هل يستحق بناء مهارات إدارة المخاطر والأمن السيبراني الاستثمار؟

بناء مهارات إدارة مخاطر تقنية المعلومات والأمن السيبراني يستحق الاستثمار في معظم المؤسسات التي تعتمد على الأنظمة الرقمية، لكن العائد الحقيقي يتوقف على من يحصل على هذا التدريب. تدريب محلل أمني واحد على أدوات جديدة لا يغيّر الصورة بمفرده. القيمة الفعلية تظهر عندما يشترك قادة تقنية المعلومات والمديرون وأعضاء مجلس الإدارة في لغة واحدة لتحديد المخاطر وترتيب الأولويات واتخاذ القرار معًا، وهذا بالضبط ما يبنيه التدريب المنظم في هذا المجال.

ماذا ستكون قادرًا على فعله بعد التدريب؟

التدريب على إدارة مخاطر تقنية المعلومات والأمن السيبراني ليس حفظ أسماء أطر عمل. إنه القدرة على الدخول إلى اجتماع تخطيط أو لجنة توجيهية أو جلسة مجلس إدارة وتقديم شيء ملموس. بعد هذا النوع من التدريب، يصبح المشاركون قادرين عادة على:

• بناء سجل مؤسسي لمخاطر تقنية المعلومات يتابع الملكية والاحتمالية وحالة إجراءات المعالجة، بدلًا من جدول بيانات لا يحدّثه أحد.
• صياغة بيان للرغبة في المخاطر وحدود التحمل يستطيع كبار المديرين استخدامه فعليًا للموافقة على مشروع أو رفضه، بدلًا من عبارة عامة عن أخذ الأمن السيبراني بجدية.
• مواءمة الضوابط مع مرجعيات معروفة مثل ISO 31000 وCOBIT وإطار NIST للأمن السيبراني، بحيث تصبح الثغرات واضحة ومبررة بدلًا من تقدير عشوائي.
• تطبيق نموذج المسؤولية المشتركة على الخدمات السحابية، حتى لا يفترض أحد أن مزود الخدمة السحابية يتولى أمرًا تبقى المؤسسة نفسها مسؤولة عنه.
• مراجعة تهيئة الخدمات السحابية وتعرض الهويات، وترتيب أولوية إغلاق الثغرات بحسب الأثر على الأعمال.
• اختيار ضوابط أمنية وتبريرها باستخدام إطار معروف، بما في ذلك كيفية توثيق المنطق لأي عملية تدقيق أو جهة تنظيمية.
• ترجمة المخاطر التقنية إلى لغة يتصرف مجلس الإدارة أو لجنة التدقيق بناءً عليها، بدلًا من شريحة مليئة بالاختصارات.
• تنسيق الاستجابة لحادث سيبراني بين تقنية المعلومات والأمن ووظائف الأعمال، بحيث يُشرك الأشخاص المناسبون في اللحظة المناسبة.
• التخطيط لاستمرارية الأعمال والتعافي عند تعطل نظام أو مورّد، لا فقط عند وقوع هجوم.
• بناء هيكل حوكمة يحافظ على اتساق الرغبة في المخاطر والسياسات والتقارير مع تغيّر البنية التقنية للمؤسسة.

مجتمعة، هذه ليست مفاهيم نظرية. إنها إجراءات محددة تحوّل وثيقة سياسة الأمن السيبراني إلى شيء يتبعه الفريق فعليًا عندما يحدث حادث حقيقي أو عملية تدقيق أو قرار موازنة.

لمن هذا التدريب، ولمن لا يناسب؟

يحقق هذا النوع من التدريب قيمته بسرعة أكبر مع من يحمل بالفعل جزءًا من مسؤولية قرارات المخاطر، حتى لو لم تكن كلمة "الأمن السيبراني" في عنوان وظيفته. يشمل ذلك مديري تقنية المعلومات ورؤساء البنية التحتية الذين يحتاجون طريقة مبررة لترتيب أولويات قائمة طويلة من الإصلاحات، ومسؤولي أمن المعلومات وقادة برامج الأمن السيبراني الذين يحتاجون أن يُفهم عملهم التقني ويُدعم من القيادة العليا، ومديري تقنية المعلومات أو البنية التحتية المسؤولين عن الخدمات السحابية والهويات وملكية الضوابط اليومية.

يناسب أيضًا وظائف المخاطر والامتثال والتدقيق التي تحتاج إلى مراجعة سجل مخاطر تقنية المعلومات بدلًا من قبوله كما هو، والأهم من ذلك، كبار القادة وأعضاء مجلس الإدارة الذين يوافقون على الموازنات ويحددون الرغبة في المخاطر دون أن يقرأوا بالضرورة كل تقرير تقني. دورة قصيرة ومركزة على الحوكمة قد تفيد الوضع الأمني الفعلي للمؤسسة أكثر من عام آخر يعمل فيه الفريق التقني بمفرده، لأن القرارات تُتخذ بسرعة أكبر وبمفاجآت أقل.

أما حيث يكون هذا التدريب أقل ملاءمة: فمن يبحث عن اختبار اختراق عملي أو تحليل عكسي للبرمجيات الخبيثة أو عمل تقني دقيق على التهيئة سيجد هذا التدريب استراتيجيًا أكثر من اللازم. فهو مبني حول القرار والأولويات والحوكمة، لا تطوير الثغرات أو تحليل حزم الشبكة. كذلك، مؤسسة لا تملك بنية تقنية فعلية لحكمها - لا خوادم، ولا حسابات سحابية، ولا بيانات حساسة - لن تستفيد عمليًا من سجل مخاطر مؤسسي. القيمة الأعلى تكون حيث توجد تعقيدات فعلية لإدارتها: أنظمة متعددة وخدمات سحابية وموردون ومجلس إدارة يطرح أسئلة أصعب من ذي قبل.

كيف تنعكس هذه المهارات في العمل اليومي؟

لنأخذ مؤسسة متوسطة الحجم نقلت معظم أنظمتها إلى الحوسبة السحابية، وأضافت عددًا من الموردين الذين يملكون وصولًا خاصًا بهم إلى بيانات الشركة، وأصبح مجلس إدارتها يطلب صورة أوضح للتعرض السيبراني. قبل أي تدريب، النمط المعتاد هو فريق تقني يُعِدّ قائمة طويلة من النتائج لا يفهمها أحد خارج تقنية المعلومات بالكامل، ومجلس إدارة يوافق على طلب الموازنة تلقائيًا أو يرفضه دون أساس واضح لأي من الخيارين.

بعد التدريب على إدارة مخاطر تقنية المعلومات على مستوى المؤسسة، يمكن للمؤسسة نفسها أن تعمل بطريقة مختلفة. يبني مسؤول تقنية المعلومات أو المخاطر سجلًا يرتب النتائج بحسب الأثر على الأعمال لا بحسب الفئة التقنية، فيصبح "تعرض بيانات العملاء عبر حساب سحابي لمورّد" في مرتبة أعلى من نتيجة داخلية أقل أثرًا. يغذي هذا السجل بيان رغبة في المخاطر قصير وافق عليه المجلس مسبقًا، فيتحول السؤال في قاعة المجلس من "هل ننفق على هذا؟" إلى "هل تعيدنا هذه المعالجة إلى داخل الرغبة التي حددناها بالفعل؟" مراجعات الضوابط السحابية، التي تُدرَّس من خلال نموذج المسؤولية المشتركة، تجعل الفريق يتوقف عن افتراض أن مزود الخدمة السحابية يتولى أمرًا لم يكن مسؤولًا عنه أصلًا. النتيجة نتائج مفاجئة أقل، وموافقة أسرع على الإنفاق الأمني، ومجلس إدارة يستطيع أخيرًا طرح أسئلة أدق لأنه يملك إطارًا لطرحها فيه.

ينطبق التحول نفسه على نطاق أصغر داخل قسم واحد. مدير يفهم كيفية ترتيب أولوية الضوابط من خلال إطار معروف يستطيع الدفاع عن طلب إصلاحين فقط بدلًا من عشرة، لأنه يستطيع إثبات أي إصلاحين يخفضان التعرض الفعلي للمؤسسة أكثر - وهذا موقف أقوى بكثير من طلب كل شيء مرة واحدة والأمل في موافقة الإدارة المالية.

كيف تختار الدورة المناسبة لدورك؟

ليست كل دورة في إدارة مخاطر تقنية المعلومات والأمن السيبراني مبنية لنفس الجمهور، واختيار المستوى الخاطئ يهدر وقت الجميع. لأساس شامل على مستوى المؤسسة يربط الرغبة في المخاطر والحوكمة والأطر الرئيسية في نموذج تشغيلي واحد، صُممت دورة إدارة مخاطر تكنولوجيا المعلومات والأمن السيبراني على مستوى المؤسسة لمديري تقنية المعلومات ومسؤولي أمن المعلومات ووظائف المخاطر الذين يحتاجون الصورة الكاملة لا جزءًا واحدًا منها.

إذا كانت الثغرة محددة في تطبيق إطار عمل معيّن بدقة - اختيار الضوابط وتوثيق المنطق والمواءمة مع إرشادات الامتثال المعروفة - فإن دورة NIST لإتقان إدارة المخاطر والضوابط الأمنية تتعمق في هذه المرجعية الواحدة أكثر من دورة عامة.

لمديري تقنية المعلومات والبنية التحتية المسؤولين تحديدًا عن الخدمات السحابية وتعرض الأصول والكشف اليومي وتنسيق الحوادث، صُممت دورة الأمن السيبراني وأمن الحوسبة السحابية المتقدم لمديري تقنية المعلومات حول نموذج المسؤولية المشتركة وترتيب أولوية الضوابط الذي يستخدمه المديرون، لا أعضاء مجلس الإدارة، يوميًا.

وحيث تكون الثغرة الحقيقية أعلى من الفريق التقني بالكامل - على مستوى مجلس الإدارة أو كبار القادة، حيث تكون الحاجة إلى الحوكمة والتساؤل والموافقة لا التنفيذ المباشر - صُممت الحوكمة الاستراتيجية لمخاطر تقنية المعلومات والأمن السيبراني لقادة المجالس لهذا الجمهور بالتحديد، مع تركيز على الإشراف والمواءمة مع أهداف المؤسسة وتوصيل قيمة المخاطر للأعلى وللخارج بدلًا من العمل التقني المباشر على الضوابط.

طريقة عملية لاتخاذ القرار: إذا كنت الشخص الذي سينفذ الإصلاح، ابدأ بالدورة الشاملة على مستوى المؤسسة أو الدورة المتخصصة بإطار عمل محدد. وإذا كنت الشخص الذي سيوافق على الخطة أو يشرف عليها، ابدأ بالدورة المركزة على الحوكمة المصممة لهذا المستوى.

ما ينبغي أن يتجنبه الفريق

الخطأ الشائع هو إرسال شخص واحد - عادة الأكثر توفرًا لا الأكثر صلة بالموضوع - إلى دورة واحدة وتوقع أن يتحسن الوضع الأمني للمؤسسة بالكامل. ولأن هذه المهارات تمتد على المستويات التقنية والإدارية وحوكمة المجلس، فالنهج الأفضل هو مطابقة كل دورة مع الطبقة التي تتخذ فعليًا القرارات ذات الصلة في المؤسسة: الملاك التقنيون ومديرو تقنية المعلومات وكبار القادة أو أعضاء المجلس يحتاج كل منهم قطعة مختلفة من الصورة نفسها.

الخلاصة: يحقق التدريب على إدارة مخاطر تقنية المعلومات والأمن السيبراني عائده حين يصل إلى من يتخذ قرارات المخاطر، لا فقط إلى من ينفذ الإصلاحات، ويحقق عائده بسرعة أكبر حين تُعامل الحوكمة الشاملة والعمل المتخصص بإطار محدد والإشراف على مستوى المجلس بوصفها ثلاث قطع مترابطة بدلًا من دورة واحدة لكل شخص. اطّلع على صفحة الدورة للمنهج الكامل والمواعيد القادمة والرسوم.