معالجة المخاطر: القبول والنقل والتخفيف والتجنب

بعد تحديد المخاطر وتحليلها، يجب على المؤسسات أن تقرر كيفية التعامل معها. معالجة المخاطر هي عملية اختيار استجابة لكل خطر وتنفيذها استنادًا إلى احتماليته وأثره وتكلفة معالجته. وهناك أربعة خيارات لمعالجة المخاطر معترف بها عالميًا: القبول، والنقل، والتخفيف، والتجنب. ولا يوجد خيار واحد صحيح دائمًا؛ إذ يعتمد الاختيار المناسب على سياق العمل، وشهية المخاطر، والموارد المتاحة.

يقلل تخفيف المخاطر من احتمالية الخطر أو أثره من خلال تطبيق عناصر تحكم أمنية. وهذا هو خيار المعالجة الأكثر شيوعًا. ومن أمثلته: نشر جدار حماية لتقليل احتمالية اختراق الشبكة، وتصحيح البرامج لسد نقاط الضعف المعروفة، أو تطبيق MFA لتقليل أثر سرقة بيانات الاعتماد. ولا يؤدي التخفيف إلى إزالة المخاطر بالكامل؛ بل ينتج عنه خطر متبقٍ يجب إعادة تقييمه بعد تطبيق عناصر التحكم.

ينقل نقل المخاطر العواقب المالية للخطر إلى طرف ثالث. ويُعد التأمين الإلكتروني المثال الأكثر شيوعًا؛ إذ تدفع المؤسسة قسطًا، وتغطي شركة التأمين الخسائر الناجمة عن الحوادث المشمولة بالتغطية. ويمكن أيضًا نقل الخطر تعاقديًا؛ فقد تُحمّل اتفاقيات مستوى الخدمة (SLAs) مع موفري الخدمات السحابية مسؤولية خروقات البيانات للمورّد، كما يمكن لبنود التعويض في العقود نقل المسؤولية إلى شركاء الأعمال. ومن المهم أن النقل لا يلغي الخطر نفسه، بل ينقل العبء المالي فقط.

يعني قبول المخاطر تحمّل خطر مع العلم بوجوده من دون تطبيق عناصر تحكم إضافية، لأن تكلفة التخفيف تتجاوز الخسارة المتوقعة أو لأن الخطر يقع دون عتبة المخاطر لدى المؤسسة. ويجب أن يكون القبول قرارًا موثقًا ومدروسًا تتخذه جهة مخولة (عادةً مالك الخطر أو أحد التنفيذيين). أما القبول الضمني غير الموثق، أي تجاهل الخطر لأن أحدًا لم يتولَّ إصلاحه، فليس مثل القبول الرسمي، وقد يؤدي إلى ملاحظات تدقيق.

يؤدي تجنب المخاطر إلى إزالة الخطر بالكامل من خلال عدم الانخراط في النشاط الذي ينشئه. فعلى سبيل المثال، قد تقرر مؤسسة عدم تخزين بيانات بطاقات الدفع مباشرةً، وبذلك تتجنب نطاق PCI-DSS بالكامل من خلال تفويض معالجة البطاقات إلى خدمة ترميز مميزة تابعة لجهة خارجية. ويكون التجنب مناسبًا عندما يكون الخطر مرتفعًا بدرجة غير مقبولة ولا يوجد خيار مجدٍ من حيث التكلفة لتخفيفه أو نقله، لكنه قد يعني أيضًا التخلي عن فرصة تجارية.

يتضمن اختيار خيار المعالجة مقارنة التعرض للمخاطر بتكاليف الاستجابة. فإذا كان ALE يبلغ $50,000 وكانت تكلفة التخفيف $10,000 سنويًا، فمن الواضح أن التخفيف مجدٍ من حيث التكلفة. أما إذا كان ALE يبلغ $5,000 وكانت تكلفة التخفيف $30,000 سنويًا، فقد يكون القبول أو النقل أكثر منطقية. وتأخذ المؤسسات أيضًا في الاعتبار شهية المخاطر، أي مقدار المخاطر الذي تقبل القيادة بتحمله، وتحمل المخاطر، أي الانحراف المقبول عن شهية المخاطر لفئات محددة من المخاطر.

تشير شهية المخاطر إلى المستوى العام والاستراتيجي من المخاطر الذي ترغب المؤسسة في قبوله سعياً إلى تحقيق أهدافها، وغالبًا ما يحدده مجلس الإدارة. أما تحمل المخاطر فهو التباين المقبول ضمن فئات محددة من المخاطر. فقد تكون لدى مؤسسة ما شهية منخفضة للمخاطر عمومًا، لكنها تتحمل مستوى أعلى من مخاطر السمعة في خط إنتاج معين. وتحدد هذه الحدود متى يكون قبول المخاطر مناسبًا، ومتى يلزم التصعيد.

عندما يتعذر تطبيق عنصر التحكم المثالي للتخفيف، بسبب التكلفة أو القيود التقنية أو الأنظمة القديمة، يوفر عنصر التحكم التعويضي خفضًا بديلًا للمخاطر. فعلى سبيل المثال، إذا كان نظام قديم لا يدعم MFA، فقد تعوض ذلك زيادة المراقبة، وعزل الشبكة، وإضافة سجلات أخرى. ويُعترف بعناصر التحكم التعويضية رسميًا في PCI-DSS وغيرها من الأطر باعتبارها معالجة صالحة للمخاطر، شريطة توثيق مبرراتها والحصول على موافقة الجهة المخولة.

بعد تطبيق أي معالجة للمخاطر، يبقى قدر من المخاطر تقريبًا دائمًا. ويُقصد بـ المخاطر المتبقية ما يتبقى بعد وضع عناصر التحكم موضع التنفيذ. ويجب أن يقر بها مالك الخطر ويقبلها رسميًا. وإذا ظلت المخاطر المتبقية أعلى من العتبة المقبولة، فستكون هناك حاجة إلى عناصر تحكم إضافية. وينبغي تسجيل قرارات معالجة المخاطر ومستويات المخاطر المتبقية في سجل المخاطر، ومراجعتها على فترات محددة، ولا سيما عند تغير مشهد التهديدات.

تفرض أطر الامتثال قيودًا على خيارات معالجة المخاطر المقبولة. لا تسمح HIPAA بتجنب معالجة المعلومات الصحية المحمية — بل يجب على المؤسسات تخفيف المخاطر أو نقلها. وتفرض PCI-DSS ضوابط محددة بغض النظر عن تحليل التكلفة والمنفعة. ويساعد فهم هذه القيود على تجنب الحالات التي ينتهك فيها خيار المعالجة المفضل لدى المؤسسة (مثل قبول فجوة في الضوابط) متطلبًا تنظيميًا قد يؤدي إلى غرامات أو فقدان صلاحيات معالجة البطاقات.

تنطبق معالجة المخاطر أيضًا على مخاطر الجهات الخارجية وسلسلة التوريد. فعندما يتمكن المورّدون أو الشركاء من الوصول إلى أنظمتكم أو بياناتكم، تصبح حالتهم الأمنية جزءًا من ملف المخاطر الخاص بكم. وتشمل خيارات المعالجة: الضوابط التعاقدية (النقل)، وتقييمات أمن المورّدين (التخفيف)، واختيار مورّدين بديلين (التجنب)، أو قبول المخاطر رسميًا مع إجراء مراجعات دورية. وتوضح اختراقات سلسلة التوريد (SolarWinds و XZ Utils) سبب اعتبار إدارة مخاطر الجهات الخارجية أولوية في اختبار Security+.

تعلمتم في هذا الدرس أن تخفيف المخاطر يقلل الاحتمالية أو الأثر من خلال الضوابط، وأن نقل المخاطر يحوّل العواقب المالية إلى جهات خارجية مثل شركات التأمين، وأن قبول المخاطر هو قرار موثق لتحمل الخطر، وأن تجنب المخاطر يلغي الخطر من خلال عدم تنفيذ النشاط. بعد ذلك سنستعرض أطر الأمن الرئيسية: NIST RMF و ISO 27001 و CIS Controls.