التحديد الكمي لمخاطر سلسلة التوريد هو ترجمة مخاطر سلسلة التوريد المحددة إلى تقديرات للتعرض المالي، أي التكلفة المتوقعة على المؤسسة إذا تحقق خطر معين في سلسلة التوريد، مع مراعاة احتمالية حدث الخطر وحجم عواقبه معًا. ومن دون التحديد الكمي، يُعبَّر عن مخاطر سلسلة التوريد بمصطلحات نوعية، مرتفع ومتوسط ومنخفض، تدعم توثيق المخاطر لكنها لا تدعم القرارات المالية التي تتطلبها الإدارة الفعالة للمخاطر: مقدار الاستثمار في ضوابط أمن سلسلة التوريد، وما إذا كان الاستثمار متناسبًا مع المخاطر، وكيف تقارن مخاطر سلسلة التوريد بغيرها من مخاطر المؤسسة في المحفظة.
إطار FAIR هو المنهجية الأكثر استخدامًا للتحديد الكمي للمخاطر السيبرانية، بما في ذلك التحديد الكمي لمخاطر سلسلة التوريد. ويصوغ FAIR (Factor Analysis of Information Risk) المخاطر بوصفها دالة في تكرار حدث التهديد وحجم الخسارة. وفي مخاطر سلسلة التوريد، يراعي تكرار حدث التهديد ما يلي: كم مرة تقع هجمات سلسلة التوريد على المؤسسات في قطاع المؤسسة، وما مدى احتمال استهداف المورد المعني تحديدًا، وما مدى احتمال نجاح الهجوم في ضوء الوضع الأمني الحالي للمورد. ويراعي حجم الخسارة عواقب هجوم ناجح على سلسلة التوريد عبر ذلك المورد: تكاليف خرق البيانات، وتكاليف تعطل العمليات، والغرامات التنظيمية، والضرر الذي يلحق بالسمعة.
تحدي مدخلات الاحتمالية هو الصعوبة المحددة في التحديد الكمي لسلسلة التوريد. فبيانات تكرار هجمات سلسلة التوريد متاحة عبر مصادر معلومات التهديدات، إذ تنشر ENISA وCISA ومراكز تبادل المعلومات وتحليلها القطاعية بيانات عن حوادث سلسلة التوريد، لكن الاحتمالية الخاصة بمورد بعينه تتطلب تقديرًا لاحتمال استهدافه النسبي بناءً على قطاع المورد وحجمه وسجل حوادثه السابقة. ويوفر مستوى SLSA ونضج برنامج SCA والوضع الأمني لمسار البناء جميعها مدخلات لتقييم الاحتمالية: فالمورد الذي بلغ المستوى 3 من SLSA ولديه SCA شامل أقل عرضة للاختراق الناجح عبر سلسلة توريد برمجياته من مورد لا يملك أي ضوابط لسلسلة التوريد. الاحتمالية ليست دقيقة، لكنها أفضل من عدم القياس.
لماذا يهم هذا
يكتسب التحديد الكمي لمخاطر سلسلة التوريد أهميته لأنه يحوّل توثيق المخاطر إلى إدارة للمخاطر. فـCISO ومجالس الإدارة يحتاجون إلى تقديرات للتعرض المالي لاتخاذ قرارات الاستثمار وتحديد أولويات المبادرات الأمنية المتنافسة وإبلاغ وضع المخاطر لأصحاب المصلحة الذين يتخذون قرارات تخصيص الموارد. وتصنيفات المخاطر التي لا يمكن ترجمتها إلى مصطلحات مالية لا تدعم هذه القرارات؛ فهي تصف المخاطر دون أن توفر أساسًا للتصرف.
- تصنيف المخاطر دون تحديد كمي مالي
- مبرر الاستثمار غير مدعوم بتقديرات المخاطر
- التواصل مع مجلس الإدارة يتطلب مصطلحات مالية لا توفرها التصنيفات النوعية
- تحديد أولويات المخاطر بناءً على التصنيفات بدلًا من مقارنة الخسارة المتوقعة
- تعذّر تقييم تناسب الاستثمار في الضوابط دون تحديد كمي
كيف تبدو الممارسة الجيدة
تطبّق برامج التحديد الكمي الناضجة لمخاطر سلسلة التوريد منهجية FAIR أو ما يعادلها على العلاقات مع الموردين الحرجين، فتقدّر تكرار حدث الخسارة وحجم الخسارة لأهم سيناريوهات مخاطر سلسلة التوريد، وتعبّر عن النتائج بالخسارة السنوية المتوقعة (EAL) والتعرض للخسارة عند المئين 90 لدعم قرارات مجلس الإدارة والاستثمار.
- تحديد كمي قائم على FAIR لسيناريوهات مخاطر سلسلة التوريد الحرجة
- تقدير تكرار حدث الخسارة من معلومات التهديدات ووضع المورد
- تقدير حجم الخسارة بما يشمل تكاليف الخرق والتعطل والجوانب التنظيمية والسمعة
- الخسارة السنوية المتوقعة والمئين 90 بوصفهما مقياسين لدعم القرار
- حساب ROI للضوابط من خفض المخاطر مقابل الاستثمار
الأدوات
التحديد الكمي للمخاطر: RiskLens (منصة FAIR) وBitsight Risk Quantification وAxio للتحديد الكمي للمخاطر السيبرانية في سلسلة التوريد
توفر منصات التحديد الكمي للمخاطر القائمة على FAIR، مثل RiskLens وBitsight Risk Quantification، أطرًا منظمة لتقدير التعرض المالي الناتج عن المخاطر السيبرانية بما فيها مخاطر سلسلة التوريد. وبالنسبة إلى ممارسي TPRM، فإن استخدام منصة للتحديد الكمي لتقدير الخسارة المتوقعة من أهم ثلاثة مخاطر في سلسلة التوريد يوفر الأساس المالي لتبرير الاستثمار والتواصل مع مجلس الإدارة الذي لا تستطيع التصنيفات النوعية دعمه.
تحديات الحوكمة
يتمثل التحدي الحوكمي في التحديد الكمي لمخاطر سلسلة التوريد في التوتر بين الدقة والفائدة. فالتقديرات القائمة على FAIR نطاقات وليست أرقامًا دقيقة، إذ تعبّر عن النتائج بوصفها توزيعات لا تقديرات نقطية. وقد لا يرتاح أصحاب المصلحة الباحثون عن أرقام دقيقة للتقديرات القائمة على النطاقات. ويكمن الحل الحوكمي في إيضاح قيمة النطاقات؛ فخسارة عند المئين 90 قدرها $15 مليون في سيناريو هجوم على سلسلة التوريد توفر فائدة أكبر في اتخاذ القرار من تصنيف مخاطر مرتفع، رغم أنها ليست تنبؤًا دقيقًا.
- تطبيق منهجية FAIR على أهم ثلاثة سيناريوهات لمخاطر سلسلة التوريد
- التعبير عن النتائج بنطاقات: الخسارة المتوقعة والمئين 90
- استخدام التحديد الكمي لتبرير الاستثمار: تكلفة الضوابط مقابل خفض المخاطر
- التواصل مع مجلس الإدارة بمصطلحات مالية لا بتصنيفات نوعية
- تحديث التحديد الكمي سنويًا وعند تغيّر وضع مخاطر المورد تغيرًا جوهريًا
إذا كنت فريقًا صغيرًا
طبّق تحليل FAIR مبسطًا على سيناريو سلسلة التوريد الأعلى خطورة لديك. قدّر: كم مرة في السنة يُرجح أن ينجح هجوم على سلسلة التوريد يستهدف هذا المورد (تكرار حدث الخسارة)؟ وإن نجح، فكم سيكلف من حيث الإخطار بالخرق وتعطل العمليات والغرامة التنظيمية والأثر على السمعة (حجم الخسارة)؟ اضرب القيمتين. والنتيجة خسارة سنوية متوقعة تقريبية، غير دقيقة لكنها أفضل بكثير من تصنيف المخاطر في إبلاغ التعرض المالي وتبرير الاستثمار في الضوابط. ويستغرق هذا الحساب المبسط بضع ساعات وينتج تقديرًا للمخاطر قابلًا للعرض على مجلس الإدارة.
- تطبيق FAIR المبسط: تكرار حدث الخسارة × حجم الخسارة للسيناريو الأعلى خطورة
- التعبير عن النتيجة بنطاق للخسارة السنوية المتوقعة
- استخدام التقدير لتبرير الاستثمار والتواصل مع مجلس الإدارة
- التحسين بتحليل FAIR كامل للسيناريوهات الحرجة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل حددتم كميًا التعرض المالي الناتج عن هجوم على سلسلة التوريد يستهدف أهم مورديكم، وهل يمكنكم توضيح كيف تستخدمون ذلك التحديد الكمي لتحديد أولويات استثماركم في أمن سلسلة التوريد ولإبلاغ مجلس الإدارة بوضع المخاطر؟»
ما تتوقعه دليلًا
- منهجية التحديد الكمي لمخاطر سلسلة التوريد
- تقديرات التعرض المالي لسيناريوهات سلسلة التوريد الحرجة
- تحديد أولويات الاستثمار بناءً على المخاطر المحددة كميًا
- إبلاغ مجلس الإدارة بمخاطر سلسلة التوريد بمصطلحات مالية
ينبغي سؤال المورد الذي يؤكد وجود إدارة لمخاطر سلسلة التوريد عمّا إذا كانت تلك الإدارة تشمل التحديد الكمي. فتصنيفات المخاطر توثّق المخاطر. أما التحديد الكمي فيدعم القرارات المالية التي تتطلبها الإدارة الفعالة للمخاطر.
كيف تُثبت ذلك
- سجلات التحديد الكمي لمخاطر سلسلة التوريد
- تحليل FAIR للسيناريوهات الحرجة
- تبرير الاستثمار بناءً على المخاطر المحددة كميًا
- إبلاغ مجلس الإدارة بالتعرض المالي لمخاطر سلسلة التوريد
الخلاصة الرئيسية
تصنيفات المخاطر: مرتفع، متوسط، مرتفع. التعرض المالي: لم يُحسب. التواصل مع مجلس الإدارة: نوعي فقط. مبرر الاستثمار: غير متاح. تصف تصنيفات المخاطر شدة المخاطر دون توفير الأساس المالي لتقرير ما ينبغي فعله حيالها. والتحديد الكمي لمخاطر سلسلة التوريد، أي الخسارة السنوية المتوقعة والتعرض عند المئين 90 لأهم سيناريوهات سلسلة التوريد، يحوّل توثيق المخاطر إلى إدارة للمخاطر. فقرارات الاستثمار تتطلب مقارنة مالية. والتواصل مع مجلس الإدارة يتطلب صياغة مالية. ويستغرق FAIR المبسط بضع ساعات. ويدعم ناتجه القرارات التي لا تستطيع التصنيفات النوعية دعمها.