الاستجابة للحوادث وفق DORA: تمرين محاكاة مكتبي لمجلس الإدارة

1. اختبر جودة القرارات، لا القدرة على حفظ اللائحة

نادرًا ما يكون القرار الصعب أمام مجلس الإدارة أثناء حادث تقني خطير هو: «هل نأخذه بجدية؟». الأرجح أن يكون: هل نوقف خدمة؟ هل نواصل العمل بضوابط محدودة؟ هل نموّل بديلًا طارئًا؟ هل نصدر بيانًا للعملاء قبل اكتمال الحقائق؟ يكشف تمرين المحاكاة هذه المفاضلات قبل وقوع حادث حقيقي.

تتناول المواد 17–19 من DORA إدارة الحوادث وتصنيفها والإبلاغ عنها. وتشمل المادة 17 تصعيد الحادث إلى الإدارة العليا المعنية، وإحاطة الهيئة الإدارية بالحوادث الجسيمة وآثارها والاستجابة لها والضوابط الإضافية. ولا يعني ذلك أن يتولى مجلس الإدارة القيادة التشغيلية للاستجابة. يجب أن يختبر التمرين تكامل توزيع المسؤوليات مع مسار التصعيد.

حدّد ثلاث نتائج عملية: قرار واضح ومسؤول عن تنفيذه، ومهمة إبلاغ ومسؤول عنها، وسجل يشرح الحقائق المتاحة وقت اتخاذ القرار. لا تعتبر التمرين ناجحًا لمجرد حضور الجميع. فقد تكون نتيجته المفيدة اكتشاف عجز الجميع عن الدخول إلى بوابة الإبلاغ عند تعطل نظام إدارة الهوية وتسجيل الدخول.

التمرين التالي مادة تدريبية افتراضية. وهو لا يغني عن اختبار التعافي التقني، أو برنامج متكامل لاختبارات المرونة، أو اختبار الاختراق القائم على التهديدات. ومدة 90 دقيقة اقتراح لتنظيم التمرين، وليست حدًا أدنى تنظيميًا.

2. افصل بين تصنيف الحادث ودرجة إلحاحه وتصعيده إلى مجلس الإدارة

قد يستدعي حادث انتباه الإدارة التنفيذية قبل حسم تصنيفه التنظيمي. وبالمقابل، قد يتطلب حادث جسيم واجب الإبلاغ إشعارًا سريعًا، حتى لو كانت جهود التعافي تحقق تقدمًا. لا تربط أيًا من القرارين بتوفر رئيس مجلس الإدارة للموافقة على بيان صحفي.

ترد قواعد التصنيف التفصيلية في اللائحة المفوضة (EU) 2024/1772. تربط المادة 8 تأثر الخدمات الحرجة بشروط محددة لجسامة الأثر؛ ولا تعتبر كل انقطاع تقني حادثًا جسيمًا تلقائيًا. وتتناول القواعد أيضًا الحوادث المتكررة. استخدم نموذج تصنيف معتمدًا يطبق المعايير والحدود الفعلية، بدلًا من ابتكار تقييم بالأحمر والأصفر والأخضر أثناء الاجتماع.

في التمرين، كلّف ممثل الامتثال أو إدارة المخاطر باقتراح التصنيف وتقديم الحقائق المؤيدة له. واجعل قائد الاستجابة مسؤولًا عن الأولويات التشغيلية، وموظف الإبلاغ المخوّل مسؤولًا عن إعداد الإشعار المطلوب وتقديمه. قد يختلف توزيع الصلاحيات الفعلي في مؤسستك؛ دوّنه قبل طرح أول مستجد في السيناريو.

• ما المعلومات المؤكدة عن الخدمات والعملاء والمعاملات والبيانات المتأثرة؟
• أي المعلومات تقديرية؟ وما أساس التقدير؟ ومتى سيُحدّث؟
• أي معايير التصنيف تحققت، وأيها لم يتحقق، وأيها لم يُحسم بعد؟
• من يمكنه اتخاذ القرار والتصرف إذا لم يتوفر الشخص المسؤول المعتاد؟

سجّل وقت العلم بالحادث ووقت تصنيفه كلًا على حدة. فإحاطة الإدارة التنفيذية لاحقًا لا تعيد بدء مهلة الإبلاغ المحسوبة من وقت العلم بالحادث. واكتشاف الحادث وتقرير أنه جسيم حدثان منفصلان، يجب توثيق توقيت كل منهما بدقة.

3. تدرّب على مهل الإبلاغ بمثال عملي

يتناول الملخص التالي الإبلاغ عن الحوادث الجسيمة المرتبطة بتكنولوجيا المعلومات والاتصالات وفق المادة 5 من اللائحة المفوضة (EU) 2025/301. عند وقوع حادث، ارجع إلى النص القانوني الفعلي وإجراءات الإبلاغ لدى الجهة المختصة.

في مثالنا الافتراضي، عُلم بالحادث يوم الثلاثاء الساعة 09:00، وصُنّف جسيمًا الساعة 10:00. تكون المهلة المعتادة للإشعار الأولي الساعة 14:00 يوم الثلاثاء، مع بقاء واجب الإبلاغ في أقرب وقت ممكن. إذا قُدّم الإشعار الساعة 11:30 يوم الثلاثاء، تنتهي مهلة التقرير المرحلي، البالغة 72 ساعة، الساعة 11:30 يوم الجمعة. ويغيّر أي تقرير مرحلي محدّث لاحق نقطة بدء مهلة الشهر المحددة للتقرير النهائي. الشهر هنا ليس مرادفًا لـ 30 يومًا.

لا تتوقف المهل تلقائيًا خلال عطلة نهاية الأسبوع. تسمح المادة 5(4)، عندما تنطبق، بالتقديم حتى ظهر يوم العمل التالي إذا انتهت المهلة في عطلة أسبوعية أو عطلة مصرفية في الدولة العضو التي تقع فيها المؤسسة المبلّغة. وتستثني الفقرة 5 من هذا التيسير الإشعارات الأولية والتقارير المرحلية للمؤسسات الائتمانية والأطراف المقابلة المركزية ومشغلي أماكن التداول والكيانات المالية الأخرى المصنفة أساسية أو مهمة بموجب NIS2. وبموجب الفقرة 6، يمكن للسلطات أيضًا استثناء كيانات أخرى ذات أهمية كبيرة أو نظامية بعد إخطارها؛ ويسري القرار على الحوادث المبلّغ عنها بعد الإخطار. تحقّق من انطباق التيسير قبل الاعتماد عليه.

إذا تعذر الالتزام بالمهلة، فأبلغ الجهة المختصة بالأسباب دون تأخير غير مبرر، وبحد أقصى قبل انتهاء المهلة المعنية. هذا الإبلاغ لا يمنح تمديدًا تلقائيًا.

4. جهّز المشاركين وقواعد التمرين

ادعُ رئيس مجلس الإدارة أو صاحب القرار التنفيذي المفوض، ومسؤول خدمة الأعمال، وقائد الاستجابة، وممثلي المخاطر أو الامتثال والشؤون القانونية والاتصال، وشخصًا لتدوين القرارات. أشرك ممثل إدارة المورّدين إذا كانت الخدمة تعتمد على منصة خارجية. يمكن لشخص واحد أداء عدة أدوار في مؤسسة صغيرة، لكن اجعل المسؤوليات واضحة.

أرسل مواد تحضيرية مختصرة تتضمن وصف الخدمة المعنية، ومسار التصعيد، وأهداف التعافي، وطريقة الإبلاغ، وقائمة اتصال محدثة، ونموذجًا فارغًا لسجل القرارات. اطلب من المشاركين استخدام إجراءات المؤسسة الفعلية. يتحكم الميسّر في وقائع السيناريو وتوقيته، ويدوّن المقرر القرارات، لا نص كل ما يُقال.

افصل زمن التمرين عن زمن السيناريو. قد تمثل مناقشة لخمس دقائق ساعةً في الحادث الافتراضي، لكن على الميسّر إعلان هذا الانتقال. ضع علامة «تمرين» على كل رسالة ومسودة. لا ترسل إشعارات تجريبية إلى جهة رقابية أو عميل أو مورّد إلا إذا جرى الاتفاق على مشاركته. استخدم مسار تقديم تجريبيًا آمنًا.

تقدم المؤسسة الافتراضية خدمة مدفوعات للعملاء عبر منصة معالجة خارجية. يوم الثلاثاء الساعة 09:00، يعلم فريق العمليات بتعذر معالجة المدفوعات، والسبب غير واضح. في هذا التمرين، سبق للمؤسسة تقييم الوظيفة التي تدعمها المنصة على أنها حرجة أو مهمة. ومع ذلك، يجب على المشاركين تطبيق معايير تصنيف الحادث الجسيم؛ فتصنيف الوظيفة وحده لا يحسم تصنيف الحادث.

5. نفّذ برنامج التمرين خلال 90 دقيقة

يعطي هذا البرنامج الأولوية لاتخاذ القرار. على الميسّر إيقاف التخمينات التقنية المطوّلة وطلب قرار، أو تحديد معلومة مطلوبة، أو تكليف شخص بالمتابعة. لا تحسم كل غموض للمشاركين؛ فتحديد الأدلة اللازمة جزء من التمرين.

إذا أُجّل قرار، فليدوّن المقرر من سيقدم الأدلة المطلوبة ومتى. قول «سنستشير الشؤون القانونية» ليس إجراءً مكتملًا ما لم تُحدد جهة الاتصال والسؤال المطلوب حسمه والوقت المتاح. وينطبق الأمر نفسه على «الاتصال بالمورّد» و«تفعيل خطة التعافي».

6. أدخل ثلاثة مستجدات تفرض مفاضلات حقيقية

المستجد الأول: الخدمة تتعطل والسبب غير واضح

عند الساعة 09:15 في السيناريو، تتزايد المدفوعات الفاشلة. يقر المورّد بوجود مشكلة في المنصة، لكنه لا يقدم تقديرًا لموعد التعافي. يعيد بعض العملاء المحاولة، مما قد يسبب مشكلة في مطابقة سجلات المعاملات وتسويتها. يستطيع فريق العمليات تقييد المعالجة مؤقتًا، لكن ذلك سيوقف الخدمة عن عملاء ربما لم يتأثروا حتى الآن.

اسأل: أي ضرر على العملاء نحدّ منه، وأي ضرر جديد قد يسببه التقييد؟ من يملك صلاحية تغيير الخدمة؟ ما الحد الأدنى من الحقائق المطلوبة الآن؟ كيف سيميز الفريق بين معاملة متأخرة ومعاملة يجب إعادة إرسالها؟ النتيجة المطلوبة قرار تشغيلي محدد النطاق، ومسؤول عن تنفيذه، وموعد لمراجعته؛ وليست تخمين السبب التقني.

المستجد الثاني: تأكد التصنيف ومسؤول الإبلاغ المعتاد غير متاح

عند الساعة 10:00 في السيناريو، يقدم الميسّر تقييمًا يثبت تحقق شرط تأثر الخدمات الحرجة والحدود المنطبقة لجسامة الأثر. ولأغراض التمرين، يصنّف الفريق المخوّل الحادث جسيمًا في الساعة 10:00. مسؤول الإبلاغ المعتاد غير متاح، ونائبه لم يستخدم بوابة التقديم من قبل ولا يعرف إن كانت صلاحية دخوله تعمل.

اطلب من المشاركين تحديد مسار الإبلاغ وإعداد إشعار أولي تجريبي بالمعلومات المتاحة. دوّن ما لا يزال مجهولًا وحدد مسؤولًا عن متابعته. متى تنتهي مهلة الإشعار الأولي؟ من يقدمه؟ ومن يتحقق من استلامه؟ هل تستطيع المؤسسة التصرف دون انتظار الاجتماع المجدول التالي لمجلس الإدارة؟ استخدم اللائحة التنفيذية (EU) 2025/302 للاطلاع على نماذج الإبلاغ وإجراءاته؛ فسجل قرارات التمرين لا يحل محل النموذج التنظيمي.

المستجد الثالث: المورّد يعلن عودة الخدمة، لكن التحقق لم يكتمل

عند الساعة 11:15 في السيناريو، يقول المورّد إن معالجة المدفوعات عادت. لكن مطابقة السجلات الداخلية لم تؤكد بعد التعامل الصحيح مع المحاولات المكررة. يطلب عميل كبير تأكيدًا علنيًا بأن السجلات لم تتأثر. يقترح مسؤول الخدمة استئنافها فورًا، بينما يطلب قائد الاستجابة مزيدًا من التحقق.

اسأل: ما الأدلة التي تدعم استئناف الخدمة، ومن يملك قبول المخاطر التشغيلية المتبقية؟ هل يمكن استئنافها تدريجيًا؟ ماذا يستطيع فريق الاتصال قوله بدقة الآن؟ وما التحديث المطلوب للجهة المختصة؟ حدّد شروط العودة إلى العمل المعتاد، ومسؤول التحقق الإضافي، وموعد الإحاطة التالية. لا تعتبر سرعة الاستئناف نجاحًا إذا عجز المشاركون عن شرح كيفية التحقق من سجلات العملاء.

7. احتفظ بسجل يوضح القرارات ومبرراتها

يتيح السجل الجيد فهم سبب اتخاذ قرار معقول رغم نقص المعلومات. وهو يميز القرار عن الافتراض ويحدد صاحب صلاحية تعديله. المثال التالي افتراضي، ويوضح طريقة للتوثيق، لا استجابة موصى بها لكل حادث مدفوعات.

احتفظ بأوقات العلم بالحادث وتصنيفه وتقديم الإشعارات ضمن التسلسل الزمني للحادث، إلى جانب سجل القرارات. استخدم منطقة زمنية موحدة. دوّن مصادر الحقائق المهمة واحتفظ بالتقديرات السابقة عند تعديلها. إذا صُحّح عدد العملاء المتأثرين، فلا تستبدل به دون توضيح العدد الذي استند إليه القرار الأصلي.

8. حول الملاحظات إلى سجل إجراءات قائم على الأدلة

ابدأ جلسة المراجعة بالملاحظات المحددة: أي قرار تأخر؟ وأي معلومة تعذر الحصول عليها؟ وأي إجراء لم يتمكن الفريق من إثبات قدرته على تنفيذه؟ تجنّب أحكامًا عامة مثل «كان التواصل ضعيفًا» دون مثال. اسأل المشاركين: ما القرارات التي كانت ستختلف لو بدأ الحادث خارج ساعات العمل، أو أثّر في أدوات التعاون التي يستخدمونها عادة؟

احتفظ بإصدار السيناريو وسجل الحضور والأدوار والقرارات المهمة ونموذج التصنيف والإشعارات التجريبية وأوجه القصور المرصودة وقرارات المتابعة. احمِ هذه المواد بما يتناسب مع حساسيتها. الهدف هو التعلم المؤسسي المفيد، لا تداول معلومات العملاء الفعلية أو أسرار المورّدين دون حاجة.

هذه المواعيد أمثلة لقرارات إدارية، وليست مهلًا قانونية. عيّن مراجعًا لإغلاق الإجراءات، واحتفظ بسجل المخاطر المتبقية التي لم تُعالج. أدرج النتائج الجوهرية في لوحة تقارير مجلس الإدارة. وإذا كشف التمرين اعتمادًا على جهة خارجية دون بديل موثوق، فاستخدم دليل مخاطر الأطراف الخارجية لربط النتيجة بالعقود ومخاطر التركز والتخطيط للخروج.

9. اربط تعلم القيادات بإعادة الاختبار

أفضل متابعة هي تمرين أصغر يثبت معالجة نقطة الضعف. إذا كشفت الجلسة الأولى مشكلة في دخول بوابة الإبلاغ، فاختبر مسار دخول النائب. وإذا كشفت غموضًا بشأن استئناف خدمة، فأعد اختبار شروط الموافقة. تكرار العرض نفسه مع بقاء أوجه القصور لا يقدم قدرًا يُذكر من الاطمئنان الإضافي.

استخدم دليل متطلبات تدريب مجلس الإدارة وفق DORA لربط التمرين بالتعلم المستمر للهيئة الإدارية. يقدم تدريب DORA في الأمن السيبراني لأعضاء مجالس الإدارة والمديرين التنفيذيين من BlueTeam Academy مفاهيم الحوكمة لقيادات المؤسسات المالية المشمولة بـ DORA. ولا يثبت إتمام الدورة أو سجل الحضور امتثال المؤسسة. استكمل هذا الأساس بسياق خدماتك الفعلي، وتوثيق القرارات، والتحقق من التحسينات.