دورة سجلات مخاطر تقنية المعلومات وتصميم الضوابط ومؤشرات المتابعة لقيادات التقنية

ملخص البرنامج

سجل مخاطر تقنية المعلومات هو أداة العمل المحورية في دورة تدريبية تمتد 5 أيام لقيادات التقنية والمخاطر والتدقيق، ويخرج منها كل مشارك بسجل مخاطر تقنية المعلومات وخطة ضوابط لبيئة تقنية واحدة. فأعطال التقنية اليوم توقف التشغيل وتكشف البيانات وتلفت انتباه الجهات الرقابية، ومع ذلك تحتفظ جهات كثيرة بمخاطرها في قوائم متفرقة لا يقيمها أحد بمقياس واحد. ويتدرج البرنامج من تحديد مخاطر التقنية، مرورا بالتقييم وتصميم الضوابط، إلى مؤشرات المتابعة والتقارير، ثم إلى بناء تطبيقي. تقدم مارس للتدريب المملكة المتحدة هذا البرنامج في سجلات مخاطر تقنية المعلومات وضوابطها.

المبررات المؤسسية

مخاطر التقنية سهلة الوصف صعبة المقارنة. فانقطاع الأنظمة وإخفاق الصلاحيات والاعتماد على الموردين وأخطاء التغيير تسجلها فرق مختلفة بصيغ مختلفة، فلا يرى التنفيذيون أي المخاطر أولى بالاهتمام. أما سجل مخاطر تقنية المعلومات الذي يقيم كل بند بمقياس واحد ويربطه بضوابط محددة ويتابع مؤشراته عبر الزمن، فيمنح القيادة رؤية موحدة وأساسا لتحديد أوجه الإنفاق.

• وضوح المخاطر: يتحسن حين تسجل مخاطر التقنية مرة واحدة وتقيم باتساق ويعين لها مالكون.
• فاعلية الضوابط: تتحسن حين يصنف كل ضابط ويختبر ويربط بالخطر الذي يعالجه.
• جودة التقارير: تتحسن حين تحل المؤشرات والعتبات محل الانطباعات في تقارير اللجان العليا.

المبادئ والأساس المعرفي

• إطار ISACA لمخاطر تقنية المعلومات: تنظم نظرته إلى تحديد المخاطر وتقييمها والاستجابة لها ومتابعتها أعمال السجل في الجلسات من 1 إلى 4.
• تقييم الاحتمال والأثر: يوجه تقدير كل خطر باحتماله وأثره أعمال التقييم والترتيب في الجلسة 2.
• الضوابط الوقائية والكاشفة والتصحيحية: يوجه هذا التصنيف تصميم الضوابط وتحليل الفجوات في الجلسة 3.

المشاركون المستهدفون

• مديرو تقنية المعلومات ورؤساء التقنية الذين يملكون وضع مخاطر التقنية.
• مديرو المخاطر والامتثال الذين يحدثون السجلات ويرفعون التقارير إلى اللجان.
• قيادات التدقيق الداخلي والتأكيد التي تختبر ضوابط التقنية.
• مديرو الأمن والتشغيل الذين يشغلون الضوابط يوميا.

يخدم البرنامج المصارف والمرافق والجهات الحكومية وشركات الاتصالات وغيرها من الجهات المعتمدة على أنظمة معقدة.

مخرجات التعلم

1. سيكون المشاركون قادرين على تحديد مخاطر التقنية في الأنظمة والبيانات والموردين والتغيير.
2. سيكون المشاركون قادرين على تقييم المخاطر باحتمالها وأثرها وترتيبها باتساق.
3. سيكون المشاركون قادرين على تصميم ضوابط وقائية وكاشفة وتصحيحية للمخاطر ذات الأولوية.
4. سيكون المشاركون قادرين على تقييم فجوات الضوابط قياسا إلى قابلية تحمل المخاطر في الجهة.
5. سيكون المشاركون قادرين على اختيار مؤشرات متابعة ذات عتبات وقواعد تصعيد.
6. سيكون المشاركون قادرين على تبرير سجل مخاطر تقنية المعلومات وخطة الضوابط أمام لجنة عليا.

هيكل البرنامج

اليوم 1: تحديد مخاطر التقنية

ما مخاطر التقنية التي تحملها هذه الجهة فعلا؟

• جرد أصول التقنية وخدماتها
• تحديد التهديدات ونقاط الضعف
• معايير صياغة بيان الخطر
• ملكية المخاطر والأدوار
• هيكل سجل مخاطر تقنية المعلومات وحقوله

اليوم 2: تقييم المخاطر وترتيبها

كيف تقيم مخاطر التقنية لتصبح قابلة للمقارنة؟

• تعريف مقياس الاحتمال
• تعريف مقياس الأثر
• تقييم الخطر الكامن والمتبقي
• بناء خريطة حرارية للمخاطر
• قابلية تحمل المخاطر وحدودها

اليوم 3: تصميم الضوابط واختبارها

أي الضوابط تخفض كل خطر ذي أولوية، وهل تعمل؟

• تصميم الضوابط الوقائية
• تصميم الضوابط الكاشفة
• تصميم الضوابط التصحيحية
• تحليل فجوات الضوابط
• اختبار الضوابط ومراجعة الأدلة

اليوم 4: مؤشرات المتابعة والتقارير

كيف تعرف القيادة أن خطرا تقنيا يرتفع أو ينخفض؟

• اختيار مؤشرات المخاطر الرئيسية
• تحديد العتبات ومحفزات التصعيد
• مراجعة اتجاهات الحوادث والحوادث الوشيكة
• مسارات التصعيد وأزمنتها
• صيغة التقرير للجنة

اليوم 5: تطبيق سجل المخاطر على بيئة واحدة

هل سجل مخاطر تقنية المعلومات وخطة الضوابط جاهزان للجنة العليا؟

• تعبئة السجل بأساليب الجلسة 1
• تقييم البنود بمقاييس الجلسة 2
• ربط ضوابط الجلسة 3 بكل خطر
• إرفاق مؤشرات الجلسة 4 وعتباتها
• إنجاز سجل مخاطر تقنية المعلومات وخطة الضوابط

المنهجية

يقوم البرنامج على التمارين المنظمة وتحليل الحالات، إذ يعمل المشاركون في فرق صغيرة على ملخصات حوادث وأوصاف أنظمة وقوائم ضوابط مجهولة المصدر، فيبنون بنود السجل ويقيمونها بمقاييس متفق عليها ثم يدافعون عن ترتيبهم أمام لجنة مخاطر محاكاة. ويفيد استخدام الجداول الإلكترونية، ولا تشترط مهارات الإعداد التقني.

• نشاط مقترح: كتابة بيانات مخاطر من ثلاثة ملخصات حوادث.
• نشاط مقترح: تقييم اثني عشر خطرا تقنيا وترتيبها.
• نشاط مقترح: مطابقة ضوابط وقائية وكاشفة وتصحيحية مع خطر عالي الأولوية.

المخرج الختامي

يعد كل مشارك سجل مخاطر تقنية المعلومات وخطة ضوابط لبيئة تقنية واحدة. ويتضمن بنودا مقيمة، وضوابط مربوطة بها، وفجوات محددة، ومؤشرات متابعة بعتباتها، ومذكرة موجزة للجنة العليا. ويستخدم لإحاطة اللجنة وتوجيه الاستثمار في الضوابط وتحديد دورة المراجعة القادمة.

الأسئلة الشائعة

هل يناسب التدريب على سجل مخاطر تقنية المعلومات القيادات من غير ذوي الخلفية التقنية؟

نعم، فالتدريب على سجل مخاطر تقنية المعلومات بمستوى إداري، ويفترض خبرة في الإشراف على التقنية أو رفع التقارير عنها، لا في الهندسة التطبيقية.

ما المناهج التي يقوم عليها العمل على سجل مخاطر تقنية المعلومات في هذا البرنامج؟

يقوم العمل على سجل مخاطر تقنية المعلومات على إطار ISACA لمخاطر تقنية المعلومات، وتقييم الاحتمال والأثر، وتصنيف الضوابط إلى وقائية وكاشفة وتصحيحية.

كيف يستخدم سجل مخاطر تقنية المعلومات في العمل؟

يستخدم سجل مخاطر تقنية المعلومات لترتيب انكشافات التقنية وتوجيه الإنفاق على الضوابط وإحاطة اللجان العليا والاستعداد للتدقيق.

ما الفرق بين سجل مخاطر تقنية المعلومات وبرنامج الأمن السيبراني؟

يسجل سجل مخاطر تقنية المعلومات كل مخاطر التقنية ويرتبها مع ضوابطها، بينما يركز برنامج الأمن السيبراني على حماية الأنظمة من الهجمات.