حدد برنامج TPRM لدى شركة تأمين كبيرة وتيرات إعادة التقييم بناءً على مستوى مخاطر المورّد: يخضع مورّدو المستوى 1 (الحرجون، ذوو حجم البيانات الكبير) لتقييمات سنوية، ومورّدو المستوى 2 (المهمون، ذوو حجم البيانات المتوسط) لتقييمات كل سنتين، ومورّدو المستوى 3 لتقييمات كل ثلاث سنوات. وضُبطت الوتيرات بناءً على خصائص المورّد عند تصنيفه. وكان أحد مورّدي التحليلات قد صُنّف في المستوى 2 عند إلحاقه قبل ثلاث سنوات، إذ كان يعالج بيانات تحليلات العملاء لشركة التأمين، ولديه فريق من أربعين شخصًا، ويعمل في منطقتين سحابيتين. وكان موعد تقييم المورّد بعد ستة أشهر وفق الجدول كل سنتين. وخلال الأشهر الثمانية عشر منذ آخر تقييم، نما مورّد التحليلات نموًا كبيرًا: ثلاثمئة مليون سجل إضافي للعملاء قيد المعالجة، وتوسع إلى ثلاث مناطق سحابية منها منطقة في الاتحاد الأوروبي ذات آثار تنظيمية مختلفة، ونما فريق التطوير من أربعين إلى مئة موظف، وأفصح عن حادث أمني أثر في عميل آخر. لقد ازداد تعرض شركة التأمين زيادة جوهرية. لكن وتيرة إعادة التقييم كانت مبنية على تصنيف المستوى 2 المحدد قبل ثمانية عشر شهرًا. ولم يُعَد النظر في المستوى والوتيرة المقابلة له مع تنامي ملف مخاطر العلاقة.
ما حقيقة مشكلة وتيرة إعادة تقييم المورّدين؟
وتيرة إعادة تقييم المورّد هي الإيقاع الذي تخضع به العلاقة مع المورّد لتقييم أمني رسمي، أي الفحص المعمق الدوري الذي يؤكد الوضع الأمني للمورّد ويحدد التغييرات في الضوابط ويحدّث تصنيف مخاطر العلاقة. وتُحدد وتيرات إعادة التقييم عادة بناءً على مستوى مخاطر المورّد، بحيث يخضع المورّدون الأعلى خطورة لتقييمات أكثر تكرارًا. وتنشأ مشكلة ضبط الوتيرة عندما يتغير ملف مخاطر المورّد تغيرًا جوهريًا بين التقييمات دون أن يُطلق ذلك مراجعة للوتيرة.
تُحدد مستويات المخاطر عادة عند الإلحاق بناءً على خصائص المورّد في ذلك الوقت: حجم البيانات، وحساسيتها، وعمق التكامل مع الأنظمة، وحجم المورّد. وتتغير هذه الخصائص بمرور الوقت مع نضج العلاقات ونمو المورّدين. فالمورّد الذي كان شركة ناشئة بحجم بيانات متواضع عند الإلحاق قد يصبح بعد عامين معالجًا كبيرًا لبيانات حساسة. والمورّد الذي كان يقدم منتجًا محددًا قد يتوسع إلى منتجات متعددة بملفات مخاطر مختلفة. والمورّد الذي كان يعمل في منطقة سحابية واحدة قد يتوسع إلى مناطق متعددة بآثار تنظيمية مختلفة. وكل من هذه التغييرات قد يجعل تصنيف المستوى الأصلي ووتيرة إعادة التقييم المقابلة له غير كافيين للعلاقة الحالية.
مشكلة المستوى الثابت هي الآلية التي تختل بها وتيرة إعادة التقييم. فتصنيفات المستويات المحددة عند الإلحاق تبقى ثابتة في معظم برامج TPRM، إذ لا تُحدَّث إلا عبر عمليات إعادة تقييم رسمية تتطلب أدلة وموافقة من الحوكمة. وفي غياب محفز رسمي، تبقى المستويات كما هي. وتبقى معها وتيرات إعادة التقييم المضبوطة وفق المستويات الأولية. فالمورّد الذي نما من شركة ناشئة إلى معالج كبير للبيانات يخضع لإعادة التقييم بوتيرة مستوى الشركة الناشئة لأنه لا توجد عملية أعادت ربط المستوى بالخصائص الحالية للمورّد.
- تصنيفات مستويات ثابتة، فالمستويات المحددة عند الإلحاق لا تُحدَّث مع تغير ملفات مخاطر المورّدين
- لا يوجد محفز لمراجعة الوتيرة، فالتغييرات الجوهرية في حجم المورّد وملف مخاطره لا تُطلق مراجعة وتيرة إعادة التقييم
- عدم تتبع نمو حجم البيانات، فتزايد أحجام معالجة البيانات لا يرتبط بإعادة ضبط المستوى والوتيرة
- عدم تقييم نمو المورّد، فالنمو الكبير في فريق المورّد وبنيته التحتية لا يُطلق مراجعة المستوى
- الحوادث الأمنية لا تُطلق تعجيل الوتيرة، فالحوادث المُفصح عنها لا تعجّل جدول إعادة التقييم
لماذا يهم هذا
تكتسب وتيرة إعادة تقييم المورّدين أهمية في TPRM لأن وتيرة التقييم الرسمي يجب أن تعكس ملف المخاطر الحالي للعلاقة، وهو ملف يتغير مع تطور المورّد والعلاقة. فوتيرة التقييم كل سنتين المناسبة لعلاقة متوسطة المخاطر تصبح غير كافية عندما يتغير حجم بيانات العلاقة وتعقيدها التنظيمي والوضع الأمني للمورّد تغيرًا جوهريًا منذ آخر ضبط للمستوى. والمفتش التنظيمي الذي يسأل لماذا خضع مورّد يعالج ثلاثمئة مليون سجل للعملاء لتقييم كل سنتين بدلًا من تقييم سنوي لن تقنعه إجابة تعود إلى المستوى المحدد عند الإلحاق.
تمثل حالة التعجيل بسبب الحوادث الأمنية البعد الأكثر إلحاحًا من الناحية التشغيلية. فعندما يُفصح المورّد عن حادث أمني أثر في عملاء آخرين، فإن صلة ذلك الحادث بعلاقة العميل نفسه لا تتحدد بما إذا كان موعد التقييم الرسمي قد حان. والتقييم الموجه المعجل، الذي يركز على ما إذا كان نوع الحادث أو الثغرات المستغلة موجودة في الأنظمة ذات الصلة، يوفر معلومات مخاطر في الوقت المناسب لا توفرها مراجعة مجدولة كل سنتين.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو عدم ربط التزامات مراجعة المستويات بالتغييرات الجوهرية لدى المورّد التي يجب أن تُطلقها. فالمراجعات السنوية للمستويات التي تؤكد المستوى الأصلي دون تقييم ما إذا كان نمو المورّد أو تغير حجم البيانات أو الحوادث الأمنية تستدعي رفع المستوى تُبقي على تصنيفات المستويات الأولية بعد انقضاء الفترة التي ضُبطت لها.
- مراجعات مستويات تؤكد التصنيف الأصلي بدلًا من تقييم ملف المخاطر الحالي
- لا توجد محفزات للتغييرات الجوهرية لتعجيل الوتيرة، فنمو المورّد والحوادث والتغييرات التنظيمية لا تُطلق مراجعة الإيقاع
- عدم تتبع نمو حجم البيانات مقارنة بحدود ضبط المستويات
- حادث أمني لا يُطلق تقييمًا موجهًا
- تحديد وتيرة إعادة التقييم عند الإلحاق وافتراض ثباتها
كيف تبدو الممارسة الجيدة
تربط برامج وتيرة إعادة التقييم الناضجة تصنيفات المستويات بالخصائص الحالية للمورّد من خلال مراجعات سنوية للمستويات تقيّم ما إذا كان الحجم الحالي للمورّد وحجم بياناته وملف مخاطره تستدعي المستوى الحالي، وتطبق محفزات للتغييرات الجوهرية تعجّل إعادة التقييم عند حدوث تغييرات كبيرة بين المراجعات المجدولة.
- مراجعة سنوية للمستوى مقارنة بالخصائص الحالية للمورّد، لا لتأكيد المستوى الأصلي بل لتقييم الملاءمة الحالية
- حدود لحجم البيانات تُطلق رفع المستوى، أي حدود محددة لمعالجة البيانات تُطلق مراجعة المستوى
- حادث أمني يُطلق تقييمًا موجهًا، بحيث تبدأ الحوادث المُفصح عنها مراجعة مركزة معجلة
- محفزات نمو المورّد، بحيث يُطلق النمو الكبير في الفريق أو البنية التحتية أو النطاق تقييم المستوى
- مواءمة وتيرة إعادة التقييم مع المستوى الحالي، بحيث تُحدَّث الوتيرة عند رفع المستوى
الأدوات
منصات TPRM، ProcessUnity وPrevalent وVenminder
تدعم منصات TPRM ذات الإدارة الديناميكية للمستويات تعديل وتيرة إعادة التقييم بناءً على تصنيفات المستويات المحدثة، فتعدّل جداول التقييم تلقائيًا عند تغيير المستويات. وبالنسبة لممارسي TPRM، فإن السؤال عما إذا كانت المنصة تدعم محفزات رفع المستوى بناءً على حدود محددة يمثل سؤالًا محددًا عن الإدارة الديناميكية للوتيرة.
تكامل المراقبة المستمرة، BitSight مع سير عمل TPRM
يتيح دمج إشارات التصنيف الأمني المستمر مع منصات سير عمل TPRM البدء التلقائي لتقييمات موجهة عند تجاوز حدود التصنيف الأمني، مما يوفر آلية تصعيد مؤتمتة تربط إشارات المراقبة بإجراءات التقييم. وبالنسبة لممارسي TPRM، فإن السؤال عما إذا كانت إشارات المراقبة مرتبطة بإطلاق سير عمل التقييم يمثل سؤالًا محددًا عن قدرة التكامل.
تحديات الحوكمة
يتمثل تحدي الحوكمة في وتيرة إعادة التقييم في الانضباط في مراجعة المستويات. فالمراجعات السنوية للمستويات التي تنتهي دائمًا بتأكيد المستوى قد لا تؤدي التقييم الذي تتطلبه ولايتها، إذ تؤكد المستوى الأصلي بدلًا من تقييم الملاءمة الحالية. ويتطلب الانضباط في المراجعة ألا يكون السؤال «هل لا يزال هذا في المستوى 2» بل «بالنظر إلى الحجم الحالي للمورّد وحجم بياناته وملف مخاطره، في أي مستوى يجب أن تكون هذه العلاقة؟»
- أجرِ مراجعات سنوية للمستويات تقيّم الملاءمة الحالية، لا تؤكد التصنيف الأصلي
- حدد حدودًا لحجم البيانات تُطلق رفع المستوى
- طبّق محفزًا للحوادث الأمنية يُطلق تقييمًا موجهًا معجلًا
- تتبّع إشارات نمو المورّد مقارنة بمعايير ضبط المستويات
- اربط تغييرات المستويات بتعديلات الوتيرة تلقائيًا
إذا كنت فريقًا صغيرًا
لأقدم خمس علاقات لديك مع مورّدين من المستويين 2 و3، قارن حجم معالجة البيانات الحالي لدى المورّد وحجم فريقه وانتشاره السحابي بالخصائص التي بررت تصنيف المستوى الأصلي. ولأي مورّد تتجاوز خصائصه الحالية معايير المستوى الأصلي تجاوزًا جوهريًا، ابدأ مراجعة للمستوى. ومراجعة المستوى ليست تقييمًا، بل فحص ضبط يستغرق ثلاثين دقيقة وقد يكشف أن وتيرة التقييم كل سنتين أو كل ثلاث سنوات لم تعد مناسبة لعلاقات نمت نموًا كبيرًا.
- قارن الخصائص الحالية للمورّد بمعايير المستوى الأصلي لأقدم العلاقات في المستويين 2 و3
- ابدأ مراجعات المستوى للمورّدين الذين تتجاوز خصائصهم الحالية حدود المستوى الأصلي
- حدد محفزات لحجم البيانات والنمو تُطلق مراجعة المستوى تلقائيًا
- طبّق محفزًا للحوادث الأمنية يُطلق تقييمًا موجهًا معجلًا
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«منذ آخر تقييم رسمي لنا، كيف تغيرت مؤسستكم بطرق قد تؤثر في تصنيف المخاطر لدينا، وتحديدًا، ما حجم معالجة البيانات الحالي لديكم مقارنة بآخر تقييم، وهل تعرضتم لأي حوادث أمنية أثرت في عملاء آخرين؟»
ما تتوقعه دليلًا
- حجم معالجة البيانات الحالي مقارنة بتاريخ آخر تقييم
- الحوادث الأمنية التي أثرت في عملاء آخرين منذ آخر تقييم
- تغييرات جوهرية في البنية التحتية، مناطق سحابية جديدة وعمليات تكامل جديدة بين الأنظمة
- التغييرات الرئيسية في القيادة الأمنية منذ آخر تقييم
المورّد الذي يؤكد أن التقييم التالي في موعده يجب أن يُسأل عما تغير جوهريًا منذ آخر تقييم مما قد يستدعي تقديم الموعد. فالجدول مضبوط وفق الوضع الذي قُيّم آخر مرة. والتغييرات منذ ذلك الحين تبين ما إذا كان ذلك الضبط لا يزال مناسبًا.
كيف تُثبت ذلك
- سجلات المراجعة السنوية للمستويات مع تقييم الملاءمة الحالية
- سجلات تطبيق محفزات التغييرات الجوهرية
- سجلات رفع المستويات وتعديل الوتيرة
- سجلات التقييمات التي أطلقتها الحوادث الأمنية
الخلاصة الرئيسية
كانت وتيرة إعادة التقييم مناسبة للمورّد الذي جرى تقييمه. لكنها غير كافية للمورّد القائم الآن. فبعد ثلاثمئة مليون سجل إضافي، وثلاث مناطق سحابية إضافية، وستين مهندسًا إضافيًا، وحادث أمني مُفصح عنه، أصبحت الوتيرة كل سنتين المحددة لمورّد متوسط الحجم تحكم علاقة أصبحت الآن أعلى خطورة بشكل جوهري. فمراجعات المستويات التي تؤكد التصنيفات الأصلية لا تقيّم الملاءمة الحالية. ووتيرات إعادة التقييم المضبوطة وفق المستويات الأصلية لا تعكس مخاطر العلاقة الحالية. والمراجعات السنوية للمستويات التي تسأل عما إذا كانت الخصائص الحالية تستدعي المستوى الحالي، لا عما إذا كان المستوى الأصلي قد حُدد بشكل صحيح، هي آلية الحوكمة التي تُبقي وتيرة إعادة التقييم متوافقة مع الواقع الحالي.