مستقبل الأمن الإلكتروني للمؤسسات مرهون بتفاعل مسؤوليها

مسقط

أكد، مدير الأمن الإلكتروني لدى سيسكو في الشرق الأوسط وتركيا سكوت مانسون أن تعقيدات الهجمات الإلكترونية تزداد مع الوقت وتصبح أكثر عمقاً ومفاجأة، حيث تحظى الكثير من العقليات المدبرة لتلك الهجمات بدعم مالي من قبل دول أو منظمات إجرامية إلكترونية بهدف تحقيق مكاسب سياسية أو مادية. وإذا كانت هناك قوى متمكنة تدعم أولئك المهاجمين، أليس من الأولى أن يحظى المدافعون بالدعم كذلك؟ ألم يحن الوقت ليشارك كبار المسؤولين في المؤسسات بفعالية في الجانب الدفاعي؟ لا شك في أن الغالبية العظمى من المؤسسات لديها مسؤول تنفيذي يتولى شؤون الأمن بشكل مباشر، ولكن للشركات المعاصرة، ينبغي أن تنبع قيادة الأمن من أعلى المستويات في المؤسسة أي من مجلس الإدارة.

بند مهم في أعمال مجالس الإدارة

وتمثل الاختراقات الضخمة التي حدثت مؤخراً لبيانات شركات معروفة، بالإضافة إلى مزيد من الأنظمة والتشريعات المرتبطة بأمن البيانات والديناميكيات السياسية والجغرافية وتوقعات المساهمين، عوامل تجعل من جدول أعمال الأمن الإلكتروني بنداً مهماً في أعمال مجالس الإدارة. وقد أظهر تقرير صادر عن جمعية تدقيق أنظمة المعلومات ISACA أن على 55 في المئة من مديري المؤسسات الكبرى أن يفهموا الأمن الإلكتروني كمجال مخاطرة ويديروه بشكل شخصي. وينبغي أن تساعد النقاشات حول حجم العبء وعلى من يقع، وكيفية التشجيع على تبادل المعلومات بهدف تقوية الدفاعات للجميع، في لفت انتباه مزيد من المديرين المؤسسيين.

يمثل تطوراً إيجابياً

وبالنظر إلى أن كافة شركات الاقتصاد المعاصر تقوم على تقنية المعلومات، فإن التركيز المتزايد على المخاطر الإلكترونية على مستوى مجلس الإدارة يمثل تطوراً إيجابياً ولكنه تأخر كثيراً. فالأمن يمثل صلب عمل كل شخص في المؤسسة، من الرئيس التنفيذي وحتى أحدث الموظفين انضماماً للفريق، وليس فقط مسؤولية الأشخاص الذين يحتوي لقبهم أو مسماهم الوظيفي على كلمة «الأمن». فالجميع مسؤول وعلى الكل أن يتعلم كيف يتجنب الوقوع ضحية لتلك الهجمات.

يشكّل انخراط مجلس الإدارة على مستوى أعمق أحد العناصر الجوهرية لمستقبل الأمن الإلكتروني. فمجالس إدارة الشركات في مختلف القطاعات تحتاج لمعرفة مخاطر الأمن الإلكتروني المحدقة بأعمالهم ومعرفة آثارها المحتملة.

ارتفاع في أعداد مديري تقنية المعلومات

ولتحقيق فهم واضح لنطاق مشاكل الأمن الإلكتروني التي تؤثر على المؤسسة، فإننا سنشهد على الأرجح ارتفاعاً في أعداد مديري تقنية المعلومات ومديري أمن المعلومات في مجالس إدارة الشركات. وليست ظاهرة تأثير العوامل الخارجية على تشكيل مجالس الإدارة بالأمر الجديد، ففي العقد الفائت شهدنا زيادة دراماتيكية في أعداد المديرين الماليين الذين أصبحوا أعضاء في مجالس الإدارة كنتيجة مباشرة للأزمة المالية العالمية وازدياد التعقيد في البيئة الرقابية والتنظيمية المالية. وبينت أبحاث أجرتها شركة إيرنست أند يونج أن 36 في المئة من المديرين الماليين في كبرى الشركات العالمية تولوا مناصب على مستوى مجلس الإدارة العام 2002، ليرتفع العدد إلى حوالي النصف بعد عشر سنوات.

الحصول على إجابات لأصعب الأسئلة

وبوجود الأعضاء الذين يملكون الخبرة في المجال التقني والأمن الإلكتروني، يمكن لمجالس الإدارة أن تبدأ بالحصول على إجابات لأصعب الأسئلة حول الضوابط الأمنية: ما هي الضوابط الأمنية المطبقة لدينا؟ وما مدى جودة الاختبارات التي خضعت لها؟ هل توجد لدينا إجراءات للتبليغ عن الهجمات؟ ما مدى سرعتنا في الكشف عن الهجمات الحتمية وعلاجها؟ وربما كان السؤال الأكثر أهمية وإلحاحاً هو: ماذا يجب أن نعرف أيضاً؟

ينبغي كذلك أن يكونوا جاهزين

وحتى إن لم يتولَّ مديرو تقنية المعلومات وأمن المعلومات مقاعد في مجلس الإدارة، فعليهم أن يكونوا جاهزين للإجابة على تلك الأسئلة لدى توجيهها من قبل مجلس الإدارة، وبمصطلحات واضحة لأعضاء المجلس تبيّن تداعيات الهجمات على الأعمال. وينبغي كذلك أن يكونوا جاهزين للحديث عن استراتيجية الأعمال تماماً كما يتحدثون عن استراتيجية التكنولوجيا والأمن. فنماذج الأعمال الجديدة، كالتعامل المباشر مع المستهلكين والتوسع عبر قنوات ومناطق جديدة والتغيير في سلاسل التوريد يمكن أن تخلق فرصاً ضخمة للأعمال، ولكنها تحمل في طياتها مخاطر محتملة. ولهذا فمن الأهمية بمكان معالجة كيفية توافق التقنية والأمن بشكل يدعم تلك النماذج ويتماشى مع الميزانية وإدارة المخاطر كأهمية قصوى.

امتلاك المعرفة الكافية

كما يتعين على مديري التقنية والأمن امتلاك المعرفة الكافية بالمتطلبات والمعايير الرقابية والتنظيمية التي تساعد مجلس الإدارة في التعرف إلى القوانين الجديدة والامتثال لها. ويساعد الاطلاع على توجهات القطاع والتقنيات، إضافة إلى استراتيجيات وتجارب المؤسسات المماثلة، في تزويد أعضاء مجلس الإدارة بإطار مرجعي لتقييم الوضع الأمني الحالي والتحقق من فاعلية الضوابط.

ينبغي إيصال كل رسالة بوضوح وإيجاز

ولكيفية التواصل أهمية كبرى كذلك، حيث ينبغي إيصال كل رسالة بوضوح وإيجاز وبأقل قدر ممكن من المصطلحات الفنية. على سبيل المثال، يتوقع من مديري تقنية المعلومات وأمن المعلومات أن يفهموا التهديدات وكيف حققت أحدث الهجمات النجاح، ولكن ترجمة أثر تلك الهجمات إلى مصطلحات ذات صلة بالعمل، كالإيرادات المفقودة والتأثير على الإنتاجية والأرباح سيساعد في تحقيق فهم واضح لها وللعواقب المترتبة عليها من قبل الجميع. كما أن استخدام رسوم البيانات التوضيحية يساعد في تركيز النقاش على المقاييس الأكثر أهمية للأعمال.

ضرورة ملحّة

ومن الجدير بالذكر أن وضع الأمن الإلكتروني على جدول أعمال مجلس الإدارة ليس مجرد خطوة سليمة، بل ضرورة ملحّة. فهي تمنحنا كمدافعين فرصة لتعريف أعلى مستويات القيادة بمشاكل الأمن الإلكتروني التي تواجه الأعمال. وتلك المعرفة تهيئ المجلس لاتخاذ قرارات واعية وصائبة فيما يتعلق بأمن المعلومات وإدارة المخاطر، لنستطيع معاً حماية الأصول القيمة فيما نمضي قدماً لتحقيق أهداف الأعمال.