النضج السيبراني يبدأ بالمؤسسة… لكنه لا يكتمل دون الإنسان

عندما نتحدث عن الأمن السيبراني، فإن السؤال المعتاد هو: هل المؤسسة آمنة؟

لكن هذا السؤال لم يعد كافياً.

السؤال الأكثر دقة هو: ما مستوى النضج السيبراني للمؤسسة؟ وما مستوى النضج السيبراني للأفراد الذين يعملون داخلها؟

قد تمتلك المؤسسة سياسات أمنية، وأنظمة حماية، ونسخاً احتياطية، وخططاً للاستجابة للحوادث. وقد تحصل على شهادات وتنفذ برامج تدريب سنوية. لكن ماذا يحدث عندما يتلقى أحد الموظفين رسالة تصيد مقنعة؟ هل يتعرف عليها؟ هل يفتح الرابط؟ هل يبلغ عنها؟ وماذا يفعل إذا طلب منه شخص يبدو أنه مديره إرسال معلومات حساسة؟

هنا يظهر الفرق بين النضج السيبراني للمؤسسة والنضج السيبراني للفرد.

النضج السيبراني المؤسسي يعبر عن قدرة المؤسسة على إدارة مخاطرها السيبرانية بطريقة منظمة وقابلة للقياس والتحسين. ويمكن قياسه من خلال الحوكمة، وإدارة المخاطر، وحماية الأصول والبيانات، وإدارة الهوية والصلاحيات، واكتشاف التهديدات، والاستجابة للحوادث، والتعافي، وإدارة مخاطر الأطراف الثالثة.

توفر أطر مثل NIST Cybersecurity Framework 2.0 أساساً لهذا النوع من القياس. فقد أضاف NIST وظيفة الحوكمة إلى وظائف الأمن السيبراني الأساسية، وأصبح الإطار يقوم على ست وظائف هي Govern وIdentify وProtect وDetect وRespond وRecover.

لكن المؤسسة ليست مجموعة أنظمة وسياسات فقط. الإنسان جزء من منظومتها السيبرانية.

مستوى ثان من القياس

النضج السيبراني الفردي لا يعني مقدار ما يعرفه الموظف عن الأمن السيبراني فقط. المعرفة مهمة، لكنها لا تكفي. الموظف قد يعرف تعريف التصيد الإلكتروني ويجيب عن سؤال تدريبي بصورة صحيحة، ثم يضغط بعد ساعة على رابط تصيد حقيقي.

لذلك يجب أن ينتقل القياس من السؤال «ماذا يعرف الفرد؟» إلى السؤال «ماذا يفعل عندما يواجه موقفاً رقمياً يحمل خطراً؟».

يمكن قياس النضج الفردي من خلال ثلاثة أبعاد مترابطة. المعرفة تقيس فهم الفرد للتهديد والممارسة الصحيحة. القدرة تقيس سلوكه الفعلي في موقف يحاكي الواقع. والتفكير أو التبرير يكشف لماذا اتخذ هذا القرار وما الأدلة التي اعتمد عليها.

لنأخذ مثالاً بسيطاً.

يتلقى الموظف بريداً إلكترونياً يبدو أنه صادر عن قسم تقنية المعلومات، ويطلب منه تسجيل الدخول فوراً بسبب مشكلة في حسابه.

يمكن للاختبار التقليدي أن يسأله عن علامات التصيد.

أما التقييم السلوكي فيضعه أمام الرسالة نفسها داخل بيئة آمنة ويراقب ما يفعله. هل يفحص عنوان المرسل؟ هل يتحقق من الرابط؟ هل يبحث عن قناة مستقلة للتحقق؟ هل يبلغ عن الرسالة؟ أم يضغط الرابط ويقدم بياناته؟

هنا أصبح لدينا دليل على القدرة، وليس مجرد إجابة عن سؤال.

التمييز عند قياس النضج السيبراني للمؤسسة

يمكن أن تحقق المؤسسة مستوى مرتفعاً في الحوكمة والسياسات والتقنيات، بينما يكشف التقييم السلوكي أن نسبة من موظفيها ما زالت تتخذ قرارات تعرض المؤسسة للخطر. والعكس ممكن أيضاً. فقد نجد أفراداً يتمتعون بوعي وسلوك سيبراني جيد داخل مؤسسة لم تطور بعد منظومة متكاملة للحوكمة والاستجابة والتعافي.

لذلك أقترح النظر إلى النضج السيبراني من خلال مستويين متكاملين.

الأول هو «النضج السيبراني المؤسسي»، ويقيس مدى قدرة المؤسسة على الحوكمة والحماية والكشف والاستجابة والتعافي.

والثاني هو «النضج السيبراني البشري»، ويقيس قدرة الأفراد على التعرف إلى المخاطر والتصرف الآمن والاستجابة للحوادث واتخاذ القرار المناسب في مواقف رقمية حقيقية أو محاكية للواقع.

لكن القيمة الحقيقية لا تأتي من إجراء القياس مرة واحدة.

يجب إنشاء خط أساس Baseline. نحدد أين تقف المؤسسة اليوم، وأين يقف موظفوها، ثم نعيد القياس بعد التدريب أو بعد تطبيق ضوابط جديدة أو بعد فترة زمنية محددة.

عندها نستطيع أن نسأل سؤالاً أكثر فائدة من سؤال «هل قدمنا التدريب؟».

“المتعلم الرقمي” و”الجاهل الرقمي”

هل تغير السلوك؟

إذا دربت المؤسسة ألف موظف على التصيد الإلكتروني، فإن عدد الذين أكملوا الدورة ليس مؤشراً كافياً على النجاح. المؤشر الأقوى هو مقدار التحسن في قدرتهم على اكتشاف التصيد والتعامل معه بعد التدريب مقارنة بخط الأساس السابق.

ومن هنا تتغير وظيفة التدريب نفسه.

بدلاً من تقديم البرنامج نفسه للجميع، يكشف القياس أين توجد الفجوات. قد تظهر المشكلة في التعرف إلى التهديدات لدى مجموعة، وفي حماية البيانات لدى مجموعة أخرى، وفي الاستجابة للحوادث لدى مجموعة ثالثة. عندها يصبح التدريب موجهاً إلى فجوة مثبتة بالقياس.

ويمكن تجميع النتائج الفردية بطريقة تحافظ على الخصوصية لتكوين صورة عن «النضج السيبراني البشري» للمؤسسة. ويمكن بعد ذلك ربطها بمؤشرات النضج المؤسسي.

هنا نحصل على صورة مختلفة.

فقد تخبرنا لوحة القياس أن المؤسسة قوية في الحوكمة والحماية التقنية، لكنها ضعيفة في السلوك البشري عند التعامل مع الهندسة الاجتماعية. وقد تكشف أن إدارة معينة تحتاج إلى تدخل قبل غيرها. وبعد ستة أشهر يمكن معرفة ما إذا كان التدخل قد أحدث تغييراً قابلاً للقياس.

سلسلة تحسين الأمن السيبراني

وهذا يحول الأمن السيبراني من سلسلة أنشطة إلى دورة تحسين مستمر.

قياس، ثم تحديد فجوة، ثم تدخل، ثم إعادة قياس.

وتصبح الجوائز والشهادات، إن وجدت، نتيجة للنضوج وليست هدفاً بحد ذاتها. فلا تكون الجائزة لمن قدم أكبر عدد من الدورات أو كتب أفضل السياسات، وإنما يمكن أن تستند إلى دليل يظهر أن المؤسسة والأفراد داخلها انتقلوا من مستوى إلى مستوى آخر.

هذا التصور له أهمية خاصة على المستوى الوطني أيضاً.

إذا استخدمت المؤسسات إطاراً مرجعياً موحداً لقياس النضج المؤسسي، ومنهجية موحدة لقياس القدرة السيبرانية للأفراد، يصبح بالإمكان بناء صورة وطنية لا تعتمد فقط على عدد الحوادث أو عدد الدورات التدريبية. يمكن معرفة القطاعات التي تعاني فجوات، وأنواع القدرات التي تحتاج إلى تطوير، وقياس التحسن عبر الزمن.

وهنا يمكن أن يكون للرخصة الدولية للقيادة الرقمية IDDL دور مكمل. ففي مجال الوعي بالأمن السيبراني، لا تكتفي الفكرة باختبار ما يعرفه الفرد، بل تسعى إلى جمع أدلة على ما يفعله وكيف يبرر قراره في مواقف رقمية تحاكي الواقع.

في النهاية، قد تمتلك المؤسسة أفضل سياسة للأمن السيبراني، لكن السياسة لا تضغط على الرابط. الإنسان يفعل.

وقد يمتلك الإنسان وعياً جيداً، لكنه يعمل داخل مؤسسة تفتقر إلى الحوكمة والضوابط والاستجابة المنظمة.

لهذا لا ينبغي أن نسأل فقط: ما مدى نضوج مؤسساتنا سيبرانياً؟

علينا أن نسأل أيضاً: ما مدى نضوج الأشخاص الذين يشكلون هذه المؤسسات؟

وعندما نستطيع قياس الاثنين معاً، نستطيع أن نعرف أين نحن، وما الذي يجب تطويره، وهل أحدث ما أنفقناه على الأمن والتدريب تغييراً فعلياً أم لا.