كيف تُجري تحليل المخاطر

الجميع يعلم أنه يجب أن يكون هناك تحليل للمخاطر. المشكلة نادرًا ما تكون في نقص الرغبة. بل في أن الخطوة من ”علينا أن نُجري واحدًا“ إلى امتلاكه فعليًا تبدو كبيرة جدًا.

يبدأ الأمر بصفحة فارغة. ماذا نُقيّم؟ ما الفئات؟ كيف نحدد الاحتمالية والأثر؟ فجأة تمر ثلاثة أشهر والصفحة لا تزال فارغة.

يأخذك هذا الدليل من البداية إلى تحليل مخاطر جاهز. مبني على ISO 31000 وISO 27005، لكن مكتوب للتطبيق لا للكتاب الدراسي. حمّل قالب Excel إذا أردت المتابعة في سجلك الخاص أثناء القراءة.

قبل أن تحدد أي مخاطرة عليك أن تعرف ما الذي تحميه فعلاً. هنا تفشل معظم تحليلات المخاطر: يبدأ الناس بسرد التهديدات دون أن يفهموا أولاً ما يستحق الحماية.

الأصول المحمية هي ما لا يمكن للعمل الاستغناء عنه. قم بجرد سريع: ماذا يحدث إذا اختفى هذا، تعطل، أو تسرب؟ تلك هي قائمتك ذات الأولوية.

• المعلومات

  بيانات العملاء، الأسرار التجارية، البيانات الشخصية.

• التوفّر

  الأنظمة الحيوية، العمليات، عمليات التسليم.

• الموارد المالية

  تدفقات الإيرادات، الأصول، التدفق النقدي.

• العلامة التجارية والثقة

  السمعة، علاقات العملاء، الموقع في السوق.

• الناس

  الموظفون، العملاء، الأطراف الثالثة.

• الامتثال التنظيمي

  التراخيص، التصاريح، الوضع القانوني.

فخ شائع: محاولة تحليل العمل بأكمله دفعة واحدة. النتيجة تكون سطحية وغير قابلة للاستخدام. بدلاً من ذلك حدّد بوضوح ما يشمله التحليل، الأفق الزمني، والأطراف المعنية.

• ما الذي يشمله النطاق؟

  المنظمة بأكملها، عملية محددة، نظام، سلسلة توريد؟ التحليل المحدد بعمق أفضل دومًا من تحليل واسع بلا جوهر.

• ما الأفق الزمني؟

  الأشهر الاثنا عشر القادمة، فترة مشروع، أو أفق استراتيجي لثلاث سنوات؟ الإطار الزمني يحدد كيفية تقييم الاحتمالية.

• أي الأطراف المعنية تتأثر؟

  الإدارة، الموظفون، العملاء، الجهات الرقابية؟ مختلف الأطراف لديها مستويات تحمل مختلفة.

تحليل مخاطر محدد بعمق يتفوق دومًا على تحليل واسع بلا جوهر. يمكنك دائمًا إجراء المزيد.

الآن تملأ الصفحة. افصل بين المفاهيم: التهديد هو ما قد يحدث (برامج الفدية، انهيار مورد). الثغرة هي الضعف الذي يجعل التهديد ممكنًا (نسخ احتياطي غير آمنة، مورد وحيد). المخاطرة هي مزيج التهديد والثغرة والأثر على أصل محمي.

اعمل بشكل منهجي. بعض الزوايا المجربة:

• لكل أصل محمي

  ما الذي قد يطال بيانات العملاء؟ ما الذي يُوقف التوفر؟ ما الذي يهدد العلامة التجارية؟

• لكل فئة تهديد

  سيبراني، مادي، موظفون، مورد، تنظيمي، مالي. يضمن تغطية واسعة.

• لكل سيناريو

  ماذا يحدث إذا تعطل الخادم؟ إذا غادر الشخص الرئيسي؟ إذا أفلس مقاول فرعي؟

أشرك الأشخاص المناسبين. تقنية المعلومات لا تعرف كل شيء عن العمليات، والعمل لا يعرف كل شيء عن التهديدات. ورشة عمل مع مجموعة متعددة الوظائف تتفوق دائمًا على محلل وحيد.

هنا تتحول المخاطر من كلمات إلى بيانات أولوية. استخدم مقياسًا يناسب عملك. مصفوفة 5×5 تعمل في معظم الحالات.

حدّد المقاييس قبل البدء بالتقييم. ماذا يعني حقًا ”أثر خطير“ بالعملة، بوقت التوقف، أو بفقدان العملاء؟ بدون تعريفات تصبح التقييمات اعتباطية وغير قابلة للمقارنة عبر الزمن.

سوء فهم شائع: المنتج النهائي لتحليل المخاطر هو المصفوفة بخلاياها الحمراء. ليس كذلك. المنتج النهائي قائمة إجراءات مرتبة بالأولوية. لكل مخاطرة محددة اختر استراتيجية معالجة.

رتّب الإجراءات حسب الأثر لكل جهد، لا حسب مستوى المخاطرة فقط. مخاطرة متوسطة مع حل بسيط قد تكون أهم للمعالجة أولاً من مخاطرة عالية تتطلب استثمار ثلاث سنوات.

تحليل مخاطر يُودع في مجلد هو ميت في اليوم التالي. الواقع يتغير: تهديدات جديدة تظهر، العمل يتطور، الإجراءات تُنفذ، اللوائح تتشدد.

تحليل المخاطر الفعّال عملية حية:

• مراجعة دورية

  سنويًا على الأقل، وأكثر للمجالات الحرجة.

• تحديثات مُحرَّكة

  عند الحوادث، التغييرات، الأنظمة الجديدة، الموردين الجدد، المتطلبات التنظيمية الجديدة.

• متابعة مستمرة

  لفاعلية الإجراءات وحالتها، لا لقائمة المخاطر فقط.

• مالك واضح

  شخص يتولى فعلاً إبقائه محدّثًا.

للمنظمات الخاضعة لـNIS2 أو ISO 27001 أو ما شابه، تحليل المخاطر الحي ليس فكرة جيدة فحسب. بل متطلب.

إذا كان عملك خاضعًا لمتطلبات محددة، تأكد من أن التحليل يلبيها. الأكثر شيوعًا في السياق الأوروبي:

• ISO 31000

  إدارة المخاطر العامة، المبادئ والإطار. اقرأ دليل ISO 31000.

• ISO 27005

  مخاطر أمن المعلومات تحديدًا.

• ISO 27001

  يتطلب تقييم مخاطر وخطة معالجة موثّقين. اطلع على دليل ISO 27001.

• NIS2

  تدابير إدارة المخاطر للكيانات الأساسية والمهمة. اقرأ عن NIS2.

• GDPR (DPIA)

  تقييم الأثر لمعالجة البيانات الشخصية. اطلع على تحليل مخاطر GDPR.

• MSBFS 2020:6

  العمل المنهجي لأمن المعلومات للسلطات السويدية.

• DORA

  المرونة التشغيلية للقطاع المالي.

يمكن للتحليل الأساسي نفسه تغطية أطر متعددة. الأمر يتعلق أساسًا بكيفية التوثيق والإبلاغ.

• 1. ابدأ بالأصول المحمية

  اعرف ما تحميه فعلاً.

• 2. حدّد النطاق

  العمق يتفوق على الاتساع.

• 3. حدّد التهديدات والمخاطر

  منهجي، متعدد الوظائف.

• 4. قيّم الاحتمالية والأثر

  بمقاييس معرَّفة.

• 5. رتّب الإجراءات بالأولوية

  ليس الخلايا الحمراء، بل الأثر لكل جهد.

• 6. أبقِ التحليل حيًا

  بانتظام وبمحفزات.

• 7. اربط بالأطر

  حيث يلزم.