كان مورد لمعالجة المدفوعات في قطاع الرعاية الصحية يعالج البيانات الديموغرافية والسريرية للمرضى (الخاضعة لـHIPAA) ومعلومات بطاقات الدفع (الخاضعة لـPCI-DSS). وقد بُني برنامج الامتثال لديه حول HIPAA لأن الرعاية الصحية كانت السياق التنظيمي الرئيسي عند تأسيس الشركة. وعندما أضاف لاحقًا قدرات لمعالجة المدفوعات، جرى تناول الامتثال لـPCI-DSS من خلال مبادرة امتثال منفصلة يديرها فريق مختلف. وعمل برنامجا الامتثال بشكل مستقل إلى حد كبير، إذ كان مسؤول الخصوصية يدير برنامج HIPAA، وفريق أمن المدفوعات يدير برنامج PCI-DSS. وعندما سأل العملاء عن الإطار التنظيمي الذي يحكم بياناتهم، كان فريق الامتثال لدى المورد يلجأ تلقائيًا إلى الإطار المطابق لنوع البيانات موضوع السؤال: «بياناتك الصحية تحكمها HIPAA، وبيانات الدفع لديك يحكمها PCI-DSS». أما البيانات التي تنتمي إلى الفئتين معًا، كمعاملة دفع تتضمن رمز خدمة طبية وبيانات بطاقة دفع في آن واحد، فلم يكن لدى أي من الفريقين إجابة قاطعة عن الإطار الذي ينطبق وكيفية تفاعل الإطارين. وفي الممارسة العملية، تداخل عدد من المتطلبات الأمنية لكنها اختلفت في التفاصيل: إذ اشترط HIPAA تعريفًا فريدًا لكل المستخدمين الذين يصلون إلى PHI؛ واشترط PCI-DSS الأمر نفسه لكن مع متطلبات مصادقة أكثر تحديدًا. وكان المورد يطبق النسخة الممتثلة لـHIPAA، التي تستوفي HIPAA لكنها لا تستوفي المتطلبات الأكثر تحديدًا في PCI-DSS، على الحسابات التي كان لها أيضًا وصول إلى بيانات حاملي البطاقات.
ما مشكلة الالتباس الناتج عن التداخل التنظيمي حقًا؟
يحدث التداخل التنظيمي عندما تنطبق أطر تنظيمية متعددة على المؤسسة نفسها أو البيانات نفسها أو الأنظمة نفسها، ويفرض كل منها متطلبات قد تكون متكاملة أو متكافئة أو متعارضة. ويُعد HIPAA وPCI-DSS أكثر حالات التداخل شيوعًا في معالجة بيانات الرعاية الصحية. وتتداخل GDPR مع اللوائح المالية القطاعية بالنسبة إلى المؤسسات المالية الأوروبية. ويتداخل CCPA وHIPAA بالنسبة إلى مقدمي الرعاية الصحية في كاليفورنيا. وكل تداخل يتطلب من المؤسسة استيفاء جميع المتطلبات المنطبقة في آن واحد، لا باختيار إطار دون آخر، بل بتطبيق ضوابط تستوفي متطلبات جميع الأطر المنطبقة.
مبدأ الحسم بالمتطلب الأكثر صرامة هو النهج المعتاد للتعامل مع التداخل التنظيمي عندما تتعارض المتطلبات أو تختلف في درجة تحديدها. فعندما يشترط إطاران نوع الضابط نفسه لكنهما يحددانه بطريقة مختلفة، كأن يشترط أحدهما كلمات مرور من ثمانية أحرف والآخر من اثني عشر حرفًا، تطبق المؤسسة متطلب الاثني عشر حرفًا لاستيفاء الإطارين معًا. وهذا المبدأ بسيط نظريًا ومعقد عمليًا، لأنه يتطلب معرفة مواضع تداخل الأطر، وتحديد المواضع التي تختلف فيها مواصفاتها، وتحديد أي المواصفات أكثر صرامة. ويتطلب هذا التحليل خبرة في الإطارين في آن واحد، وهي قدرة يسهل ادعاؤها ويصعب الحفاظ عليها عندما تدير فرق مختلفة برنامجي الامتثال بشكل مستقل.
تُنشئ مشكلة برامج الامتثال المستقلة فجوات تداخل محددة. فعندما تدير فرق منفصلة HIPAA وPCI-DSS بدورات تقييم منفصلة وعمليات حوكمة منفصلة، تقع أسئلة التداخل في فجوة تنظيمية داخل المؤسسة، إذ لا يملك أي من الفريقين مسألة كيفية تفاعل الإطارين في الأنظمة والبيانات الخاضعة لكليهما. فبرنامج HIPAA يقيّم متطلبات HIPAA. وبرنامج PCI-DSS يقيّم متطلبات PCI-DSS. أما منطقة التقاطع، حيث ينطبق الإطاران على حسابات المستخدمين نفسها والأنظمة نفسها والبيانات نفسها، فلا يقيّمها أي من البرنامجين ما لم يسأل أحد عنها تحديدًا.
- برامج امتثال مستقلة: فرق منفصلة تدير أطرًا منفصلة دون تنسيق بشأن التداخل
- افتراض أسبقية أحد الأطر: افتراض أن إطارًا واحدًا يجيب عن السؤال بينما ينطبق الإطاران
- عدم تطبيق الحسم بالمتطلب الأكثر صرامة: تنفيذ المتطلب الأقل صرامة عندما ينطبق الإطاران
- عدم تحديد الأنظمة المتداخلة: عدم تخطيط الأنظمة والبيانات الخاضعة لأطر متعددة
- عدم حسم المتطلبات المتعارضة: عدم تحليل المجالات التي تختلف فيها مواصفات الأطر لتطبيق الأكثر صرامة
لماذا يهم هذا
يهم الالتباس الناتج عن التداخل التنظيمي في TPRM لأن الموردين العاملين في سياقات تنظيمية متداخلة قد تكون لديهم فجوات امتثال في منطقة التقاطع، أي المجالات التي لا يستوفي فيها برنامجهم الخاص بـHIPAA متطلبات PCI-DSS ولا يتناول فيها برنامجهم الخاص بـPCI-DSS تفاصيل HIPAA، فيبقى التداخل دون معالجة. والعميل الذي تخضع بياناته للإطارين معًا يرث فجوة امتثال المورد في منطقة التقاطع، ما يُنشئ تعرضًا تنظيميًا لكل من المورد والعميل.
السياق التنظيمي الخاص بالعميل هو البُعد العملي. فمقدم الرعاية الصحية الذي يسأل موردًا عما إذا كانت بياناته ممتثلة لـHIPAA وPCI-DSS في آن واحد يحتاج إلى إجابة موحدة عن كيفية تعامل المورد مع البيانات الخاضعة للإطارين معًا. والمورد الذي يقول «بياناتك الصحية ممتثلة لـHIPAA وبيانات الدفع لديك ممتثلة لـPCI-DSS» لم يُجب عن السؤال المتعلق بالبيانات التي تنتمي إلى الفئتين في آن واحد، ولم يتناول متطلبات المصادقة التي يختلف فيها HIPAA وPCI-DSS بالنسبة إلى حسابات المستخدمين نفسها.
أين تخطئ معظم الفرق
يتمثل الإخفاق الأكثر تكرارًا في قبول تأكيد الامتثال لكل إطار على حدة دون السؤال عن كيفية تفاعل الأطر في الأنظمة والبيانات الخاضعة لكليهما في آن واحد. فتأكيد الامتثال لـHIPAA والامتثال لـPCI-DSS كلًا على حدة يترك منطقة التقاطع دون معالجة.
- قبول الامتثال لكل إطار على حدة دون السؤال عن التداخل
- عدم تخطيط الأنظمة المتداخلة: عدم تحديد الأنظمة الخاضعة لأطر متعددة
- قبول افتراض أسبقية أحد الأطر دون مساءلة
- فرق برامج مستقلة دون تنسيق بشأن التداخل
- عدم تقييم المتطلب الأكثر صرامة في مجالات التداخل
كيف تبدو الممارسة الجيدة
تخطط برامج حوكمة التداخل التنظيمي الناضجة الأنظمة والبيانات الخاضعة لكل إطار منطبق، وتحدد مواضع التقاطع، وتقيّم تحديدًا كيفية حسم المتطلبات المتعارضة أو المختلفة، بتطبيق المتطلب الأكثر صرامة وتوثيق طريقة الحسم.
- تخطيط انطباق اللوائح: أي الأطر تنطبق على أي الأنظمة والبيانات
- تحديد التداخل: التحديد الدقيق للأنظمة والبيانات الخاضعة لأطر متعددة
- تحليل المتطلب الأكثر صرامة: حيثما تختلف الأطر، تحديد المتطلب الأكثر صرامة وتطبيقه
- تقييم امتثال موحد للأنظمة المتداخلة: تقييم الأنظمة المتداخلة وفق جميع الأطر المنطبقة في آن واحد
- التنسيق بين البرامج: تنسيق فرق الامتثال المسؤولة عن الأطر المختلفة بشأن الأنظمة المتداخلة
الأدوات
منصات GRC متعددة الأطر: MetricStream وServiceNow GRC
تدعم منصات GRC متعددة الأطر الإدارة المتزامنة لأطر تنظيمية متعددة، فتربط الضوابط بجميع المتطلبات المنطبقة وتحدد مواضع تداخل المتطلبات أو تعارضها. وبالنسبة إلى ممارسي TPRM، فإن السؤال عما إذا كان المورد يستخدم منصة GRC تدير أطرًا متعددة مع تحديد مواضع التداخل يمثل سؤالًا محددًا لحوكمة التقاطع التنظيمي.
التحليل التنظيمي: مقارنة أطر الامتثال جنبًا إلى جنب
بالنسبة إلى أسئلة التداخل المحددة، مثل متطلبات المصادقة في HIPAA مقابل PCI-DSS، وحقوق أصحاب البيانات في GDPR مقابل CCPA، وHIPAA مقابل قوانين الخصوصية في الولايات، تحدد جداول المقارنة بين الأطر جنبًا إلى جنب المتطلب الأكثر صرامة في كل مجال. وبالنسبة إلى ممارسي TPRM، فإن مطالبة المورد بأن يصف تحديدًا كيف تستوفي ضوابطه الأكثر صرامة بين متطلبين متداخلين تمثل سؤال الحوكمة الخاص بمنطقة التقاطع.
تحديات الحوكمة
يتمثل تحدي الحوكمة في التداخل التنظيمي في متطلب الخبرة. فتحليل كيفية تفاعل أطر متعددة في أنظمة وبيانات محددة يتطلب خبرة في كل إطار والقدرة التحليلية على تحديد مواضع اختلافها وتحديد أيها أكثر صرامة. وهذا تحليل غير هيّن يستفيد من مستشار خارجي أو من دعم متخصص من منصة GRC عندما ينطوي التداخل على أطر معقدة تقنيًا مثل قاعدة الأمن في HIPAA والمتطلبات التقنية في PCI-DSS.
- حدد جميع الأطر التنظيمية المنطبقة على العلاقة مع المورد
- اسأل عن الأنظمة والبيانات الخاضعة لأطر متعددة
- اسأل عن كيفية حسم المتطلبات الأكثر صرامة حيثما تختلف الأطر
- اسأل عما إذا كانت فرق الامتثال المسؤولة عن الأطر المختلفة تنسق بشأن الأنظمة المتداخلة
- اطلب تقييم امتثال موحدًا لبياناتك بصفتك عميلًا خاضعًا لأطر متعددة
إذا كنت فريقًا صغيرًا
بالنسبة إلى الموردين الذين يعالجون بياناتك في إطار أطر تنظيمية متعددة، حدد المجال الذي تعتقد أن الأطر تختلف فيه اختلافًا أكبر بالنسبة إلى نوع بياناتك المحدد، وهو عادةً المصادقة أو الجداول الزمنية للإخطار بالخروقات أو الاحتفاظ بالبيانات. واطلب من المورد أن يصف تحديدًا كيف تتناول ضوابطه متطلبات الإطارين في هذا المجال، وأيها يعدّه المتطلب الأكثر صرامة. وستكشف الإجابة ما إذا كان التداخل قد حُلّل أم أن تأكيدات الامتثال المنفصلة قُبلت بديلًا عن تحليل التقاطع.
- حدد المجال الأهم الذي تختلف فيه الأطر المنطبقة اختلافًا كبيرًا بالنسبة إلى نوع بياناتك
- اسأل عن كيفية تناول المورد لمتطلبات الإطارين في هذا المجال تحديدًا
- اسأل عن الإطار الذي يعدّه المورد أكثر صرامة في هذا المجال وعما طبّقه
- اسأل عما إذا كانت فرق الامتثال المسؤولة عن الأطر المختلفة تنسق بشأن الأنظمة التي تنطبق عليها هذه الأطر وتتعامل مع بياناتك
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«بالنسبة إلى الأنظمة والبيانات الخاضعة لكل من HIPAA وPCI-DSS في آن واحد، كيف تحسمون المجالات التي يحدد فيها الإطاران متطلبات مختلفة؟ وتحديدًا، هل تطبقون المتطلب الأكثر صرامة من كل إطار، وهل يمكنكم وصف كيفية حسمكم لمتطلبات المصادقة التي يختلف فيها HIPAA وPCI-DSS؟»
ما تتوقعه دليلًا
- تخطيط الأنظمة المتداخلة تنظيميًا: تحديد الأنظمة الخاضعة لأطر متعددة
- تحليل المتطلب الأكثر صرامة لمجالات التداخل الرئيسية
- تقييم امتثال موحد للأنظمة المتداخلة
- آلية التنسيق بين البرامج
ينبغي أن يُسأل المورد الذي يؤكد امتثاله لـHIPAA وPCI-DSS كلًا على حدة عن كيفية تفاعل البرنامجين في الأنظمة والبيانات الخاضعة لكليهما. فالتأكيدات المنفصلة تترك منطقة التقاطع دون معالجة.
كيف تُثبت ذلك
- سجلات تخطيط انطباق اللوائح
- تحديد الأنظمة المتداخلة وتقييمها
- توثيق الحسم بالمتطلب الأكثر صرامة
- سجلات التنسيق بين البرامج
الخلاصة الرئيسية
إن انطباق إطارين على النظام نفسه لا يعني أن أحدهما يحسم الآخر. فكلاهما ينطبق في آن واحد. وحيثما يختلفان، يسود المتطلب الأكثر صرامة. وحيثما تتناول برامج امتثال منفصلة كل إطار بشكل مستقل، تقع منطقة التقاطع، حيث ينطبق الإطاران على حسابات المستخدمين نفسها والأنظمة نفسها والبيانات نفسها، في فجوة تنظيمية داخل المؤسسة لا يملكها أي من البرنامجين. فتأكيد الامتثال لـHIPAA والامتثال لـPCI-DSS كلًا على حدة يقدم إجابتين دقيقتين لكنهما ناقصتان عن سؤال يتطلب إجابة موحدة. خطّط للتداخل. حلّل الاختلافات. طبّق المتطلب الأكثر صرامة. وثّق طريقة الحسم. فالتداخل لا يُحسم من تلقاء نفسه.