بعد الهجوم السيبراني وتسريب البيانات.. هل باتت أنظمة CNSS أكثر تحصينا؟

فما الذي يعنيه انتقال أمن نظم المعلومات إلى مستوى القرار الاستراتيجي؟ وما الأولويات التي يفترض أن تركز عليها CNSS بعد تجربة 2025؟ وكيف يمكن قياس ما إذا كانت الإجراءات الجديدة ستفضي فعلا إلى منظومة أكثر أمانا وقدرة على الصمود؟

في هذه المقابلة مع   LeBrief عربي، يشرح هشام فايق، الخبير في الأمن السيبراني والاستراتيجية والذكاء الاقتصادي، دلالات القرار الجديد، ويربط بين التحول الرقمي وحوكمة المخاطر وحماية البيانات، كما يحدد أبرز المؤشرات التي يرى أنها تسمح بتقييم نجاح استراتيجية الأمن السيبراني على المدى الطويل.

1. ماذا يعني عمليا أن تجعل CNSS من “تعزيز أمن نظم المعلومات” قرارا استراتيجيا؟

في تقديري، الكلمة الأساسية هنا هي “استراتيجي“. بعد الهجوم السيبراني لسنة 2025، كان على CNSS أن تتحرك بشكل عاجل. وقد تواصلت بسرعة بشأن الإجراءات الأولى التي اتخذتها لاحتواء الحادث، وتأمين بنيتها التحتية، وتعزيز آليات الحماية. كانت استجابة ضرورية وتكتيكية فرضتها الظروف. كما عبأت CNSS خلال 2025 وخلال 2026 عدة استثمارات مهمة مرتبطة بتعزيز أمنها السيبراني.

اليوم، يأخذ الموضوع بعدا آخر. فلم يعد الأمر يتعلق فقط بتقوية الحماية بعد حادث أمني، وإنما بالسؤال عن الكيفية التي سيواكب بها الأمن السيبراني، على نحو مستدام، تحول CNSS وطموحاتها الجديدة على المستوى المهني والرقمي.بعد هجوم 2025، كانت الاستجابة ضرورية وتكتيكية، أما اليوم فالموضوع يأخذ بعدا آخر

وهنا تكتسي فكرة إنشاء شركة وليدة مخصصة للرقمنة أهميتها. فبالنسبة إلى مؤسسة بحجم CNSS، تدير ملايين المؤمنين وكميات ضخمة من البيانات ومساطر تزداد رقمنة، يمكن لهيكل متخصص أن يوفر مرونة أكبر، ويساعد على استقطاب الكفاءات الرقمية والاحتفاظ بها، واحتراف وتوحيد عمليات التطوير، وتسريع الابتكار، وتحسين الخدمات المقدمة للمرتفقين والشركاء. كما يمكن أن يسمح بتراكم الخبرة التكنولوجية داخليا بدل الاعتماد المفرط على مقدمي الخدمات الخارجيين.

لكن هذا التسريع يجب أن يواكبه نظام واضح جدا لحوكمة الأمن السيبراني.

ومن هذه الزاوية، أرى أن الإبقاء على الأمن السيبراني على مستوى CNSS، خارج الشركة الرقمية، أمر مهم وحاسم، شريطة تنظيمه وتنفيذه بصورة جيدة. فهذا يسمح بالحفاظ على نظرة مستقلة عن سلسلة الإنتاج الرقمي. ويمكن لإدارة الأمن أن تحتفظ بدور مؤسساتي مركزي يتمثل في حمل الاستراتيجية السيبرانية، ووضع السياسات والمتطلبات الأمنية، ومراقبة تطبيقها، ورفع تقارير بشأن مستوى المخاطر إلى الأجهزة القيادية.

وهذا لا يعفي الشركة الوليدة من المسؤولية، بل على العكس. يجب أن تكون مسؤولة عن أمن ما تقوم بتصميمه وتطويره وتشغيله، وأن تقدم الأدلة والمؤشرات التي تثبت حسن تطبيق متطلبات الأمن. وينبغي أن يصبح مبدأ الأمن منذ مرحلة التصميم (Security by Design) جزءا طبيعيا من طريقة عملها، بدءا من الهندسة والتطوير، مرورا بالاختبارات والإطلاق إلى الإنتاج، وصول إلى الصيانة والتحسين المستمر.

إقرأ أيضا: الضمان الاجتماعي: عدد المُؤَمَّنين يتجاوز الـ25 مليون .. بينهم 4,24 مليون أجير

كما ينبغي أن تكون الحوكمة بين المستويين واضحة جدا، وأن تبقى القرارات المتعلقة بالمخاطر الكبرى محددة على مستوى المسؤولية المناسب.

وتزداد أهمية ذلك مع تسارع التحولات الرقمية. فالحوسبة السحابية والذكاء الاصطناعي وفتح الأنظمة وتبادل البيانات تخلق فرصا كبيرة، لكنها تغيّر أيضا طبيعة الاعتماديات ومجالات المخاطر. ولذلك لم يعد من الممكن فصل الاستراتيجية الرقمية عن استراتيجية الأمن السيبراني وحوكمة المعلومات.

وأرى أن هذا التوجه ينسجم أيضا مع روح «المغرب الرقمي 2030»، التي تضع الرقمنة في خدمة المواطن والتنمية الاقتصادية والاجتماعية. وكلما أصبحت الخدمات العمومية أكثر رقمنة، أصبحت الثقة والمرونة والسيادة الرقمية شروطا لنجاح هذا التحول.

2. بعد هجوم 2025، ما أولويات الحماية التي ينبغي التركيز عليها؟

أعتقد أنه يجب تجنب الرد على الهجوم السابق عبر الاستعداد فقط لمواجهة… الهجوم السابق نفسه.

فالاستراتيجية السيبرانية الناضجة يجب بالطبع أن تستخلص جميع الدروس من حادث 2025، لكنها ينبغي، قبل كل شيء، أن تنظر إلى الاتجاه الذي تسير فيه CNSS، وكيف يتطور نظامها المعلوماتي، وما المخاطر الجديدة التي ترافق هذا التحول. كما ينبغي لمؤسسات وفاعلين كبار آخرين في المغرب أن يستخلصوا بدورهم الدروس من هذا الحادث، وأن يدمجوا ضمن استراتيجياتهم الرقمية استراتيجيات للأمن السيبراني منسجمة مع رهاناتهم المهنية والمخاطر المتغيرة التي يواجهونها.

وعمليا، أبدأ بخطوة قد تبدو بسيطة لكنها أساسية: معرفة الأصول المعلوماتية والبيانات وتصنيفها.

نحمي بشكل جيد ما نعرفه، وما نعرف مكانه، وما نفهم قيمته

فنحن نحمي بشكل جيد ما نعرفه ، أي أصولنا الأساسية، ونقاط ضعفنا الهيكلية، وسطح الهجوم الذي نواجهه، وما نعرف مكانه وقيمته. لذلك يجب الاحتفاظ بخريطة ديناميكية تحدد المعلومات الأكثر حساسية، والأنظمة التي تعالجها، والمسؤولين عنها، واستخداماتها، وتدفقاتها، واعتمادياتها، والنتائج التي قد تترتب عن المساس بسريتها أو سلامتها أو توافرها.

ويصبح هذا التصنيف أكثر أهمية عندما تخرج المعلومات من المحيط التقليدي لنظام المعلومات، عبر الاستعانة بمصادر خارجية، أو الشركاء، أو الشركة الرقمية، أو منصات الحوسبة السحابية، أو الاستخدامات الجديدة للذكاء الاصطناعي. فقبل تقرير مكان استضافة البيانات، أو الجهات التي يمكن مشاركتها معها، أو إمكانية استخدامها في خدمة للذكاء الاصطناعي، يجب أولا معرفة طبيعتها ومستوى التحكم الذي يتطلبه استخدامها.

ويجب أن تضاف إلى هذا المنظور الأمني مسألة حماية الحياة الخاصة، لأن مؤسسة مثل CNSS تعالج بيانات ترتبط حمايتها مباشرة بحقوق المواطنين وثقتهم.

المحور الثاني يتعلق بالتحكم في الهويات وحقوق الولوج والصلاحيات، بما في ذلك تلك الممنوحة لمقدمي الخدمات والشركاء. ثم تأتي تقوية البنية التحتية، والتدبير المستمر للثغرات، وتقسيم الشبكات، وحماية البيانات، والمراقبة، والأهم القدرة على اكتشاف أي نشاط غير عادي بسرعة والاستجابة له.

لكن التطور الحقيقي يجب أن يظهر في المشاريع الجديدة، إذ ينبغي إدماج الأمن منذ مرحلة التصميم. ومع وجود شركة رقمية هدفها تسريع التطوير، يجب أن تصبح متطلبات أمن التطبيقات، ومراجعات الهندسة، والاختبارات الأمنية، والتحكم في المكونات الخارجية، ومعالجة الثغرات جزءًا عاديًا من دورة الإنتاج.

وينبغي أن تخضع الاستخدامات الجديدة للتكنولوجيا للمنطق نفسه. فاللجوء إلى الحوسبة السحابية يجب أن يتقرر وفق حساسية المعلومات، وتوزيع المسؤوليات، ومكان تخزين البيانات، وإمكانية الرجوع عن الخيار التقني، وحجم الاعتماديات الناتجة عنه.

والأمر نفسه ينطبق على الذكاء الاصطناعي، يجب فهم طبيعة البيانات المستخدمة، والنماذج والخدمات المتدخلة، وما يمكن إرساله إلى منصات خارجية، وكيفية مراقبة النتائج، والحد الذي يمكن عنده قبول أتمتة قرار أو إجراء معين.

كما ينبغي امتلاك قدرة حقيقية ومختبرة على الصمود، أي نسخ احتياطية محمية، واختبارات منتظمة لاسترجاع البيانات، وخطط لاستمرارية النشاط واستئنافه، وتدبير الأزمات، وتمارين تشمل الفرق التقنية والإدارات والقيادة.

وكل ذلك ينبغي أن يتم داخل إطار متماسك للامتثال، يرتكز في المغرب على القانون 05.20 المتعلق بالأمن السيبراني ونصوصه التطبيقية، والقانون 09.08 المتعلق بحماية المعطيات الشخصية، إلى جانب توجيهات ومراجع DGSSI ومتطلبات CNDP، ويمكن استكماله بمعايير دولية مثل ISO 27001 و27002 و27005 وISO 22301 وأطر NIST. والهدف ليس جمع المراجع، بل بناء نظام متكامل للتحكم في المخاطر يتلاءم مع مهام CNSS وتحولاتها.

3. كيف يمكن قياس نجاح هذا القرار لاحقا؟

بالنسبة إلي، لا تقاس الاستراتيجية السيبرانية الناجحة بعدد الأدوات التي تم اقتناؤها، ولا فقط بحجم الميزانية المخصصة للأمن، وإنما بمدى خفض المخاطر الفعلية وقدرة المؤسسة على مواصلة أداء مهامها عندما تتعرض لهجوم أو اضطراب.

لذلك يجب أولا تحديد مستوى مرجعي، ثم متابعة عدد محدود من المؤشرات ذات الدلالة الفعلية.

وسأنظر أولا إلى مدى معرفة CNSS بأصولها المعلوماتية: ما نسبة الأصول الحساسة والبيانات المهمة التي تم تحديدها وتصنيفها وإسناد مسؤوليتها إلى جهة واضحة وتغطيتها بإجراءات حماية مناسبة؟

ثم أنظر إلى مؤشرات التعرض الفعلي: هل الحسابات ذات الصلاحيات المرتفعة مؤمنة بشكل صحيح؟ هل تتم معالجة الثغرات الخطيرة داخل الآجال؟ هل الأنظمة الحساسة تحت المراقبة؟ هل ضوابط الولوج فعالة؟ وهل توجد قدرة على اكتشاف الحوادث ثم احتوائها بسرعة؟

لكن بعض أفضل المؤشرات لا تظهر إلا عند اختبار المؤسسة فعليا: هل يمكن استعادة البيانات الحساسة في الآجال المحددة؟ هل تعرف الفرق كيف تتصرف في حال محاكاة هجوم؟ هل تستطيع الإدارات مواصلة أنشطتها الأساسية؟ وهل يتم اتخاذ قرارات الأزمة بسرعة وعلى المستوى المناسب؟

كما ينبغي أن تكون للشركة الرقمية الجديدة مؤشرات أمنية خاصة بها: ما نسبة المشاريع التي تدمج الأمن منذ التصميم؟ كم مشروعا يصل إلى مرحلة التشغيل وهو يحمل ثغرات خطيرة؟ هل يتم احترام متطلبات CNSS فعلا؟ وهل تتم معالجة حالات عدم الامتثال وتتبعها واتخاذ قرارات بشأنها؟ وهل تخضع الاستخدامات الجديدة للسحابة والذكاء الاصطناعي بشكل منهجي لتحليل للمخاطر يتناسب مع حساسية البيانات المعنية؟

وينبغي أن تصبح جودة الأمن في الإنتاج الرقمي جزءا واضحا من تقييم أداء الشركة.

وهنا تحديدا يمكن لحوكمة العلاقة بين CNSS والشركة التابعة لها أن تثبت فعاليتها، حيث يجب أن يعرف كل طرف مسؤولياته، وأن تحتفظ CNSS برؤية موحدة ومستقلة لمستوى تعرضها للمخاطر.

كما أضيف بعدا أراه متزايد الأهمية، وهو الاعتماديات الاستراتيجية. فقد تكون المؤسسة محمية تقنيا بشكل جيد، لكنها تصبح شديدة الاعتماد على مزود أو تكنولوجيا أو خدمة سحابية أو خبرة خارجية لم تعد تتحكم فيها بما يكفي. لذلك ينبغي متابعة مستوى تركّز بعض الاعتماديات الحرجة، وإمكانية العودة عنها، والاحتفاظ بالتحكم الداخلي في الهندسة والقدرة على تقييم ومساءلة الشركاء.

قد تكون المؤسسة محمية تقنيا بشكل جيد، لكنها تصبح شديدة الاعتماد على مزود أو تكنولوجيا أو خدمة سحابية لا تتحكم فيها بما يكفي

وهنا يلتقي الأمن السيبراني مباشرة بالذكاء الاقتصادي. ففي بيئة جيوسياسية وتكنولوجية أكثر تقلبا، تعني حماية مؤسسة مثل CNSS أيضا الحفاظ على التحكم في المعلومات والقدرات الحيوية وحرية القرار.

ومع الحوسبة السحابية والذكاء الاصطناعي وسلاسل التكنولوجيا العالمية وتركز بعض الموردين، أصبحت هذه المسألة أكثر استراتيجية مما كانت عليه قبل سنوات قليلة.

وبالنسبة إلي، فإن CNSS القادرة على الابتكار بسرعة أكبر، مع معرفة دقيقة بالمخاطر التي تتحملها وكيفية التحكم فيها، وضمان استمرار خدمة مرتفقيها عند وقوع حادث، هي المؤشر الحقيقي على النجاح. وعندها يصبح الأمن السيبراني أكثر من مجرد وظيفة للحماية؛ يصبح شرطا للثقة والمرونة والاستقلالية الاستراتيجية.