تحويل موعد التزام نهائي إلى برنامج

السياق

اتسع النطاق التنظيمي في المملكة، وازداد تبعاً لذلك عدد الجهات التي تحمل التزامات رسمية في الأمن السيبراني. وكثير منها يواجه إطار ضوابط منظماً للمرة الأولى. والإخفاق الشائع ليس عجزاً تقنياً. الإخفاق هو التعامل مع الإطار كقائمة عيوب تُصلَّح لا كنموذج تشغيل يُتبنّى.

كانت إحدى الجهات الخاضعة لمتطلبات ECC-2:2024 الصادرة عن الهيئة الوطنية للأمن السيبراني قد تسلّمت نتائج تقييمها ولديها موعد نهائي للمعالجة. وكانت الاستجابة الداخلية إسناد كل ملاحظة إلى مالك تقني وطلب معالجتها. وبعد ستة أشهر، أظهرت تقارير التقدم أن معظم البنود «قيد التنفيذ» وأن القليل منها أُغلق.

كان السبب بنيوياً. فنسبة كبيرة من الملاحظات لم تكن مشكلات تقنية. كانت مشكلات حوكمة مصاغة بلغة تقنية — غياب الملكية، وعمليات غير موثقة، وانعدام دورة مراجعة محددة — وقد أُسندت إلى مهندسين لا يستطيعون حلها من موقعهم.

المنهج

أعادت ITBuilders تحديد نطاق العمل كبرنامج لا كقائمة معالجة. وكانت الخطوة الأولى التصنيف: أي الملاحظات يتطلب تنفيذاً تقنياً، وأيها يتطلب عملية موثقة، وأيها يتطلب قراراً على مستوى الحوكمة، وأيها يتطلب الثلاثة بترتيب محدد. وتبيّن أن نحو ثلث البنود المفتوحة كان محجوزاً خلف قرار لم يُصعَّد قط، لأنه لم يُدرك أصلاً بوصفه قراراً.

ثم أُسندت الملكية عند المستوى القادر على حسم كل بند، ورُتّب التنفيذ التقني ليأتي بعد قرارات الحوكمة التي يعتمد عليها. وأغلقت إعادة الترتيب هذه بنوداً عدة خلال أسابيع بعد أن ظلت مفتوحة شهوراً.

وأُنشئ خط أساس للضوابط يغطي النطاق التنظيمي كاملاً، مرسوماً على البيئة الفعلية للجهة لا على إطار عام، بحيث يصبح لكل ضابط مالك مسمّى ومصدر دليل محدد ودورة مراجعة. وحيثما كانت الضوابط منفذة جزئياً، وُثقت الفجوة تحديداً بدل وسمها بأنها «قيد التنفيذ»، لأن الحالة الغامضة لا تختلف عن غياب الحالة أثناء التدقيق.

ورُتّبت خارطة طريق المعالجة وفق المخاطرة والاعتمادية، بتقديرات جهد واقعية، وعُرضت على اللجنة التنفيذية بمنطق المخاطر المتبقية لكل ربع سنة لا بعدد البنود. وهذا ما غيّر النقاش حول التمويل.

وإلى جانب المعالجة، أرسى البرنامج الإيقاع التشغيلي الذي يفترض الإطار وجوده: مراجعة دورية للضوابط، وحوكمة محددة للتغيير، وعملية أدلة تنتج مواد التدقيق باستمرار لا في سباق محموم قبل كل تقييم.

ما الذي تغير

أوفت الجهة بموعدها النهائي في البنود ذات الأثر التنظيمي، بأدلة موثقة لكل منها. والأهم أنها تدير اليوم وظيفة التزام تحافظ على موقعها بنفسها بدل إعادة بنائه قبل كل مراجعة.

استمرارية التشغيل

وتبقى ITBuilders مرتبطة بالعمل عبر دورة المراجعة — بصيانة خط أساس الضوابط مع تغير البيئة والنطاق التنظيمي، ودعم إنتاج الأدلة، وتقديم المشورة على مستوى الحوكمة حيث يكون مالك الضابط أعلى من الفريق التقني. فالالتزام موقع يجب الحفاظ عليه باستمرار، والجهات الأكثر تعثراً هي التي تعاملت مع التدقيق الأول كخط نهاية.