تقييم المخاطر السيبرانية: المنهجية والخطوات العملية

لا تملك أي مؤسسة ميزانية لحماية كل شيء بالقدر نفسه. السؤال الحقيقي ليس “كيف نحمي كل الأنظمة؟” بل “ما الذي يستحق الحماية أولًا، ولماذا؟”.

هذا بالضبط ما يجيب عنه تقييم المخاطر. في هذا الدليل نشرح منهجية تقييم المخاطر السيبرانية خطوة بخطوة: من حصر الأصول، إلى احتساب الاحتمالية والأثر، إلى بناء خطة معالجة يمكن تنفيذها ومتابعتها.

ما هو تقييم المخاطر؟

تقييم المخاطر عملية منظمة لتحديد الأحداث المحتملة التي قد تضر بالمؤسسة، ثم تحليلها وترتيبها بحسب خطورتها. ويمكن التعبير عن نتائجه بطريقة كمية بالأرقام، أو نوعية بدرجات مثل مرتفع ومتوسط ومنخفض.

وتصف ويكيبيديا تقييم المخاطر بأنه جزء أساسي من استراتيجية شاملة لإدارة المخاطر، هدفه اتخاذ تدابير وقائية تقضي على المخاطر المحتملة أو تقلل منها.

الأسئلة التي يجيب عنها التقييم

أي تقييم جيد يجيب عن خمسة أسئلة، ثلاثة منها طرحها الباحثان كابلان وغاريك:

ما الذي يمكن أن يحدث، ولماذا؟

ما النتائج المحتملة إذا حدث؟

ما احتمال حدوثه في المستقبل؟

ما العوامل التي تخفف النتائج أو تقلل الاحتمال؟

هل يمكن قبول هذا الخطر، أم يحتاج إجراءً لمعالجته؟

الفرق بين تقييم المخاطر وإدارة المخاطر

إدارة المخاطر دورة كاملة ومستمرة: تحديد الإطار، والتقييم، والمعالجة، والمتابعة.

تقييم المخاطر مرحلة داخل هذه الدورة، تنتج المعلومات التي تبني عليها الإدارة قراراتها.

المفاهيم الأساسية قبل أن تبدأ

لن تفهم نتائج أي تقييم إذا اختلط عليك معنى هذه المصطلحات:

الأصل: أي شيء له قيمة للمؤسسة: خادم، قاعدة بيانات عملاء، تطبيق، أو حتى سمعة.

التهديد: ما قد يسبب الضرر، مثل مهاجم خارجي أو موظف مهمل أو انقطاع كهرباء.

الثغرة: نقطة ضعف تسمح للتهديد بالنجاح، مثل نظام غير محدّث أو كلمة مرور ضعيفة.

الاحتمالية: مدى ترجيح أن يستغل التهديد الثغرة فعلًا.

الأثر: حجم الضرر إذا حدث ذلك، ماليًا أو تشغيليًا أو قانونيًا.

الخطر في أبسط صوره هو ناتج الجمع بين الاحتمالية والأثر. تهديد محتمل جدًا بأثر ضعيف قد يكون أقل أولوية من تهديد نادر بأثر كارثي.

منهجية تقييم المخاطر وفق NIST

من أكثر المراجع استخدامًا عالميًا دليل NIST SP 800-30 الصادر عن المعهد الوطني الأمريكي للمعايير والتقنية. يقسّم الدليل عملية تقييم المخاطر إلى أربع خطوات، ويجعلها جزءًا من عملية إدارة مخاطر أشمل تزود القيادة بالمعلومات اللازمة لاتخاذ القرار.

الخطوة الأولى: التحضير للتقييم

قبل أي تحليل، حدد إطار العمل:

الهدف: لماذا تجري التقييم؟ مشروع جديد، أم متطلب تنظيمي، أم مراجعة سنوية؟

النطاق: هل يشمل المؤسسة كلها، أم نظامًا واحدًا، أم إدارة بعينها؟

الافتراضات والقيود: ما مصادر المعلومات المتاحة؟ وما الذي لن يشمله التقييم؟

النموذج والمقياس: هل ستستخدم مقياسًا رقميًا، أم درجات نوعية؟

الخطوة الثانية: إجراء التقييم

هذه الخطوة هي قلب العملية، وتتكون من مهام متتابعة.

تحديد مصادر التهديد والثغرات

حدد مصادر التهديد: مهاجمون، أخطاء بشرية، أعطال تقنية، كوارث طبيعية.

حدد أحداث التهديد المحتملة، مثل التصيد أو فيروس الفدية أو تسريب البيانات.

حدد الثغرات والظروف التي تسهّل نجاح هذه الأحداث.

تقدير الاحتمالية والأثر وحساب الخطر

قدّر احتمالية وقوع كل حدث، مع الأخذ بالضوابط الموجودة حاليًا.

قدّر حجم الأثر إذا وقع.

اجمع الاثنين لتحديد مستوى الخطر لكل سيناريو.

الخطوة الثالثة: مشاركة النتائج

النتائج التي تبقى في ملف لدى فريق الأمن لا تغيّر شيئًا. شاركها مع الإدارة وأصحاب الأنظمة بلغة يفهمونها: ما الخطر، وما أثره على العمل، وما المطلوب منهم.

الخطوة الرابعة: تحديث التقييم باستمرار

البيئة تتغير: أنظمة جديدة، وتهديدات جديدة، وموظفون جدد. لذلك يجب مراقبة عوامل الخطر وتحديث تقييم المخاطر دوريًا، لا إجراؤه مرة واحدة ثم نسيانه.

التقييم الكمّي مقابل النوعي

التقييم النوعي: يستخدم درجات مثل منخفض ومتوسط ومرتفع. أسرع وأسهل، ويناسب أغلب المؤسسات في البداية.

التقييم الكمّي: يعبّر عن الخطر بأرقام، مثل الخسارة المالية المتوقعة سنويًا. أدق، لكنه يحتاج بيانات تاريخية موثوقة.

النهج المختلط: يبدأ نوعيًا لترتيب الأولويات، ثم يحسب كميًا للمخاطر الأعلى فقط.

مصفوفة المخاطر وخيارات المعالجة

بعد حساب المخاطر، تُرتب في مصفوفة: الاحتمالية على محور، والأثر على المحور الآخر. ما يقع في الزاوية العليا يحتاج تحركًا فوريًا.

ولكل خطر أربعة خيارات للمعالجة:

التجنب: إيقاف النشاط المسبب للخطر.

التخفيف: إضافة ضوابط تقلل الاحتمالية أو الأثر.

النقل: تحميل جزء من الأثر لطرف آخر، مثل التأمين أو مزود خدمة.

القبول: قبول الخطر بقرار موثق من الإدارة إذا كانت كلفة معالجته أعلى من أثره.

كل خيار يُوثّق في سجل المخاطر مع مالك واضح وموعد للمراجعة.

سجل المخاطر: المخرج الأهم

كل ما سبق يجب أن ينتهي في مستند واحد حي هو سجل المخاطر. وأقل ما يجب أن يتضمنه لكل خطر:

وصف مختصر للسيناريو.

الأصل المتأثر.

درجة الاحتمالية ودرجة الأثر ومستوى الخطر الناتج.

الضوابط الحالية.

قرار المعالجة المختار.

المالك المسؤول وموعد التنفيذ.

تاريخ آخر مراجعة.

هذا السجل يصبح لغة مشتركة بين فريق الأمن والإدارة والمدققين، ويسهّل متابعة التقدم من ربع سنة إلى آخر.

مثال عملي مبسّط

خذ سيناريو “سرقة بيانات دخول موظف عبر رسالة تصيد”:

الأصل: البريد الإلكتروني وأنظمة الشركة المرتبطة به.

التهديد: حملة تصيد موجهة.

الثغرة: غياب التحقق بخطوتين، وضعف قدرة الموظفين على كشف الرسائل.

الاحتمالية: مرتفعة، لأن التصيد من أكثر الأساليب شيوعًا.

الأثر: مرتفع، لأن الحساب قد يُستخدم للوصول إلى بيانات العملاء.

المعالجة: تخفيف عبر تفعيل التحقق بخطوتين، وتدريب الموظفين، ومحاكاة دورية.

الخطر البشري: الجزء الذي يُهمل غالبًا

تركز كثير من التقييمات على الخوادم والشبكات، وتهمل العامل الذي تبدأ منه أغلب الحوادث: الإنسان. موظف يضغط رابطًا، أو يشارك ملفًا، أو يستخدم كلمة مرور مكررة.

قِس الخطر البشري بأرقام: نسبة النقر في محاكاة التصيد، ونسبة الإبلاغ.

حدد الإدارات الأكثر عرضة، مثل المالية والموارد البشرية.

أدخل هذه النتائج في تقييم المخاطر مثل أي ثغرة تقنية.

كرر القياس بعد كل حملة توعية لترى هل انخفض الخطر فعلًا.

بهذه الطريقة يتحول السلوك البشري من افتراض غامض إلى رقم يمكن مقارنته ومتابعته، تمامًا مثل نتائج فحص الثغرات.

وشرحنا أبرز أنواع التهديدات التي يجب أن يشملها التقييم في دليل مخاطر الأمن السيبراني.

تقييم المخاطر والامتثال في السعودية

إدارة المخاطر جزء من المتطلبات التي تضعها الجهات التنظيمية في المملكة. فالضوابط الوطنية تطلب من الجهات أن تدير مخاطر الأمن السيبراني بمنهجية موثقة، وأن تراجعها دوريًا. راجع شرحنا لـالضوابط الأساسية للأمن السيبراني.

وتقييم المخاطر لا ينجح دون مرجعية واضحة للقرار، وهي ما توفره حوكمة الأمن السيبراني: من يعتمد النتائج، ومن يملك كل خطر، ومن يتابع خطة المعالجة.

أخطاء شائعة في تقييم المخاطر

اعتباره مستندًا سنويًا للتدقيق فقط: التقييم أداة لاتخاذ القرار، لا ملف يُحفظ.

نطاق واسع جدًا في البداية: ابدأ بالأنظمة الحرجة ثم توسّع.

تقديرات بلا أساس: وثّق لماذا اخترت درجة الاحتمالية أو الأثر.

غياب المالك: الخطر الذي لا مالك له لن يُعالج.

تجاهل العامل البشري: وهو غالبًا أعلى خطر في السجل.

عدم إشراك أصحاب الأعمال: فريق الأمن وحده لا يعرف أثر توقف كل نظام على العمل.

الخلاصة

تقييم المخاطر يحوّل الأمن السيبراني من قائمة مخاوف إلى قائمة أولويات. ابدأ بالتحضير وتحديد النطاق، ثم حدد التهديدات والثغرات، واحسب الاحتمالية والأثر، وشارك النتائج، وحدّثها باستمرار.

والأهم أن تعامل الخطر البشري بالجدية نفسها التي تعامل بها الثغرات التقنية، لأنه غالبًا نقطة البداية في أغلب الحوادث.

قِس الخطر البشري في مؤسستك مع AwareX

لا يمكنك إدخال العامل البشري في تقييم المخاطر دون أرقام. منصة AwareX للتوعية بالأمن السيبراني توفر مؤشرًا لمستوى الوعي ومؤشرًا للمخاطر، مع تقييمات ونموذج نضج، لتعرف أين تقف كل إدارة وتتابع تحسنها بمرور الوقت.

تعرّف على حلول CyberX للتوعية بالأمن السيبراني، أو تواصل معنا لحجز عرض توضيحي.

الأسئلة الشائعة

كم مرة يجب إجراء تقييم المخاطر؟

مرة سنويًا على الأقل لتقييم شامل، إضافة إلى تقييم عند كل تغيير كبير مثل نظام جديد أو انتقال إلى السحابة أو حادث أمني.

من المسؤول عن تقييم المخاطر في المؤسسة؟

يقوده فريق الأمن السيبراني أو إدارة المخاطر، بمشاركة أصحاب الأنظمة والأعمال، وتعتمد الإدارة العليا النتائج وخطط المعالجة.

ما الفرق بين تقييم المخاطر واختبار الاختراق؟

اختبار الاختراق يكشف ثغرات تقنية محددة بمحاولة استغلالها. أما تقييم المخاطر فيقيس أثر هذه الثغرات وغيرها على العمل، ويرتب أولويات المعالجة.

هل تحتاج المؤسسات الصغيرة إلى تقييم المخاطر؟

نعم، وبصيغة أبسط. جدول يضم الأصول المهمة وأبرز التهديدات ودرجة كل خطر يكفي للبداية.