يتولى مدير تقييم مخاطر أمن المعلومات دعم إدارة برنامج مخاطر الأمن السيبراني على مستوى المؤسسة، وحماية أصول المعلومات عبر تحديد المخاطر السيبرانية وتقييمها. ويشمل الدور إجراء نمذجة التهديدات وتطوير منهجيات تقييم المخاطر والمحافظة عليها ضمن فريق إدارة المخاطر، مع تقديم التوجيه للجهات التقنية وقطاعات الأعمال بشأن معالجة المخاطر والحد منها.
يركز الدور كذلك على ضمان تنفيذ التقييمات وفق منهجية إدارة مخاطر الأمن السيبراني وأنماط المخاطر وإجراءات مراجعة التغييرات والمشاركة في التقييمات، وضمن الجداول الزمنية المتفق عليها ومستويات الخدمة المحددة.
المسؤوليات
تقييم مخاطر الأمن السيبراني
- إجراء تقييمات مفصلة قائمة على المخاطر للأمن السيبراني خلال مشاركات تقنية المعلومات والأمن السيبراني، مع الالتزام بمستويات الخدمة.
- متابعة أفضل الممارسات ومعايير القطاع في أمن المعلومات، وتقييم الفجوات أو الثغرات المحتملة في السياسات والمخاطر التي تواجه البنية التحتية والأنظمة والشبكات والبيانات، والتوصية بالتحسينات اللازمة في السياسات.
- التنسيق الوثيق مع المستخدمين النهائيين، وشرح مخاطر الأمن السيبراني ودور الأعمال في الوقاية منها، وقيادة المبادرات الرامية إلى رفع وعي المستخدمين بهذه المخاطر.
- تقديم المشورة إلى تقنية المعلومات وقطاعات الأعمال بشأن أفضل أساليب التعامل مع المخاطر السيبرانية المحددة والحد منها.
التقييم النهائي ونمذجة التهديدات
- تنفيذ تقييم شامل لمخاطر الأمن السيبراني قبل الإطلاق الفعلي.
- إجراء نمذجة مفصلة للتهديدات السيبرانية.
- إجراء تقييمات مفصلة لمخاطر الأمن السيبراني ونمذجة التهديدات لمشروعات وأنظمة تقنية المعلومات في المراحل المبكرة للمشروع، وقبل التغييرات الرئيسية، وعند إدخال تقنيات جديدة، وبصورة دورية للأصول القائمة.
- تحديد التهديدات والثغرات والضوابط المتعلقة بأصول المعلومات الحرجة، وتوثيق هذه المخاطر في سجل مركزي للمخاطر.
التحقق من تقييمات مخاطر الأمن السيبراني
- مراجعة نتائج تقييمات مخاطر الأمن السيبراني وتحليلها والتحقق منها لضمان توافقها مع قضايا الأمن السيبراني التي تثيرها فرق الأمن السيبراني الأخرى.
- رفع العيوب المتعلقة بأمن التطبيقات.
- تحسين أنماط الأمن السيبراني أثناء المشاركات والتقييمات الدورية أو التقييمات غير المجدولة، من خلال إبراز المخاطر الجديدة لمالكي النطاقات.
- ضمان تقييم جميع المشاركات المكلّف بها، والتقييمات الدورية أو غير المجدولة وفق منهجية إدارة مخاطر الأمن السيبراني، ونمط مخاطر الأمن السيبراني، وإجراءات مراجعة التغييرات والمشاركة في الأمن السيبراني، وضمن الجدول الزمني المتفق عليه ومستوى الخدمة.
ضبط منصة تقييم مخاطر الأمن السيبراني
- تخصيص منصة تقييم مخاطر الأمن السيبراني وضبطها بدقة لتحقيق أفضل توافق ودقة.
نضج إدارة مخاطر الأمن السيبراني
- تحسين عملية إدارة المخاطر الحالية ووثائقها.
- مراجعة وثائق إدارة مخاطر الأمن السيبراني الحالية وتحديثها، بما يشمل المنهجية وقسم FIM والمعايير والإرشادات.
- ضمان توافق عملية إدارة مخاطر الأمن السيبراني ووثائقها مع أحدث ممارسات المجموعة والممارسات أو الأطر التنظيمية، مثل ضوابط الأمن السيبراني التابعة للهيئة الوطنية للأمن السيبراني NCA وإطار الأمن السيبراني للبنك المركزي السعودي SAMA.
سياسة وتصميم إدارة مخاطر الأمن السيبراني
- ضمان المحافظة على جميع وثائق تصميم إدارة مخاطر الأمن السيبراني ومواءمتها مع المتطلبات التنظيمية والسياسات الداخلية.
ملكية نطاق إدارة مخاطر الأمن السيبراني
- تطوير منهجية وإجراءات إدارة مخاطر الأمن السيبراني وتوحيدها والمحافظة عليها بما يتوافق مع إدارة المخاطر المؤسسية والمتطلبات التنظيمية.
- مراجعة سياسات إدارة المخاطر ووثائق التصميم والأدوات وتحديثها بانتظام لتعكس التغيرات في مشهد التهديدات أو القوانين.
- ضمان وجود خطط لمعالجة المخاطر، بما يشمل التخفيف والنقل والقبول والتجنب، ومتابعة تنفيذها حتى الاكتمال.
التقييم الدوري لمخاطر الأمن السيبراني والأصول الحرجة
- ضمان تقييم جميع خدمات تقنية المعلومات المطلوبة وفق الخطة السنوية.
خطة تقييم الأمن السيبراني
- إدارة خطة التقييم الدوري للأمن السيبراني.
- ضمان خضوع الأنظمة والخدمات الحرجة لمراجعات أمنية منتظمة.
- توثيق نتائج المراجعات والمخاطر المحددة والإجراءات الموصى بها.
- تنسيق أعمال فرق الأمن السيبراني المستقلة.
تقارير إدارة مخاطر الأمن السيبراني
- إعداد تقرير ربع سنوي عن جميع مخاطر الأمن السيبراني، مع إبراز المخاطر ذات الأولوية التي يتعين على إدارة تقنية المعلومات والأمن السيبراني اتخاذ إجراء بشأنها.
- حساب مؤشرات الأداء الرئيسية ومؤشرات المخاطر الرئيسية المطلوبة لإبراز المخاطر ذات الصلة.
- إنشاء مصفوفة تصعيد للمخاطر القائمة غير المعالجة وتطبيقها على جميع مخاطر الأمن السيبراني.
المؤهلات والخبرة
- درجة البكالوريوس أو الماجستير في الأمن السيبراني أو علوم الحاسب أو أمن المعلومات أو تخصص ذي صلة.
- خبرة مهنية لا تقل عن 3 سنوات في إدارة مخاطر الأمن السيبراني أو الحوكمة أو تدقيق تقنية المعلومات أو مجال ذي صلة، ويفضل أن تكون في القطاع المالي أو المصرفي.
- خبرة في أدوار تتضمن الالتزام بإطار الأمن السيبراني للبنك المركزي السعودي SAMA CSF وضوابط الأمن السيبراني الأساسية للهيئة الوطنية للأمن السيبراني NCA ECC.
