حوكمة الأمن والعناية الواجبة

الحوكمة تحدد غاية الأمن وحدود المخاطرة والمساءلة؛ الإدارة تنظم تنفيذ الضوابط وقياسها. لا يجوز لفريق الأمن أن يقرر وحده أن خسارة تشغيلية مقبولة لمجرد أن التعويض الفني مكلف. يحدد مجلس الإدارة أو الجهة المفوضة شهية المخاطر والموارد، ويملك مسؤول العمل أثر العملية، ويصمم المختص الأمني بدائل المعالجة ويشرح الخطر المتبقي. يمكن تفويض تنفيذ الضابط، لكن المساءلة عن قرار العمل تظل لدى صاحب السلطة المعيّن. وثيقة القرار الجيدة تسمي الأصل والتهديد والاحتمال والأثر والبدائل والمالك وموعد المراجعة؛ لا تختزل إلى مربع «قبلت المخاطرة» بلا سبب.

العناية الواجبة هي بذل ما يلزم من متابعة وتحقيق وتحسين في سياق المسؤولية؛ والاجتهاد المسبق في الفحص يسبق الشراء أو اتخاذ القرار. في صفقة استحواذ، مثلًا، يطلب الفريق جرد الأنظمة والالتزامات والتبعيات والحوادث المعروفة، ويفحص أدلة عينة قبل ربط الشبكتين. لا يجعل تقرير تدقيق المورد القديم الشبكة آمنة اليوم؛ يجب تحديد نطاق التقرير وفترته واستثناءاته ثم إجراء تحقق مناسب للمخاطر المستجدة. سياسة الأمن تعبر عن التوجيه المعتمد، والمعيار يحدد قاعدة إلزامية قابلة للفحص، والإجراء يصف خطوات التنفيذ، والإرشاد يقدم اختيارًا مساعدًا. إذا نصت سياسة على حماية البيانات الحساسة، فقد يحدد معيار تشفير النسخ المحمولة، ويشرح إجراء تدوير المفتاح، ويعرض إرشادًا لأمثلة تنفيذ. الخلط بينها يترك الموظف بلا معيار اختبار أو يجعل تعليمات تقنية منخفضة المستوى قرارًا حوكميًا غير معتمد.

الأطر المرجعية مثل NIST أو ISO أو COBIT تُستخدم لترتيب العمل والمقارنة، لا تمنح شهادة امتثال عامة بمجرد اختيار اسمها. يلزم ربط المتطلب ببيئة المؤسسة: ما الأصل؟ ما نطاق الضابط؟ من يملك تشغيله؟ ما الدليل؟ ما الاستثناء؟ أي تقييم ضوابط يجب أن يبحث عن تشغيلها لا عن وجود سياسة على الورق وحدها. في لجنة المخاطر، يعرض المسؤول الأمني مسارًا يسمح بالقرار: أثر متوقع، تكلفة واحتمال تنفيذ الضابط، خطر متبقٍ، حدود المعرفة، وتاريخ إعادة تقييم. وإذا كان القرار يتجاوز شهية المخاطر أو قيدًا قانونيًا، يصعّد ولا يُحوّل «قبول المخاطرة» إلى استثناء سري.