الإدارة الآلية للمخاطر: من سجل المخاطر إلى محاكاة مونت كارلو بنقرة واحدة

مجلس الإدارة لا يثق بخريطة المخاطر لديكم، وهو محق في ذلك

كل رئيس لأمن المعلومات قدّم يومًا لمجلس الإدارة خريطة مخاطر بألوان أحمر-برتقالي-أخضر. وكل عضو من أعضاء المجلس نظر إليها وطرح السؤال نفسه، بلباقة أو بصراحة: "ماذا يعني هذا فعليًا بالنسبة لنا باليورو؟"

الإجابة الصادقة، في برنامج إدارة مخاطر يدوي، هي: لا نعرف بدقة. درجة الاحتمالية "3 من 5" ودرجة التأثير "4 من 5" هما حكمان اجتهاديان صادران عن محلل مخاطر بعد ظهر يوم ثلاثاء. ليسا خاطئين. لكنهما أيضًا غير قابلين للدفاع عنهما بالطريقة التي تُدافع بها عن التوقعات المالية.

لهذا السبب انتقلت الإدارة الكمية للمخاطر، أي ترجمة المخاطر السيبرانية إلى قيم مالية باستخدام أساليب إحصائية، من تخصص أكاديمي نادر إلى توقّع سائد لدى مجالس إدارة الشركات المتوسطة والكبرى. لم يعد السؤال هو ما إذا كان ينبغي تقدير المخاطر كميًا، بل كيف يمكن فعل ذلك دون توظيف فريق من الخبراء الاكتواريين.

ما الذي تقدّمه محاكاة مونت كارلو لمديري المخاطر

محاكاة مونت كارلو هي تقنية رياضية تعتمد على أخذ عينات عشوائية متكررة لنمذجة التوزيع الاحتمالي للنتائج. في إدارة المخاطر، تعمل على النحو التالي:

1. لكل خطر، تُحدَّد توزيعان: احتمال وقوع الخطر خلال أي سنة معينة (تكرار الأحداث المسبِّبة للخسارة)، وحجم الخسارة المالية في حال وقوعه (مقدار الخسارة).
2. تُجري المحاكاة 10,000 سيناريو، بسحب عشوائي من هذين التوزيعين.
3. النتيجة ليست رقمًا واحدًا بل توزيعًا للنتائج: الخسارة الأكثر احتمالًا، والخسارة عند المئين التسعين، والخسارة عند المئين الخامس والتسعين.

مؤشرات النتائج الأساسية هي:

• ALE (متوسط الخسارة السنوية المتوقعة): الخسارة المالية المتوقعة من هذا الخطر خلال أي سنة معينة، مع مراعاة احتمال وقوعه.
• SLE (الخسارة المتوقعة للحادثة الواحدة): الخسارة المالية المتوقعة من وقوع واحد للخطر.
• P90 / P95: الخسارة التي يُتوقع ألا تُتجاوز في 90% / 95% من الوقت. وهو الرقم الذي يحتاجه المدير المالي لتحديد حجم التغطية التأمينية وللإفصاح أمام مجلس الإدارة.

خريطة المخاطر تخبركم أن "برمجيات الفدية خطر عالي الاحتمال وعالي التأثير". أما مونت كارلو فيخبركم أن "برمجيات الفدية لها ALE قدره 840,000 يورو، وهناك احتمال 5% أن يتجاوز حدث واحد 3.2 مليون يورو خلال أي سنة معينة". الجملة الثانية تُغيّر مسار النقاش.

حجة الرئيس التنفيذي لصالح الإدارة الكمية للمخاطر

بالنسبة للرؤساء التنفيذيين، تحل الإدارة الكمية للمخاطر ثلاث مشكلات لا تستطيع الخرائط الحرارية النوعية حلّها:

المشكلة الأولى: قرارات تخصيص رأس المال مستحيلة دون أرقام

عندما يطلب رئيس أمن المعلومات ميزانية قدرها 200,000 يورو لنشر حل الكشف والاستجابة على نقاط النهاية، فإن سؤال المدير المالي منطقي: ماذا يحقق لنا هذا؟ إجابة نوعية ("يقلل مخاطر برمجيات الفدية من مرتفع إلى متوسط") ليست مبررًا استثماريًا. أما الإجابة الكمية ("يقلل ALE الخاص ببرمجيات الفدية من 840,000 يورو إلى 290,000 يورو، أي تخفيض للمخاطر بقيمة 550,000 يورو سنويًا، مقابل تكلفة 200,000 يورو") فهي مبرر استثماري فعلي.

الإدارة الكمية للمخاطر تجعل قرارات الاستثمار الأمني قابلة للمعالجة. يمكن تقييم كل ضابط رقابي وفق حجم تخفيض المخاطر الذي يحققه. تصبح الأولويات قابلة للدفاع عنها. وتُوثَّق الاستثمارات المرفوضة. ويتحول النقاش حول ميزانية الأمن من مفاوضة إلى تحليل.

المشكلة الثانية: التأمين السيبراني يعتمد بشكل متزايد على النماذج

لم تعد شركات التأمين مستعدة لتسعير التغطية السيبرانية بناءً على استبيان وخريطة مخاطر فقط. فهي تريد فهم التعرض المالي الذي نمذجه برنامج إدارة المخاطر لديكم. المؤسسات القادرة على تقديم نتائج مونت كارلو (ALE وSLE وP90 وP95 حسب فئة الخطر) تحصل على تفاوض أفضل للتغطية والشروط وأقساط التأمين. أما التي لا تستطيع ذلك، فتجد تغطيتها محدودة أو مستبعدة بشكل متزايد.

المشكلة الثالثة: تشديد متطلبات الإفصاح أمام مجلس الإدارة

تفرض قواعد هيئة الأوراق المالية الأمريكية SEC (للشركات المدرجة في الولايات المتحدة) والمتطلبات الأوروبية الناشئة بموجب DORA وNIS2 على مجالس الإدارة إثبات أنها قيّمت المخاطر السيبرانية الجوهرية من الناحية المالية. قد لا تعود عبارة "خريطة المخاطر لدينا تُظهر برمجيات الفدية كخطر مرتفع" كافية لتلبية هذا المتطلب. أما عبارة "تحليل مونت كارلو لمخاطر برمجيات الفدية لدينا يعطي ALE قدره 840,000 يورو مع ذيل توزيع P95 يبلغ 3.2 مليون يورو، مغطى بوثيقة التأمين السيبراني لدينا حتى 2 مليون يورو" فهي كافية.

كيف يبدو التقدير الآلي للمخاطر في الممارسة العملية

تاريخيًا، كان تحليل مونت كارلو للمخاطر يتطلب أدوات متخصصة (غالبًا جداول إكسل مزودة بماكرو مخصص)، وخبرة اكتوارية كبيرة، وأسابيع من التحضير لكل خطر. غيّرت منصات الحوكمة والمخاطر والامتثال الحديثة هذا الواقع تمامًا.

في GRCEye، يعمل مسار التقدير الكمي كما يلي:

تحديد سيناريو الخطر. يصف مدير المخاطر التهديد (برمجيات فدية عبر التصيّد الاحتيالي)، والأصل المعرَّض للخطر (قاعدة بيانات الإنتاج)، والعملية التجارية المتأثرة (التطبيق الموجه للعملاء).

تحديد مدخلات التكرار والحجم. توفر المنصة بيانات مرجعية قطاعية للسيناريوهات الشائعة للمخاطر، مستمدة من مصادر مثل تقرير Verizon DBIR وتقارير مشهد التهديدات الصادرة عن ENISA، كقيم افتراضية. يقوم مدير المخاطر بتعديلها بناءً على عوامل خاصة بالمؤسسة: القطاع، الحجم، ونضج الضوابط.

تشغيل المحاكاة. بنقرة واحدة، تُنفّذ المنصة 10,000 تكرار لمحاكاة مونت كارلو. تستغرق العملية الحسابية ثوانٍ معدودة.

مراجعة النتائج. تعرض المنصة قيم ALE وSLE وP90 وP95 للخطر، إلى جانب مخطط توزيع يُظهر المدى الكامل للنتائج المنمذجة. يمكن لمدير المخاطر أن يرى فورًا أي سيناريوهات الطرف القصوى تُسبب أكبر تعرض للمخاطر.

ربط الضوابط. لكل سيناريو خطر، تربط المنصة الضوابط المطبَّقة التي تُخفّض الخطر. وفي حال إضافة ضابط جديد (كتفعيل المصادقة متعددة العوامل على جميع الحسابات ذات الصلاحيات المتقدمة)، يقوم مدير المخاطر بتحديث مجموعة الضوابط وإعادة تشغيل المحاكاة لملاحظة تخفيض المخاطر بشكل كمي.

التصدير لمجلس الإدارة. تقرير PDF يُنشأ بنقرة واحدة يعرض تقدير المخاطر بلغة يمكن لمجلس الإدارة التصرف بناءً عليها: ALE حسب فئة الخطر، تعرض ذيل التوزيع P95، مدى كفاية التأمين، وعائد الاستثمار في الضوابط.

بناء سجل مخاطر يكسب ثقة مجلس الإدارة

سجل المخاطر هو أساس أي برنامج لإدارة المخاطر الكمية. إليكم كيفية بناء سجل يثق به مجلس الإدارة فعليًا:

ابدأوا بالسيناريوهات لا بالمخاطر المجرّدة. "برمجيات الفدية" ليست سيناريو خطر. أما "هجوم ببرمجيات فدية عبر رسالة تصيّد احتيالي تستهدف قسم المالية، يُشفّر نظام تخطيط موارد المؤسسات (ERP) في بيئة الإنتاج، ويؤدي إلى توقف لمدة 72 ساعة وتسريب بيانات العملاء" فهو سيناريو خطر. هذا التحديد الدقيق مهم لأنه يجعل مدخلات التكرار والحجم قابلة للدفاع عنها.

استخدموا سلاسل التهديد-الثغرة-الأصل. سيناريو الخطر الجيد يربط تهديدًا محددًا (مشغّل برمجيات فدية)، وثغرة محددة (مستخدمون بصلاحيات إدارية يفتحون مرفقات بريد إلكتروني)، وأصلاً محددًا (نظام ERP للإنتاج)، والضوابط المطبَّقة (حماية نقاط النهاية، المصادقة متعددة العوامل، استعادة النسخ الاحتياطية). هذا البناء يوضّح أين تُخفّض الضوابط المخاطر وأين لا تزال هناك ثغرات.

راجعوا كل ربع سنة، لا سنويًا. سجلات المخاطر التي تُحدَّث سنويًا تصبح قديمة في يوم نشرها. تتيح المنصات الآلية دورات مراجعة ربع سنوية مع تذكيرات آلية لأصحاب المخاطر. ينخفض الجهد المطلوب لكل مراجعة من أيام إلى ساعات عندما يُصان السجل باستمرار.

اعرضوا الاتجاهات لا اللقطات الآنية. يريد مجلس الإدارة معرفة ما إذا كانت بيئة المخاطر تتحسن أم تتدهور. تتتبّع المنصة الآلية درجات المخاطر عبر الزمن وتُظهر الاتجاه: هل يُخفّض الاستثمار في الضوابط ALE، أم أن سيناريو تهديد جديدًا زاد من تعرض الذيل. الاتجاهات أكثر قابلية للتصرف من اللقطات الآنية.

مسار التنفيذ لدى رئيس أمن المعلومات

الشهر الأول: انقلوا سجل المخاطر الحالي لديكم إلى المنصة. حتى لو كان سجلكم الحالي جدول بيانات بدرجات احتمال/تأثير ذاتية، استوردوه كنقطة انطلاق. يمكن للمنصة تحويل الدرجات النوعية إلى نطاقات كمية كتقدير أولي.

الشهر الثاني: اختاروا أهم 10 مخاطر لديكم من حيث التأثير المتصوَّر وأجروا تحليل مونت كارلو لكل منها. استخدموا المعايير القطاعية للتكرار والحجم حيثما لا تتوفر بيانات خاصة بمؤسستكم. لن تكون النتيجة معايرة بشكل مثالي، لكنها ستكون أكثر قابلية للدفاع عنها من الخريطة الحرارية، وستكشف أي المخاطر لديها تعرض غير متناسب في الذيل.

الشهر الثالث: قدّموا أول تقرير مخاطر كمي لمجلس الإدارة. ستُثير أرقام ALE وP95 أسئلة — أسئلة جيدة، من النوع الذي يقود إلى تخصيص أفضل لرأس المال. استخدموا هذه الأسئلة لتحسين النموذج.

بشكل مستمر: راجعوا النموذج وحدّثوه كل ربع سنة. أضيفوا سيناريوهات مخاطر جديدة مع تطور مشهد التهديدات. قيسوا أثر الضوابط الجديدة كميًا. ابنوا سجل مخاطر يمكن للمدير المالي ومجلس الإدارة الاعتماد عليه في قرارات الاستثمار ومتطلبات الإفصاح.