DORA: دروس من السنة الأولى

بقلم Jonas Osman Abdelghafour.

أفرزت دورة كاملة من الإبلاغ عن الحوادث بموجب قانون الصمود التشغيلي الرقمي (Digital Operational Resilience Act - DORA) نمطًا واضحًا: نادرًا ما يكون القيد الملزِم متعلقًا بتقنية الكشف. بل هو القدرة على تصنيف الحادث بشكل صحيح، وتجميع بيانات دقيقة عن الأثر، والإبلاغ ضمن مهل زمنية ضيقة بينما لا تزال إدارة الحادث جارية. وقد واجهت الجهات التي عانت صعوبات مشكلات تنظيمية، لا تقنية.

التصنيف هو الجزء الصعب

تُعدّ معايير التصنيف في DORA — العملاء والأطراف المقابلة المتأثرون، ومدة التوقف وانقطاع الخدمة، والانتشار الجغرافي، وفقدان البيانات، وأهمية الخدمات المتأثرة، والأثر الاقتصادي — معقولة كل على حدة، لكنها مُجهِدة مجتمعةً تحت ضغط الوقت. ويتطلب تقييمها معرفة الخدمات التجارية التي تعتمد على المكوّن المتأثر، وعدد العملاء الذين يقفون خلف تلك الخدمات، وما كانت مدة التوقف فعليًا.

أجابت الجهات التي تحتفظ بخريطة محدَّثة من الخدمات التجارية إلى التطبيقات إلى البنية التحتية في غضون ساعات. أما الجهات التي تفتقر إلى ذلك، فقد أمضت نافذة الإبلاغ في إعادة بناء الخريطة من المعرفة الضمنية المتناقلة بين الموظفين، وهو أمر بطيء وغير موثوق في آن واحد. والاستثمار الأكثر قيمة الخارج من السنة الأولى ليس الأدوات، بل خريطة تبعية للخدمات تُحدَّث باستمرار كضابط رقابي لا كتحديث يجري قبيل التدقيق.

أما الدرس الثاني في التصنيف فيتعلق بالتجميع. فالحوادث المتكررة التي تقل كل منها عن العتبات على حدة يمكن أن تصبح واجبة الإبلاغ عند ربطها معًا. وهذا يتطلب سجل حوادث مُصمَّمًا لتحديد اشتراك السبب الجذري، وهو ما لا تدعمه العديد من أنظمة تذاكر الحوادث افتراضيًا.

المهل الزمنية تفرض عملية مُعدّة سلفًا

يفترض نموذج الإبلاغ المرحلي — الإخطار الأولي، والتقرير المرحلي، والتقرير النهائي — أن الجهة قادرة على إنتاج رؤية أولية قابلة للدفاع عنها بسرعة، ثم تنقيحها لاحقًا. وهناك سلوكان يتسببان في الفشل. الأول هو انتظار اليقين قبل الإخطار؛ فالإطار لا يشترط اليقين في المرحلة الأولية. والثاني هو سلسلة مراجعة قانونية وتواصلية مصمَّمة لإفصاح متأنٍّ لا لمهل تنظيمية.

والعلاج مُملّ لكنه فعّال: نماذج مُعبَّأة مسبقًا ببيانات ثابتة عن الجهة، ومفوَّض معتمد له صلاحية الإيداع خارج أوقات الدوام، ومسؤول معيَّن عن الإبلاغ عن الحوادث منفصل عن قائد التعامل مع الحادث، وتدريب على المحاكاة في كل تمرين صمود رئيسي. والجهات التي جرّبت عملية الإبلاغ الخاصة بها في محاكاة قبل أن تحتاج إليها فعليًا كانت هي التي أفادت بأسلس سنة أولى.

سجل الأطراف الثالثة يُبرهن على قيمته

عومل سجل المعلومات المتعلق بترتيبات أطراف ICT الثالثة على نطاق واسع كعبء لجمع البيانات. لكنه يتحول إلى أصل في اللحظة التي يتورط فيها مزوّد في حادث، لأنه يجيب فورًا عن العقود والخدمات ودرجة الأهمية وترتيبات الخروج المعنية. ولم تكن مشكلات جودة البيانات المتكررة مفاجئة: معرّفات كيانات غير متسقة، وسلاسل تعاقد من الباطن مُسجَّلة عند المستوى الأول فقط، وتقييمات أهمية موروثة لا مُقيَّمة فعليًا.

ويكشف هذا التمرين عن مخاطر تركّز عند مستوى الطرف الرابع، وهي مخاطر لم تعالجها إلا قلة من الجهات. فوجود عدة مزوّدين يعتمدون على نفس منطقة الحوسبة السحابية أو نفس مزوّد الهوية يمثل نقطة فشل واحدة لا يمكن رصدها بتقييم كل مزوّد على حدة. ويجب إجراء هذا التحليل على مستوى السجل بأكمله، لا داخل كل سجل فردي.

الاختبارات التي تُنتج نتائج ذات قيمة فعلية

لا يكون اختبار الصمود بموجب DORA مفيدًا إلا عندما تكون السيناريوهات شديدة وقابلة للتصديق: فقدان مزوّد بالغ الأهمية، وتلف البيانات وليس مجرد عدم توافرها، واختراق الأداة ذاتها المستخدمة في الاستجابة. وينبغي أن يستهدف اختبار الاختراق الموجَّه بالتهديدات، للجهات المشمولة، الخدمات التجارية لا البنية التحتية فقط. وينبغي متابعة النتائج حتى إغلاقها بنفس الانضباط المتّبع في نتائج التحقق، كما ينبغي اختبار افتراضات زمن الاستعادة المستخدمة في تخطيط الصمود بدلًا من الاكتفاء بتقريرها.

أولويات السنة الثانية

• الحفاظ على خريطة تبعية الخدمات-الأصول كضابط رقابي حي له مالك مسؤول.
• أتمتة استخراج بيانات التصنيف من مصادر المراقبة وإدارة علاقات العملاء.
• تفويض صلاحية الإيداع والتدرب على مسار الإبلاغ خارج أوقات الدوام.
• تنقية سجل الأطراف الثالثة وتحليل التركّز عبره، بما في ذلك المتعاقدون من الباطن.
• اختبار سيناريوهات تلف البيانات وفقدان المزوّد، والتحقق من أزمنة الاستعادة المُعلَنة.
• الإبلاغ للمجلس عن وضع الصمود بمصطلحات الخدمات التجارية، لا بعدد الأنظمة.

السؤال الأساسي وراء DORA هو ما إذا كانت الجهة قادرة على الاستمرار في تقديم خدماتها بالغة الأهمية عبر الاضطرابات. ونظام الإبلاغ هو مجرد الآلية التي تجعل الإجابة الصادقة مرئية.

المصادر الأساسية: اللائحة (EU) 2022/2554 (DORA) والمعايير التقنية التنظيمية/التنفيذية (RTS/ITS) ذات الصلة بشأن تصنيف الحوادث والإبلاغ عنها وسجل المعلومات؛ تقرير تقييم المخاطر الصادر عن EBA، يونيو 2026.