تتكرر في كل دورة ميزانية اللحظة نفسها: تصل قائمة تجديدات الأمن السيبراني، ويكون إجماليها أعلى من العام الماضي، ولا يستطيع أحد في الاجتماع أن يشرح بلغة الأعمال ما الذي تشتريه هذه الزيادة. ويصبح اعتماد ميزانية الأمن السيبراني أسهل حين يرتبط كل بند فيها بخطر محدد على الأعمال، ونتيجة تشغيلية قابلة للقياس، وعاقبة واضحة إذا تأجّل الاستثمار. وهدف المدير المالي (CFO) ليس تقييم كل أداة أمنية، بل تحديد ما إذا كان الإنفاق المقترح يقلّل التعرّض الجوهري للمخاطر، ويزيل التكرار، ويوفّر القدرة المطلوبة بتكلفة إجمالية معقولة.

يقدّم هذا الدليل للمديرين الماليين وفرق الإدارة التنفيذية أربعة أسئلة عملية لمراجعة ميزانيات الأمن السيبراني. كما يشرح كيفية المقارنة بين مركز العمليات الأمنية (SOC) الداخلي ومركز العمليات الأمنية المُدار، وكيف يؤثّر التأمين والتنظيم الإقليمي اليوم في تكلفة القرار الأمني، وكيف يمكن لخدمات الحوكمة مثل كبير مسؤولي أمن المعلومات الافتراضي (vCISO) أن تعزّز المساءلة عن الميزانية.

لماذا تفشل ميزانيات الأمن السيبراني أمام مجلس الإدارة

تفشل ميزانيات الأمن السيبراني أمام مجلس الإدارة لأنها تُعرض في صورة قوائم بالمنتجات والتراخيص والتقييمات والتجديدات. فيرى القادة الماليون التكلفة الإجمالية، لكنهم لا يرون النتيجة التجارية المرتبطة بها.

يعرض قادة الأمن عادةً منظورًا قائمًا على الضوابط: ما تملكه المؤسسة، وما ينقصها، وما يحتاج إلى تجديد. أما المديرون الماليون فيطبّقون منظورًا ماليًا: ما الذي تحصل عليه المؤسسة، وأي خسارة قد يمنعها الاستثمار، وهل يمكن تحقيق النتيجة نفسها بكفاءة أكبر. وفي غياب إطار قرار مشترك، قد تُخفَّض الاستثمارات الضرورية إلى جانب المكرّرة منها.

ينبغي أن تجيب الميزانية الدفاعية للأمن السيبراني عن أربعة أسئلة بلغة يستطيع فريق المالية والتدقيق ومجلس الإدارة تقييمها.

أربعة أسئلة يجب على كل مدير مالي طرحها

ما الخطر على الأعمال الذي يقلّله هذا الاستثمار؟

ينبغي أن يحدّد كل بند في ميزانية الأمن السيبراني الخطر الذي يعالجه، وأن يوضّح كيف يغيّر تمويله تعرّض المؤسسة للمخاطر. وعبارات مثل «تحسين الوضع الأمني» أعمّ من أن تدعم قرارًا ماليًا.

تربط الإجابات الأقوى الاستثمار بحدث تجاري يمكن التعرّف عليه:

• اختراق الهوية. يمكن لضوابط Conditional Access وضوابط الوصول المميّز أن تقلّل احتمال أن تؤدي بيانات الاعتماد المسروقة إلى وصول إداري غير مصرّح به.
• تعطّل الأعمال بسبب برامج الفدية. يمكن لخدمات الكشف والاستجابة أن تقلّص الزمن بين الاختراق والتحقيق والاحتواء، فتحدّ من توقف العمليات.
• تسرّب البيانات. يمكن لضوابط تصنيف البيانات ومنع فقدان البيانات (DLP) أن تكشف انتقال المعلومات السرية دون تصريح أو تقيّده.
• الإخفاق في التدقيق أو الالتزامات التعاقدية. يمكن لأعمال الحوكمة وإدارة المخاطر والامتثال (GRC) أن تساعد في معالجة فجوات الضوابط التي قد تؤخّر الشهادات أو المناقصات أو موافقات العملاء أو الالتزامات التنظيمية.

يمكن مناقشة هذه النتائج بمصطلحات مالية وتشغيلية. فالإدارة تستطيع تقدير أثر توقف الأعمال، أو تأخر عقد، أو ملاحظة امتثال، أو انكشاف بيانات العملاء، بصورة أجدى من تقييمها لقائمة ميزات منتج.

تمنح البيانات الإقليمية هذه النقاشات رقمًا للانطلاق. فقد قدّرت دراسة IBM لعام 2026 حول تكلفة اختراق البيانات متوسط تكلفة الاختراق في المؤسسات في المملكة العربية السعودية والإمارات العربية المتحدة بنحو 8 ملايين دولار أمريكي، وسجّل قطاعا الخدمات المالية والتقنية أعلى تكلفة عند نحو 10.7 مليون دولار أمريكي. وكان فقدان الأعمال أكبر مكوّن منفرد بنحو 3.6 مليون دولار أمريكي. كما وجدت الدراسة نفسها أن المؤسسات التي تستخدم الذكاء الاصطناعي والأتمتة الأمنية على نطاق واسع سجّلت تكاليف اختراق أقل بنحو 3 ملايين دولار أمريكي من غيرها.

ومن الاختبارات العملية أن يُطلب من مسؤول كل بند في الميزانية استكمال عبارتين:

• إذا موّلنا هذا الاستثمار، فأي حدث جوهري يصبح أقل احتمالًا أو أقل ضررًا؟
• إذا أزلناه أو أجّلناه، فأي خطر تقرّر المؤسسة قبوله؟

إذا تعذّر استكمال العبارتين بوضوح، فإن الاستثمار يحتاج إلى مزيد من التبرير قبل اعتماده.

ماذا يحدث إذا خفّضناه أو أجّلناه؟

يختبر هذا السؤال ما إذا كان البند في الميزانية يدعم متطلبًا قائمًا، أم أنه مستمر لمجرد أنه يُجدَّد دائمًا. فبعض الأدوات الأمنية تبقى في الميزانية بعد أن تستوعب منصة أخرى القدرة نفسها. ويستمر التجديد لأن الإلغاء يتطلب تحديد المسؤول، ومراجعة تقنية، وقرارًا موثّقًا بشأن المخاطر.

ينبغي مراجعة التجديدات الجوهرية كما لو كانت مشتريات جديدة. ويؤكد المسؤول عن البند الخطر الذي يعالجه، ومستوى الاستخدام الحالي، وتكامله مع البيئة القائمة، والتزاماته التعاقدية، وعاقبة إزالته. ويحمي هذا النهج الضوابط الضرورية، ويكشف الاشتراكات التي لم تعد تبرّر تكلفتها.

هل ندفع مرتين مقابل القدرة نفسها؟

قد يخلق تكرار القدرات الأمنية تكلفة خفية كبيرة. فقد تُرخَّص وظائف متداخلة للكشف على نقاط النهاية، وحماية البريد الإلكتروني، وإدارة الثغرات، ومراقبة الهوية، وتحليل السجلات عبر منصات متعددة.

ويزيد التكرار أيضًا من التعقيد التشغيلي. إذ يضطر الفريق إلى مطابقة التنبيهات عبر لوحات متعددة، وصيانة تكاملات كثيرة، وتخزين بيانات القياس المتشابهة أكثر من مرة. وحين يُسعَّر نظام إدارة المعلومات والأحداث الأمنية (SIEM) بحسب حجم البيانات المستوعبة، فإن جمع البيانات غير الضرورية يرفع التكلفة دون أن يحسّن الكشف.

ينبغي أن تحدّد مراجعة المنظومة الأمنية ما يلي:

• القدرات المشمولة أصلًا في التراخيص القائمة
• الأدوات التي تجمع البيانات نفسها أو تحلّلها
• المنصات منخفضة الاعتماد أو التي لا مسؤول فعليًا عنها
• السجلات المحتفظ بها دون غرض محدد للكشف أو التحقيق أو الامتثال
• الخدمات التي يمكن دمجها دون تقليل التغطية

والهدف ليس خفض الإنفاق وحسب، بل إعادة توجيه الميزانية من القدرات المكرّرة نحو الفجوات الأمنية التي تحمل خطرًا أكبر على الأعمال.

هل قارنّا بين بناء مركز عمليات أمنية داخلي وشراء مركز مُدار؟

ينبغي أن يقارن قرار البناء مقابل الشراء بين إجمالي تكلفة التشغيل، وتغطية الخدمة، والخبرة المطلوبة، وقدرة الاستجابة المتوقعة. ومقارنة الخدمة الأمنية المُدارة برواتب محللَين أو ثلاثة محللين داخليين فقط تقلّل من تقدير تكلفة التغطية المستمرة.

قد يشمل نموذج التكلفة الكامل لمركز العمليات الأمنية الداخلي ما يلي:

• توظيف الكوادر لتغطية الورديات والإجازات وعطل نهاية الأسبوع وما بعد ساعات الدوام
• تكاليف التوظيف والتأهيل والاحتفاظ بالكفاءات واستبدالها
• أدوات SIEM والكشف والاستجابة على نقاط النهاية (EDR) واستخبارات التهديدات والأتمتة وإدارة الحالات وإعداد التقارير
• هندسة المنصات والتكاملات والصيانة واستيعاب البيانات
• التدريب والشهادات وضمان الجودة والإشراف الإداري
• عقود الاستجابة للحوادث أو الدعم المتخصص غير المتوفر داخليًا

ويسهّل وضع النموذجين جنبًا إلى جنب عرض المقارنة على مجلس الإدارة:

يعرض الجدول بنية المقارنة. أما الأرقام التي تهمّ فهي أرقامك أنت: تكاليف الرواتب والمزايا محليًا، وأسعار التراخيص الحالية، وأحجام السجلات الفعلية.

قد يكون البناء الداخلي مناسبًا للمؤسسات الكبيرة أو شديدة التخصص. أما مركز العمليات الأمنية المُدار أو خدمة الكشف والاستجابة المُدارة (MDR) فقد تكون أكثر كفاءة للمؤسسات التي تحتاج إلى مراقبة على مدار الساعة، ومحللين ذوي خبرة، وعمليات راسخة، وتكاليف تشغيل يمكن التنبؤ بها. ويعتمد القرار الصحيح على حجم المؤسسة، ودرجة تعرّضها للتهديدات، والتزاماتها التنظيمية، وقدراتها الداخلية، ومستويات الخدمة المطلوبة.

كيف يغيّر التأمين السيبراني الحسابات

أصبح التأمين السيبراني من أوضح الوسائل لتسعير الضابط الأمني. فلم تعد شركات التأمين تقبل تقييمًا ذاتيًا موقّعًا. إذ تُراجَع الطلبات للتحقق منها، وتعمل التجديدات بصورة متزايدة كتدقيق تقني، ويُستعان في بعض الحالات بفحص خارجي للأصول المكشوفة على الإنترنت لدى المؤسسة.

الضوابط الأكثر طلبًا متقاربة في مختلف الأسواق:

• فرض المصادقة متعددة العوامل على جميع الحسابات، مع تدقيق خاص للشبكات الخاصة الافتراضية (VPN) والوصول عن بُعد والحسابات الإدارية
• الكشف والاستجابة على نقاط النهاية، مع مراقبة مُدارة على مدار الساعة بصورة متزايدة بدلًا من التنبيه في ساعات الدوام فقط
• نسخ احتياطية معزولة عن البيئة الأساسية ومُختبرة عبر عمليات استعادة موثّقة
• سجلات مركزية مع فترة احتفاظ كافية للتحقيق الجنائي الرقمي
• خطة موثّقة ومُجرَّبة للاستجابة للحوادث، مع مسؤولين محددين ومسارات تصعيد

وبالنسبة للمدير المالي، ينقل ذلك عدة بنود أمنية من خانة الاختيارية إلى خانة المشروطة. فالضابط المفقود أو المنفّذ جزئيًا قد يرفع القسط، أو يخفّض الحد المتاح، أو يستحدث استثناءات، أو يمنح شركة التأمين أساسًا لرفض مطالبة. ويُعدّ نقص المصادقة متعددة العوامل من أكثر أسباب رفض مطالبات التأمين السيبراني توثيقًا: فإذا نصّ الطلب على أنها مفروضة على جميع الحسابات ولم يكن الحساب المخترَق مشمولًا بها، فقد لا تستجيب الوثيقة.

ويمنح هذا نقاش الميزانية رقمًا كان ينقصه. فالسؤال لم يعد مقتصرًا على تكلفة الضابط، بل يشمل ما يكلّفه غيابه من قسط، ومن مخاطر محتفظ بها، ومن قيمة وثيقة قد لا تدفع حين تشتدّ الحاجة إليها.

دوافع الامتثال الإقليمية في الخليج وبلاد الشام

بالنسبة للمؤسسات العاملة في المملكة العربية السعودية والإمارات العربية المتحدة ولبنان، فإن جزءًا من ميزانية الأمن السيبراني ليس اختياريًا. فهو تحدّده الأنظمة، أو الإشراف القطاعي، أو ما يتطلبه العملاء وعمليات المناقصات.

المملكة العربية السعودية. تنطبق الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني على الجهات الحكومية وعلى المؤسسات التي تمتلك بنى تحتية وطنية حرجة أو تشغّلها أو تستضيفها، مع أُطر قطاعية تُضاف فوقها. وتُقيَّم المؤسسات المالية الخاضعة لإشراف البنك المركزي السعودي إضافةً إلى ذلك وفق إطار الأمن السيبراني الصادر عن SAMA، الذي يُقاس على مقياس نضج ويُرفع تقريره إلى الجهة التنظيمية. وكلاهما يتضمن متطلبات أدلة محددة، ويؤثر كلاهما في قرارات التوظيف والتعهيد.

الإمارات العربية المتحدة. تضع لائحة ضمان المعلومات في دولة الإمارات ضوابط أساسية للجهات في القطاعات الحرجة، وتُقيَّم الجهات الحكومية في دبي وموردوها وفق لائحة أمن المعلومات الصادرة عن مركز دبي للأمن الإلكتروني. كما تضيف أنظمة حماية البيانات الاتحادية وأنظمة المناطق الحرة التزامات منفصلة بشأن البيانات الشخصية.

لبنان. يحدد القانون رقم 81 لعام 2018 المتعلق بالمعاملات الإلكترونية والبيانات ذات الطابع الشخصي التزامات معالجة البيانات الشخصية وحمايتها. وعمليًا، يكون الدافع الأقوى لدى كثير من المؤسسات اللبنانية تعاقديًا: فالعملاء الدوليون والبنوك المراسلة والشركاء الإقليميون يفرضون متطلبات أمنية عبر العناية الواجبة والمشتريات.

والمغزى للميزانية بسيط. فالضوابط التي يفرضها منظّم أو عميل رئيسي ينبغي تحديدها وتمويلها بمعزل عن التحسينات الاختيارية، وأن يذكر مبرر الأعمال تكلفة الإخفاق في التدقيق، أو تأخر الحصول على شهادة، أو خسارة مناقصة.

كيف تبدو الميزانية الدفاعية للأمن السيبراني

للميزانية الدفاعية للأمن السيبراني خمس سمات:

1. يرتبط كل استثمار بخطر محدد على الأعمال ونتيجة معرّفة.
2. تُراجَع التراخيص والخدمات القائمة بحثًا عن التكرار قبل طلب إنفاق جديد.
3. تشمل قرارات البناء مقابل الشراء التكلفة الكاملة للكوادر والمنصات والعمليات والتغطية.
4. يُرفع تقرير مخاطر الأمن السيبراني إلى الإدارة ومجلس الإدارة بصورة منتظمة على مدار العام.
5. تُحدَّد الضوابط التي يفرضها المنظّمون أو العملاء الرئيسيون أو شركات التأمين وتُموَّل بمعزل عن التحسينات الاختيارية.

وتكتسب الحوكمة المستمرة أهمية خاصة. فبدون سجل مخاطر محدَّث، ومسؤولين موثّقين عن المخاطر، وتقارير دورية، تضطر المؤسسة إلى إعادة بناء مبررات الإنفاق على الأمن السيبراني في كل دورة ميزانية.

ويمكن لكبير مسؤولي أمن المعلومات الافتراضي (vCISO) أن يوفّر طبقة الحوكمة هذه عبر الحفاظ على خارطة طريق الأمن السيبراني، ومواءمة الأولويات مع أُطر مثل ISO 27001 وNIST وNCA وSAMA حيثما ينطبق ذلك، وترجمة النتائج التقنية إلى معلومات يستفيد منها مجلس الإدارة وفريق المالية.

قائمة مراجعة ميزانية الأمن السيبراني

استخدم هذه الأسئلة خلال مراجعة الميزانية القادمة:

• ما الخطر المحدد على الأعمال الذي يقلّله هذا الاستثمار؟
• ما الخطر الذي ستقبله المؤسسة إذا أُزيل أو أُجّل؟
• هل ندفع أصلًا مقابل القدرة نفسها في مكان آخر؟
• أين المقارنة الموثّقة بين البناء والشراء؟
• هل الضوابط التي تشترطها شركة التأمين منفّذة بالكامل أم جزئيًا فقط؟
• أي التزام تنظيمي أو تعاقدي يجعل هذا البند غير اختياري؟
• كم سيكلّف تشغيله في السنة الثانية والثالثة، لا شراؤه فقط؟
• من يملك هذا الاستثمار، وكيف ستُرفع نتيجته إلى مجلس الإدارة؟

لا تتطلب هذه الأسئلة من المدير المالي تقييم البنية التقنية، بل تتطلب من مسؤول الميزانية أن يشرح الغرض التجاري لكل استثمار، وتكلفته الإجمالية، ونتيجته المتوقعة.

كيف تدعم TEKNOLOGIIA تخطيط ميزانية الأمن السيبراني

تساعد TEKNOLOGIIA المؤسسات في لبنان والمملكة العربية السعودية والإمارات العربية المتحدة على تقييم المخاطر السيبرانية، ومراجعة الاستثمارات الأمنية القائمة، وتحديد فجوات الضوابط، والمقارنة بين نماذج التقديم قبل الالتزام بميزانية جديدة.

تربط خدماتنا الاستراتيجية بالعمليات عبر تقييمات الحوكمة وإدارة المخاطر والامتثال (GRC)، واستشارات vCISO، وخدمات مركز العمليات الأمنية المُدار والكشف والاستجابة المُدارة (MDR)، والاستجابة للحوادث، وأمن Microsoft، وأمن السحابة، وذكاء القرارات والاستجابة (Decision Intelligence and Response)، وهو نهجنا القائم على التحليلات لترتيب أولويات الإشارات الأمنية والتصرف بناءً عليها. ويمنح ذلك قادة المالية والأمن رؤية مشتركة للأولويات والمسؤوليات والنتائج المتوقعة.

الأسئلة الشائعة

كم ينبغي أن تنفق الشركة على الأمن السيبراني؟

لا توجد نسبة مئوية عامة تناسب كل مؤسسة. فينبغي أن يعكس الإنفاق على الأمن السيبراني درجة تعرّض الشركة للمخاطر، والتزاماتها التنظيمية والتعاقدية، ومدى اعتماد أعمالها على التقنية، ونضجها الأمني القائم، والتكلفة المحتملة لتعطل العمليات أو فقدان البيانات. وتضع المعايير المنشورة الأمن السيبراني عادةً في حدود يقارب ثمانية إلى خمسة عشر بالمئة من ميزانية تقنية المعلومات، لكن النطاق واسع، ويتفاوت الوسيط كثيرًا بحسب القطاع ومستوى النضج. فاعتبر المعيار اختبارًا للمعقولية لا هدفًا: قدّر المخاطر الجوهرية لمؤسستك، وتأكد مما تتطلبه الأنظمة والعقود والتأمين، ومَوّل ذلك أولًا.

كيف يستطيع المدير المالي تقييم عائد الاستثمار في الأمن السيبراني؟

يستطيع المدير المالي تقييم الاستثمار في الأمن السيبراني من خلال الحدّ من المخاطر، وتجنّب الخسائر، والمرونة التشغيلية، ونتائج الامتثال. وينبغي أن تقارن المراجعة الأثر التجاري المحتمل لحدث سيبراني محدد بتكلفة الضابط أو الخدمة المقترحة وأثرهما المتوقع.

ما الذي ينبغي أن تتضمنه ميزانية الأمن السيبراني؟

قد تشمل ميزانية الأمن السيبراني الكوادر، والمنصات الأمنية، والخدمات المُدارة، والتقييمات، وأنشطة الامتثال، والتدريب، والاستجابة للحوادث، وحماية السحابة والهوية، والصيانة، وقدرات التعافي. وينبغي أن يكون لكل بند مسؤول وغرض تجاري ونتيجة مخاطر محددة.

هل مركز العمليات الأمنية المُدار أكثر جدوى من حيث التكلفة من المركز الداخلي؟

قد يكون مركز العمليات الأمنية المُدار أكثر جدوى للمؤسسات التي تحتاج إلى مراقبة على مدار الساعة لكنها لا تملك الحجم أو الكوادر أو المنصات اللازمة لتشغيل تغطية مستمرة داخليًا. وينبغي أن يستند القرار إلى مقارنة موثّقة لإجمالي التكاليف والخبرة والتغطية وقدرة الاستجابة ومستويات الخدمة.

ما الفرق بين مركز العمليات الأمنية المُدار وخدمة MDR؟

يوفّر مركز العمليات الأمنية المُدار مراقبة مستمرة، وفحصًا للتنبيهات، وتصعيدًا، وعمليات أمنية عبر البيئة. أما الكشف والاستجابة المُدارة (MDR) فتركّز بصورة أدق على كشف التهديدات والتحقيق فيها والاستجابة لها. وقد يجمع المزوّدون بين القدرتين في خدمة مُدارة واحدة.

ما هو كبير مسؤولي أمن المعلومات الافتراضي (vCISO)؟

يوفّر كبير مسؤولي أمن المعلومات الافتراضي قيادة عليا للأمن السيبراني على أساس جزئي أو بعقد دائم أو لمشروع محدد. ويساعد على إدارة الاستراتيجية والمخاطر والامتثال ورفع التقارير إلى مجلس الإدارة والجاهزية للحوادث والاستثمار الأمني، دون الحاجة إلى توظيف مسؤول تنفيذي بدوام كامل.

هل يقلّل التأمين السيبراني الحاجة إلى الاستثمار في الأمن؟

لا. فالتأمين ينقل جزءًا من العاقبة المالية للحادث، لكنه لا يقلّل احتمال وقوعه ولا يعيد العمليات إلى العمل. كما أن التغطية تُسعَّر وتُشترط وفق الضوابط المطبّقة أصلًا، فالأمن الأضعف يعني عمومًا قسطًا أعلى، وحدًا أدنى، واستثناءات أكثر، واحتمالًا أكبر لأن تُنازَع المطالبة. ويعمل التأمين والاستثمار الأمني معًا ولا يحلّ أحدهما محل الآخر.

كيف ينبغي رفع تقارير المخاطر السيبرانية إلى مجلس الإدارة؟

ينبغي رفع تقارير المخاطر السيبرانية بلغة الأعمال وفق صيغة ثابتة. وينبغي أن يحدّد التقرير المرفوع إلى المجلس المخاطر ذات الأولوية للمؤسسة، وما تغيّر منذ المراجعة السابقة، وخطط المعالجة الحالية، والمسؤولين، والفجوات غير المعالجة، وأي خطر قررت الإدارة قبوله.

كيف تساعد TEKNOLOGIIA في ترشيد الإنفاق على الأمن السيبراني؟

تستطيع TEKNOLOGIIA تقييم البيئة الحالية، وربط الضوابط بمتطلبات الأعمال والامتثال، وتحديد القدرات المكرّرة أو غير المستغلة، وترتيب أولويات الفجوات الجوهرية، والمقارنة بين التقديم الداخلي والخدمات المُدارة. والنتيجة أساس أوضح لقرارات ميزانية الأمن السيبراني.

ابدأ بتقييم للمخاطر السيبرانية والامتثال

قبل إضافة مزيد من الأدوات، حدّد أي المخاطر أهم، وأي الضوابط موجودة أصلًا، وأين تتداخل القدرات، وأي الفجوات تتطلب تمويلًا. ويوفّر تقييم المخاطر السيبرانية والامتثال الأدلة اللازمة لترتيب أولويات الاستثمار وتقديم مبرر أعمال أقوى.

احجز استشارة مع TEKNOLOGIIA لمراجعة أولوياتك في الأمن السيبراني وإعداد ميزانية دفاعية لدورة التخطيط القادمة.