Política de segurança: É classificada como uma infraestrutura vital, indispensável para o futuro.

في قطاعي البنوك والمرافق، تُعرّف الجهات التنظيمية أنظمة معينة بأنها أساسية. والنظام الأساسي هو الذي قد يتسبب تعطله في ضرر لا يُحتمل لـ العملاء أو الأسواق أو السلامة العامة. على سبيل المثال، تحمل منصة الدفع في بنك مقاصة أو شبكة SCADA في موزع طاقة أعلى التزامات الحوكمة، وتشمل: المراقبة المستمرة، وإدارة التغيير الموثقة، والمرونة القابلة للإثبات.

تحدد بيئة السياسات – وهي مجموعة القواعد المتراكمة عبر جدران الحماية، وضوابط السحابة، والتجزئة الدقيقة (microsegmentation) – أي من تلك الأنظمة يمكنها الوصول إلى بعضها البعض، وأي الاتصالات محظورة، وأي الاستثناءات لا تزال سارية. تشكل هذه القواعد مجتمعة مستوى التحكم في سياسات الأمان: طبقة الحوكمة التي تترجم أهداف العمل إلى قرارات وصول عبر نقاط التنفيذ الموزعة.

يمكن لقاعدة تجزئة خاطئة التكوين أثناء ترحيل سحابي أن تفصل خدمة دفع عن منصة التسوية الخاصة بها؛ كما يمكن لقاعدة مؤقتة تمنح وصولاً واسعًا من شبكة فرعية للتطوير إلى بيئة الإنتاج أن تبقى سارية لأشهر بعد التشغيل الفعلي لعدم وجود من يتولى مسؤولية إزالتها.

يؤثر كل من قاعدة جدار الحماية، وسياسة التجزئة، وقرار الوصول بشكل مباشر على المخاطر التشغيلية، وعندما تفشل بيئة السياسات، تفشل معها الخدمات الحيوية التي تحكمها.

وهذا يجعل بيئة السياسات infraestrutura vital Em si mesmo.

لا تزال تُدار كمهام روتينية

على الرغم من ذلك، لا تزال العديد من المؤسسات الخاضعة للتنظيم تدير بيئات سياساتها كمهام تشغيلية بحتة. تُضاف القواعد عبر طلبات التغيير، ونادرًا ما تُفحص النتيجة المتراكمة مقارنة بما كان مقصودًا. تتشتت الملكية مع تغير أدوار القادة، ولا يمكن العثور على سبب وجود قاعدة معينة في المقام الأول إلا في تذكرة تغيير، هذا إن وجدت أصلاً.

قد يقبل المدير التنفيذي لأمن المعلومات (CISO)، الذي لن يقبل أبدًا تشغيل منصة دفع دون مراقبة مستمرة أو تبعيات موثقة، غياب كليهما عن بيئة السياسات التي تحدد ما إذا كانت المنصة قابلة للوصول. يمكننا وصف هذا الوضع بأنه عواقب بحجم البنية التحتية مع حوكمة بمستوى المهام الروتينية.

في القطاع المصرفي، فإن فشل السياسات الذي يقطع الاتصال بين أنظمة التسوية سيشكل تعطيلًا لخدمة أعمال مهمة. وستولي هيئة السلوك المالي (FCA) اهتمامًا بمثل هذا الفشل، نظرًا لأن فقدان مثل هذه الخدمة قد يؤدي إلى ضرر لا يُحتمل.

في قطاعي الرعاية الصحية أو الطاقة، تختلف العواقب لكن الآلية واحدة: فخطأ في التكوين يسمح بالوصول من شبكة الشركات إلى الأنظمة السريرية في مؤسسة NHS، أو إلى التكنولوجيا التشغيلية لدى موزع طاقة، يخلق نقاط ضعف على مستوى تقديم الخدمات الأساسية. هذه ليست مخاطر افتراضية، بل هي عواقب تشغيلية حقيقية تنتج عن التعامل مع حوكمة البنية التحتية الحيوية كمجرد مهمة روتينية. لفهم أعمق لأهمية التخطيط المسبق، يمكنكم الاطلاع على مقالنا قبل البدء: أسئلة البنية التحتية التي لا غنى عنها.

التوقعات التنظيمية تؤكد نفس الاتجاه

تتزايد التوقعات التنظيمية في المملكة المتحدة التي تدعم نفس الاستنتاج: يجب إدارة سياسات الأمن التي تحكم الوصول إلى الخدمات الهامة بانضباط يضاهي مستوى البنية التحتية. يتطلب نظام المرونة التشغيلية لهيئة السلوك المالي (FCA) من الشركات الخاضعة للتنظيم تحديد خدمات الأعمال الهامة وإثبات، بشكل مستمر، أن البنية التحتية الداعمة تظل ضمن حدود التسامح المحددة للتأثير.

تقوم هيئة تنظيم أسواق الغاز والكهرباء (Ofgem) بتقييم مشغلي الخدمات الأساسية وفقًا لإطار عمل التقييم السيبراني (Cyber Assessment Framework) للمركز الوطني للأمن السيبراني (NCSC)، متسائلة عما إذا كانت النتائج الأمنية المحددة تتحقق على أساس مستمر. مشروع قانون الأمن السيبراني والمرونة، المتوقع أن يصبح قانونًا في وقت لاحق من هذا العام، سيمدد التزامات مماثلة لتشمل Data centers، ومقدمي الخدمات المدارة، والموردين الحاسمين.

هذه الأطر ليست إلزامية تفصيلية؛ فلا يحدد أي منها قواعد جدار الحماية التي deve تمتلكها المؤسسة أو كيفية تكوين سياسات التجزئة الخاصة بها. ما تتطلبه هو الإثبات: أن ما تسمح به بيئة السياسة هو ما كان مقصودًا، وأن المؤسسة تستطيع إثبات ذلك بشكل مستمر بدلاً من إعادة بناء الأدلة لكل تقييم.

لماذا لا تستطيع المنظومة الحالية تلبية هذا المعيار

لم تُبنَ معظم بيئات السياسات لتلبية هذا المعيار أبدًا. في الواقع، لم تُبنَ معظم بيئات السياسات بشكل واعٍ أو متعمد على الإطلاق. بدلاً من ذلك، تميل السياسات إلى التراكم كمنتج ثانوي لعمليات التنفيذ. يضيف كل مشروع وعملية ترحيل قواعد جديدة، ونادرًا ما يتم إزالة أي منها.

بمرور الوقت، يصبح “سطح السياسات” – أي مجموعة القواعد وقرارات الوصول الكاملة عبر طبقات التنفيذ – أكبر من قدرة مجموعة الأشخاص الذين يفهمونه، وتصل المنظومة إلى نقطة يمكن تشغيلها ولكن لا يمكن شرحها.

في الصناعات الخاضعة للتنظيم مثل البنوك والطاقة والرعاية الصحية، كان هذا مستدامًا sob a sombra الأنظمة التنظيمية السابقة: التقييم الدوري، والتدقيق القائم على الضوابط، وأطر الامتثال التي كانت تسأل عما إذا كانت الضوابط موجودة بدلاً من فعاليتها. لكن هذا لم يعد كافيًا. يتطلب المعيار الجديد دليلًا مستمرًا على أن الوصول مقصود.

توضح نتائج هيئة السلوك المالي (FCA) بعد عام من التقييمات الذاتية للمرونة التشغيلية، كيف يبدو هذا الأمر على أرض الواقع. ففي الحالات التي أبلغت فيها الشركات الخاضعة للتنظيم عن عدد قليل أو عدم وجود ثغرات أمنية معلقة في البنية التحتية التي تدعم خدماتها التجارية الهامة، غالبًا ما اعتبرت هيئة السلوك المالي (FCA) الأدلة غير كافية لتحديد ما إذا كانت الثغرات غير موجودة بالفعل، أم أنها لم تُكتشف بعد.

ينطبق هذا الدرس مباشرة على حوكمة السياسات الأمنية: لا يمكن لأي مؤسسة أن تدعي بشكل موثوق أن الثغرات المتعلقة بالوصول يتم التحكم فيها دون تقديم دليل على ما تسمح به سياساتها، وكيف تم اختبارها، وما إذا كانت نقاط الضعف قد عولجت.

متطلبات الحوكمة بمستوى البنية التحتية

في كثير من الأحيان، يكون الرد هو السعي لمزيد من الشفافية وPlus من التوثيق. لكن التوثيق لا يلتقط سوى نقطة زمنية محددة؛ ولا يمكنه توفير الضمان المستمر الذي يتوقعه المنظمون.

يحتاج مسؤول أمن المعلومات (CISO) في شركة خاضعة للتنظيم إلى أكثر من مجرد سجل لما سمحت به بيئة السياسات. فالتهيئة والوصول الفعال ليسا شيئًا واحدًا. تحتاج فرق الأمن إلى فهم كيفية تفاعل القواعد والمسارات والكائنات وطبقات التنفيذ لتحديد ما يمكنه الاتصال فعليًا.

تلبية هذا المعيار يعني التوفيق بين الأمرين: إظهار أن ما تسمح به البيئة عمليًا هو ما كان مقصودًا أن تسمح به، والقدرة على إثبات ذلك دون سابق إنذار.

نحن نفصل بين مكان تعريف نية السياسة ومكان تطبيقها. يتم الاحتفاظ بالنية وصيانتها مركزيًا، بينما يظل التنفيذ موزعًا عبر جدران الحماية، وضوابط السحابة، والتجزئة الدقيقة (microsegmentation) في البيئات الهجينة، ومتعددة السحابات، ومتعددة البائعين.

يتم التحقق بشكل مستمر من تلك النية بدلاً من نقاط المراجعة: يتم اختبار التغييرات المقترحة مقابل السياسة قبل وصولها إلى الإنتاج، ويتم تقييم الوصول الفعال بشكل مستمر للكشف عن التعرض غير الضروري، وعدم الاتساق بين طبقات التنفيذ، والانحراف عن نية العمل. ويتم الاحتفاظ بما سُمح به وما تغير كدليل.

إن مسؤول أمن المعلومات نفسه الذي لن يقبل أبدًا تشغيل منصة دفع دون مراقبة مستمرة، وتحكم في التغيير تم التحقق منه، واعتماديات موثقة، يجب عليه تطبيق هذا المعيار على بيئة السياسات التي تحدد ما إذا كانت المنصة قابلة للوصول أم لا.

تشير هيئة السلوك المالي (FCA)، وإطار عمل التقييم السيبراني (Cyber Assessment Framework) التابع للمركز الوطني للأمن السيبراني (NCSC)، ومشروع قانون الأمن السيبراني والمرونة (Cyber Security and Resilience Bill) جميعها إلى نفس السؤال الأساسي: هل يمكن لهذه المؤسسة أن تثبت، بشكل مستمر، أن البنية التحتية التي تدعم خدماتها الحيوية تُدار وفقًا للمعايير التي تتطلبها تلك الخدمات؟

الإجابة على هذا السؤال تعني معرفة (معرفة حقيقية – وليس افتراضًا، ولا إعادة بناء عند التدقيق) ما تسمح به بيئة السياسات في أي لحظة معينة، وما إذا كان ما تسمح به هو ما كان مقصودًا. أسئلة البنية التحتية التي لا غنى عنها هي نقطة انطلاق حاسمة في هذا السياق.