معيار أمن المعلومات الذي ستختبره APRA.

معيار CPS 234 لأمن المعلومات هو المعيار الاحترازي الذي وضعته APRA لضمان قدرة الكيان الخاضع لتنظيمها على الصمود أمام حوادث أمن المعلومات، بما فيها الهجمات السيبرانية. وينطبق على مؤسسات تلقي الودائع المرخصة، بما فيها مؤسسات ADIs الأجنبية والشركات القابضة غير التشغيلية المصرفية المرخصة (NOHCs)، وشركات التأمين العام، بما فيها شركات التأمين من الفئة C والشركات القابضة غير التشغيلية للتأمين، وشركات التأمين على الحياة، بما فيها جمعيات المنفعة المتبادلة (friendly societies) وشركات التأمين على الحياة الأجنبية المؤهلة (EFLICs)، وشركات التأمين الصحي الخاص المسجلة بموجب قانون PHIPS، وحاملي تراخيص RSE فيما يخص عملياتهم التجارية. وقد بدأ سريانه في 1 يوليو 2019، وحيثما يدير طرف ثالث أصول معلوماتك، بدأ تطبيقه عند تجديد العقد التالي أو في 1 يوليو 2020، أيهما أسبق. وتتناول الفقرات من 1 إلى 12 الصلاحية والتطبيق والتفسير والتعريفات؛ أما الفقرات من 13 إلى 36 فهي المتطلبات التي يتعين عليك استيفاؤها فعلًا.

أربعة وعشرون متطلبًا مرقّمًا تحت تسعة عناوين. الأدوار والمسؤوليات، بدءًا بمجلس الإدارة، المسؤول النهائي عن أمن المعلومات في الكيان. وقدرة في مجال أمن المعلومات بحجم يتناسب مع التهديدات التي تواجه أصول معلوماتك. وإطار سياسات يوجّه كل من يقع عليه التزام، بمن فيهم المتعاقدون والاستشاريون والأطراف ذات العلاقة والأطراف الثالثة والعملاء. وتصنيف أصول المعلومات بحسب أهميتها الحرجة وحساسيتها. وضوابط تُنفَّذ في الوقت المناسب ويُحدَّد حجمها وفق أربعة عوامل منصوص عليها بالاسم. واكتشاف الحوادث، وخطط الاستجابة، واختبار سنوي لها. وبرنامج منهجي لاختبار الضوابط، يجري فيه الاختبار أشخاص مستقلون وظيفيًا. ومراجعة التدقيق الداخلي لتصميم الضوابط وفاعليتها التشغيلية. وأخيرًا إخطار APRA خلال 72 ساعة من حادث جوهري، أو خلال 10 أيام عمل لضعف جوهري في الضوابط لا تستطيع معالجته في الوقت المناسب.

تتكرر الكلمة في المعيار ولا تُعرَّف أبدًا، وهذا مقصود: فـ APRA ترفض وضع حدٍّ واحد لمجموعة تمتد من حامل ترخيص RSE صغير إلى بنك كبير. وعمليًا، ينقل ذلك عبء الإثبات إليك. فلا يكفي أن تكون ضوابطك جيدة؛ بل يجب أن تتمكن من إظهار المنطق الذي قررت به أنها بالحجم المناسب للتهديدات التي تواجه أصول معلوماتك. ويطلب المراجع هذا القرار التقديري مكتوبًا، مع مدخلاته، مثل معلومات التهديدات، والمقارنة بالنظراء، وسجل الحوادث. والكيان الذي يملك ضوابط قوية دون مبرر موثق لحجمها هو الذي يتلقى ملاحظة.

نعم، وعلى نطاق أوسع مما تحدده معظم الكيانات. فكل من الفقرات 16 و22 و28 و34 تحمل حاشية صريحة تنص على أنها تنطبق على جميع أصول المعلومات التي تديرها الأطراف ذات العلاقة والأطراف الثالثة، لا على تلك المشمولة باتفاقيات أنشطة الأعمال المسندة خارجيًا الجوهرية بموجب CPS 231 أو SPS 231 فحسب. وهذا يعني أن تقيّم قدرة تلك الأطراف في مجال أمن المعلومات، وأن تقيّم تصميم ضوابطها، وأن تقيّم ما إذا كانت الاختبارات التي تعتمد عليها متناسبة مع العوامل الخمسة في الفقرة 27، وأن يقيّم التدقيق الداخلي الضمانات التي تنوي الاعتماد عليها حيثما يمكن لحادث أن يؤثر تأثيرًا جوهريًا فيك أو في عملائك. وحصر هذا العمل في سجل الإسناد الخارجي الجوهري هو أكثر الفجوات شيوعًا على الإطلاق في المعيار.

تشترط الفقرة 30 أن يجري الاختبار متخصصون يتمتعون بالمهارة المناسبة والاستقلال الوظيفي. والاستقلال الوظيفي يتعلق بخطوط التبعية الإدارية لا بالاستعانة بشركة خارجية، لذا يمكن لفريق داخلي أن يكون مؤهلًا شريطة ألا يملك الضابط الذي يختبره أو يشغّله. والإخفاق الشائع هو فريق أمني يشغّل ضوابط الشبكة ويجري أيضًا اختبارات الاختراق عليها. وتشترط الفقرة 27 بشكل منفصل أن يكون البرنامج منهجيًا، وأن تُحدَّد طبيعته ووتيرته وفق خمسة عوامل، أحدها الخطر الناشئ عن بيئات لا تستطيع فيها فرض سياساتك، وهو ما يعني عمليًا بيئتك السحابية وأصولك لدى الأطراف الثالثة.

لحظة العلم. تشترط الفقرة 35 الإخطار في أقرب وقت ممكن، وفي موعد لا يتجاوز 72 ساعة من العلم بحادث في أمن المعلومات أثّر تأثيرًا جوهريًا، أو كان من المحتمل أن يؤثر تأثيرًا جوهريًا، في الكيان أو في مصالح المودعين أو حاملي الوثائق أو المستفيدين أو غيرهم من العملاء. وثمة شق ثانٍ يوقع الكيانات في الخطأ: يجب أيضًا أن تُخطر APRA بأي حادث أُخطرت به جهات رقابية أخرى، في أستراليا أو في ولاية قضائية أخرى، سواء قيّمته جوهريًا بالنسبة إليك أم لا. أما الفقرة 36 فمهلة مستقلة، مدتها 10 أيام عمل، لضعف جوهري في ضوابط أمن المعلومات تتوقع ألا تتمكن من معالجته في الوقت المناسب، وتبدأ حين تعلم بالضعف، لا حين تخلص إلى أنه لا يمكن إصلاحه.

استخدمت APRA المراجعات الثلاثية، التي يُستعان فيها بخبير مستقل لاختبار ادعاءات الكيان نفسه مقابل المعيار، إلى جانب نشاطها الرقابي المعتاد. وهذا يحدد الأدلة التي تستحق الاحتفاظ بها: فالمراجع يبحث عن سجلات تُظهر أن الواجب قد أُدّي، لا عن مستندات تصف نية. محاضر مجلس إدارة تُظهر مساءلةً لا مجرد اطلاع، واختبار مؤرخ لخطة الاستجابة لا مجرد خطة خضعت للمراجعة، وسجل التصعيد لقصور تعذّرت معالجته في الوقت المناسب، والتقييم الذي يستند إليه اعتمادك على اختبارات طرف ثالث.

تقدّم المتطلبات الـ 24 في صورة الفقرات من 13 إلى 36، مجمّعة تحت العناوين التسعة للمعيار نفسه، ولكل منها مسؤول وحالة وأدلتها الخاصة وإرشادات مُعدّة مسبقًا حول ما يقبله المراجع إثباتًا. ويقيس تقييم فجوات من 42 سؤالًا القرارات التقديرية التي يتركها المعيار مفتوحة، وهنا تحديدًا يظهر الأثر الفعلي لكلمة «متناسب». وتُدرَج الواجبات الدورية في تقويم امتثال مع مسؤوليها ومواعيدها: الاختبار السنوي لخطة الاستجابة، والمراجعة السنوية لبرنامج الاختبار، ومراجعة التدقيق الداخلي، وتحديث تصنيف الأصول، وإعادة تقييم الأطراف الثالثة. ويلخّص تقرير مجلس الإدارة الوضع للمجلس الذي تجعله الفقرة 13 المسؤول النهائي.

يختص CPS 234 بأمن المعلومات تحديدًا. أما CPS 230 لإدارة المخاطر التشغيلية فهو معيار المرونة التشغيلية الأوسع، ويغطي إدارة مزوّدي الخدمات واستمرارية الأعمال على نطاق أوسع، لذا يتداخل المعياران في إدارة الأطراف الثالثة دون أن يحل أحدهما محل الآخر. وISO 27001 معيار دولي قابل للاعتماد بشهادة، له نظام إدارته الخاص ومجموعة ضوابط الملحق A؛ والحصول على شهادته دليل مفيد لعدة فقرات من CPS 234، ولا سيما ما يتعلق بإطار السياسات وتنفيذ الضوابط، لكنه ليس امتثالًا لـ CPS 234، ولا تعامله APRA على هذا النحو. والفقرات التي لا يجيب عنها ISO 27001 وحده هي تلك الخاصة بالسياق الاحترازي: مساءلة مجلس الإدارة بموجب الفقرة 13، وبُعد الأثر على العملاء في التصنيف بموجب الفقرة 20، ومهلتا الإخطار.