل مسؤول المرونة السيبرانية، أو إلى مجموعة ذات صلاحيات رسمية تضم ممثلين عن الأعمال واستمرارية الأعمال وإدارة المخاطر والتكنولوجيا والأمن السيبراني، وتكون مكلفة بوضع الأهداف وتخصيص الاستثمارات وتقديم التقارير إلى مجلس الإدارة.
كما يجب إدارة المرونة السيبرانية بالطريقة نفسها التي تُدار بها أي قدرة استراتيجية أخرى. فينبغي قياسها مقارنة بخط أساس يحدد مستوى النضج، واختبارها في ظروف واقعية، وتقييمها مالياً، والعمل على تحسينها باستمرار.
ومع مرور كل ربع سنة من دون وجود بنية موحدة ومتكاملة للمرونة، تزداد تعقيدات معالجة المشكلات وترتفع تكلفتها. أما المؤسسات التي تستثمر اليوم في المرونة السيبرانية، فقد انتقلت من نقاش تقني يركز على الضوابط والإجراءات إلى نقاش على مستوى مجلس الإدارة حول القيمة المعرّضة للخطر والعائد على الاستثمار في المرونة.
ومع انتقال هذه المؤسسات من مجرد وصف التأثير إلى قياس القيمة بالأرقام، يصبح من الممكن تبرير كل دولار يُنفق على المرونة السيبرانية من خلال حجم الخسائر التي يساعد على تجنبها.
