أكبر بند في كلفة الاختراق ليس تقنيًا: الأمن السيبراني كقرار تنفيذي لا كبند في ميزانية التقنية

البند الذي لا يشتريه أحد

حين تُعرض ميزانية الأمن السيبراني على لجنة تنفيذية، تكون بنودها تقنية في الغالب الأعم: كشف واستجابة على الأجهزة الطرفية، وإدارة الهوية والوصول، وأمن الشبكات، ومراقبة مستمرة. وهذه بنود ضرورية، وتخفض احتمال وقوع الحادث وسرعة احتوائه.

لكن توزيع الكلفة يقول شيئاً آخر عن مكان الضرر الأكبر:

البند الأول — وهو الأكبر — يتكوّن من انقطاع الخدمة، وفقدان عملاء، وصعوبة اكتساب عملاء جدد، وأثر السمعة. ولا يوجد منتج أمني يخفّضه مباشرة. ما يخفّضه هو الاستعداد التشغيلي والتجاري: خطة استمرارية مُختبَرة، وجاهزية اتصال مع العملاء، وترتيبات تعاقدية واضحة، وقدرة على استئناف الخدمة بسرعة.

وهذه كلها بنود خارج نطاق إدارة تقنية المعلومات: تخصّ العمليات، والتسويق والاتصال، والشؤون القانونية، وخدمة العملاء. وحين يُدار الملف كاملاً داخل التقنية، يبقى أكبر بند في الكلفة بلا مالك.

من يملك أكبر بند في الكلفة

إذا كان البند الأكبر تجارياً، فمالكه يجب أن يكون تجارياً. وهذا لا يعني إخراج الأمن السيبراني من التقنية، بل الفصل بين ثلاث ملكيات تُدمج عادةً في واحدة فتضيع: ملكية الضوابط التقنية، وملكية القرار عن مستوى المخاطرة المقبول، وملكية الاستعداد لاستيعاب الأثر عند وقوعه.

الأولى تخصّ التقنية والأمن، وهي الأكثر نضجاً في معظم المنشآت. والثانية قرار تنفيذي لا فني: ما الخدمات التي لا يُقبل توقفها، وكم من الوقت، وبأي كلفة للحماية. لا يمكن لفريق تقني أن يجيب عن هذا نيابة عن الأعمال. والثالثة موزّعة على العمليات والاتصال والقانونية وخدمة العملاء، وهي الملكية الغائبة عادةً — ومن غيابها تنشأ الكلفة الكبرى.

ما يخفّض خسارة الأعمال فعلاً

خسارة الأعمال تتراكم في الزمن الفاصل بين وقوع الحادث واستئناف الخدمة والثقة. ولذلك فإن ما يخفّضها ليس أداة إضافية بل قدرات تُبنى مسبقاً وتُختبر:

• استمرارية مُختبَرة لا موثّقة. الفارق جوهري: خطة مكتوبة لم تُجرَّب هي افتراض، وخطة جُرِّبت تحت ضغط هي قدرة. والتمرين هو ما يكشف الاعتماديات غير المرئية.
• أهداف زمنية يقرّها العمل. الزمن المقبول للاستعادة وحجم البيانات المقبول فقدانه قرارات تجارية تُترجَم بعدها إلى تصميم تقني، لا العكس.
• جاهزية اتصال معدّة سلفاً. من يتحدث، وبأي صيغة، ومتى، وإلى العملاء والشركاء والمنظّم. الصياغة تحت الضغط هي ما يحوّل الحادث إلى أزمة سمعة.
• وضوح تعاقدي. مستويات الخدمة والتعويض وحدود المسؤولية مع العملاء ومع المورّدين، محدّدة قبل الحادث لا متنازع عليها بعده.
• خريطة اعتماد على أطراف ثالثة. تركّز الخدمات الحرجة عند مورّد واحد يجعل التعرّض أكبر من أي ضابط داخلي، لأن الحادث قد يقع خارج نطاق سيطرة المنشأة كلياً.

والقاسم المشترك بين هذه البنود أنها لا تُشترى دفعة واحدة ولا تظهر في مقارنات الأدوات، لكنها هي التي تحدّد حجم البند الأكبر في فاتورة الاختراق.

تعدّد المنظّمين: من الازدواج إلى ضابط يخدم عدة جهات

الخضوع لأكثر من جهة رقابية في آن واحد يُنتج عادةً ازدواجاً في العمل لا في الحماية: ثلاث مراجعات، وثلاث حزم أدلة، وثلاثة جداول زمنية، لضوابط متقاربة في جوهرها. والكلفة هنا ليست كلفة أمن بل كلفة إدارية، وهي ترتفع مع كل إطار إضافي دون أن يرتفع مستوى الحماية بالقدر نفسه.

والمعالجة منهجية: يُبنى سجل ضوابط واحد يوصَف فيه الضابط مرة واحدة بلغة تشغيلية، ثم يُربَط بكل إطار ينطبق عليه. وبذلك يصبح الدليل الواحد صالحاً لعدة جهات، وتتحول المراجعة من إعادة بناء إلى إعادة عرض. والأثر الأهم أن هذا السجل يكشف ما هو مطلوب فعلاً من أكثر من جهة — وهو ما يستحق الاستثمار أولاً — وما هو مطلوب من جهة واحدة بصياغة خاصة.

كيف يُترجَم ذلك إلى قرار ميزانية

الميزانية التي تُقرأ كقائمة أدوات لا تُجيب عن السؤال التنفيذي. والقراءة الأنفع تقسّمها إلى ثلاث كتل: كتلة تخفيض احتمال الحادث، وكتلة تخفيض زمن الاكتشاف والاستجابة، وكتلة تخفيض الأثر التجاري عند وقوعه. ومعظم الميزانيات تتكدّس في الكتلة الأولى، بينما توزيع الكلفة المعروف يشير إلى أن الكتلتين الثانية والثالثة تحملان النصيب الأكبر من الفاتورة.

ولا يعني هذا تخفيض الاستثمار في الوقاية، بل وقف اعتبارها الميزانية كلها. فالسؤال الذي يجب أن يُطرح عند كل بند ليس «هل يزيد أمننا؟» بل «أي كتلة من الثلاث يخفّضها، وبأي مقدار يمكن ملاحظته؟» — وهو سؤال يُظهر سريعاً أن بعض أنفع البنود ليس تقنياً أصلاً: تمرين استمرارية، ومراجعة عقود، وتدريب فريق اتصال.

ما يُرفع إلى مجلس الإدارة

تقرير الأمن السيبراني المعتاد يعرض مؤشرات نشاط: عدد التنبيهات، ونسبة الترقيعات، وحالة الأدوات. وهذه مؤشرات ضرورية لإدارة الفريق، لكنها لا تصف تعرّض المنشأة. وما يصفه أربعة مؤشرات: نسبة الخدمات الحرجة التي لديها خطة استمرارية مُختبَرة فعلياً خلال فترة محدّدة؛ والزمن المُثبَت لاستئناف كل خدمة حرجة كما قيس في آخر تمرين لا كما هو مكتوب؛ ودرجة تركّز الاعتماد على أطراف ثالثة في الخدمات الحرجة؛ وحالة خريطة الالتزامات مقابل الجهات الرقابية المنطبقة.

الفارق بين المجموعتين أن الأولى تقيس اجتهاد الفريق، والثانية تقيس ما سيحدث للأعمال يوم وقوع الحادث. والمجلس مسؤول عن الثانية.

ما يعنيه اتساع النطاق للمنشآت الأصغر

حين يتسع نطاق الضوابط ليشمل القطاع الخاص بمختلف أحجامه، يواجه المنشآت الأصغر سؤال مختلف عن سؤال المنشآت الكبيرة. فالكبيرة تملك فريقاً وميزانية وتحتاج ترتيب أولوياتها؛ أما الأصغر فقد لا تملك أياً منهما، ويكون خيارها الواقعي بين امتثال شكلي على الورق وامتثال جوهري مُصغَّر.

والمخرج المنطقي هو أن الأصغر لا تحتاج نسخة مصغّرة من برنامج المنشأة الكبيرة، بل تحتاج تركيزاً على الكتلتين الأخيرتين: زمن الاكتشاف، وقدرة الاستئناف. فمنشأة صغيرة قادرة على استعادة خدمتها وبياناتها في وقت قصير، ولديها صيغة اتصال جاهزة مع عملائها، تكون قد عالجت الجزء الأكبر من فاتورتها المحتملة بكلفة أقل بكثير من كلفة بناء منظومة وقاية متقدمة.

وهنا يظهر أثر الاعتماد على الأطراف الثالثة بوضوح أكبر: المنشأة الأصغر تستضيف خدماتها وبياناتها عند مورّدين، فتصبح أسئلة العقد — النسخ الاحتياطي وزمن الاستعادة وحدود المسؤولية وآلية الإبلاغ عن الحوادث — هي أدوات الأمن الفعلية المتاحة لها، لا لوحات المراقبة. وتقييم مورّد واحد بعناية قد يفوق في أثره أي أداة تُشترى.

حدود هذا التحليل

توزيع الكلفة المذكور أعلاه مأخوذ من تقرير إقليمي لسنة محدّدة، ويُقرأ كدلالة على بنية الكلفة لا كتقدير لمنشأة بعينها؛ فالنسب تختلف بحسب القطاع وحجم قاعدة العملاء وطبيعة الخدمة. كما أن نطاق الضوابط والالتزامات الرقابية يتغيّر بالإصدار، وما يرد هنا منهج قراءة لا جرد نظامي. والغرض تحويل السؤال من «هل ميزانيتنا الأمنية كافية؟» إلى «هل نعرف أي بند من فاتورة الاختراق نشتري تخفيضه فعلاً؟»