المديرون الماليون والأمن السيبراني: أهم التهديدات وطريقة منعها

نظرًا إلى أن الهجمات الإلكترونية تمثل خطرًا ماليًا كبيرًا على معظم المؤسسات، يلعب المديرون الماليون دورًا مهمًا في الأمن السيبراني. إنهم يعملون بشكل وثيق مع مديري المعلومات التنفيذيين (CISO) لتحديد أولويات التهديدات المحتملة بناءً على المخاطر المالية التي يتعرضون إليها، والحفاظ على الدفاعات وفقًا إلى ذلك، والمساعدة في تخفيف هذه المخاطر في نهاية المطاف.

لماذا يجب على المديرين الماليين الاهتمام بالأمن السيبراني؟

يمكن أن تكلف الهجمات الإلكترونية المؤسسات بعدة طرق. بشكل عام، بلغ متوسط تكلفة اختراق البيانات للمؤسسات في جميع أنحاء العالم 4.45 مليون دولار في عام 2023، وفقًا إلى دراسة أجرتها IBM وPonemon Institute. يتم إطلاق ما يقرب من 95% من الهجمات لتحقيق مكاسب مالية، ليس لأسباب سياسية أو اجتماعية أو شخصية، وفقًا إلى تقرير Verizon Data Breach Investigations لعام 2023.

تمثل البيانات السرية، مثل أرقام بطاقات ائتمان العملاء وكلمات مرور شبكة الموظفين الهدف المفضل. النقد من الطراز القديم جيد كذلك، الذي يتم الوصول إليه من خلال فواتير مورّدين زائفة، وعمليات الاحتيال بكشوف الرواتب، وهجمات الفدية. يعتقد ما يقرب من نصف كبار المديرين التنفيذيين أن الهجمات على المحاسبة والإدارة المالية تزداد سوءًا، وفقًا إلى دراسة أجراها Deloitte Center for Controllership في عام 2023. كما توجد تكلفة مالية للأضرار التي لحقت بسمعة المؤسسة بسبب خرق أمني.

تحظى لوائح هيئة الأوراق المالية والبورصات الأمريكية الجديدة باهتمام المديرين الماليين. اعتمدت لجنة الأوراق المالية والبورصات قواعد تلزم الشركات العامة بمنح المستثمرين معلومات "مُفيدة للقرار" حول حوادث الأمن السيبراني، إلى جانب تحديثات دورية حول برامج الأمن السيبراني الخاصة بهم. كما يبدو أن القواعد تتطلب إخطار هيئة الأوراق المالية والبورصات (SEC) في غضون أربعة أيام من تصميم الشركة على أن حادث الأمن السيبراني "مهم"، مما يعني حادثًا يعتبره معظم المستثمرين مهمًا.

تتمثل ولاية تنظيمية أخرى في القانون الفيدرالي لإدارة أمن المعلومات (FISMA)، الذي يتطلب من الوكالات الفيدرالية في الولايات المتحدة وضع وتوثيق وتنفيذ تدابير أمنية على نطاق الهيئة. يُعد الامتثال للقانون في الأساس مسؤولية المدير التنفيذي لأمن المعلومات (CISO)، لكن يجب على المديرين الماليين الحكوميين أن يضعوا في اعتبارهم متطلباتها.

النقاط الرئيسة

• بصفتهم خبراء في إدارة المخاطر، يجب على المديرين الماليين العمل مع مديري المعلومات التنفيذيين لتحديد أولويات التهديدات الإلكترونية وطرق الدفاع استنادًا إلى المخاطر المالية للشركات.
• لتقييم المخاطر الإلكترونية، يجب على المديرين الماليين اكتساب معرفة قوية بتقنيات الهجمات الإلكترونية بالإضافة إلى الاستراتيجيات والتقنيات المستخدمة في مكافحتها.
• يساهم المديرون الماليون بشكل مُتزايد في خطط الأمن السيبراني، ومراجعة الميزانيات الأمنية، ومراقبة فعالية التجهيزات الأمنية.

شرح حول الأمن السيبراني والمديرين الماليين

لا يُعد المديرون الماليون خبراء في الأمن السيبراني، لكنهم خبراء في إدارة المخاطر. يجعلهم هذا حلفاء طبيعيين لـ CISO، المسؤول عن حماية أنظمة المؤسسة وبياناتها. يجب استشارة المديرين الماليين بشأن خطط الأمن السيبراني، مع التأكد من أنها تعكس المخاطر المالية الإجمالية للشركة. هل تحمي الأنظمة التي تعالج بيانات المؤسسة الأكثر حساسية وقيمة وتخزنها بشكل كاف؟ هل تساعد الموظفين في جميع أنحاء المؤسسة على اكتشاف رسائل البريد الإلكتروني والمكالمات وعمليات الاحتيال الوهمية الأخرى؟ بصفته أهم مراقب لإدارة المخاطر، يجب أن يكون المدير المالي واثقًا من أن مستوى المؤسسة من المخاطر الإلكترونية مقبول.

يتمتع المديرون الماليون أيضًا بالتزامات إعداد تقارير تنظيمية تشمل الأمن السيبراني. فهم يشاركون بشكل وثيق في الامتثال للقواعد التي وضعتها هيئة الأوراق المالية والبورصات الأمريكية، واللائحة العامة لحماية البيانات في الاتحاد الأوروبي، وقانون خصوصية المستهلك في كاليفورنيا، من بين أمور أخرى. يتعاون المديرون الماليون مع المستشارين العامين والمدققين الداخليين ومديري أمن المعلومات وغيرهم لضمان الامتثال. يواجهون أسئلة من مجلس الإدارة حول الإفصاح عن أي حوادث إلكترونية، إلى جانب الإفصاح السنوي لإدارة المخاطر الإلكترونية والاستراتيجية والحوكمة.

في السعي لتحقيق الامتثال، يجب على المديرين الماليين موازنة عدد من العوامل الرئيسة. على سبيل المثال، تتطلب "SEC" الكشف عن أي "حوادث مادية"، والتي يعتبرها المستثمرون مهمة. بطبيعة الحال، يستخدم المديرون الماليون التدابير المالية لتحديد ما هو مادي وما يجب الكشف عنه نتيجة لذلك، لكن يجب عليهم أيضًا النظر في عوامل أكثر نوعية مثل التأثير الخاص بالسمعة، حتى هجوم بسيط على معلومات العميل.

أهم خمسة مخاطر على الأمن السيبراني للمديرين الماليين

في عالم الأعمال الأول عبر الإنترنت، يتوسع "ناقل التهديد" المتاح للمهاجمين الإلكترونيين مع طرح الشركات للتطبيقات بشكل أسرع ولعدد أكبر من المستخدمين أكثر من أي وقت مضى. تدمج الشركات أيضًا التطبيقات بشكل متزايد مع الأنظمة من الموردين والشركاء وغيرها من الأطراف الخارجية.

بغض النظر عن البيئات التي يستهدفونها، يختبر المهاجمون دائمًا طُرقًا جديدة للتهرب من الدفاعات الإلكترونية. لا يحتاج المديرون الماليون إلى فهم كل الفروق التقنية الدقيقة، لكن يجب عليهم فهم التقنيات الأكثر فعالية للمهاجمين. تمثل العديد من الهجمات تطورات جديدة حول الأنواع الرئيسة الخمسة التالية.

دور المدير المالي في الأمن السيبراني

بالإضافة إلى العمل مع "CISO" لتحديد أولويات المخاطر الإلكترونية، يساعد "CFO" بشكل متزايد على صياغة خطة أمنية وتطوير ميزانية أمنية ومراقبة الأداء والاستعدادات الأمنية.

فهم مخاطر الأمن السيبراني

لفهم مخاطر الأمن السيبراني، يعطي CFOs الأولوية لهم بناءً على المخاطر المالية. يعني هذا على سبيل المثال، العمل مع CISOs لضمان الدفاع بشكل كافٍ عن التطبيقات الرئيسة—تطبيقات إدارة البيانات الحساسة والمدفوعات. هل تتطلب الأدوار المُختلفة مستويات مُختلفة من الإذن للوصول إلى البيانات وإجراء المعاملات، ما الذي يسمى مبدأ الامتياز الأقل؟ على سبيل المثال، قد يحتاج مدير سلسلة التوريد إلى إذن لإدخال نظام شراء وإجراء المعاملات أو اعتمادها. قد لا يحتاج متخصص المحاسبة إلى إذن للعمل في هذا النظام، لكنه يحتاج إلى إذن للوصول إلى الأنظمة المحاسبية والمالية والقيام بأعمال تجارية حولها. بالمثل، لا يجب سوى على الموظفين المصرح لهم إعداد مدفوعات البائعين.

توجد التطبيقات ذات الأولوية العالية في المحاسبة والإدارة المالية (حسابات المقبوضات والمدفوعات) وعمليات سلسلة التوريد (المشتريات) والموارد البشرية (كشف الرواتب). في بعض الصناعات، مثل الخدمات المالية والرعاية الصحية، تعد حماية التطبيقات التي تدير بيانات العملاء أو المرضى أمرًا مهمًا بشكل خاص.

صرح أمان ديسوزا، كبير مديري المنتجات في Oracle، الذي أدار استراتيجيات الحوكمة والمخاطر والامتثال لشركة التكنولوجيا المالية العالمية Broadridge Financial Solutions سابقًا: "الأمن السيبراني ليس بشكل واحد مناسب للجميع". "فبعض التطبيقات أهم من غيرها. يجب على مديري أمن المعلومات التنفيذيين العمل مع المديرين الماليين، وأحيانًا المديرين التنفيذيين الآخرين، لتحديد أولوية مخاطر المؤسسة وحماية الأصول ذات الأهمية القصوى. في بعض الأحيان، يحتاج المدير المالي إلى أن يكون مستعدًا لتحدي تفكير CISO".

عند تقييم التأثير المحتمل للهجمات، يجب على المديرين الماليين النظر إلى ما هو أبعد من الضرر المالي الفوري. كما يجب عليهم النظر في التأثيرات الدائمة على الإنتاجية وسمعة العلامة التجارية وعلاقات العملاء والامتثال القانوني.

تطوير خطة الأمن السيبراني

في حين أن الشركات تختلف في بنيتها، يمثل تخطيط الأمن السيبراني جهد متعدد الوظائف يقع عادةً في المقام الأول على CISO. لكن نظرًا إلى أن الهجمات الإلكترونية تمثل مخاطر شديدة على المحصلة النهائية، يجب على CISOs استشارة CFOs عند وضع الخطط. مع قواعد SEC الجديدة، يُطلب من المديرين الماليين في الشركات المتداولة علنًا في الولايات المتحدة أيضًا تضمين بعض معلومات الأمن السيبراني وإدارة المخاطر والاستراتيجية والحوكمة في تقاريرهم السنوية، لذلك يحتاجون إلى العمل بشكل وثيق مع CISOs بخصوص ذلك.

يجب أن تتضمن جميع الخطط تقييمًا لمخاطر الأمن السيبراني. يقيس CFOs المخاطر الإلكترونية استنادًا إلى قيمة البيانات المُختلفة، بالإضافة إلى التكاليف القانونية والخلصة بالسمعة المحتملة للحوادث الأمنية. ينظر CFOs أيضًا في مخاطر الاستعانة بمصادر خارجية لتخزين البيانات الحساسة لأطراف ثالثة، وخاصةً الآثار المترتبة على تغطية التأمين على الأمن السيبراني، ومخاطر عدم الامتثال لـ SEC أو القواعد الأخرى.

جانب آخر هام من التخطيط: تقييم الأدوات والعمليات الأمنية الحالية. يقيم CISOs أدوات للإمكانات الفنية. يريد CFOs معرفة أن الأدوات والعمليات ذات الصلة يمكنها الدفاع عن الأصول عالية القيمة، وخاصةً تطبيقات الإدارة المالية والمدفوعات. من خلال تحليل التكلفة والفائدة، يمكن لـ CFOs أيضًا تقييم استثمارات تكنولوجيا الأمان، وهو منظور يساعد CISOs عندما يحين الوقت لتقديم ميزانية الأمان للمديرين التنفيذيين (CEO) ومجالس الإدارة.

تتسم أفضل الخطط بالمرونة، مما يسمح للشركات بالتكيف مع المخاطر الناشئة مثل Deepfakes المدعومة بالذكاء الاصطناعي، والتي يمكن أن تقدم انتحالاً واقعيًا للغاية لكبار المسؤولين التنفيذيين. ذكرت CNN أن أحد الهجمات استخدم مقطع فيديو مزيف للغاية في مكالمة هاتفية جماعية لجذب عامل إدارة مالية إلى إرسال 25.6 مليون دولار إلى الحسابات البنكية للمهاجم. كما تفسح الخطط التكيفية المجال لأحدث أدوات الأمان، التي يستخدم بعضها، وهذا هو الذكاء الاصطناعي المناسب والتوليدي لتحديد أوجه الخلل بالشبكة والنشاط الضار بشكل أسرع.

وضع ميزانية للأمن السيبراني

كما هو الحال مع خطة الأمن السيبراني، يأخذ CISO زمام المبادرة في اقتراح ميزانية الأمن السيبراني. في معظم الشركات، يتشاور CFOs حول العملية، ومراجعة الميزانية، وطرح الأسئلة، وتقديم التوصيات. عند مراجعة الإنفاق الأمني، يدرس CFOs الاستثمارات في الأشخاص ذوي الخبرة المُتخصصة، والتقنيات للكشف عن الهجمات ومكافحتها، والأدوات لمراقبة المخاطر الإلكترونية والامتثال الأمني.

في دورة ميزانية 2022 إلى 2023، ارتفعت ميزانيات الأمن السيبراني بمعدلات مُتواضعة، وفقًا إلى دراسة أجرتها شركة الاستشارات الأمنية IANS Research عام 2023. على سبيل المثال، عززت شركات التكنولوجيا ميزانيات الأمان في المتوسط بنسبة 5% فقط، مقابل زيادة تزيد عن 30% في دورة 2021 إلى 2022. بالمقارنة مع الصناعات الأخرى، تمتلك شركات التكنولوجيا أكبر ميزانيات أمنية باعتبارها نسبة من إجمالي الإنفاق على تكنولوجيا المعلومات، بنسبة 19.4%. على النقيض من ذلك، تخصص صناعة البيع بالتجزئة ما متوسطه 7.2% من ميزانيات تكنولوجيا المعلومات للأمان.

عندما تكون الموارد المالية محدودة، يطرح CFOs أسئلة صعبة. هل تتوافق الميزانية المقترحة مع أهداف الشركة؟ هل تمول بشكل صحيح الجهود المبذولة للدفاع عن المنظمة والحد من المخاطر؟

تخصيص الموارد للأمن السيبراني

بمجرد وضع ميزانية الأمن السيبراني، يراجع CISOs إذا كان تخصيص الموارد للموضع الذي يحتاجون إليه أكثر للحد من المخاطر، سواء كان ذلك لتوظيف محترفين ماهرين، أو توسيع برامج تدريب أمان الموظفين، أو شراء برامج أمان جديدة، أو نقل المؤسسة إلى نموذج أعمال سحابي أكثر أمانًا. مرة أخرى، يلعب CFOs دورًا استشاريًا، مما يضمن أن تعكس المُخصصات أولويات للمخاطر المالية. مثال: من خلال تخصيص الأموال لأدوات المصادقة متعددة العوامل، هل تقلل المؤسسة من خطر التسلل وتحمي البيانات بشكل أفضل مما لو أنفقت مبلغًا مماثلاً من المال على الأشخاص أو تحسينات العمليات؟

مراقبة أداء الأمن السيبراني

تتضمن خطة الأمن السيبراني مقاييس مراقبة الأداء، والتي توضح إذا كانت المستويات الحالية للمخاطر مقبولة أم لا. ينظر CISO إلى المقاييس مثل متوسط الوقت للكشف عن الهجمات والاستجابة لها. يركز المدير المالي بشكل أكبر على الاستعداد الأمني مقابل أداء التكنولوجيا والعمليات. صرح ديسوزا: "في الغالب، يريد CFOs أدلة على البرامج الأمنية الناضجة". "إنهم يبحثون عن مؤشرات مثل أدوات المراقبة الآلية أو التدريب على الوعي الأمني الذي يعلم الموظفين اكتشاف هجمات التصيد الاحتيالي. بالنسبة إلى CFO، الأمر يتعلق بالتحضير أكثر من أي شيء آخر".

تكلفة تجاهل الأمن السيبراني

عندما تتجاهل الشركات (أو لا تولي اهتمامًا كافيًا) للأمن السيبراني، يمكن أن تكون النتيجة صعبة، مما يؤدي إلى فقدان البيانات والأموال و/أو الملكية الفكرية. يمكن أن تشمل التكاليف أيضًا انخفاض ثقة العملاء وإلغاء طلبات الأعمال وانخفاضات بأسعار الأسهم والعناوين الرئيسة السلبية والعقوبات القانونية. أفادت Dark Reading أن أحد الخروقات الأمنية التي تم نشرها على نطاق واسع في عام 2017 أدت إلى انخفاض سعر أسهم الشركة بنسبة 31% خلال أسبوع واستغرق الأمر عامين قبل تعافيها بالكامل. لكن يظهر الأكثر شيوعًا في الانخفاض الفوري لأسعار الأسهم في الأرقام الفردية المنخفضة.

من المتوقع أن يصل الضرر الناجم عن الجرائم الإلكترونية العالمية إلى 10.5 تريليون دولار بحلول عام 2025، وفقًا إلى بحث أجرته شركة Cybersecurity Ventures عام 2022. أفاد مقدم خدمات الأمن Deep Instinct أن 75% من متخصصي الأمن شهدوا ارتفاعًا في الهجمات من عام 2022 حتى عام 2023.

وفقًا إلى قواعد SEC الجديدة للإفصاح الإلكتروني، يجب على الشركات "الإفصاح سنويًا عن المعلومات المتعلقة بإدارة مخاطر الأمن السيبراني والاستراتيجية والحوكمة"، كما صرح إريك جيردينغ، مدير قسم تمويل الشركات في SEC، في بيان. يأتي هذا بالإضافة إلى الحاجة إلى الكشف عن أي حادث مادي للأمن السيبراني. بالنظر إلى هذه المتطلبات، يجب على CFOs في الشركات العامة أن يشعروا بالثقة من فهمهم لاستراتيجية الأمن السيبراني المستمرة وممارساتها لدى الشركة. يجب أن يكون لديهم المعرفة والعلاقات ليعرفوا بسرعة حوادث الأمن السيبراني ذات الصلة ويقيموا مادية تلك الهجمات. يضع CFOs الذين يهملون هذه المتطلبات مؤسساتهم أمام العقوبات التنظيمية.

منع مخاطر الأمن السيبراني من البداية باستخدام أنظمة Oracle

توفر مجموعة Oracle Fusion Cloud Enterprise Resource Planning (ERP) من التطبيقات المالية والمشتريات وإدارة المشروعات والتطبيقات الأخرى الأمان حسب التصميم. يمكن أن تساعد عناصر التحكم المركزية في الوصول على تبسيط اعتماد الشبكة، بالإضافة إلى ميزات الأمان المقدمة باعتبارها جزء من Oracle Cloud ERP في مساعدة المؤسسات على إدارة التزاماتها التنظيمية والخاصة بالامتثال.

يُعد Oracle Risk Management and Compliance، جزءًا من مجموعة Oracle Cloud ERP، وهو حل أمان وتدقيق يتضمن أدوات الذكاء الاصطناعي للتحكم في الوصول إلى البيانات المالية للمجموعة واكتشاف المعاملات المريبة والمساعدة في تزويد المؤسسات برؤى قيمة للمساعدة في الامتثال للوائح الأمان.

الأسئلة الشائعة عن الأمن السيبراني لدى CFO

ماذا يفعل CFO في مجال الأمن السيبراني؟
في ظل الإشراف على إدارة المخاطر في المؤسسة، يتأكد CFO من أن جهود الأمن السيبراني تعكس استراتيجيات إدارة المخاطر المالية. يساعد CFO مدير المعلومات التنفيذي على فهم أولويات المخاطر عبر المؤسسة وإنشاء خطط وميزانيات أمنية وفقًا إلى ذلك.

ما اعتمادات الأمن السيبراني التي يجب أن يحصل عليها CFO؟
من بين الاعتمادات التي يجب على CFOs مراعاتها تحقيق أقصى قدر من اعتماد التميز التشغيلي الرقمي، الذي يقدمه American Institute of Certified Public Accountants وChartered Institute of Management Accountants. يؤكد هذا على أن المديرين الماليين على اطلاع بأساليب تعزيز الحوكمة المالية والأمن والرقابة.

ما هي مسؤوليات الأمن السيبراني الرئيسة التي يجب على CFO الوفاء بها؟
بالإضافة إلى ضمان توافق الأمن السيبراني مع المخاطر المالية، يجب على CFOs مساعدة CISOs في تحسين خطط الأمان والميزانيات، بالإضافة إلى إعطاء الأولوية لحماية التطبيقات التي تدير البيانات والمدفوعات المهمة. قد يكون لدى CFO في الشركات العامة أيضًا متطلبات الإفصاح التنظيمية، اعتمادًا على مكان وجود الشركة.