السعودة في الأمن السيبراني: هيكلة فريق الأمن وفق الضوابط المحدَّثة

أغلب التغييرات التنظيمية تبدّل ما يجب على المنشأة فعله. وهذا التغيير يبدّل من يُسمح له بفعله، وهي مشكلة أصعب حلّاً ضمن مهلة زمنية.

فقد جرى تحديث ضوابط الأمن السيبراني الأساسية، إذ حلّت ECC 2:2024 محلّ نسخة 2018 الأصلية. ومن بين التغييرات، صارت السعودة في الأمن السيبراني تشترط شغل وظائف الأمن السيبراني بكوادر سعودية مؤهّلة، توسّعاً عن النسخ السابقة التي قصرت الاشتراط على المناصب العليا. والإطار المنقّح مبنيّ على أربعة مجالات و28 مجالاً فرعياً ونحو 110 ضوابط.

والضوابط التقنية يمكن شراؤها. أما الكوادر فلا، على الأقل ليس ضمن الجدول الزمني نفسه. والمنشأة التي تكتشف فجوة امتثال في فريقها الأمني تواجه سوق توظيف تبحث فيه كل منشأة أخرى في المملكة عن الأشخاص أنفسهم في الوقت نفسه.

يتناول هذا المقال ما يغيّره الاشتراط بنيوياً، والخيارات المتاحة للمنشآت العاجزة عن شغل الوظائف مباشرةً، وكيف تُعالَج المسألة دون مخالفة الاشتراط ولا ترك الوظيفة بلا كوادر.

ما الذي يتغيّر عملياً

كانت النسخة الأضيق من هذا الاشتراط قابلة للإدارة. فتعيّن المنشأة كادراً سعودياً لقيادة الوظيفة الأمنية وتواصل العمل كما كانت تحت ذلك التعيين.

أما النسخة الموسّعة فتبلغ الطبقة التشغيلية، وهو ما يثير أسئلة لم تثرها النسخة السابقة.

تعريف الأدوار يصير مخرَجاً امتثالياً. فعلى المنشأة أن تستطيع تحديد أي الأدوار أدوارٌ في الأمن السيبراني. وعملياً، تتوزّع المسؤوليات الأمنية غالباً على أشخاص تقول مسمّياتهم شيئاً آخر — مهندس شبكات يدير سياسة الجدار الناري، ومدير أنظمة يتولّى الهوية، وقائد بنية تحتية يدير معالجة الثغرات. وكون هذه أدواراً أمنية من عدمه سؤال على المنشأة الإجابةُ عنه قصداً لا اكتشافُه أثناء التقييم.

التأهيل يهمّ إلى جانب الجنسية. فالاشتراط ينصّ على كوادر سعودية مؤهّلة. وشغل المقعد لا يستوفي ضابطاً يتوقّع كفاءة قابلة للإثبات، ما يعني أن الشهادات والخبرة ومسارات التطوير تشكّل جزءاً من الدليل.

الترتيبات المتعاقد عليها تحتاج فحصاً. فحيث يؤدّي مزوّد مُدار وظائف أمنية، ينبغي أن تحسم المنشأةُ مسألةَ انطباق الاشتراط على ذلك الترتيب قصداً وتوثّقها، لا أن تفترضها في أي اتجاه يكون أيسر.

والدليل يتبع. فكما هي حال كل عنصر في هذه الأطر، ينبغي أن تتوقّع المنشأة إثباتَ موقفها لا إعلانَه. وتعريفات الأدوار وسجلات الكوادر والمؤهّلات المحمولة وخطط التطوير تشكّل ملفّ المخرجات.

واقع السوق

تواجه كل منشأة داخل النطاق القيدَ نفسه في الوقت نفسه، والمعروض من مختصّي الأمن السيبراني السعوديين ذوي الخبرة غير مرن في الأمد القصير.

والعواقب متوقّعة. ترتفع تعويضات الممارسين ذوي الخبرة. ويصعب الاستبقاء مع استقطاب المنافسين النشط. وتخسر المنشآت غير القادرة على المنافسة بالرواتب كوادرها لمن يقدر، ما يركّز القدرة في المؤسسات الكبرى ويترك المنشآت المتوسطة تدور في حلقة من الشواغر.

وثمة أثر من الدرجة الثانية يستحقّ التسمية. فالمنشأة التي توظّف لسدّ متطلّب امتثالي دون بناء الظروف التي تُبقي الناس تحلّ المشكلة مؤقتاً وتكرّر التمرين سنوياً. فالاشتراط لا يُستوفى بتعيين. يُستوفى بموقف كوادر مستدام.

الخيارات الواقعية

التوظيف المباشر ينجح للمنشآت القادرة على المنافسة بالتعويض، وتقديم عمل تقني ذي معنى، وتوفير مسار تطوير. وهو أنظف إجابة عن الاشتراط وأصعبها تنفيذاً بسرعة.

التطوير من الوظائف المجاورة أبطأ وأدوم. فمهندسو الشبكات والأنظمة يملكون أصلاً كثيراً من أسس الأدوار الأمنية، ومسارات التطوير المنظّمة تحوّل كوادر داخلية تفهم البيئة سلفاً. والمنشآت التي تسلك هذا الطريق تخفّض تعرّضها للتوظيف تخفيضاً دائماً لا سنوياً.

مسارات الخريجين وبدايات المسار المهني تعالج المشكلة نفسها في منبعها. ويستغرق عائد الاستثمار سنوات، وهذا تحديداً سبب امتلاك من يبدأ الآن ميزةً على من يبدأ حين يشتدّ النقص.

الخدمات المُدارة تغيّر شكل المشكلة. فالتعاقد على المراقبة المتواصلة والاستجابة الأولى والعمليات الأمنية الروتينية يخفّض عدد الكوادر الداخلية اللازمة للحفاظ على التغطية، ما يتيح للمنشأة تركيز قدرتها الداخلية الشحيحة في الأدوار التي تهمّ فيها الملكية الداخلية أكثر.

النماذج الهجينة هي ما تصل إليه أغلب المنشآت. فتبقى الاستراتيجية والبنية وملكية الخطر والمساءلة التنظيمية داخلياً. وينتقل التنفيذ التشغيلي المستمر — التغطية على مدار الساعة، وهي الأصعب في التوظيف والأغلى في الاستبقاء — إلى ترتيب متعاقد عليه. فتحتفظ المنشأة بالتوجيه وتخفّض عدد المقاعد التي عليها شغلها وإعادة شغلها.

تصميم فريق يستوفي الاشتراط ويعمل

ابدأ برسم الوظائف التي تحتاج المنشأة أداءها فعلاً لا الأدوار التي تملكها حالياً. الحوكمة والخطر. البنية الأمنية. العمليات والمراقبة. الاستجابة للحوادث. الامتثال والأدلة. إدارة الثغرات. هذه وظائف لا بالضرورة أعداد كوادر، والمنشآت الصغيرة تجمع عدداً منها في دور واحد على نحو مشروع.

ثم حدّد أي الوظائف يتطلّب ملكية داخلية لأسباب تنظيمية وأيها يمكن التعاقد عليه. فالمساءلة لا تُسنَد، ولا تُسنَد كذلك القرارات المتعلّقة بخطر المنشأة نفسها. أما التنفيذ فكثيراً ما يمكن إسناده.

ثم عرّف الأدوار بدقة، لأن تعريف الأدوار هو المخرَج الذي يفحصه التقييم وأساس كل ما عداه. والتعريفات الغامضة تنتج مواقف امتثال غامضة.

ثم ابنِ خطة استقطاب عبر المسارات الأربعة كلها لا اعتماداً على واحد. فالمنشآت المعتمدة كلياً على التوظيف الخارجي تتنافس في أضيق سوق. والمنشآت الجامعة بين التطوير الداخلي ومسار بدايات المسار المهني والعمليات المتعاقد عليها تخفّض تعرّضها له تخفيضاً كبيراً.

أسئلة شائعة

أي الأدوار يُعدّ دوراً في الأمن السيبراني؟ على المنشأة تعريف ذلك والدفاع عن تعريفها. فالأدوار التي غرضها الأساسي الأمن مؤهّلة بوضوح. أما الأدوار التي يشكّل فيها الأمن مكوّناً ضمن مهامّ تقنية أوسع فتتطلّب تحديداً مقصوداً موثّقاً بمسوّغه، لا افتراضاً.

هل يستوفي التعاقد مع مزوّد مُدار الاشتراطَ؟ هو يغيّر ملامح الكوادر الداخلية ولا يلغي المساءلة. وكيفية انطباق الاشتراط على الترتيبات المتعاقد عليها ينبغي تقييمها مقابل وضع المنشأة تحديداً وتوثيقها، لا افتراضها.

ماذا لو عجزت المنشأة عن شغل دور؟ الدور الشاغر بخطة استقطاب موثّقة ونشطة موقفٌ مختلف اختلافاً جوهرياً عن دور شاغر بلا خطة. والترتيبات المؤقتة، ومسارات التطوير الجارية، والتغطية المتعاقد عليها، تشكّل جميعاً جزءاً من موقف قابل للدفاع ريثما يستمر التوظيف.

هل الشهادة دليل كافٍ على التأهيل؟ تسهم ونادراً ما تقوم وحدها. فالخبرة القابلة للإثبات، والتطوير المستمر، والقدرة على أداء الدور، هي ما يقصده الاشتراط.

كيف تدعم بناة الأنظمة نماذج التشغيل الأمني

تقدّم بناة الأنظمة عمليات أمنية مُدارة للمنشآت في المملكة، مبنية بحيث تحتفظ الفرق الداخلية بملكية الاستراتيجية والبنية والخطر، ويغطّي التسليم المتعاقد عليه التنفيذَ التشغيلي المستمر. وتبدأ الارتباطات بمراجعة نموذج التشغيل الحالي وهيكل الأدوار، بحيث يعكس التقسيمُ الموقفَ التنظيمي وما تستطيع المنشأة توظيفه واقعياً معاً.

لمناقشة نماذج التشغيل الأمني، تواصل مع بناة الأنظمة على 920-020-750 أو itbuilders.com.sa

خدمات ذات صلة

الخدمات المُدارة · خدمات مركز العمليات الأمنية · الاستشارات التقنية الاستراتيجية