أجرى فريق TPRM في شركة خدمات مالية تمرينًا لموثوقية التقييم بين المقيِّمين، إذ قيّم مقيِّمان المورد نفسه كلٌّ على حدة باستخدام منهجية تقييم المخاطر المعيارية في المؤسسة وحزمة الأدلة نفسها. فأعطى المقيِّم الأول المورد 34 من 100 (مخاطر منخفضة)، وأعطاه الثاني 67 من 100 (مخاطر متوسطة إلى مرتفعة). واستخدم المقيِّمان كلاهما معيار التقييم نفسه، وقيّما الأدلة نفسها، وطبّقا صيغة الترجيح نفسها. ونشأ التباعد من تفسير الأدلة الملتبسة والضوابط التعويضية. فقد كان المورد يفتقر إلى MFA في حسابات الخدمة، وعرض تقسيم الشبكة مع الرصد ضوابطَ تعويضية. فأعطى المقيِّم الأول الضوابط التعويضية وزنًا كبيرًا، فخفّض أثر نتيجة ضبط الوصول إلى طفيف. أما المقيِّم الثاني فرأى أن تقسيم الشبكة ضابط تعويضي غير كافٍ لغياب MFA، فأبقى نتيجة ضبط الوصول عند أثر كبير. فارق قدره ثلاث وثلاثون نقطة للمورد نفسه بالأدلة نفسها، وكلاهما يستخدم المنهجية نفسها. ولم تكن أي من الدرجتين خاطئة وفق قواعد المنهجية، بل كانت كلتاهما تفسيرًا صحيحًا. ولم تكن لدى المؤسسة أي آلية لتحديد أيهما أدق. وكانت تستخدم المنهجية نفسها منذ ثلاث سنوات دون أن تعلم أنها تُنتج هذا المدى من التباين بين المقيِّمين.
ما حقيقة ذاتية تقييم المخاطر؟
ذاتية تقييم المخاطر هي التباين في نتائج التقييم الناتج عن اختلاف المقيِّمين في تفسير الأدلة والضوابط التعويضية ومعايير التقييم ضمن منهجية محددة لتقييم المخاطر. وهي ليست إخفاقًا في بنية المنهجية، فقد تكون البنية متسقة تمامًا ومحددة جيدًا. بل هي سمة في أي منهجية تقييم تتطلب تفسيرًا بشريًا لمدخلات ملتبسة، وهذا ينطبق على أي منهجية تقيّم مسائل أمنية معقدة استنادًا إلى أدلة لا تكون أبدًا مكتملة تمامًا أو خالية من الالتباس.
مشكلة تفسير الضوابط التعويضية هي أهم مصادر الذاتية في التقييم ضمن TPRM. فالضوابط التعويضية تدابير أمنية بديلة تُقدَّم عوضًا عن ضابط يحدده إطار التقييم ولم يطبقه المورد. وما إذا كان ضابط تعويضي محدد يحد بشكل كافٍ من الخطر الناشئ عن الضابط الغائب هو تقدير يعتمد على فهم المقيِّم لنموذج التهديدات، والفعالية الفعلية للضابط البديل، والعوامل الخاصة بالسياق التي تجعل الضابط التعويضي أكثر كفاية أو أقل. فمقيِّمان من خلفيتين مختلفتين، أحدهما من خلفية أمن الشبكات والآخر من خلفية أمن الهوية، قد يصلان فعلًا إلى استنتاجين مختلفين بشأن ما إذا كان تقسيم الشبكة يعوّض بشكل كافٍ عن غياب MFA في حسابات الخدمة.
تزيد مشكلة تفسير جودة الأدلة من تعقيد مسألة الضوابط التعويضية. فالأدلة التي تؤكد وجود ضابط ما، كوثيقة سياسة أو لقطة شاشة للإعدادات أو شهادة من طرف ثالث، تتطلب تفسيرًا لتقييم جودتها ومدى صلتها بسؤال المخاطر المحدد. والمقيِّم الذي اطلع على كثير من وثائق السياسات منخفضة الجودة غير المطبقة قد يُقلل من وزن وثائق السياسات أكثر من مقيِّم يعامل الوثائق على أنها دليل ذو معنى على نية البرنامج. فالوثيقة نفسها، حين يقيّمها مقيِّمان لديهما خبرة مختلفة بالفجوة بين التوثيق والتطبيق، قد تُفضي إلى نتائج مختلفة.
- تباين تفسير الضوابط التعويضية: مقيِّمون ذوو خلفيات أمنية مختلفة يصلون إلى استنتاجات مختلفة بشأن كفاية الضوابط التعويضية
- تباين تفسير جودة الأدلة: أوزان مختلفة للوثائق مقابل الأدلة التقنية
- اختلافات معايرة العتبات: اختلاف المقيِّمين في تحديد ما يُعد مُرضيًا ومُرضيًا جزئيًا وغير مُرضٍ
- غياب اختبار موثوقية التقييم بين المقيِّمين: مؤسسات لا تدرك تباين الدرجات الذي تُنتجه منهجيتها
- دقة الدرجات توحي بصحة زائفة: درجات رقمية توحي بدقة لا تستطيع ذاتية التفسير دعمها
لماذا يهم هذا
تكتسب ذاتية تقييم المخاطر أهمية بالنسبة لـTPRM لأن درجات المخاطر تحرّك قرارات ذات عواقب: قبول المورد أو رفضه، وتدابير الحد من المخاطر المطلوبة، وكثافة الرصد، والمتطلبات التعاقدية. ودرجة المخاطر التي تتفاوت بثلاث وثلاثين نقطة تبعًا للمقيِّم الذي أجرى التقييم تُنتج قرارات متفاوتة بقدر تفاوت المقيِّمين. فالموردون الذين يصادف أن يقيّمهم مقيِّم أكثر تساهلًا يحظون بمعاملة أفضل من موردين مكافئين لهم قيّمهم مقيِّم أكثر صرامة. وقرارات التقييم التي تبدو قائمة على منهجية موضوعية تتأثر تأثرًا كبيرًا بالمقيِّم المحدد.
مشكلة قابلية المقارنة على مستوى المحفظة هي النتيجة التشغيلية لذاتية التقييم على نطاق واسع. فبرامج TPRM التي تدير مئات العلاقات مع الموردين تحتاج إلى مقارنة درجات المخاطر بين الموردين لتحديد أولويات موارد المعالجة والرصد وإعادة التقييم. وإذا كانت درجات الموردين المختلفين قد أنتجها مقيِّمون مختلفون ذوو ميول تفسيرية مختلفة، فقد لا تكون الدرجات قابلة للمقارنة، إذ قد لا تمثل الدرجة 45 لدى مقيِّم ما مستوى المخاطر نفسه الذي تمثله الدرجة 45 لدى مقيِّم آخر. وتحليل المخاطر على مستوى المحفظة المبني على درجات غير قابلة للمقارنة يُنتج تحديدًا خاطئًا للأولويات.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو عدم اختبار موثوقية التقييم بين المقيِّمين قبل التعامل مع الدرجات على أنها قابلة للمقارنة وصالحة للبناء عليها. فمعظم برامج TPRM تطوّر منهجية تقييم وتعتمدها دون قياس التباين الذي تُنتجه تلك المنهجية بين المقيِّمين. والتباين موجود ويؤثر في القرارات قبل أن يعلم أحد بوجوده.
- غياب اختبار موثوقية التقييم بين المقيِّمين لمنهجية التقييم
- عدم تحديد معايير كفاية الضوابط التعويضية: ترك الأمر لتقدير المقيِّم
- عدم تحديد معايير جودة الأدلة: الترجيح بين الوثائق والأدلة التقنية يتوقف على خبرة المقيِّم
- تباين الدرجات دون اكتشافه: مقيِّمون مختلفون يُنتجون درجات مختلفة للمورد نفسه دون مقارنة
- قرارات على مستوى المحفظة مبنية على درجات غير قابلة للمقارنة
كيف تبدو الممارسة الجيدة
تحدد برامج تقييم المخاطر الناضجة معايير تحد من حرية التفسير، فتبيّن ما يُعد ضوابط تعويضية كافية لثغرات رقابية محددة، وما الحدود الدنيا لجودة الأدلة المطلوبة لمستويات التقييم المختلفة، وتُجري اختبارات منتظمة لموثوقية التقييم بين المقيِّمين لقياس تباين الدرجات ومعالجته.
- تحديد معايير الضوابط التعويضية: معايير محددة لما يُعد كافيًا من الضوابط التعويضية لثغرات رقابية محددة
- تحديد الحدود الدنيا لجودة الأدلة: أنواع الأدلة المطلوبة لكل مستوى تقييم
- اختبار موثوقية التقييم بين المقيِّمين: اختبار منتظم لتباين الدرجات بين المقيِّمين
- جلسات معايرة الدرجات: مراجعة المقيِّمين للحالات نفسها معًا لمواءمة معايير التفسير
- التقييم الآلي حيثما أمكن: الحد من حرية التفسير بأتمتة القرارات التي يمكن أن تقوم على قواعد
الأدوات
منصات TPRM التي تتيح التقييم الآلي: BitSight وSecurityScorecard وRiskRecon
توفر منصات التصنيف الأمني درجات مخاطر آلية مشتقة خوارزميًا من مؤشرات خارجية قابلة للرصد، مما يحد من تفسير المقيِّم عبر الاستعاضة عن التقدير البشري بخوارزميات محددة لأنواع معينة من المؤشرات. وبالنسبة لممارسي TPRM، فإن إدراج مكونات التقييم الآلي إلى جانب التقييم القائم على الاستبيانات يحد من الذاتية الإجمالية في التقييم بالنسبة للمؤشرات التي تستطيع الأدوات الآلية قياسها.
GRC مع معايرة التقييم: Archer وMetricStream
تدعم منصات GRC التي تتضمن ميزات معايرة التقييم مواءمةَ المقيِّمين من خلال معايير تقييم مشتركة، ومكتبات لحالات المعايرة، وتتبع موثوقية التقييم بين المقيِّمين. وبالنسبة لممارسي TPRM، فإن استخدام منصات تدعم معايرة المقيِّمين وتتبع تباين الدرجات يوفر البنية التنظيمية لإدارة الذاتية.
تحديات الحوكمة
يتمثل تحدي الحوكمة في ذاتية تقييم المخاطر في أن القضاء عليها تمامًا غير ممكن، فأي تقييم لمسائل أمنية معقدة يتطلب تقديرًا بشريًا، والتقدير البشري يتفاوت. وهدف الحوكمة هو خفض التباين إلى مستوى مقبول من خلال تحديد المعايير، وتدريب المقيِّمين، وتمارين المعايرة، ومكونات التقييم الآلي، لا القضاء عليه، بل إدارته بحيث تكون القرارات متسقة بما يكفي لتكون قابلة للدفاع عنها.
- أجرِ اختبار موثوقية التقييم بين المقيِّمين سنويًا: اختبر تباين الدرجات وتتبّعه بمرور الوقت
- حدِّد معايير كفاية الضوابط التعويضية الأكثر شيوعًا في العروض المقدمة
- اعقد جلسات معايرة يقيّم فيها المقيِّمون المورد نفسه كلٌّ على حدة ثم يقارنون النتائج
- وثِّق القرارات التفسيرية: كيف فُسِّرت أدلة محددة ولماذا
- استخدم التقييم الآلي للمؤشرات الموضوعية، للحد من التفسير الذاتي حيثما كان التقييم القائم على القواعد ممكنًا
إذا كنت فريقًا صغيرًا
أجرِ اختبارًا واحدًا لموثوقية التقييم بين المقيِّمين مع فريق التقييم لديك. خذ تقييمًا مكتملًا مع حزمة أدلته، واطلب من مقيِّمَين تقييمه كلٌّ على حدة دون أن يطلع أحدهما على عمل الآخر. قارن الدرجتين. فإذا تجاوز الفرق عشر نقاط على مقياس من مئة نقطة، فإن منهجيتك تُنتج تباينًا أكبر مما هو مقبول لاتخاذ قرارات متسقة. حدِّد الأسئلة المحددة التي تباعدت فيها الدرجات أكثر من غيرها، وضع معايير أكثر تحديدًا لتلك الأسئلة.
- أجرِ اختبارًا لموثوقية التقييم بين المقيِّمين بمقيِّمَين اثنين على التقييم المكتمل نفسه
- حدِّد الأسئلة ذات التباعد الأكبر في الدرجات، فهي تحتاج إلى معايير أكثر تحديدًا
- حدِّد معايير كفاية الضوابط التعويضية الأكثر شيوعًا
- اعقد جلسات معايرة فصلية للمقيِّمين
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«بالنسبة لأي ضوابط تعويضية تعرضونها عوضًا عن ضوابط يشترطها إطار التقييم لدينا، وتحديدًا [اذكر الثغرة الرقابية والضابط التعويضي المعروض]، هل يمكنكم تقديم أدلة تقنية على تطبيق الضابط التعويضي، وشرح كيفية حده تحديدًا من الخطر الناشئ عن الضابط الغائب؟»
ما تتوقعه دليلًا
- أدلة تقنية على تطبيق الضوابط التعويضية
- شرح محدد لكيفية حد الضابط التعويضي من خطر الضابط الغائب
- أي تحقق مستقل من فعالية الضوابط التعويضية
المقيِّمان اللذان يختلفان بشأن كفاية الضوابط التعويضية ليسا بالضرورة مخطئين كليهما. بل يحتاجان إلى معيار محدد لما تعنيه الكفاية في هذا السياق. حدِّد المعيار، وطبّقه باتساق. فالدرجة الناتجة أكثر قابلية للدفاع عنها من الدرجة التي تعكس تقدير مقيِّم واحد.
كيف تُثبت ذلك
- سجلات اختبار موثوقية التقييم بين المقيِّمين
- توثيق معايير كفاية الضوابط التعويضية
- سجلات جلسات معايرة المقيِّمين
- تتبع تباين الدرجات بمرور الوقت
الخلاصة الرئيسية
الدرجة 34 والدرجة 67 كلتاهما تفسير صحيح للأدلة نفسها وفق المنهجية نفسها. فالمنهجية متسقة، لكن مساحة التفسير داخلها واسعة بما يكفي ليصل مقيِّمان إلى استنتاجين مختلفين بشأن كفاية تقسيم الشبكة ضابطًا تعويضيًا عن غياب MFA في حسابات الخدمة. فالرقم يوحي بالدقة، والمنهجية لا تحققها. واختبار موثوقية التقييم بين المقيِّمين قبل الاعتماد على الدرجات في قرارات ذات عواقب هو خطوة الحوكمة التي تكشف مقدار الدقة التي توفرها المنهجية فعلًا. حدِّد معايير الضوابط التعويضية، وعايِر المقيِّمين، واختبر التباين. فالدرجة الصادرة عن فريق جرت معايرته أكثر قابلية للدفاع عنها من الدرجة التي تعكس ميلًا تفسيريًا لمقيِّم واحد في يوم ثلاثاء مزدحم.