على الرغم من التحذيرات المستمرة لسنوات حول الأهمية القصوى لمجال الأمن السيبراني، لا تزال هناك فجوة عميقة بين قادة الأمن ومجالس إدارة الشركات. يكشف تقرير جديد أن 12.5% فقط من مديري أمن المعلومات (CISOs) يثقون تماماً بأن مجلس الإدارة يفهم حقاً الوضع الأمني الفعلي للشركة بعد كل عرض تقديمي. وتسلط هذه النتائج، التي نشرتها شركة Pulse Security AI، الضوء على فشل منهجي في كيفية توصيل المخاطر السيبرانية وقياسها وحوكمتها على أعلى المستويات المؤسسية.
يشير البحث، الذي يستند إلى رؤى أكثر من 80 ممارساً رفيع المستوى وعضواً في مجالس الإدارة، إلى أن جذر المشكلة لا يكمن بالضرورة في ضعف مهارات العرض، بل في غياب المقاييس الأساسية. فقد تبين أن نسبة مذهلة تبلغ 55% من مجالس الإدارة لم تقم يوماً بتحديد مستوى المخاطر السيبرانية التي تقبل الشركة تحملها بشكل رسمي، مما يترك فرق الأمن تعمل دون تفويض استراتيجي واضح.
طوال عقد من الزمان، كان القطاع يطالب قادة الأمن بتحسين تواصلهم مع مجلس الإدارة. لكن بياناتنا تشير إلى أن المشكلة أعمق من ذلك؛ فلا يمكنك تقديم تقرير عن حالة الأمان استناداً إلى معيار أساسي لم يتم تحديده من الأساس.
- مايك أرميستيد، الرئيس التنفيذي والمؤسس المشارك، شركة Pulse Security AI
5 رؤى رئيسية من تقرير Pulse Security AI
- فجوة ثقة قابلة للقياس: يثق 12.5% فقط من قادة الأمن بأن مجلس الإدارة يفهم البرنامج الأمني بدقة بعد العرض التقديمي. ويشعر 41% بثقة متوسطة، بينما يقف 38% على الحياد، مما يعني أن كلا الطرفين يغادران الغرفة دون توافق حقيقي.
- غياب المعيار الأساسي: مع فشل 55% من مجالس الإدارة في تحديد مستوى المخاطر السيبرانية المقبولة، تملأ الضوضاء الخارجية هذا الفراغ. ويقول نحو 70% من قادة الأمن إن أعضاء المجلس يعتمدون على التقييمات الخارجية والتغطية الإعلامية، مما يجبر 42% منهم على الدفاع عن درجات التقييم الأمني التجاري بدلاً من المقاييس الداخلية.
- ضريبة التحضير التشغيلية: يُعد التحضير لاجتماعات المجلس استنزافاً هائلاً للوقت. يقضي 71% من قادة الأمن 10 ساعات أو أكثر في التحضير لكل دورة، ويستعين 39% منهم بأربعة مساهمين أو أكثر لمجرد إعداد الشرائح وجمع البيانات وترجمتها إلى لغة أعمال.
- حوكمة تعتمد على الحدس لا الأدوات: نصف مجالس الإدارة التي شملها الاستطلاع لم تتخذ أي قرار صريح لقبول المخاطر السيبرانية أو التخفيف منها أو نقلها خلال العام الماضي. علاوة على ذلك، يفتقر 48% من قادة الأمن إلى إمكانية الوصول لجلسات تنفيذية خاصة، ويفتقر 23% إلى حدود مسبقة لتصعيد المشكلات إلى مستوى المجلس.
- استعادة الثقة بعد الاختراق: من المفارقات أن 53% من قادة الأمن أفادوا بأن ثقة المجلس زادت بالفعل بعد وقوع حادث أمني ملموس. فالأحداث الحقيقية تجبر الطرفين على تكوين فهم ملموس ومشترك للمخاطر، وهو ما تعجز التحديثات ربع السنوية الروتينية عن تحقيقه.
يمكن للمتخصصين في مجال الأمن وأعضاء مجالس الإدارة الاطلاع على المنهجية الكاملة واستراتيجيات التوافق القابلة للتنفيذ عبر تنزيل تقرير فجوة التواصل بين مديري أمن المعلومات ومجالس الإدارة.
التكلفة الخفية للمخاطر غير المحددة
إن النتيجة الأكثر إثارة للقلق في هذه البيانات ليست الوقت المهدر في إعداد العروض التقديمية، بل حقيقة أن أكثر من نصف مجالس الإدارة تدير الشركات بشكل أعمى دون تحديد واضح لمستوى المخاطر السيبرانية المقبولة. عندما تعتمد الحوكمة على الحدس بدلاً من الأدوات الدقيقة، فإن الشركات تنتظر فعلياً حدوث اختراق كارثي لفرض التوافق الاستراتيجي. كما أن الاعتماد الكبير لأعضاء المجلس على التقييمات الأمنية التجارية الخارجية يبرز نقصاً أساسياً في الثقة والمقاييس الداخلية الموحدة.
للمضي قدماً، يجب على قطاع الأمن السيبراني الابتعاد عن التقارير اليدوية المجزأة. ستصبح المنصات التشغيلية المدعومة بالذكاء الاصطناعي حاسمة ليس فقط لاكتشاف التهديدات، بل لترجمة البيانات الأمنية المعقدة إلى معلومات أعمال قابلة للتنفيذ. وإلى أن تضع مجالس الإدارة معياراً ملموساً للمخاطر المقبولة، سيستمر مديرو أمن المعلومات في خوض معركة شاقة، يدافعون فيها عن برامجهم ضد العناوين الإخبارية الخارجية بدلاً من تنفيذ استراتيجية أمنية موحدة.
