مقال بقلم
مقدمة
يتم نشر إطار العمل للأمن السيبراني (CSF) بواسطة المعهد الوطني للمعايير والتكنولوجيا (NIST)، وهو وكالة تابعة لوزارة التجارة الأمريكية. وهو عبارة عن مجموعة طوعية من الإرشادات التي تساعد المؤسسات على فهم مخاطر الأمن السيبراني وتقييمها وتحديد أولوياتها والتواصل بشأنها، بغض النظر عن حجمها أو قطاعها أو مستوى نضجها الفني.
لا يحدد CSF لمؤسسة ما بدقة الأدوات أو الضوابط التي يجب شراؤها. وبدلاً من ذلك، فإنه يصف مجموعة من النتائج المرجوة ويربطها بالمعايير والإرشادات والممارسات الحالية التي يمكن للمؤسسة استخدامها لتحقيقها. وهذا يجعله مرنًا بما يكفي لتطبيقه عبر مختلف الصناعات والبلدان، وهو أحد الأسباب الرئيسية وراء اعتماده على نطاق واسع يتجاوز بكثير جمهوره الأصلي من مشغلي البنية التحتية الحيوية في الولايات المتحدة.
تم إصدار النسخة الأولى من CSF في عام 2014، وذلك بعد صدور أمر تنفيذي رئاسي طلب من NIST تطوير إطار عمل للحد من المخاطر السيبرانية على البنية التحتية الحيوية. ويُعد إطار عمل CSF 2.0، الذي نُشر في 26 فبراير 2024، أول مراجعة رئيسية منذ ذلك الحين، مما يعكس عقدًا من التغيير في التكنولوجيا والتهديدات وممارسات الأمن السيبراني.
ما الذي تغير في CSF 2.0؟
نطاق أوسع: تمت كتابة إطار العمل الأصلي للمؤسسات المسؤولة عن البنية التحتية الحيوية، مثل الطاقة والمياه والخدمات المالية. ويقوم CSF 2.0 بتوسيع هذا النطاق بشكل صريح ليشمل المؤسسات من جميع الأنواع والأحجام، بما في ذلك الشركات الصغيرة، والمؤسسات الكبيرة، والوكالات الحكومية، والمدارس، والمنظمات غير الربحية. وقد تم وضع إطار العمل الآن كأداة لإدارة مخاطر الأمن السيبراني للأغراض العامة بدلاً من كونه موجهاً في المقام الأول لمشغلي البنية التحتية الحيوية.
إضافة وظيفة سادسة: إن التغيير الهيكلي الأبرز في CSF 2.0 هو إضافة وظيفة جديدة، وهي الحوكمة (GOVERN)، إلى جانب الوظائف الخمس الأصلية: التحديد، والحماية، والكشف، والاستجابة، والتعافي. في السابق، كانت الأنشطة المتعلقة بالحوكمة، مثل وضع استراتيجية الأمن السيبراني، وتحديد الأدوار والمسؤوليات، وإرساء السياسات، مبعثرة عبر الوظائف الأخرى أو متروكة ضمنية إلى حد كبير. يجمع CSF 2.0 هذه الأنشطة معًا في وظيفة مخصصة تقع في قلب إطار العمل، لأنها تشكل كيفية تنفيذ الوظائف الخمس الأخرى. تغطي الحوكمة ستة مجالات: السياق المؤسسي، واستراتيجية إدارة المخاطر، والأدوار والمسؤوليات، والسياسة، والرقابة، وإدارة مخاطر سلسلة التوريد للأمن السيبراني. ومن خلال وضع الحوكمة في المركز، يهدف NIST إلى ضمان عدم التعامل مع الأمن السيبراني كوظيفة فنية بحتة. فهو يتطلب ملكية على مستوى مجلس الإدارة، ومساءلة واضحة، ومواءمة مع استراتيجية إدارة المخاطر المؤسسية الأوسع نطاقًا للمؤسسة.
تركيز أكبر على مخاطر سلسلة التوريد: أصبحت إدارة مخاطر سلسلة التوريد للأمن السيبراني تمتلك فئتها الخاصة ضمن وظيفة الحوكمة. ويعكس هذا مدى اعتماد المؤسسات اليوم على الموردين الخارجيين، والبائعين، ومزودي الخدمات السحابية، والشركاء، حيث يمكن لكل منهم إدخال المخاطر إلى بيئة المؤسسة. يطلب CSF 2.0 من المؤسسات فهم هذه العلاقات مع الأطراف الثالثة وترتيب أولوياتها ومراقبتها طوال دورة حياتها، وليس فقط عند نقطة الانضمام وبدء العمل.
إعادة هيكلة الفئات والفئات الفرعية: تمت إعادة تسمية العديد من الفئات أو دمجها أو إعادة تنظيمها لتعكس الممارسات الحالية. على سبيل المثال، ما كان يُطلق عليه سابقًا "بيئة الأعمال" تم دمجه الآن في "السياق المؤسسي" تحت الحوكمة، وتم تقديم فئة جديدة باسم "أمان المنصة" تحت الحماية لتغطية أمان الأجهزة والبرامج والخدمات عبر البيئات المادية والافتراضية. كما قام NIST بتحديث العديد من الفئات الفرعية لتعكس مجالات مثل إدارة الهوية، وأمان البيانات، ومرونة البنية التحتية التكنولوجية.
الملفات التعريفية للمؤسسات والتحسين المستمر: يركز CSF 2.0 بشكل أكبر على استخدام الملفات التعريفية للمؤسسات، والتي تصف الوضع الحالي للأمن السيبراني للمؤسسة (الملف التعريفي الحالي) والوضع المستقبلي المنشود (الملف التعريفي المستهدف). وتساعد المقارنة بين الاثنين المؤسسة على تحديد الثغرات وبناء خطة عمل محددة الأولويات. كان هذا موجودًا في الإصدارات السابقة ولكن تم شرحه الآن بمزيد من العمق، جنبًا إلى جنب مع مفهوم الملفات التعريفية للمجتمع، وهي معايير أساسية مشتركة تم تطويرها لقطاع معين أو حالة استخدام معينة.
موارد موسعة عبر الإنترنت: إدراكًا منه بأن الوثيقة الثابتة لا يمكنها مواكبة مشهد التهديدات سريع التغير، قام NIST بتوسيع مجموعة موارده عبر الإنترنت التي تصاحب إطار العمل. وتشمل هذه أمثلة التنفيذ، التي تقدم خطوات ملموسة وموجهة نحو العمل لتحقيق كل نتيجة، وأدلة البدء السريع، وهي أدلة قصيرة ومخصصة لفئات محددة من الجمهور حول موضوعات مثل إدارة المخاطر المؤسسية واعتماد الشركات الصغيرة. ويتم تحديث هذه الموارد بشكل متكرر أكثر من الوثيقة الأساسية نفسها.
لماذا يهم هذا المؤسسات الهندية
تمت كتابة CSF مع وضع الجمهور الأمريكي في الاعتبار، ولكن نتائجه محايدة من حيث القطاع والبلد والتكنولوجيا. ولهذا السبب حظي إطار العمل باعتماد واسع النطاق بين المؤسسات الهندية، ولهذا السبب أيضًا تحمل التغييرات في الإصدار 2.0 أهمية عملية هنا أيضًا.
التوافق مع توقعات العملاء العالميين
يتم تقديم نسبة كبيرة من خدمات تكنولوجيا المعلومات الهندية، وتطوير البرمجيات، وتعهيد العمليات التجارية (BPO) إلى عملاء مقيمين في الولايات المتحدة. وغالبًا ما يطلب هؤلاء العملاء من مورديهم إثبات التوافق مع إطار عمل الأمن السيبراني NIST كجزء من الالتزامات الأمنية والامتثال التعاقدي. وبالتالي، فإن اعتماد NIST CSF يمكّن الشركات الهندية من تلبية توقعات العملاء، وتعزيز الثقة، والحفاظ على القدرة التنافسية في سوق التعهيد العالمي.
التوافق مع التوقعات التنظيمية الهندية
لم تفرض الهيئات التنظيمية الهندية إطار عمل NIST، ولا يحمل أي شهادة خاصة به. ومع ذلك، فإن تأثيره واضح في هيكل العديد من الأطر التنظيمية المحلية. يطلب إطار عمل الأمن السيبراني لبنك الاحتياطي الهندي للبنوك، والذي صدر لأول مرة في عام 2016 واستُكمل منذ ذلك الحين من خلال العديد من التعميمات والتوجيهات الرئيسية، من الكيانات الخاضعة للتنظيم بناء سياسات للأمن السيبراني معتمدة من مجلس الإدارة، والحفاظ على المراقبة على مدار الساعة، واتباع جداول زمنية منظمة للإبلاغ عن الحوادث، وهي موضوعات تتطابق بشكل وثيق مع وظائف الحوكمة والكشف والاستجابة في CSF 2.0. وتسري مبادئ مماثلة عبر إرشادات SEBI للأمن السيبراني والمرونة السيبرانية للمشاركين في السوق.
بالنسبة للمؤسسات التي تتعامل مع البيانات الشخصية، يتطلب قانون حماية البيانات الشخصية الرقمية لعام 2023 ضمانات أمنية معقولة وإخطارًا في الوقت المناسب بالانتهاكات، وهي التزامات تتماشى بطبيعة الحال مع وظيفتي الحماية والاستجابة في CSF.
إطار عمل واحد، ونتائج امتثال متعددة
يُطلب من العديد من المؤسسات الهندية، لا سيما في مجالات الخدمات المصرفية والرعاية الصحية وخدمات البرمجيات، استيفاء أطر عمل متعددة في وقت واحد: ISO/IEC 27001 لإدارة أمن المعلومات، والمتطلبات التنظيمية الخاصة بالقطاع على المستوى المحلي، وبشكل متزايد، التزامات حماية البيانات بموجب قانون DPDP. نظرًا لأن نتائج CSF تتطابق بوضوح مع مجالات الضوابط في ISO 27001، والضمانات المتوقعة بموجب قانون حماية البيانات الهندي، فإن الملف التعريفي المنظم جيدًا لـ CSF يمكن أن يقلل من تكرار الجهود. فبدلاً من تشغيل عمليات امتثال منفصلة لكل متطلب، يمكن للمؤسسة استخدام ملف تعريفي حالي ومستهدف موحد كأساس للعديد من عمليات التدقيق والمناقشات التنظيمية.
نقطة انطلاق عملية، وليست شهادة اعتماد
من المفيد أن نكون واضحين بشأن ما لا يمثله إطار CSF. فليس هناك هيئة مانحة للشهادات ولا يوجد تدقيق رسمي. ما يقدمه هو هيكل مشترك لتنظيم برنامج الأمن السيبراني، وفهم مواضع الثغرات، وتحديد مسار واقعي نحو التحسين. بالنسبة للمؤسسات الهندية التي تقوم ببناء وظيفة الأمن السيبراني أو تطويرها، فإن هذا الهيكل لفهم الحالة الراهنة، وتحديد الحالة المستهدفة، وسد الفجوة من خلال خطة محددة الأولويات، يوفر نقطة انطلاق عملية ومعترفًا بها دوليًا.
بدء العمل مع CSF 2.0
تتبع المؤسسات التي تبدأ هذه الرحلة عادةً تسلسلاً مشابهًا: تقييم الوضع الحالي لممارسات الأمن السيبراني وفقًا للوظائف الست لبناء ملف تعريفي حالي، وتحديد ملف تعريفي مستهدف واقعي بناءً على مخاطر الأعمال والالتزامات التنظيمية، وتحديد الفجوة بين الاثنين، واستخدام تحليل الفجوات هذا لتحديد أولويات الاستثمار والعمل. ثم يتم تتبع التقدم باستخدام مستويات التنفيذ الأربعة، والتي تتراوح من جزئي (المستوى 1) إلى تكيفي (المستوى 4)، مما يمنح المؤسسة طريقة متسقة لقياس التحسين والتواصل بشأنه بمرور الوقت.
خاتمة
لا يعيد CSF 2.0 اختراع إدارة مخاطر الأمن السيبراني، ولكنه يعكس عشر سنوات من الدروس المستفادة منذ نشر إطار العمل لأول مرة. تشير إضافة وظيفة الحوكمة، والتركيز الأكثر وضوحًا على مخاطر سلسلة التوريد، وإمكانية التطبيق الأوسع خارج نطاق البنية التحتية الحيوية، إلى نفس التحول الأساسي المتمثل في أن الأمن السيبراني يُفهم الآن على أنه مسؤولية تشمل المؤسسة بأكملها.
بالنسبة للمؤسسات الهندية التي تتعامل مع مزيج متزايد التعقيد من التوقعات التنظيمية، بدءًا من إرشادات RBI وSEBI وصولاً إلى قانون DPDP، يقدم CSF 2.0 هيكلًا مشتركًا يمكنه دعم جميع هذه المحادثات في وقت واحد. إن المؤسسات التي تأخذ الوقت الكافي لبناء ملف تعريفي حالي ومستهدف اليوم ستكون في وضع أفضل لإظهار النضج، وسد الفجوات بكفاءة، ونقل المخاطر السيبرانية بوضوح، سواء كان ذلك إلى جهة تنظيمية أو عميل أو إلى مجلس إدارتها نفسه.
هل ترغب في البقاء في الصدارة؟
تواصل مع الخبراء في Gotrust اليوم.
هل وجدت هذا مفيداً؟ شاركه مع الآخرين.
