أتولى منذ 2024 رئاسة اللجنة الفنية لأمن المعلومات والأمن السيبراني، كما هو موضح في سيرتي المهنية. ومن هذه الزاوية، أهتم بالعلاقة بين القرار الإداري والعمل التقني: من يملك النظام؟ من يعتمد الصلاحية؟ وما الخدمة التي يجب استعادتها أولًا عند حدوث انقطاع؟ هذه أسئلة تساعد على جعل المسؤولية واضحة قبل اختيار الأدوات.
لغة مشتركة للمخاطر
يوفر إطار NIST للأمن السيبراني مرجعًا عامًا لتنظيم النقاش حول إدارة المخاطر. وأستخدمه هنا لغةً مشتركة للنقاش لا قائمة تحقق جاهزة؛ فتطبيقه يبدأ من تقييم خاص بكل جهة وخدماتها.
في النقاش الإداري أفضّل ربط الخطر بخدمة محددة. مثلًا، ماذا يحدث إذا تعذر الوصول إلى مرفقات طلبات قائمة؟ ومن يتأثر إذا بقيت صلاحية موظف بعد انتقاله إلى وظيفة أخرى؟ صياغة المثال بهذا الشكل تساعد غير المتخصص على فهم سبب الإجراء المطلوب، وتتيح تحديد صاحب القرار المناسب.
الصلاحية قرار له دورة حياة
أقترح النظر إلى الصلاحية كسجل له بداية ومبرر ومراجعة ونهاية. فإعطاء الوصول لتغطية مهمة مؤقتة ينبغي أن يصاحبه وقت للمراجعة. كما أن فصل الإدخال عن الاعتماد قد يكون مهمًا في بعض الإجراءات، بحسب طبيعة الخدمة وتوزيع المسؤوليات المعتمد فيها.
ويستحق وصول التطبيقات والربط الآلي الاهتمام نفسه. فالخدمة التي تقرأ بيانات نظام آخر تحتاج إلى غرض واضح ونطاق محدد ومسؤول عن المتابعة. كثرة التكاملات تجعل توثيق العلاقات بين الأنظمة جزءًا من فهم الاعتماديات، ومن القدرة على التحقيق عند ظهور خطأ.
استمرارية العمل سؤال قابل للاختبار
وجود نسخة احتياطية يفتح أسئلة إضافية: هل يمكن استعادتها؟ ما البيانات التي تشملها؟ وهل يستطيع الفريق تشغيل الخدمة بعد الاستعادة؟ هذه أمثلة لاختبارات ينبغي تصميمها حسب بيئة العمل، مع مراعاة عدم التأثير في الخدمة القائمة وحماية بيانات المستخدمين.
- تسمية مسؤول عن كل نظام وخدمة وبياناتها.
- مراجعة الوصول عند تغير الأدوار أو انتهاء الحاجة.
- توثيق مسار الإبلاغ والتعامل مع الأعطال والحوادث.
- تجربة الاستعادة وتسجيل الملاحظات والمهام الناتجة عنها.
يصبح تقدم الأمن السيبراني أوضح عندما يعرف كل فريق ما يخصه، وتصبح القرارات قابلة للتوثيق والمتابعة، ويستطيع المسؤول فهم أثرها على استمرارية الخدمة وثقة المستفيد.