أبوظبي العالمي يشدد قواعد مخاطر الأمن السيبراني

شركات سوق أبوظبي العالمي صارت ملزمة الآن بدمج مخاطر الأمن السيبراني في أنظمتها الأساسية للمخاطر: أصدرت سلطة تنظيم الخدمات المالية تعديلات على إطار عمل مخاطر الأمن السيبراني تلزم جميع الأشخاص المرخص لهم والهيئات المعترف بها بدمج إدارة مخاطر الأمن السيبراني ضمن أنظمة إدارة المخاطر المؤسسية الشاملة، وفقا لبيان صحفي (بي دي إف). وسيدخل الإطار المعدل حيز التنفيذ اعتبارا من 31 يناير 2026، ما يمنح الشركات فترة انتقالية مدتها ستة أشهر للامتثال.

كنا نترقب هذا الإعلان: طرحت سلطة تنظيم الخدمات المالية المقترح لأول مرة في مايو، إذ نشرت ورقة استشارية عرضت التعديلات المخطط لها وفتحت الباب أمام التعليقات والملاحظات.

يفرض الإطار المعدل (بي دي إف) التزامات جديدة للامتثال والاستجابة للحوادث، يشمل إلزام الشركات بإعداد إطار عمل لإدارة مخاطر الأمن السيبراني وتقييمها، وتحديد خطط الاستجابة للعمليات اليومية والتهديدات السيبرانية. كما يلزم بمراجعة الإطار وتحديثه سنويا، وأن يكون متناسبا مع نطاق وحجم أنشطة الشركة، وقادرا على حماية أصول تكنولوجيا المعلومات والاتصالات الخاصة بها.

تحديد الشركاء الخارجيين: يتعين على الشركات أيضا اتخاذ إجراءات العناية الواجبة بالنسبة لمزودي خدمات تكنولوجيا المعلومات والأمن السيبراني، والتأكد من أن ترتيبات الاستعانة بمصادر خارجية لا تضعف قدرتها على إدارة التهديدات السيبرانية.

المراقبة والإبلاغ: سيتعين على الشركات التأكد من وجود نظام لاختبار مرونة أنظمتها لتكنولوجيا المعلومات بانتظام. بالإضافة إلى ذلك، يجب على الأشخاص المرخص لهم إبلاغ سلطة تنظيم الخدمات المالية بالحوادث السيبرانية الجوهرية في غضون 24 ساعة من اكتشافها. وستلزم الشركات أيضا بإعداد قائمة حصر لجميع أصول تكنولوجيا المعلومات والاتصالات لديها، وتصنيف هذه الأصول حسب درجة حساسيتها، وتقييم المخاطر التي يواجهها كل أصل ونقاط ضعفه.

تعيين المسؤولين: ستصبح الإدارة العليا ومجالس الإدارات الآن مسؤولة بشكل مباشر عن الإشراف على المخاطر السيبرانية والتأكد من تنفيذ إطار إدارة المخاطر السيبرانية بشكل صحيح. كما تشمل مسؤوليات الإدارة العليا ومجالس الإدارات مواكبة أحدث التطورات في مجال الأمن السيبراني وتلقي التدريبات اللازمة، إلى جانب الحرص على تحديث برامج الحماية من الفيروسات والبرمجيات الخبيثة باستمرار. ويجب عليهم كذلك تطبيق مبدأ الحد الأدنى من الصلاحيات، والذي يقضي بمنح كل موظف صلاحيات الوصول للبيانات والأنظمة التي يحتاجها لأداء وظيفته فقط لا غير، مما يقلل المخاطر إلى أقصى درجة ممكنة.