من وصف الخطر إلى قرار معالجته

الخطر احتمال حدث غير مرغوب وأثره في هدف ذي قيمة، وليس ثغرة منفردة أو حادثًا وقع بالفعل. يبدأ السجل بأصل أو خدمة، وتهديد يمكنه التأثير فيها، وضعف أو ظرف يجعل الحدث ممكنًا، ونتيجة محتملة. مثال: إذا كان رابط استعادة الحساب لا ينتهي سريعًا، فقد يستعمله شخص حصل عليه لاستعادة حساب غيره؛ الأثر يتعلق بما يستطيع الحساب الوصول إليه. لا تكفِ عبارة «الخطر مرتفع» بلا سبب. دوّن ما عُرف، وما افترضته، ومالك القرار؛ فالمالك يستطيع قبول المعالجة أو تمويلها، ولا يحول وجوده إلى ضمان أن الخطر زال.

الاحتمال تقدير فرص تحقق السيناريو خلال أفق محدد؛ والأثر حجم الضرر لو تحقق. افصل بينهما: خدمة كثيرة التعرض قد تجعل محاولة الاستغلال مرجحة لكن أثر حساب قراءة عامة محدود، بينما حساب إداري نادر الاستخدام قد يكون احتمال إساءة استخدامه أقل وأثرها شديدًا. في تدريبنا نستعمل سلمًا رتبيًا 1 منخفض، 2 متوسط، 3 مرتفع لكل محور، ونضربهما لترتيب أولي فقط. لا تتظاهر بأن 3 تعني ثلاثة أضعاف 1 في العالم الواقعي؛ الأرقام هنا وسيلة مقارنة داخل هذا التمرين. إن غاب دليل احتمال، سجّل عدم اليقين بدل صنع نسبة مئوية. وإذا اشترك خطران في الدرجة، قدّم ما يهدد أصلًا أهم أو له موعد تعرض أقرب، واطلب معلومات إضافية.

دورة إدارة المخاطر ليست عملية حساب تنتهي عند اللون الأحمر. عرّف السياق والهدف، حدد السيناريوهات، حلل الاحتمال والأثر، قيّم الأولوية، اختر استجابة ثم راقب النتيجة. قد تقلل ضابطًا احتمال الحدث، أو تقلل خطة استعادة أثره، أو تتجنب نشاطًا مولدًا للخطر، أو تنقل جانبًا ماليًا من الأثر بعقد؛ لا يختفي واجب حماية الناس أو متابعة الطرف الخارجي لمجرد نقل بعض التبعة. قبول الخطر قرار واعٍ بعد توثيق المتبقي وحدود السلطة. لكل استجابة موعد، ومالك، ودليل نجاح قابل للفحص، وخطر متبقٍ يعود للمراجعة إذا تغيرت التقنية أو قيمة الأصل.

قارن المعالجة بالسؤال الذي تغيّره. تقصير عمر الرابط يخفض نافذة الاستعمال غير المصرح، لكنه لا يحسن بالضرورة سرعة استعادة النسخة الاحتياطية؛ النسخ المتكرر قد يقلل مقدار البيانات المفقودة لكنه لا يمنع حسابًا مسروقًا من فتح الإدارة. لذلك يربط السجل كل إجراء بالسيناريو المحدد ومؤشر فحصه. مثال محك: «نجحت عشر محاولات مشروعة ضمن مدة الرمز المحددة، ورفض النظام كل محاولات إعادة الاستخدام في بيئة اختبار»، لا «رفعنا الأمان». لا تنقل نتائج بيئة الاختبار إلى ضمان أداء الإنتاج؛ اطلب مراقبة مناسبة وتحديث القرار عندما يتغير الاستخدام.