vCISO و مسؤول أمن المعلومات الخارجي

مسؤول أمن المعلومات (ISB) هو الدور الراسخ في المنطقة الناطقة بالألمانية وفق BSI IT-Grundschutz: فهو يدير العملية الأمنية وينسّقها، ويدعم الإدارة في إعداد السياسة الأمنية، وينسّق إعداد المفهوم الأمني، ويحقق في الحوادث ذات الصلة بالأمن، ويرفع تقاريره مباشرة إلى الإدارة العليا (معيار BSI ⁦200-2⁩، الفصل 4.4). ويذكر معيار BSI لقبَي Chief Information Security Officer (CISO) ومدير أمن المعلومات (ISM) كلقبين بديلين شائعين للدور نفسه؛ وفي الاستخدام الدولي يشير CISO علاوة على ذلك غالبًا إلى دور قيادي استراتيجي يتحمّل مسؤولية الاستراتيجية الأمنية والميزانية والتنظيم، وكثيرًا ما يكون له فريق خاص ويقع مباشرة تحت الإدارة العليا. وفي الممارسة يتداخل الملمحان بشدة، وفي المؤسسات الأصغر كثيرًا ما يتولى شخص واحد كلا المنظورين. والأهم ليس اللقب بل الإسناد الواضح للمهام والصلاحيات ومسارات رفع التقارير.

يشترط ISO/IEC 27001:2022 في الفصل 5.3 أن تُسند الإدارة العليا المسؤوليات والصلاحيات للأدوار ذات الصلة بالأمن وتُبلغ بها – لا سيما فيما يخص مطابقة ISMS للمعيار ورفع التقارير عن أدائه إلى الإدارة العليا؛ ويشترط الضابط 5.2 من الملحق A إضافةً إلى ذلك أدوارًا أمنية محددة. ولا يفرض المعيار لقبًا معيّنًا مثل «CISO». وتُلزم NIS2 (التوجيه (EU) 2022/2555) في المادة 20 الهيئات الإدارية للجهات الأساسية والمهمة بالموافقة على إجراءات إدارة المخاطر وفق المادة 21 والإشراف على تنفيذها؛ ويمكن تحميلها المسؤولية عن المخالفات ويتعيّن عليها المشاركة في التدريبات. وفي ألمانيا ينفّذ BSIG الجديد (قانون تنفيذ NIS2) الساري منذ 6 ديسمبر 2025 هذه الالتزامات: إذ تُلزم المادة 38 من BSIG الإدارات العليا للجهات بالغة الأهمية والمهمة بتنفيذ إجراءات إدارة المخاطر والإشراف على تنفيذها والمشاركة بانتظام في التدريبات.

جوهر الدور هو إدارة العملية الأمنية بأكملها: المشاركة في الاستراتيجية الأمنية والسياسة، وبناء منظومة السياسات وصيانتها، وتنسيق المفهوم الأمني. ويُضاف إلى ذلك إدارة المخاطر (المنهجية وتحليلات المخاطر وخطط الإجراءات ومتابعتها)، وإطلاق إجراءات التوعية والتدريب وتنسيقها، والتحقيق في الحوادث ذات الصلة بالأمن. وأمام الإدارة يتحمّل الدور مسؤولية التقارير الإدارية – تقارير الحالة والمؤشرات والإسهام في المراجعة الإدارية وفق ISO/IEC 27001 الفصل 9.3. ويُضاف إلى ذلك المرافقة الأمنية للمشاريع والمشتريات، والتحضير لعمليات التدقيق الداخلية والخارجية.

ينص معيار BSI ⁦200-2⁩ في الفصل 4.11 صراحةً على إمكانية إسناد أدوار جوهرية مثل ISB إلى جهات خارجية مؤهلة إذا تعذّر شغلها داخليًا – ولا سيما في الشركات والجهات الحكومية الصغيرة قد يكون اللجوء إلى ISB خارجي مناسبًا. ومن الدوافع الشائعة نقص الكوادر المؤهلة، أو دور لا يبرّر وظيفة بدوام كامل، أو شغور وظيفي يجب سدّه على المدى القصير. كما أن الاستقلالية المطلوبة ترجّح ذلك أحيانًا: إذ يحذّر BSI صراحةً من تعارض الأدوار عندما يكون ISB مدمجًا في إدارة تقنية المعلومات ولا يستطيع أداء مهامه الرقابية بمعزل عن التأثير؛ ويرى BSI أن الجمع بين هذا الدور ودور مسؤول حماية البيانات ليس خاليًا من الإشكاليات، ولا يكون مقبولًا إلا مع نقاط تواصل محددة بوضوح بين المهمتين. كما يجلب شاغلو الأدوار الخارجيون خبرة من مؤسسات وإجراءات اعتماد كثيرة. والشرط المسبق هو تعيين جهة اتصال داخلية وحصول الجهة الخارجية على إمكانية الوصول إلى الهيئات والمعلومات ومسارات اتخاذ القرار – فبدون الإشراك يظل الدور عديم الأثر.

استقرت في الممارسة ثلاثة نماذج أساسية. ففي نموذج باقة الساعات يتولى vCISO/vISB الخارجي الدور بشكل دائم بباقة شهرية ثابتة من الساعات أو الأيام – وهو قابل للتخطيط للمهام الاعتيادية مثل إدارة المخاطر وإعداد التقارير والتوعية، مع أزمنة استجابة للحوادث محددة تعاقديًا. أما النموذج المؤقت فيسدّ شغورًا وظيفيًا بحضور مكثّف، وهو محدد المدة بوضوح وينتهي بشغل المنصب أو التسليم. وترافق النماذج القائمة على المشاريع مشروعًا بهدف محدد، مثل بناء ISMS حتى الجاهزية للحصول على الشهادة؛ وتجمع الصيغ الهجينة بين تولّي الدور خارجيًا وتدريب كادر داخلي ناشئ حتى التسليم. وبغض النظر عن النموذج، يشمل التنفيذ السليم التعيين الكتابي، ووصف الأدوار ونقاط التواصل، وترتيبات الإنابة، واتفاقيات السرية.

لا يمكن التخلي كليًا عن المسؤولية عن أمن المعلومات، لا داخليًا ولا خارجيًا: فوفق معيار BSI ⁦200-2⁩ تظل المسؤولية الشاملة لدى أعلى مستوى إداري – فهو يقرر كيفية التعامل مع المخاطر ويوفّر الموارد، حتى لو فوّض المهام التشغيلية. وتوجّه المادة 20 من NIS2 والمادة 38 من BSIG الموافقة على إجراءات إدارة المخاطر أو تنفيذها والإشراف عليها، وكذلك المشاركة في التدريبات، صراحةً إلى الهيئات الإدارية نفسها؛ وتربط المادة 38 الفقرة 2 من BSIG بذلك مسؤولية داخلية للمديرين وفق قواعد قانون الشركات. ويقدّم vCISO/vISB الخارجي المشورة ويدير العملية الأمنية ويُعدّ القرارات – أما قبول المخاطر والموافقة على السياسة وقرار الميزانية فتتخذها الإدارة العليا بنفسها. وتجعل نماذج التشغيل الجادة تقسيم العمل هذا صريحًا، مثلًا من خلال مسارات محددة للتصعيد ورفع التقارير ومذكرة قرار موثّقة لكل خطر.