الإطار الوطني لإدارة مخاطر الأمن السيبراني

يجب على الجهات ضمن نطاق تطبيق هذا الإطار الالتزام بمنهجية إدارة مخاطر الأمن السيبراني، ومصفوفة تقييم مخاطر الأمن السيبراني، حسب ما ورد في هذا القسم.

منهجية إدارة مخاطر الأمن السيبراني

يتم استخدام العناصر التالية لإدارة مخاطر الأمن السيبراني بشكل فعال: الأصول، الثغرات والتهديدات، والضوابط، كمدخلات محتمله لفهم الرؤية الكاملة لمخاطر الأمن السيبراني. حيث تحدد منهجية إدارة مخاطر الأمن السيبراني، المخاطر الكامنة قبل تنفيذ أي ضوابط للوقاية والتخفيف، وتقيّيم أثر تلك المخاطر واحتمالية حدوثها، كما تحدد المنهجية خطط الاستجابة لتلك المخاطر، بحيث يتم اتخاذ قرار الاستجابة.

 تشكل المراحل الموضحة في الشكل (1) أدناه المراحل الرئيسية في منهجية إدارة مخاطر الأمن السيبراني. حيث تحتوي كل مرحلة على العديد من المهام لتعزيز الرؤية والفهم والعمل في منهجية إدارة مخاطر الأمن السيبراني.

شكل 1: المراحل الرئيسيّة  لمنهجية إدارة مخاطر الأمن السيبراني

​​لكي يتم تطبيق هذه المنهجية بصورة مستدامة؛ يجب العمل على ما يلي: 

1.1          تطوير برنامج مستمر وتشغيله؛ لتفعيل منهجية إدارة مخاطر الأمن السيبراني، مع تخصيص الموارد اللازمة لذلك.

1.2          إشراك أصحاب المصلحة، خلال المراحل المختلفة؛ مثل اللجنة التوجيهية للأمن السيبراني وتقنية المعلومات.​

مرحلة التحديد

يتم في هذه المرحلة تحديد وجمع أصول الجهة، وتطوير السيناريوهات المتوقعة للمخاطر السيبرانية، وفقًا للتهديدات والثغرات والهجمات المحتملة؛ وذلك بهدف تحديد مخاطر الأمن السيبراني الكامنة. وتتكون هذه المرحلة من عدد من الخطوات، وهي:

1.3        تحديد وحصر أصول الجهة.

1.4        تحديد وحصر الثغرات السيبرانية.

1.5        تحديد وحصر التهديدات السيبرانية المحتملة.

1.6        تطوير السيناريوهات المتوقعة للمخاطر السيبرانية، وفقًا للثغرات والتهديدات المحتملة.

1.7        تحديد الضوابط حاليًا لمواجهة السيناريوهات المتوقعة للمخاطر السيبرانية.

1.8        تحديد المستوى المقبول من مخاطر الأمن السيبراني لدى الجهة.

مرحلة التقييم

يتم في هذه المرحلة تقييم مخاطر الأمن السيبراني حسب السيناريوهات المتوقعة، من خلال دراسة احتمال وقوع هذه السيناريوهات، وتأثيراتها المحتملة. وتتكون هذه المرحلة من عدد من الخطوات، وهي:

1.9        إجراء تحليل لمخاطر الأمن السيبراني الكامنة، لجميع السيناريوهات المتوقعة والضوابط المطبقة حالياً، وتقييم احتمالية الحدوث والأثر وفقًا لمصفوفة تقييم مخاطر الأمن السيبراني (حسب ما ورد في البند 6.2 من هذا الإطار).

1.10        توثيق نتائج التحليل والتقييم في سجل المخاطر.

مرحلة الاستجابة

يتم في هذه المرحلة اتخاذ قرار الاستجابة للتعامل مع مخاطر الأمن السيبراني سواءً بقبول تلك المخاطر Accepting)) أو مشاركتها (Sharing) أو معالجتها ((Mitigating أو تجنب وقوعها (Avoiding)، وتحديد وتنفيذ خطط الاستجابة. وتتكون هذه المرحلة من عدد من الخطوات، وهي:

1.11        تحديد وتطوير خطط الاستجابة.

1.12     تقييم مخاطر الأمن السيبراني المتبقية المتوقعة بعد تنفيذ خطط الاستجابة للمخاطر للتأكد من الوصول للمستوى المقبول من المخاطر.

1.13     اتخاذ قرار الاستجابة، وتحديد خطط الاستجابة المتعلقة بالقرار.

1.14     ترتيب خطط الاستجابة حسب الأولوية.

1.15     تنفيذ خطط الاستجابة.

1.16     تحديث سجل المخاطر ليشمل خطط الاستجابة ومخاطر الأمن السيبراني المتبقية.

مرحلة المتابعة

يتم في هذه المرحلة متابعة ومراقبة أنشطة إدارة مخاطر الأمن السيبراني التي تقوم بها الجهة من خلال منهجية إدارة مخاطر الأمن السيبراني، وتقييمها، لتحديث سجل المخاطر دوريًا أو بناءً على تغير الأصول أو التهديدات، أو الضوابط التي تم تطبيقها. وتتكون هذه المرحلة من عدد من الخطوات، وهي:

1.15     تطوير تقارير إدارة مخاطر الأمن السيبراني.

1.16     وضع معايير لجمع البيانات الإحصائية حول متابعة مخاطر الأمن السيبراني.

1.17     متابعة تنفيذ خطط الاستجابة لمخاطر الأمن السيبراني دورياً وإصدار التقارير والبيانات المتعلقة بذلك.

1.18     تنفيذ مراحل منهجية إدارة مخاطر الأمن السيبراني دورياً أو عند وجود تحديث على حالة خطط الاستجابة أو التهديدات المحتملة أو السيناريوهات المتوقعة أو الضوابط المطبقة.

مصفوفة تقييم مخاطر الأمن السيبراني

 توفر مصفوفة تقييم مخاطر الأمن السيبراني منهجية لتحديد مستويات مخاطر الأمن السيبراني، وتأخذ هذه المصفوفة بالاعتبار احتمالية حدوث سيناريوهات مخاطر الأمن السيبراني، والأثر الناتج عنه. ويبيّن الشكل (2) مصفوفة تقييم مخاطر الأمن السيبراني.

شكل 2: مصفوفة تقييم مخاطر الأمن السيبراني

1.2.1      وصف مستويات الأثر

يتم قياس تأثير الخطر، في حال تحقق الوصف لعنصر أو أكثر من عناصر الأمن السيبراني (السرية، والسلامة، والتوافر) وفقا لمستوى الأثر المبين في الجدول التالي:

جدول 2: وصف مستويات الأثر

1.2.2      وصف مستويات احتمالية الحدوث

يتم قياس الاحتمالية على النحو التالي:

جدول 3: وصف مستويات احتمالية الحدوث