العمل التحضيري، نقوم به نحن
نحدّد أي التزامات إبلاغ تنطبق عليكم فعلاً، والمهل المرتبطة بكل منها، وما تقوله خطة الحوادث لديكم — بحيث يختبر التمرين خطتكم أنتم لا خطةً تصوّرناها.
التزاماتكمخطتكم
خدمة · محاكاة لمجلس الإدارة
أول قرار للمجلس يحلّ موعده قبل نتائج التحقيق الجنائي.
التمارين التقنية تتدرّب على الاحتواء. والمجالس لا تحتوي شيئاً. إنها تقرّر ما الذي يُقال لمنظّم على مهلة لم تضعها هي، وهل يستمرّ العمل، وماذا يُقال علناً، ومن يتحدث — وغالباً بمعلومات ناقصة وفريق قانوني لا يزال يقرأ العقد. وهذا هو التمرين الذي لا يُجريه أحد.
لماذا تكون المهلة هي السيناريو
في هذه المنطقة، يحلّ الموعد التنظيمي عادةً قبل أن يحلّ اليقين التقني. فقواعد مصرف البحرين المركزي تضعه على مكالمة هاتفية خلال ساعة من الحادثة. وقانون حماية البيانات العُماني يفرض إخطاراً خلال 72 ساعة. ولقطر والسعودية توقعاتهما الخاصة بالإبلاغ مرتبطةً بنظامَي الضمان لديهما، ومجموعةٌ تعمل في ثلاث دول خليجية تكون على ثلاث مهل متزامنة، بثلاث لغات، وبثلاث مجموعات من العواقب عند الخطأ.
والمجلس الذي لم يتدرّب على هذا يميل تلقائياً إلى انتظار الحقائق. وهي أغلى غريزة في الغرفة، وهي معقولة تماماً — ولذلك يجب أن تظهر في تمرين لا في حادثة.
لذا يُبنى السيناريو عكسياً انطلاقاً من التزاماتكم الفعلية. لا تمرين فدية عام غُيّر فيه اسم الدولة: بل منظّموكم أنتم، ونوافذ الإبلاغ الخاصة بكم، وشروط الإخطار التعاقدية لديكم، والسؤال المحدّد عمّن يملك صلاحية التحدث حين يكون الرئيس التنفيذي على متن طائرة.
كيف يجري
نصف يوم، مع المجلس والتنفيذيين الذين سيكونون فعلاً في الغرفة. بلا متطلبات تقنية وبلا تحضير مطلوب من المشاركين.
التمرين
ثلاث إلى أربع محفّزات عبر خط زمني مضغوط، يُدار بالعربية أو الإنجليزية أو بهما معاً بحسب حاجة المجلس. وتُسجَّل القرارات لحظة اتخاذها، بما فيها المؤجَّلة — والتأجيلات هي الملاحظة عادةً.
نصف يومعربي / إنجليزي
نقاط الضغط
الإخطار التنظيمي تحت عدم اليقين، والتواصل العام ومع العملاء، وهل يستمر التشغيل، وإخطار الأطراف الخارجية وسلسلة التوريد، وسؤال الصلاحية: من يقرّر، وماذا يحدث حين يتعذّر الوصول إليه.
الإخطارالاستمرارالتحدث
حقيبة المجلس
ما الذي تقرّر، وما تعذّر تقريره ولماذا، وثغرات تفويض الصلاحيات التي كشفها التمرين، وقائمة قصيرة بما ينبغي تغييره — مكتوبة للمحضر، لا لفريق الأمن.
للمحضر
المهل التي نبني السيناريوهات حولها
أيّها ينطبق يُحدَّد في العمل التحضيري. ومعظم المجموعات تفاجئها واحدة على الأقل.
وحدات الأمن السيبراني في دليل قواعد المصرف المركزي
e.g. Volume 4, Module RM-9
أكثر قواعد المقيّم الإلزامي تفصيلاً مما وثّقناه في دول المجلس، وأضيق مهلة إبلاغ: إخطار المصرف المركزي هاتفياً خلال ساعة. وتشترط كذلك رئيس أمن معلومات مؤهلاً يملك صلاحية تنفيذ الاستراتيجية، واختبار اختراق بأطراف داخلية وخارجية مستقلة مع تدوير الطرف الخارجي مرة كل سنتين على الأقل.
سؤال المجلسمن يُجري مكالمة تنظيمية خلال ستين دقيقة، وبأي صلاحية، وبمعلومات شبه مؤكدة النقص — وماذا يقول إن سُئل هل تأثرت بيانات العملاء؟
قانون حماية البيانات الشخصية
RD 6/2022MD 34/2024
إخطار بالاختراق خلال 72 ساعة، نافذ منذ فبراير 2026، إلى جانب مهلة 45 يوماً لطلبات أصحاب البيانات. وإلزام تعيين مسؤول حماية البيانات غير مشروط، فثمّة مسؤول مُسمّى تقع واجباته النظامية إلى جانب التقدير التجاري للمجلس — وقد لا تتوافق معه.
سؤال المجلسإن تباعد رأي مسؤول حماية البيانات النظامي عن رأي المجلس التجاري في الساعة الرابعة، فموقف مَن يذهب إلى المنظّم؟
نظاما المرونة والضمان
CBK CORF v1.0NIA v2.1
إطار الكويت، الساري منذ ديسمبر 2025، يتعلق صراحةً بالمرونة التشغيلية لا بالضوابط وحدها — فاستمرارية تقديم الخدمة هي النتيجة المُقاسة. ونظام الضمان القطري مرتبط بشهادة يمكن للوكالة أن تتصرف بشأنها، ما يجعل الحادثة واقعةً تمسّ الشهادة كما تمسّ الأمن.
سؤال المجلسعند أي نقطة يتحوّل انقطاعٌ مستمر إلى إخفاق مرونة واجب الإبلاغ بدل حادثة تُدار — ومن يراقب تلك العتبة بينما ينشغل الجميع بالاستجابة التقنية؟
ما ليس هذا التمرين
ليس تمريناً تقنياً، ولا اختبار اختراق، ولا تقييماً لضوابطكم الأمنية — فإن أردتم تلك فهي ارتباطات منفصلة، واثنان منها مقصوران على شركات مرخّصة في بعض هذه الأسواق. وهو أيضاً ليس نجاحاً أو رسوباً. فالمجالس التي تتخذ قرارات ضعيفة في محاكاة قضت يوماً جيداً؛ والملاحظة أثمن من الطمأنة. ونحن لا ننشر ولا نشارك ما يجري في الغرفة، وحقيبة المجلس ملككم.
ابدأ بمكالمة نحدّد فيها النطاق
أخبرونا بالقطاع، وبالدول التي تعملون فيها، ومن سيكون فعلاً في الغرفة. السيناريو يُبنى من التزاماتكم، فمن هناك يبدأ العمل التحضيري.