إطار الأمن السيبراني والمرونة للبنك المركزي العُماني

ينطبق هذا الإطار على المؤسسات المرخّصة من البنك المركزي العُماني والخاضعة لإشرافه. ويشمل ذلك عمليًا البنوك والقطاع المالي المرخّص عمومًا في السلطنة، ويمتد إلى ترتيبات الإسناد الخارجي الجوهرية عبر متطلبات الأطراف الثالثة الواردة في الإطار.

وكثيرًا ما تطبّق المؤسسات العاملة في سلطنة عُمان وفي أسواق خليجية أخرى إطار البنك المركزي العُماني ومجموعة ضوابط سعودية ومعيارًا دوليًا في آن واحد. وهذا المزيج تحديدًا هو ما تظهر فيه كلفة إدارة الأطر كلٌّ على حدة.

يطرح الإطار القائم على النضج سؤالاً أكثر تعقيداً من مجرد قائمة مراجعة. لا يكفي القيام بالأمر مرة واحدة؛ بل يجب إثبات أن الممارسة محددة، ومطبقة باستمرار، ومقاسة، ومحسّنة. ويتطلب كل مستوى من هذه المستويات أدلة مختلفة.

والنتيجة العملية لذلك هي ضرورة تتبع مستوى النضج لكل مجال ونطاق على مدار الوقت، بدلاً من إعادة حسابه يدوياً في الشهر الذي يسبق المراجعة الإشرافية. فالمؤسسة التي لا تستطيع سوى عرض وضعها الحالي تكون قد خسرت النقاش حول ما إذا كانت تتحسن أم لا.

تعرض TrustPoint النضج في خريطة حرارية تقاطع النطاقات مع الأطر، وتحفظ لقطات الوضع الأمني الموقف في لحظات زمنية محددة، فيكون الاتجاه سجلًا موثقًا لا إعادة بناء لاحقة.

تأتي حزمة CBO ضمن المكتبة الأساسية. تربطها بنطاق محدد، وتقيّم المتطلبات واحدًا تلو الآخر مع الحالة والدرجة والملاحظات والأدلة، وتعرض النضج بمستويات على غرار CBO كما يتوقع الإطار.

ولأن الإطار يتضمن متطلبات صارمة بشأن الأطراف الثالثة والتعامل مع الحوادث، فإن أهم الوحدات إلى جانب التقييم هما مخاطر الأطراف الثالثة والحوادث. ويحدد تصنيف الموردين عمق التقييم ووتيرته، وتتابع حملات الاستبيان الردود، وتتيح خريطة الموردين والأصول تحديد نطاق أثر أي حادث لدى مورّد على أصولك فورًا.

وفي جانب الحوادث، تُعرض مواعيد الإخطار القانوني في الواجهة بعدٍّ تنازلي مع تنبيهات تتصاعد، وتُختم كل خطوة من خطة الاستجابة زمنيًا عند إكمالها، وهذا هو الدليل الذي تطلبه الجهة الإشرافية بعد وقوع الحادث.

وتتحول الفجوات إلى بنود عمل لها مالكون على خارطة طريق. وتقارير مجلس الإدارة قالب جاهز لا عمل يُعاد كل مرة، وتتيح تغذية OData v4 لتقارير مجلس الإدارة القائمة على Power BI قراءة بيانات السجل المحدّثة مباشرةً.

يتداخل إطار CBO بشكل كبير مع ISO/IEC 27001 ومع NCA ECC في المجالات التي يغطيها كلاهما، ومع PCI DSS أينما كانت بيانات حاملي البطاقات ضمن النطاق.

ولا تتضمن المنصة بعد مجموعة ربط بين CBO CS&RF والأطر الأخرى، لذلك لا تُقترح هذه التداخلات تلقائيًا. ويمكنك إرفاق الدليل نفسه بالمتطلبات التي يدعمها في كل إطار تقيّمه، ويحتفظ كل تقييم بحالته وفجواته.

وبالنسبة لبنك يقيّم CBO CS&RF وISO 27001 معًا، فإن إبقاء كل فجوة ظاهرة أهم من الوفر. فالوفر الذي يُخفي فجوة هو ملاحظة تدقيق مؤجلة إلى الدورة الإشرافية التالية.