دليل تقييم المخاطر الأمنية للمنشآت في السعودية

تقييم المخاطر الأمنية ليس قائمة تفتيش سريعة، بل عملية منهجية تربط الأصول المهمة بالتهديدات المحتملة ونقاط الضعف، ثم تحول النتائج إلى قرارات قابلة للتنفيذ والقياس.

أولًا: تحديد نطاق التقييم

يبدأ العمل بتحديد المواقع والعمليات المشمولة، وساعات التشغيل، وعدد المستخدمين والزوار، والأصول التي يؤدي فقدها أو تعطيلها إلى أثر مالي أو تشغيلي أو نظامي. يشمل ذلك الأشخاص، البيانات، غرف التحكم، المخازن، الأنظمة التقنية، المداخل ومناطق الاستلام والتسليم.

يجب كذلك توثيق الحدود بوضوح: هل الدراسة تغطي الأمن المادي فقط، أم تشمل الأمن السيبراني واستمرارية الأعمال والسلامة؟ وضوح النطاق يمنع التقارير العامة ويجعل التوصيات قابلة للتسعير والتنفيذ.

منهجية تقييم المخاطر

1. حصر الأصول والوظائف الحرجة

تُصنف الأصول بحسب أهميتها التشغيلية وحساسية المعلومات وصعوبة الاستبدال. لا يكفي عدّ الأجهزة؛ الأهم تحديد الخدمة التي يدعمها كل أصل والاعتماد المتبادل بين الكهرباء والشبكة والمراقبة والتحكم بالدخول.

2. بناء سيناريوهات تهديد واقعية

تُراجع سيناريوهات الدخول غير المصرح، السرقة، التخريب، التهديد الداخلي، تعطل الأنظمة، فقد التسجيلات، إساءة استخدام الصلاحيات وانقطاع الموردين. ويُربط كل سيناريو بموقع وأصل وأثر محدد بدل استخدام عبارات عامة.

3. فحص الثغرات والضوابط الحالية

يشمل الفحص تصميم المحيط، الرؤية والإنارة، توزيع الكاميرات، سياسات الاحتفاظ، التحكم في الدخول، إدارة المفاتيح والزوار، الفصل بين الصلاحيات، إجراءات البلاغ والتصعيد، واختبارات الاستجابة.

4. حساب مستوى الخطر

يُقدّر الاحتمال والأثر وفق معيار موحد، ثم تؤخذ فاعلية الضوابط الحالية في الحسبان للوصول إلى الخطر المتبقي. النتيجة ليست رقمًا منفصلًا؛ يجب أن ترتبط بالدليل والمبرر ومالك الخطر.

المخرجات المهنية المطلوبة

• سجل مخاطر مرتب حسب الأولوية.
• خريطة للمواقع والنقاط الحرجة.
• وصف الضوابط الحالية والفجوات المثبتة.
• خطة معالجة سريعة ومتوسطة وطويلة المدى.
• مسؤول واضح وموعد مستهدف لكل إجراء.
• مؤشرات لقياس انخفاض الخطر بعد التنفيذ.

أخطاء تقلل قيمة التقييم

من أكثر الأخطاء تكرار نماذج جاهزة لجميع المنشآت، والتركيز على شراء أجهزة جديدة دون تحليل الإجراءات، وعدم مقابلة فرق التشغيل، وتجاهل التهديد الداخلي، وغياب الأدلة المصورة، وعدم اختبار الضوابط فعليًا. كما أن المبالغة في النتائج تضعف ثقة الإدارة؛ التقييم المهني يميز بين الخطر المثبت والافتراض الذي يحتاج تحققًا.

متى يُراجع التقييم؟

تتم المراجعة دوريًا وعند التوسع أو تغيير الاستخدام أو وقوع حادث أو تركيب نظام جديد أو تغير المتطلبات النظامية. كما يجب التحقق بعد تنفيذ التوصيات من أن الضابط خفّض الخطر فعلًا ولم ينشئ نقطة ضعف أخرى.

مصادر مرجعية

• ISO 31000 — مبادئ وإرشادات إدارة المخاطر.
• ISO 22301 — استمرارية الأعمال.
• المتطلبات والضوابط الصادرة عن الجهات السعودية المختصة بحسب نشاط المنشأة.