درس 31: دور الـ CISO — المسؤوليات والتحديات في المؤسسات السعودية

ماذا ستتعلم في هذا الدرس

• المسؤوليات الأساسية لمسؤول أمن المعلومات (CISO) في المؤسسات المالية السعودية
• الفرق بين CISO التقني وCISO القيادي وأيهما تحتاجه مؤسستك
• التحديات الفريدة التي يواجهها CISO في بيئة تنظيمية تخضع لـ SAMA وNCA
• المهارات القيادية والتقنية اللازمة للنجاح في هذا الدور

ما الذي يفعله CISO فعلاً؟

كثير من المؤسسات السعودية تعيّن مسؤول أمن معلومات دون تحديد واضح لصلاحياته ومسؤولياته. النتيجة؟ شخص يحمل لقباً ثقيلاً لكنه يقضي وقته في إعداد تقارير لا أحد يقرأها، أو يتحول إلى مدير تقني يتعامل مع الجدران النارية بنفسه. الـ CISO الحقيقي ليس مهندس أمن متقدم — هو قائد استراتيجي يربط بين أهداف الأعمال ومتطلبات الحماية.

في السياق السعودي تحديداً، يتحمل CISO مسؤوليات إضافية لا يواجهها نظراؤه في أسواق أخرى. فهو المسؤول أمام SAMA عن الامتثال لإطار CSCC، وأمام الهيئة الوطنية للأمن السيبراني NCA عن تطبيق الضوابط الأساسية ECC، وأمام SDAIA عن حماية البيانات الشخصية وفق نظام PDPL. هذا التعدد في الجهات الرقابية يجعل الدور أكثر تعقيداً ويتطلب مهارات تنظيمية استثنائية.

المسؤوليات الخمس الجوهرية للـ CISO

يمكن تلخيص مسؤوليات CISO في خمسة محاور رئيسية تشكّل العمود الفقري لعمله اليومي والاستراتيجي:

أولاً: الحوكمة وإدارة المخاطر (GRC). يضع CISO سياسات أمن المعلومات ويضمن مواءمتها مع المتطلبات التنظيمية. يشمل ذلك إعداد إطار إدارة المخاطر، وتحديد مستوى تقبّل المخاطر (Risk Appetite) بالتنسيق مع الإدارة العليا، ومتابعة سجل المخاطر بشكل دوري. في مؤسسة مالية سعودية، يعني هذا تحديداً الامتثال لمجالات SAMA CSCC الستة عشر وضمان تغطية كل ضابط بسياسة وإجراء موثّق.

ثانياً: العمليات الأمنية. يشرف CISO على مركز العمليات الأمنية (SOC)، وخطط الاستجابة للحوادث، وبرامج إدارة الثغرات. لا يُتوقع منه أن يحلّل التنبيهات بنفسه، لكنه يضمن أن الفريق يملك الأدوات والعمليات والكفاءات اللازمة. يراجع مؤشرات الأداء الرئيسية مثل متوسط وقت الكشف (MTTD) ومتوسط وقت الاستجابة (MTTR).

ثالثاً: الامتثال التنظيمي. في السعودية، هذا المحور يستهلك وقتاً كبيراً. يقود CISO عمليات التدقيق الداخلي والخارجي، ويعد مؤسسته لمراجعات SAMA الدورية، ويتابع التحديثات التنظيمية من NCA وSDAIA. عليه أيضاً ضمان الامتثال لمعايير القطاع مثل PCI-DSS للمدفوعات وSWIFT CSP للتحويلات الدولية.

رابعاً: التوعية والتثقيف. يبني CISO برنامج وعي أمني يشمل جميع الموظفين من الإدارة العليا إلى موظفي الفروع. يُخطط لتمارين محاكاة التصيد الاحتيالي، ويضمن أن كل موظف يفهم دوره في حماية المؤسسة. في البنوك السعودية، تشترط SAMA وجود برنامج توعية أمنية موثّق ومُقاس.

خامساً: التواصل الاستراتيجي. ربما أهم مسؤولية وأكثرها إهمالاً. يترجم CISO المخاطر التقنية إلى لغة أعمال يفهمها مجلس الإدارة ولجنة المخاطر. يقدم تقارير ربعية توضح الوضع الأمني والاستثمارات المطلوبة والعائد المتوقع. بدون هذا التواصل، تبقى الميزانيات محدودة والدعم التنفيذي غائباً.

CISO التقني مقابل CISO القيادي

هناك نموذجان سائدان في السوق السعودي، ولكل منهما سياق مناسب:

مثال عملي: بنك سعودي متوسط الحجم عيّن مهندس أمن شبكات خبرته 15 سنة كـ CISO. تقنياً، الرجل ممتاز — يستطيع تحليل حزم الشبكة بعينيه. لكن بعد عام، وجد نفسه غارقاً في التفاصيل التقنية، يراجع قواعد الجدار الناري بنفسه، بينما تأخر تقديم تقرير الامتثال لـ SAMA شهرين لأنه لم يبنِ فريق GRC. المشكلة ليست في كفاءته التقنية بل في عدم التحول إلى نمط القيادة الاستراتيجية.

في المقابل، CISO القيادي يركز على بناء الفريق والعمليات والاستراتيجية. يُفوّض التفاصيل التقنية لمديري الأقسام المتخصصين — مدير SOC، مدير GRC، مدير أمن التطبيقات — ويركز هو على التوجيه والتواصل مع أصحاب المصلحة. المؤسسات المالية الكبيرة في السعودية تحتاج هذا النموذج.

التحديات الخاصة بالسوق السعودي

يواجه CISO في السعودية تحديات فريدة تستحق الفهم العميق:

تعدد الجهات الرقابية: لا توجد جهة واحدة تنظم الأمن السيبراني. SAMA تنظم القطاع المالي، NCA تصدر ضوابط وطنية شاملة، SDAIA تنظم حماية البيانات، وCITC تنظم الاتصالات. كل جهة لها متطلبات قد تتداخل أو تتعارض أحياناً. مهمة CISO هي بناء إطار حوكمة موحّد يغطي الجميع بدلاً من العمل في صوامع منفصلة.

نقص الكفاءات المحلية: رغم مبادرات رؤية 2030 في تطوير الكوادر السيبرانية، لا يزال السوق يعاني من نقص حاد في المتخصصين. CISO يحتاج لاستراتيجية واضحة تجمع بين التوظيف المحلي والاستعانة بالكفاءات الأجنبية وبناء برامج تطوير داخلية. نسبة السعودة في فرق الأمن السيبراني أصبحت عامل امتثال أيضاً.

التحول الرقمي المتسارع: البنوك السعودية تتبنى الخدمات المصرفية المفتوحة (Open Banking) والتقنية المالية (Fintech) بوتيرة سريعة. كل منتج رقمي جديد يضيف سطح هجوم إضافي. CISO يجب أن يكون شريكاً في الابتكار لا عائقاً أمامه — يوازن بين تمكين الأعمال وحماية الأصول.

التهديدات الجيوسياسية: المملكة العربية السعودية تواجه تهديدات سيبرانية متقدمة من مجموعات مدعومة من دول. هجمات مثل Shamoon التي استهدفت أرامكو تاريخياً ليست حوادث معزولة بل جزء من مشهد تهديد مستمر. CISO يحتاج لبناء قدرات استخبارات تهديد (Threat Intelligence) تتجاوز الحلول التقليدية.

المهارات التي يحتاجها CISO ناجح

بناءً على ما سبق، إليك المهارات الأساسية مصنّفة حسب الأولوية:

المهارات القيادية (60% من الوقت):
├── التواصل التنفيذي وإعداد تقارير مجلس الإدارة
├── إدارة أصحاب المصلحة والتفاوض على الميزانيات
├── بناء الفريق وتطوير المواهب
├── التفكير الاستراتيجي وربط الأمن بأهداف الأعمال
└── إدارة الأزمات واتخاذ القرار تحت الضغط

المهارات التنظيمية (25% من الوقت):
├── فهم عميق لإطار SAMA CSCC وضوابط NCA ECC
├── إدارة المخاطر المؤسسية (ERM)
├── إدارة التدقيق الداخلي والخارجي
└── متابعة التغييرات التنظيمية والتشريعية

المهارات التقنية (15% من الوقت):
├── فهم معمّق لبنية الأمن السيبراني
├── تقييم الحلول والتقنيات الأمنية
├── فهم مشهد التهديدات الحالي
└── مراجعة نتائج اختبارات الاختراق والتدقيق التقني

الربط بالواقع السعودي

يُلزم إطار SAMA CSCC المؤسسات المالية بتعيين مسؤول أمن معلومات على مستوى الإدارة العليا يرفع تقاريره مباشرة لمجلس الإدارة أو لجنة المخاطر. هذا ليس اختيارياً — عدم الامتثال يعرّض المؤسسة لعقوبات تنظيمية. كذلك تُلزم ضوابط NCA ECC الجهات الحكومية والحيوية بتعيين مسؤول أمن سيبراني بصلاحيات محددة. نظام PDPL يضيف بُعداً آخر بمتطلب تعيين مسؤول حماية بيانات (DPO) قد يكون نفس الشخص أو مختلفاً حسب حجم المؤسسة. الرسالة واضحة: القيادة الأمنية المؤسسية لم تعد ترفاً بل متطلب تنظيمي صريح.

أخطاء شائعة يجب تجنبها

• الغرق في التفاصيل التقنية: CISO الذي يقضي يومه في مراجعة سجلات SIEM بنفسه بدلاً من بناء فريق قادر على ذلك يخسر المعركة الاستراتيجية. فوّض التنفيذ وركّز على التوجيه والمتابعة.
• العمل بمعزل عن الأعمال: إذا كان فريق تطوير المنتجات يسمع عن متطلبات الأمن لأول مرة قبل الإطلاق بأسبوع، فهناك مشكلة تواصل جذرية. انخرط مبكراً في دورة تطوير المنتجات واجعل الأمن جزءاً من التصميم (Security by Design).
• الامتثال كهدف لا كنتيجة: بعض المؤسسات تبني برنامج أمن سيبراني فقط لتجتاز تدقيق SAMA. النتيجة: أوراق مكتملة وحماية هشة. الامتثال يجب أن يكون نتيجة طبيعية لبرنامج أمني فعّال وليس الهدف بحد ذاته.

ملخص الدرس

• CISO هو قائد استراتيجي يربط بين متطلبات الأعمال والحماية السيبرانية والامتثال التنظيمي — وليس مجرد مهندس أمن متقدم.
• في السعودية، يواجه CISO تحديات فريدة تشمل تعدد الجهات الرقابية (SAMA, NCA, SDAIA) ونقص الكفاءات والتحول الرقمي المتسارع.
• المهارات القيادية والتواصلية تمثل 60% من نجاح CISO، بينما المهارات التقنية البحتة تمثل 15% فقط — الباقي للمهارات التنظيمية والرقابية.

الدرس القادم

في الدرس التالي سنتناول: Building an Effective Cybersecurity Strategy — كيف يبني CISO استراتيجية أمن سيبراني متكاملة تتوافق مع أهداف المؤسسة ومتطلبات الجهات الرقابية السعودية، مع نموذج عملي قابل للتطبيق.

هل تريد تطبيق ما تعلمته على مؤسستك؟ تواصل مع فريق فنترالينك للحصول على تقييم مجاني لمدى النضج السيبراني وفق SAMA CSCC.