من هدف الخدمة إلى حد المخاطرة

تخيل اجتماعًا لمجلس إدارة شركة تدير خدمة دفع للتجار. يقول فريق الأمن إن «المخاطرة مرتفعة»، بينما يسأل مدير العمليات: مرتفعة بالنسبة إلى ماذا؟ قد يقبل المجلس توقف شاشة التحليلات ساعات، لكنه لا يقبل فقدان تعليمات التسوية أو إرسال مدفوعات إلى وجهة غير صحيحة. لا تساعد صفة «مرتفعة» وحدها على اتخاذ قرار. ما يحتاجه المسؤول هو ربط سيناريو خسارة محدد بهدف خدمة محدد، ثم بيان مقدار الخسارة الذي تستطيع المؤسسة احتماله ومن يملك قرار تجاوز ذلك الحد.

تسمي حوكمة الأمن **شهية المخاطر** الموقف العام من تحمّل نوع من التعرض لتحقيق هدف. أما **تحمّل المخاطر** فهو حد عملي يختبر به قرار أو مؤشر: مثل أقصى توقف لخدمة حرجة في واقعة واحدة، أو أقصى قيمة معاملات غير مؤكدة قبل إيقاف التنفيذ الآلي. لا تخلط الحد بمستوى الحماية الحالي. قد تكون خدمة اليوم أضعف من الحد الذي اعتمده المجلس؛ الفرق عمل مطلوب، وليس إذنًا ضمنيًا برفع الحد. ولا تخلط الحد بمعيار قانوني: قد توجد واجبات تعاقدية أو تنظيمية منفصلة تحدد حدًا أشد، وتحتاج فحصًا بحسب الولاية والعقد.

ينظّم إطار NIST CSF 2.0 وظيفة «الحوكمة» حول سياق المؤسسة واستراتيجية المخاطر والمسؤوليات والرقابة. وفي الفئة GV.RM يطلب أن تُحدد الأهداف والقيود وافتراضات القرار وأن تُعلن عبارات الشهية والتحمل وتُستخدم في القرارات التشغيلية. هذا وصف لنتيجة حوكمة، لا صيغة حسابية ملزمة ولا شهادة بأن كل حد تختاره المؤسسة مناسب. ودليل NIST SP 800-30 Rev. 1 يضع تقييم المخاطر في سياق قرارات المستويات التنظيمية والعمليات والنظم؛ نستفيد هنا من فكرة أن السيناريو والقرار يجب أن يلتقيا في المستوى المناسب، مع بقاء الدليل موجّهًا أصلًا للنظم والجهات الفيدرالية الأمريكية.

ابدأ من **الخدمة والنتيجة** لا من قائمة الثغرات. اكتب الخدمة التي يعتمد عليها طرف آخر، ونتيجة الفشل التي تهمه، والنافذة الزمنية، ووحدة القياس. «اختراق قواعد البيانات» وصف تقني واسع؛ «قدرة مهاجم على تغيير حساب المستفيد قبل دفعة التسوية اليومية» سيناريو يمكن ربطه بخسارة وقيد. حدد بعد ذلك أصول القرار: من يملك قبول مخاطرة متبقية، ومن يشغّل إيقافًا مؤقتًا، ومن يتحقق من عودة الخدمة. قد يفوّض المجلس حدودًا لفريق تنفيذي، لكنه لا ينبغي أن يترك استثناءً يتجاوز الحد بلا مسار تصعيد موثق.

افصل بين ثلاثة أنواع من المقاييس. **مقياس الأثر** يصف ما يحدث إن تحقق السيناريو، مثل دقائق توقف الخدمة أو مبلغ المعاملات الذي يحتاج مراجعة. **مقياس التعرض** يصف الحالة التي تجعل تحقق السيناريو أكثر احتمالًا أو أثرًا، مثل عدد الحسابات ذات الصلاحية العالية بلا توثيق قوي. **عتبة القرار** تقول متى تتغير الاستجابة: عند تجاوز قيمة معينة يوقف مسار العمل أو يصعّد القرار. لا تحول مؤشر التعرض إلى احتمال سنوي دقيق من غير بيانات. إذا كان تقدير الاحتمال ضعيفًا، صرّح بذلك واستخدم حدود أثر واضحة واختبارات حساسية.

## كيف تصوغ عبارة قابلة للتشغيل؟

اكتب العبارة على الصورة: «بالنسبة إلى [خدمة/نتيجة]، لا نتجاوز [مقدارًا ووحدة ونافذة]؛ إذا بلغنا [مؤشرًا مبكرًا] يفعل [صاحب الصلاحية] [إجراءً محددًا]، ويعيد القرار عند [دليل أو وقت]». هذه بنية مساعدة لا نموذج موحد يصلح لكل مخاطرة. ينبغي أن تشرح لماذا اختير المقدار: أثر على العميل، قدرة التعويض، الاعتماد المتبادل، وكلفة الخيارات. عرّف المقام كذلك؛ 30 دقيقة توقف متصلة تختلف عن 30 دقيقة موزعة على شهر، و«100 ألف غير مؤكد» تختلف عن 100 ألف خسارة مثبتة.

في جلسة اعتماد، اختبر العبارة بحالتين مضادتين. لو كانت الدفعة المشكوك فيها 60 ألفًا فقط مع سجل تغيير سليم، فلا تنطبق عتبة الإيقاف الآلي نفسها؛ قد تبقى حاجة إلى تحقيق بسبب مؤشر آخر. ولو أصبحت مدة الحجب الشامل المتوقعة 8 دقائق، فإن قيد التوقف لا يمنعه، لكن يبقى السؤال هل هو احتواء متناسب مع الدليل. بذلك تمنع تحويل الحدود إلى بديل آلي عن الحكم المهني.

عند توثيق قبول مخاطرة متبقية، لا تكتب «قُبلت» وحدها. اذكر السيناريو بعد إجراء الاحتواء، والأثر الذي ما زال ممكنًا، وسبب عدم تنفيذ بديل أقوى الآن، وصاحب صلاحية القبول، وتاريخ انتهاء القرار أو الحدث الذي يعيده للمراجعة. في حالة «مدار» لا يُعد تعليق الدفعة قبولًا لخطر سرقة الرمز إلى الأبد؛ هو قرار مؤقت يمنح وقتًا للمطابقة والتحقيق. إذا تعذر التحقق من إبطال صلاحية التعديل، يعود السيناريو إلى مستوى تعرض مختلف وتجب إعادة المفاضلة. هذه التفاصيل تجعل المجلس قادرًا على مراجعة القرار لاحقًا بدل الاكتفاء بلون أحمر أو أخضر في لوحة مؤشرات.

## تمرين تطبيقي مع محك الحل

بوابة مواعيد طبية افتراضية تسمح بعرض المواعيد وحجزها وتصدير ملف إداري أسبوعي. اتفقت الإدارة مع فرق الرعاية على أن توقف الحجز أكثر من ساعتين خلال يوم العمل يتطلب تصعيدًا، وأن تصدير أكثر من 500 سجل مريض خارج قناة معتمدة يتطلب تعطيل الحساب والتصعيد فورًا. لاحظ الفريق حساب مشرف صدّر 620 سجلًا عبر قناة غير معتمدة، بينما تعطيل جميع حسابات المشرفين قد يوقف الحجز ثلاث ساعات. صغ قرار الدقائق الخمس الأولى، وحدد ما لا يجوز استنتاجه من المعطيات.

الحل المتوقع: عطل الحساب والجلسة المعنيين وأوقف مسار التصدير غير المعتمد، واحفظ سجل العملية، وصعّد واقعة تجاوز 500 سجل. لا تعطل جميع حسابات المشرفين بلا قرينة إضافية؛ فهذا البديل يتوقع تجاوز حد الساعتين ويحتاج مفاضلة وتصعيدًا إن صار ضروريًا. تحقّق من توقف التصدير ومن استمرار الحجز ومن هوية السجلات التي خرجت. لا تجزم بأن كل السجلات قُرئت من طرف خارجي أو بأن توقف الحجز واقع بالفعل؛ البيانات تثبت تصديرًا عبر قناة غير معتمدة وتقديرًا لأثر إجراء محتمل. إذا دلّ سجل لاحق على وصول مستمر بحسابات أخرى، يتغير القرار ويُعاد تقييم الحجب الأوسع.

للمراجعة الذاتية اسأل: هل ذكرت خدمة محددة، حدًا بوحدته ونافذته، عتبة تشغيل، صاحب قرار، فحص تنفيذ، وما الذي يغيّر الحكم؟ إذا غاب أحدها فصياغة «مخاطرة مرتفعة» لم تتحول بعد إلى قرار قابل للتحقق.