في ديسمبر 2025، أطلق بنك الكويت المركزي إطار الأمن السيبراني والمرونة التشغيلية، وهو مبادرة رقابية محورية تهدف إلى الارتقاء بمتطلبات الأمن السيبراني، والمرونة التشغيلية، وإدارة مخاطر الأطراف الثالثة في القطاع المالي الكويتي.
ويفرض هذا الإطار الرقابي الإلزامي توقعات امتثال جديدة، ومتطلبات تدقيق، وحدودًا أساسية للمرونة يجب على المؤسسات المالية تحقيقها للحفاظ على عمليات آمنة ومرنة في ظل بيئة تهديدات متزايدة التعقيد.
أهمية إطار المرونة السيبرانية والتشغيلية
يواصل القطاع المالي عالميًا مواجهة تحول رقمي متسارع، مع تزايد الاعتماد على تقنيات مثل الحوسبة السحابية، والذكاء الاصطناعي، والخدمات المصرفية المفتوحة، إلى جانب تصاعد التهديدات السيبرانية التي تستهدف الأنظمة الحيوية. إن مخاطر التعطّل، سواء الناتجة عن الهجمات السيبرانية أو انقطاعات الخدمات أو إخفاقات الأطراف الثالثة، قد تؤدي إلى آثار منهجية تمتد إلى الاستقرار المالي، وثقة العملاء، والمرونة الاقتصادية الوطنية.
واستجابةً لذلك، قام بنك الكويت المركزي بتحديث إطار الأمن السيبراني الصادر في عام 2020 وتحويله إلى هيكل أكثر شمولًا وتركيزًا على المرونة، وهو إطار المرونة السيبرانية والتشغيلية، بما يتماشى مع أفضل الممارسات الدولية في مجال مخاطر ومرونة الأمن السيبراني.
ينطبق إطار المرونة السيبرانية والتشغيلية على جميع الجهات الخاضعة لرقابة بنك الكويت المركزي، بما في ذلك البنوك الكويتية والأجنبية العاملة في الكويت، وشركات الصرافة، وشركات التمويل، ومزودي خدمات الدفع الإلكتروني، وشركات المعلومات الائتمانية، ومزودي خدمات الخدمات المصرفية المفتوحة. ويتطلب الإطار من المؤسسات تجاوز قوائم التحقق الأساسية لضوابط الأمن السيبراني، والانتقال نحو دورة حياة شاملة للمرونة تمكّنها من التنبؤ بالأحداث السيبرانية والتشغيلية المعيقة، وتحملها، والتكيف معها، والتعافي منها.
ما أبرز خصائص إطار المرونة السيبرانية والتشغيلية؟
في جوهره، يوسّع إطار المرونة السيبرانية والتشغيلية نطاق التغطية، إذ يضم مئات الضوابط المنظمة عبر عدة مجالات تشمل المرونة السيبرانية، والمرونة التشغيلية، وإدارة مخاطر الأطراف الثالثة، مقارنةً بإطار عام 2020 السابق. كما يفرض نموذج تقييم ديناميكي متعدد المستويات، حيث يتم تقييم الجهات بناءً على مستوى المخاطر الكامنة، والحجم، ودرجة التعقيد، ما يخلق نظام امتثال وتدقيق متدرجًا مع اختلاف مستوى الإشراف الرقابي.
ويُلزم إطار المرونة السيبرانية والتشغيلية الجهات الخاضعة لرقابة بنك الكويت المركزي بإجراء عمليات تدقيق مستقلة من أطراف ثالثة، من خلال الاستعانة سنويًا بمدققين معتمدين من البنك المركزي للتحقق بشكل مستقل من مستوى الامتثال وفعالية الضوابط وفقًا لمتطلبات المرونة السيبرانية والتشغيلية.
إضافةً إلى ذلك، يركز الإطار على النضج المؤسسي أكثر من مجرد الامتثال، حيث يمتد نموذج النضج في إطار المرونة السيبرانية والتشغيلية من مستوى «بدائي» إلى «مبتكر»، ويدفع الجهات إلى ترسيخ ممارسات مرنة ومستدامة بدل الاكتفاء بتحقيق المتطلبات الأساسية فقط.
يساعد هذا النهج الشمولي على تجنب الدفاعات المجزأة، ويضمن دمج المرونة الاستراتيجية ضمن الحوكمة، وإدارة المخاطر، والعمليات، والإشراف على الأطراف الثالثة، والاستجابة للحوادث، وخطط التعافي.
دور استشارات الأمن السيبراني في ظل إطار المرونة السيبرانية والتشغيلية
بالنسبة للجهات الخاضعة للرقابة التي تواجه متطلبات إطار المرونة السيبرانية والتشغيلية الموسعة والتدقيق الإلزامي، أصبحت الاستشارات في مجال الأمن السيبراني ضرورة استراتيجية وليست مجرد قيمة مضافة، وذلك للأسباب التالية:
-
المواءمة الاستراتيجية وتصميم إطار الحوكمة
يُعد إنشاء نموذج حوكمة قوي للأمن السيبراني، وعمليات إدارة المخاطر، ونموذج تشغيلي متوافق مع إشراف مجلس الإدارة والمتطلبات الرقابية، أحد المتطلبات الأساسية لإطار المرونة السيبرانية والتشغيلية، ولا يمكن تنفيذ هياكل الحوكمة الفعالة من خلال جهود عشوائية، بل تتطلب خبرة عميقة في ترجمة المتطلبات الرقابية إلى آليات حوكمة عملية ومستدامة.
تساعد خدمات استشارات الأمن السيبراني في وضع استراتيجية الأمن السيبراني، والحوكمة، وتصميم النماذج التشغيلية المؤسسات المالية على مواءمة هياكلها بما يحقق متطلبات إطار المرونة السيبرانية والتشغيلية من حيث الإشراف الاستراتيجي وتعزيز المساءلة على مستوى المؤسسة.
-
تقييم المخاطر وتحليل الفجوات الرقابية
يُعد فهم الوضع الحالي للمؤسسة مقارنةً بمجموعة ضوابط إطار المرونة السيبرانية والتشغيلية الواسعة أمرًا بالغ الأهمية. وتوفر تقييمات مخاطر الأمن السيبراني وتحليل الفجوات الرقابية (بما في ذلك التوافق مع معيار ISO/IEC 27001 وغيره من المعايير) صورة واضحة عن الضوابط القائمة، ونقاط الضعف، وأولويات المعالجة، مما يشكل الأساس لجميع مبادرات الالتزام الرقابي اللاحقة.
-
خارطة طريق المعالجة ودعم التنفيذ
إن تحديد الفجوات لا يكون ذا جدوى إلا بوجود خطة واقعية لمعالجتها. وتساعد استشارات الأمن السيبراني على تحويل نتائج التقييم إلى خرائط طريق عملية للمعالجة، مع تحديد الأولويات بناءً على المخاطر والموارد والجدول الزمني التنظيمي، ودعم تنفيذ التحسينات الجوهرية للضوابط.
-
الجاهزية لمعيار الآيزو ISO/IEC 27001 نظام إدارة أمن المعلومات وتطبيقه
على الرغم من أن إطار المرونة السيبرانية والتشغيلية إطار رقابي، إلا أنه يستند بشكل كبير إلى معايير دولية معترف بها مثل ISO/IEC 27001 وتجدر الإشارة إلى أن إنشاء نظام إدارة أمن المعلومات (ISMS) والحصول على الشهادة أو الحفاظ عليها يساعد المؤسسات على بناء ممارسات أمن سيبراني ناضجة وقابلة للتدقيق والدفاع عنها. ويضمن الدعم في الجاهزية والتنفيذ وفق ISO/IEC 27001 مواءمة الضوابط التقنية والإجرائية مع المتطلبات التنظيمية.
-
التدقيق الداخلي والتحسين المستمر
تضمن عمليات التدقيق الداخلي ودعم تدقيق المتابعة بقاء كيان الأعمال على جاهزية دائمة للتدقيق والالتزام بين فترات التقييم المستقلة الرسمية. كما تسهم الاستشارات في برامج التحسين المستمر في دفع المؤسسات نحو مستويات أعلى من النضج وفق إطار المرونة السيبرانية والتشغيلية، وتكييف الضوابط مع تطور التهديدات والتقنيات.
-
الجاهزية التنظيمية وإعداد الوثائق
يتطلب إطار المرونة السيبرانية والتشغيلية إعداد عدة مخرجات رسمية، بما في ذلك التقييمات الذاتية، وبيانات قابلية التطبيق (SoA)، وملفات المخاطر الكامنة، والتقارير المقدمة للجهات الرقابية. ويساعد المستشارون في إعداد ومراجعة والتحقق من الوثائق التنظيمية، بما يضمن دقتها واكتمالها وجاهزيتها لكل من التدقيق الداخلي وتدقيق بنك الكويت المركزي.
-
هندسة الأمن، والاستجابة للحوادث، وتخطيط المرونة
تشكل الضوابط التقنية الأساس للعمليات المرنة. وتُمكّن الخبرات في هندسة الأمن، وتخطيط الاستجابة للحوادث، وبرامج المرونة السيبرانية المؤسسات من استباق الهجمات، وتنسيق الاستجابة، وإدارة التعافي، وهو أحد المتطلبات الجوهرية لإطار المرونة السيبرانية والتشغيلية.
-
برامج التوعية والتدريب
تُعد العوامل البشرية من أبرز مصادر المخاطر. وتساعد برامج التوعية والتدريب والمحاكاة المصممة خصيصًا للأمن السيبراني على رفع مستوى الثقافة المؤسسية والجاهزية لدى جميع مستويات الموظفين، وهو عامل رئيسي في تعزيز مرونة المؤسسة.
في ضوء التطور المستمر لإطار المرونة السيبرانية والتشغيلية الصادر عن بنك الكويت المركزي، وما يطرأ عليه من تحديثات تنظيمية ومتطلبات رقابية متزايدة، تبرز أهمية استعانة المؤسسات المالية بشركات استشارية متخصصة في الأمن السيبراني لدعمها في مواكبة هذه التغييرات بكفاءة وفاعلية،
لما تمتلكه هذه الشركات الخبرة والمعرفة العملية التي تمكّن المؤسسات من تفسير التحديثات الرقابية، وترجمتها إلى ضوابط وإجراءات قابلة للتنفيذ، وضمان تحقيق المطابقة والالتزام المستمرين مع متطلبات هذا الإطار الأمني. إن الاعتماد على شركات استشارية ذات خبرة لم يعد مجرد خيار داعم، بل أصبح عنصرًا أساسيًا لتمكين المؤسسات المالية من الحفاظ على جاهزيتها الرقابية، وتعزيز مرونتها التشغيلية والسيبرانية، وضمان استدامة أعمالها في بيئة رقابية وتقنية دائمة التغير.