كان لدى مصرف للتجزئة عقد شامل مع شريكه في معالجة المدفوعات، وهو عقد أعدّه الفريق القانوني بإسهام كبير من فريق الأمن. وتضمّن العقد متطلبات أمنية محددة: MFA لكل وصول إلى بيئات بيانات المدفوعات، واختبار اختراق سنوي، وتشفير البيانات أثناء النقل وفي حالة السكون، والإخطار بالحوادث خلال أربع وعشرين ساعة. كما تضمّن العقد بندًا لحق التدقيق يتيح للمصرف التحقق من الامتثال لهذه المتطلبات. وخلال ثلاث سنوات من العلاقة، لم يُمارَس حق التدقيق قط. وكان الاستبيان الأمني المُرسل سنويًا يطلب من المورّد تأكيد الامتثال للمتطلبات التعاقدية، وكان المورّد يؤكد ذلك سنويًا. وخلال تحقيق في حادث أعقب واقعة احتيال في المدفوعات، وجد التحليل الجنائي أن مهندسي الدعم لدى المورّد كانوا يصلون إلى بيئة المدفوعات عبر مسار VPN قديم لا يفرض MFA، إذ كان متطلب MFA مطبّقًا على مسار الوصول الرئيسي، مع استثناء موثّق لـVPN القديم بانتظار الترحيل. اشترط العقد MFA. وكان الاستثناء قائمًا. وكان فريق الأمن لدى المورّد على علم بالاستثناء. وكان يُؤكَّد سنويًا في الاستبيان بعبارة «MFA مفروض» لأن المسار الرئيسي كان يتضمن MFA. لم يكن المتطلب التعاقدي مستوفًى لكل وصول. وكان تأكيد الاستبيان دقيقًا بالنسبة للمسار الرئيسي. ولم يُستخدم حق التدقيق قط للتحقق من الصورة الكاملة.
ما مشكلة الضوابط التعاقدية مقابل الفعلية حقًا؟
تحدد متطلبات الأمن التعاقدية الوضع الأمني الذي يجب على المورّد الحفاظ عليه شرطًا لعلاقة العمل. فهي تُرسي الالتزامات، وتحدد المعايير، وتنشئ سبيلًا قانونيًا للانتصاف إذا لم تُستوفَ المعايير. لكنها لا تضمن أن الضوابط المطلوبة مطبّقة، أو تعمل بفعالية، أو مطبّقة باتساق عبر جميع الأنظمة ومسارات الوصول ذات الصلة. والفجوة بين المتطلب التعاقدي والتطبيق الفعلي للضوابط هي المسافة بين ما اشترطته المؤسسة وما قدّمه المورّد، وهي فجوة غير مرئية دون تحقق.
فجوة التحقق هي الآلية التشغيلية التي تتيح استمرار الفجوات في المتطلبات التعاقدية. فمعظم عقود المورّدين تتضمن بنودًا لحق التدقيق تسمح للعميل بالتحقق من الامتثال لمتطلبات الأمن التعاقدية. لكن معظم العملاء نادرًا ما يمارسون هذه الحقوق أو لا يمارسونها أبدًا، ويعود ذلك جزئيًا إلى أن ممارسات التدقيق تتطلب تنسيقًا واستثمارًا كبيرًا في الموارد، وجزئيًا إلى أن علاقة العمل تولّد ترددًا في الظهور بمظهر الخصم، وجزئيًا إلى أن تأكيدات الاستبيانات السنوية توفّر مظهر التحقق دون أن تتطلبه. فحق التدقيق الذي لم يُمارَس قط قدرة تحقق لم تُستخدم قط.
مشكلة التأكيد عبر الاستبيان هي الآلية المحددة التي تظل من خلالها الفجوات التعاقدية غير مرئية. فالاستبيانات السنوية التي تطلب من المورّدين تأكيد الامتثال للمتطلبات التعاقدية تتلقى إجابات من المورّد تصف فهمه لامتثاله. وقد تكون هذه الإجابات دقيقة، أو غير دقيقة، أو دقيقة تقنيًا لكنها مضللة، إذ تؤكد الامتثال للمتطلب المعلن كما يُطبَّق على المسار الرئيسي دون الإفصاح عن الاستثناءات أو فجوات الأنظمة القديمة أو التفسيرات الضيقة لصياغة المتطلب. الاستبيان ينتج تأكيدًا. لكنه لا ينتج تحققًا.
- عدم ممارسة حق التدقيق مطلقًا: حق التحقق التعاقدي متاح لكنه غير مستخدم
- قبول الاستبيان السنوي بوصفه تحققًا: قبول التأكيد الذاتي للمورّد دليلًا على الامتثال
- عدم الإفصاح عن فجوات الاستثناءات: استثناءات معروفة من المتطلبات التعاقدية لا تظهر في التأكيدات السنوية
- فجوات تفسير المتطلبات التقنية: مورّد يفسّر المتطلبات تفسيرًا ضيقًا يغطي المسارات الرئيسية مع الإبقاء على استثناءات في المسارات الثانوية
- غياب منهجية للتحقق من المتطلبات التعاقدية: عقود تتضمن متطلبات دون عملية لتأكيد الامتثال التشغيلي
لماذا يهم هذا
تكتسب مسألة الضوابط التعاقدية مقابل الفعلية أهمية في TPRM لأن الأطر التنظيمية تتوقع بصورة متزايدة ألا تكتفي المؤسسات بإدراج متطلبات أمنية في عقود المورّدين، بل أن تكون قادرة على إثبات استيفاء تلك المتطلبات. وتشير إرشادات OCC بشأن مخاطر الأطراف الثالثة تحديدًا إلى أن المراقبة المتواصلة ينبغي أن تشمل التحقق من وفاء الأطراف الثالثة بالتزاماتها التعاقدية، لا مجرد التأكد من أن العقود تتضمن المتطلبات المناسبة. والبرنامج الذي لديه متطلبات تعاقدية قوية دون آلية تحقق لديه متطلبات بلا ضمان.
بُعد التحقيق في الحوادث لا يقل وضوحًا. فعندما يقع اختراق عبر ثغرة في ضابط كان يتعيّن تعاقديًا أن يكون قائمًا، سيسأل التحقيق في الحادث عن سبب عدم التحقق من المتطلب التعاقدي. ويوفر بند حق التدقيق في العقد آلية التحقق. والتقصير في ممارسته فجوة حوكمية سيحددها كل من الجهات التنظيمية للمؤسسة ومجلس إدارتها. اشترط العقد الضابط. ولم يكن الضابط قائمًا. ولم يُجرَ التحقق الذي كان سيكشف الفجوة.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو اعتبار المتطلبات التعاقدية بديلًا عن التحقق من الضوابط. فالمتطلبات تحدد ما يجب القيام به. والتحقق يؤكد أنه قد تم. وكلاهما ضروري. ولا يغني أحدهما عن الآخر.
- اعتبار المتطلبات التعاقدية تحققًا من الضوابط
- عدم ممارسة حق التدقيق مطلقًا للمتطلبات التعاقدية الحرجة
- الاستبيان السنوي بوصفه تحققًا لا تأكيدًا ذاتيًا
- غياب برنامج للتحقق من المتطلبات التعاقدية الأعلى خطورة
- عدم اشتراط الإفصاح عن الاستثناءات في التأكيدات السنوية
كيف تبدو الممارسة الجيدة
تمارس برامج التحقق من الضوابط التعاقدية الناضجة حق التدقيق للمتطلبات التعاقدية الحرجة وفق جدول محدد، وتُلزم المورّدين بالإفصاح عن الاستثناءات من المتطلبات التعاقدية، وتصمم الاستبيانات السنوية لكشف الفجوات لا لجمع التأكيدات.
- مارس حق التدقيق للمتطلبات الحرجة وفق جدول محدد، لا بوصفه حقًا فحسب بل بوصفه برنامجًا
- اشترط الإفصاح عن الاستثناءات: يجب أن يتضمن التأكيد السنوي الإفصاح عن أي استثناءات معروفة من المتطلبات التعاقدية
- التحقق التقني من المتطلبات الأعلى خطورة: اختبار التهيئات الفعلية بدلًا من قبول ردود الاستبيانات
- صياغة تعاقدية تحدد التزامات الإفصاح: لا متطلبات الامتثال فحسب، بل الإفصاح عن الاستثناءات أيضًا
- برنامج تدقيق المورّدين متوائم مع العقد: منهجية تحقق مصممة حول المتطلبات التعاقدية
الأدوات
برامج تدقيق المورّدين: أطر التدقيق لدى ISACA، ومهام SSAE 18 SOC
توفر برامج تدقيق المورّدين المنظّمة المنهجية اللازمة لممارسة بنود حق التدقيق بفعالية، إذ تحدد الأدلة المطلوبة، والضوابط التي تُختبر، وكيفية تقييم النتائج. وبالنسبة لممارسي TPRM، فإن إعداد برنامج تدقيق مخفف للمتطلبات التعاقدية الحرجة يوفّر هيكل التحقق الذي تتطلبه ممارسات حق التدقيق.
التحقق التقني: اختبار الاختراق، وتقييم التهيئة، واختبار ضوابط الوصول
يوفر التحقق التقني من متطلبات تعاقدية محددة، مثل اختبار فرض MFA والتحقق من تهيئة التشفير واختبار نطاق ضوابط الوصول، أدلة مستقلة عن التقارير الذاتية للمورّد. وبالنسبة لممارسي TPRM، فإن إدراج الاختبار التقني للمتطلبات التعاقدية الأعلى خطورة ضمن ممارسة حق التدقيق يوفّر تحققًا لا تستطيع ردود الاستبيانات توفيره.
تحديات الحوكمة
يتمثل تحدي الحوكمة في التحقق من الضوابط التعاقدية في التوتر بين الموارد والعلاقة. فممارسة حق التدقيق تستهلك موارد كثيرة وقد تُحدث احتكاكًا في العلاقة. ويكمن الحل الحوكمي في جدولة التدقيق بحسب مستويات المخاطر: ممارسات شاملة لحق التدقيق لمورّدي المستوى الأول وفق دورة محددة، وتحقق موجّه من متطلبات محددة عالية الخطورة للمستوى الثاني، واستبيان مقرون بالإفصاح عن الاستثناءات للمستويات الأدنى.
- مارس حق التدقيق على مورّدي المستوى الأول وفق دورة محددة
- اشترط الإفصاح عن الاستثناءات في التأكيدات السنوية: يجب الإفصاح عن الفجوات المعروفة في الوفاء بالمتطلبات التعاقدية
- وجّه التحقق إلى المتطلبات التعاقدية الأعلى خطورة: MFA والتشفير وضوابط الوصول
- أدرج الاختبار التقني في ممارسات حق التدقيق للمتطلبات الحرجة
- تتبّع سجل التحقق: ما المتطلبات التي جرى التحقق منها تقنيًا ومتى
إذا كنت فريقًا صغيرًا
اختر متطلبات الأمن التعاقدية الثلاثة التي تعدّها الأهم لدى مورّدك الأعلى خطورة، أي المتطلبات التي يؤثر أي قصور فيها تأثيرًا مباشرًا في تعرضك للمخاطر. ثم اسأل المورّد عن كل واحد منها: هل يمكنكم تقديم الأدلة التقنية التي تؤكد استيفاء المتطلب، لا تأكيدًا بأن المتطلب وارد في سياستكم، بل أدلة التهيئة أو السجلات التي تُظهر أن المتطلب مفروض تقنيًا؟ طلب الأدلة هذا ممارسة مخففة لحق التدقيق لا تتطلب برنامج تدقيق رسميًا.
- حدّد أهم ثلاثة متطلبات أمن تعاقدية
- اطلب أدلة تقنية على الامتثال، لا تأكيدًا عبر الاستبيان
- اشترط الإفصاح عن الاستثناءات جزءًا من عملية التأكيد السنوي
- جدوِل ممارسة لحق التدقيق لدى المورّد الأعلى خطورة خلال الاثني عشر شهرًا المقبلة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«بالنسبة للمتطلب التعاقدي الخاص بـ[متطلب محدد، مثل MFA لكل وصول إلى بيئة بياناتنا]، هل يمكنكم تقديم أدلة على التهيئة التقنية تؤكد أن هذا المتطلب مفروض، وهل هناك أي استثناءات معروفة أو مسارات قديمة لا يُطبَّق فيها هذا المتطلب حاليًا؟»
ما تتوقعه دليلًا
- أدلة التهيئة التقنية لمتطلبات تعاقدية محددة
- الإفصاح عن الاستثناءات: الفجوات المعروفة في الوفاء بالمتطلبات التعاقدية
- تقييم المسارات القديمة مقابل المتطلبات التعاقدية
- خطة معالجة لأي استثناءات يُفصح عنها
ينبغي أن يُطلب من المورّد الذي يؤكد الامتثال السنوي للمتطلبات التعاقدية تقديم أدلة تقنية على أهم ثلاثة متطلبات، وأن يُسأل عما إذا كانت هناك أي استثناءات. فالتأكيد يصف ما يعتقده المورّد. أما الأدلة فتصف ما تفرضه التهيئة.
كيف تُثبت ذلك
- سجلات ممارسة حق التدقيق للمتطلبات التعاقدية الحرجة
- الأدلة التقنية المجمّعة للمتطلبات الأعلى خطورة
- سجلات الإفصاح عن الاستثناءات
- توثيق برنامج التحقق
الخلاصة الرئيسية
اشترط العقد MFA. وكان المتطلب يُؤكَّد سنويًا. وظل مسار VPN القديم الخالي من MFA قائمًا لمدة عامين، وكان فريق الأمن لدى المورّد على علم به، ووُثّق بوصفه استثناءً بانتظار الترحيل، ولم يُفصح عنه قط في أي تأكيد سنوي. وظل بند حق التدقيق قائمًا لمدة عامين ولم يُمارَس قط. حدّد المتطلب التعاقدي المعيار. وسمحت فجوة التحقق باستيفاء المعيار جزئيًا مع تأكيد استيفائه كاملًا كل عام. المتطلبات التعاقدية متطلبات. والتحقق هو الحوكمة التي تؤكد استيفاءها. مارس حق التدقيق. واشترط الإفصاح عن الاستثناءات. واختبر تقنيًا ما يهم أكثر. العقد هو المواصفة. والتحقق هو التأكيد.