كان لدى مورّد تقنية معلومات في قطاع الرعاية الصحية سياسة لحوكمة البيانات وصفها مستشار امتثال بأنها نموذجية: أربعون صفحة تغطي تصنيف البيانات وجداول الاحتفاظ ومتطلبات التحكم في الوصول ومعايير التشفير وقيود مشاركة البيانات مع الأطراف الثالثة وإجراءات التدقيق. اعتمد مجلس الإدارة السياسة، ووقّعها CISO، ونُشرت على الشبكة الداخلية للشركة. وفي أثناء تدقيق خارجي، اختبر المدققون عينة من متطلبات السياسة مقابل الممارسة الفعلية. فوجدوا أن نظام تصنيف البيانات الموصوف في السياسة لم يُنشر قط، وأن البيانات غير مصنفة في أنحاء البيئة. ونصّت جداول الاحتفاظ على مدد زمنية للحذف الآلي، لكن الحذف الآلي لم يُهيأ قط. واشترطت معايير التشفير التشفير على مستوى الحقول لثلاث فئات من البيانات الحساسة، لكنه لم يكن موجودًا إلا لفئة واحدة منها. واشترطت قيود مشاركة البيانات مع الأطراف الثالثة إبرام اتفاقيات معالجة بيانات مع جميع المعالجين الفرعيين، لكن اثني عشر من المعالجين الفرعيين السبعة والعشرين لدى المورّد لم تكن لديهم DPA. وصفت السياسة برنامجًا كاملًا وناضجًا لحوكمة البيانات، بينما كشف التطبيق عن برنامج صُمم على الورق ونُفذ جزئيًا في الممارسة.
ما الفجوة بين حوكمة البيانات وإنفاذها حقًا؟
حوكمة البيانات هي إطار السياسات والمعايير والعمليات التي تحدد كيفية جمع البيانات وتصنيفها وحمايتها والاحتفاظ بها والتخلص منها داخل المؤسسة. أما إنفاذ حوكمة البيانات فهو مجموعة الضوابط التقنية والإجراءات التشغيلية وآليات المساءلة التي تضمن اتباع تلك السياسات فعليًا في الممارسة. والفجوة بين الحوكمة والإنفاذ، أي بين السياسة التي تصف الحالة المقصودة والضوابط التي تنتج الحالة الفعلية، هي المساحة التي تتباعد فيها وثائق الامتثال عن الواقع الأمني.
الفجوة بين السياسة والممارسة خطر هيكلي في أي مؤسسة تُعدّ فيها وثائق الحوكمة استجابةً لمتطلبات الامتثال وتُطبق فيها الضوابط استجابةً للأولويات التشغيلية. فمتطلبات الامتثال تولّد طلبًا على وثائق الحوكمة، من سياسات وإجراءات ومعايير وأطر، يمكن إنتاجها بسرعة نسبية بواسطة موارد متخصصة في الامتثال أو الشؤون القانونية. أما الضوابط التقنية والعمليات التشغيلية اللازمة لتفعيل تلك السياسات فتستغرق وقتًا أطول في التطبيق، وتتطلب موارد هندسية، وتنافس تطوير الميزات والأولويات التشغيلية على قدرة التنفيذ. والنتيجة مؤسسات بوثائق حوكمة ناضجة وتطبيق حوكمة غير ناضج، أي نوايا موثقة تسبق الواقع التشغيلي.
لحظة التدقيق هي اللحظة التي تصبح فيها الفجوة مرئية. فعندما يختبر تقييم TPRM أو تدقيق خارجي أو تفتيش تنظيمي الامتثال لسياسات الحوكمة المعلنة بدلًا من مراجعة السياسات ذاتها، تظهر الفجوة بين التوثيق والتطبيق. تقول السياسة إن البيانات مصنفة، والبيئة غير مصنفة. تقول السياسة إن الاحتفاظ مؤتمت، والإعدادات تُظهر عمليات يدوية. تقول السياسة إن لدى المعالجين الفرعيين اتفاقيات معالجة بيانات، واثنا عشر من سبعة وعشرين لا يملكونها. وكل نتيجة من هذه النتائج تمثل سياسة موجودة في الوثيقة وضابطًا لم يُطبق قط لإنفاذها.
تتركز ثغرات إنفاذ حوكمة البيانات حول خمسة إخفاقات محددة في تطبيق الضوابط التي تنص عليها السياسات:
- سياسة تصنيف دون أدوات تصنيف: متطلبات تصنيف البيانات موثقة في السياسة دون نشر أي أدوات تقنية لتحديد البيانات أو تصنيفها أو وسمها فعليًا
- سياسة احتفاظ دون أتمتة للاحتفاظ: جداول احتفاظ معرّفة في السياسة دون تهيئة أتمتة الحذف قط، مما يترك الاحتفاظ معتمدًا على عمليات يدوية نادرًا ما تُنفذ
- متطلبات تشفير دون تطبيق للتشفير: معايير تشفير محددة لفئات بيانات معينة لم تُطبق في الأنظمة التي تعالج تلك الفئات
- متطلبات الأطراف الثالثة دون تنفيذ تعاقدي: متطلبات DPA، وإجراءات اعتماد المعالجين الفرعيين، وقيود مشاركة البيانات معرّفة في السياسة لكنها لا تُنفذ باتساق في عقود الموردين
- متطلبات تدقيق دون تنفيذ للتدقيق: إجراءات تدقيق داخلي معرّفة في سياسة الحوكمة لا تُجدول أو تُخصص لها موارد أو تُنفذ قط لاختبار الامتثال لمتطلبات السياسة ذاتها
لماذا يهم هذا
تكتسب مسألة حوكمة البيانات مقابل إنفاذها أهميتها بالنسبة إلى TPRM لأن القيمة التأكيدية لوثائق حوكمة البيانات لدى المورّد تعتمد كليًا على ما إذا كانت تلك الوثائق تعكس الواقع التشغيلي. فالمورّد الذي يملك سياسة شاملة لحوكمة البيانات معتمدة من مجلس الإدارة ولم تُختبر قط مقابل الممارسة الفعلية قد أنتج وثيقة امتثال تصف حالة مقصودة، وهي حالة قد لا توجد في البيئة أو الأنظمة أو العقود التي كان يُفترض أن تحكمها سياسة الحوكمة.
بالنسبة إلى ممارسي TPRM، يتطلب تقييم نضج حوكمة البيانات الانتقال من مراجعة الوثائق إلى التحقق من التطبيق، فلا يقتصر السؤال على ما إذا كانت السياسة تقول الأشياء الصحيحة، بل يتناول ما إذا كانت الضوابط التي تتطلبها السياسة منشورة فعلًا. فسياسة تصنيف البيانات دليل على نية الحوكمة، وأداة منشورة لاكتشاف البيانات وتصنيفها مع تطبيق التصنيف عبر البيئة دليل على تطبيق الحوكمة. وسياسة الاحتفاظ دليل على نية الحوكمة، والحذف الآلي المهيأ مع سجلات تدقيق لعمليات الحذف المنفذة دليل على تطبيق الحوكمة. الوثائق تصف المواصفات، والأدلة تثبت التطبيق.
ويتبع الأثر التنظيمي المنطق نفسه. فالجهة التنظيمية التي تطلب أدلة على الامتثال لالتزامات حماية البيانات ستفحص وثائق الحوكمة والتطبيق التقني معًا. والوثائق التي تقول «البيانات مصنفة» دون نظام تصنيف، و«الاحتفاظ مؤتمت» دون عمليات حذف مهيأة، و«لدى المعالجين الفرعيين اتفاقيات معالجة بيانات» دون وجود هذه الاتفاقيات في الملفات، هي وثائق لا تصف ما هو موجود فعلًا. والفجوة بين الوثائق والأدلة هي فجوة الامتثال.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو تقييم حوكمة البيانات بمراجعة وثائق الحوكمة بدلًا من اختبار تطبيقها. فسياسة حوكمة البيانات الشاملة والمحكمة البنية إشارة إيجابية على نية المؤسسة في الحوكمة وعلى تصميم برنامجها، لكنها ليست دليلًا على أن الضوابط الموصوفة في السياسة منشورة أو أن الامتثال للسياسة يُقاس. وقد أدت معاملة جودة السياسة على أنها مكافئة لنضج الحوكمة إلى كثير من تقييمات TPRM التي تمنح الموردين تقديرًا عاليًا على وثائق الحوكمة بينما تغفل فجوة التطبيق التي كان التدقيق سيكشفها.
الإخفاق الثاني هو عدم السؤال عن ملكية برنامج الحوكمة والمساءلة عنه. فسياسة حوكمة البيانات التي لا يوجد لها مالك مسمّى مسؤول عن تقدم التطبيق وقياس الامتثال ومعالجة الثغرات هي وثيقة لا برنامج. السياسة موجودة لأنها أُعدّت، وثغرات التطبيق موجودة لأن أحدًا لا يُقاس أداؤه على سدّها. والملكية والمساءلة في الحوكمة هما الآليتان التنظيميتان اللتان تترجمان السياسة إلى ممارسة.
- مراجعة وثائق السياسة بدلًا من اختبار التطبيق: جودة السياسة مقابل النشر الفعلي للضوابط
- عدم طلب أدلة على نشر الضوابط: أنظمة أو إعدادات أو مخرجات محددة تثبت التطبيق
- سياسة دون اختبار للتطبيق: لا يوجد برنامج تدقيق أو اختبار امتثال لقياس الالتزام بالسياسة
- غياب المساءلة عن ملكية الحوكمة: سياسة قائمة دون مالك مسمّى مسؤول عن التطبيق وقياس الامتثال
- عدم تتبع معالجة الثغرات: لا تُتابع الثغرات المحددة بين السياسة والتطبيق عبر إجراءات معالجة ذات جداول زمنية محددة
كيف تبدو الممارسة الجيدة
تتعامل برامج حوكمة البيانات الناضجة مع السياسة بوصفها المواصفات ومع اختبار التطبيق بوصفه التأكيد. فوثائق الحوكمة تصف المتطلبات، والضوابط التقنية تطبقها، وبرامج التدقيق تختبر ما إذا كان التطبيق يطابق المتطلبات. وتُتتبّع ثغرات الامتثال بجداول زمنية للمعالجة. ويستطيع مالك الحوكمة تقديم أدلة على التطبيق لأي متطلب في السياسة، لا مجرد وثائق تفيد بوجود المتطلب.
- تقييم الحوكمة القائم على الأدلة: لكل متطلب في السياسة، دليل محدد على التطبيق، سواء نشر أداة أو إعدادات أو سجل تدقيق أو سجل تشغيلي
- برنامج اختبار الامتثال للحوكمة: عمليات تدقيق داخلي مجدولة تختبر الممارسة الفعلية مقابل متطلبات السياسة
- تتبع معالجة الثغرات: توثيق الثغرات بين السياسة والتطبيق مع المالكين والجداول الزمنية والحالة الراهنة
- ملكية مسمّاة للحوكمة: مالك محدد مسؤول عن تقدم التطبيق وقياس الامتثال
- دورة مراجعة منتظمة للحوكمة: مراجعة متطلبات السياسة مقابل التطبيق الحالي ومعالجة الثغرات عبر إجراءات معالجة متتبَّعة
الأدوات
تتطلب ترجمة سياسة حوكمة البيانات إلى ضوابط تشغيلية أدوات تشمل التصنيف والاحتفاظ واختبار الامتثال.
منصات حوكمة البيانات: Collibra وAlation وMicrosoft Purview
توفر منصات حوكمة البيانات البنية التحتية التشغيلية لتطبيق سياسات الحوكمة، من إدارة فهارس البيانات وتطبيق سياسات التصنيف إلى إنفاذ جداول الاحتفاظ وتتبع الامتثال لمتطلبات الحوكمة. ويوفر Collibra تحديدًا إدارة سير عمل الحوكمة التي تتتبع تطبيق السياسات وتحدد الثغرات. وبالنسبة إلى ممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم منصة لحوكمة البيانات لتحويل سياساته إلى واقع تشغيلي يكشف ما إذا كانت الحوكمة موجودة في صورة وثائق أم في صورة برنامج مطبق.
منصات GRC: ServiceNow GRC وMetricStream وRSA Archer
تدعم منصات GRC تتبع الامتثال للحوكمة، من خلال ربط متطلبات السياسات بالضوابط، وتقييم تطبيق الضوابط، وتتبع معالجة الثغرات المحددة. وبالنسبة إلى ممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم منصة GRC لتتبع الامتثال لسياسة حوكمة البيانات الخاصة به يمثل سؤالًا محددًا عن المساءلة في التطبيق.
اختبار الامتثال: Drata وVanta وSecureframe
تراقب منصات اختبار الامتثال الآلي تطبيق الضوابط باستمرار مقابل متطلبات الحوكمة، فتقدم أدلة آنية على ما إذا كانت الضوابط المهيأة تفي بمعايير السياسة. ويؤتمت Drata وVanta تحديدًا جمع الأدلة لأطر الامتثال ومنها SOC 2، الذي يتداخل تداخلًا كبيرًا مع متطلبات حوكمة البيانات. وبالنسبة إلى ممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم مراقبة امتثال آلية يكشف ما إذا كان الامتثال للحوكمة يُقاس باستمرار أم يُشهد به دوريًا.
تحديات الحوكمة
يتمثل تحدي الحوكمة في ترجمة السياسة إلى إنفاذ في تحديد الأولويات. فسياسات الحوكمة شاملة بطبيعة تصميمها، إذ تغطي كل سيناريو للتعامل مع البيانات استطاع واضع السياسة توقعه. وتطبيق كل ضابط تقني لازم للإنفاذ الكامل لسياسة حوكمة شاملة يتطلب استثمارًا هندسيًا كبيرًا يتعين عليه منافسة تطوير الميزات ومعالجة الثغرات الأمنية والأولويات التشغيلية. وتطبق معظم المؤسسات الضوابط ذات الأولوية القصوى أولًا وتعالج المتطلبات الأدنى أولوية بمرور الوقت، وهو نهج معقول ينتج فجوة دائمة بين اكتمال السياسة واكتمال التطبيق.
بالنسبة إلى برامج TPRM، يتمثل النهج العملي للحوكمة في سؤال الموردين عن وضع امتثالهم للحوكمة في ما يخص المتطلبات الأكثر صلة بالبيانات التي يشاركها العميل. فالمورّد الذي لم يؤتمت بعد الاحتفاظ لجميع فئات البيانات ربما أتمته للفئات المحددة التي تندرج تحتها بيانات العميل. والمورّد الذي لديه اثنتا عشرة ثغرة في DPA ربما أبرم اتفاقيات معالجة بيانات مع جميع المعالجين الفرعيين الذين يتعاملون مع بيانات ذلك العميل تحديدًا. وقد تكون الفجوة في التطبيق الشامل أقل صلة بمخاطر بيانات عميل محدد من الفجوة في السياسات المحددة التي تحكم بيانات ذلك العميل.
- اطلب أدلة على تطبيق متطلبات محددة في السياسة ذات صلة ببيانات العميل، لا تأكيدًا شاملًا للسياسة
- اسأل عن اختبار الامتثال للحوكمة: هل يختبر المورّد الممارسة الفعلية مقابل متطلبات السياسة
- اسأل عن تتبع معالجة الثغرات: الثغرات المعروفة مع المالكين والجداول الزمنية
- اسأل عن ملكية الحوكمة: من المسؤول عن تقدم التطبيق
- ركّز على السياسات ذات الصلة بالعميل: متطلبات الاحتفاظ والتشفير والمعالجين الفرعيين لفئات البيانات المحددة التي يشاركها العميل
إذا كنت فريقًا صغيرًا
اختر ثلاثة متطلبات من سياسة حوكمة البيانات لدى مورّدك هي الأكثر صلة بالبيانات التي تشاركها معه، مثل مدة الاحتفاظ، والتشفير على مستوى الحقول لفئة بياناتك، وDPA مع المعالجين الفرعيين الذين يتعاملون مع بياناتك، واطلب أدلة محددة على تطبيق كل منها. لا قسم السياسة، بل الأدلة: أتمتة احتفاظ مهيأة تُظهر جدول الحذف لفئة بياناتك، وإعدادات التشفير التي تُظهر أن التشفير على مستوى الحقول منشور لفئة بياناتك، وقائمة المعالجين الفرعيين مع تأكيد DPA. ثلاثة متطلبات في السياسة، وثلاثة أدلة. سيخبرك هذا التمرين عن نضج الحوكمة أكثر مما تخبرك به مراجعة وثيقة السياسة المكونة من أربعين صفحة.
- اختر ثلاثة متطلبات محددة في السياسة هي الأكثر صلة ببياناتك واطلب أدلة على تطبيقها
- اطلب أتمتة الاحتفاظ المهيأة التي تُظهر جدول الحذف لفئات بياناتك
- اطلب إعدادات التشفير التي تُظهر الحقول المشفرة لنوع بياناتك
- اطلب قائمة المعالجين الفرعيين مع تأكيد DPA لكل منهم
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«بالنسبة إلى متطلبات تصنيف البيانات الواردة في سياسة الحوكمة لديكم، هل يمكنكم أن تعرضوا علينا أدوات التصنيف المنشورة والحالة الراهنة لتصنيف فئات البيانات التي نشاركها معكم؟»
«بالنسبة إلى متطلبات الاحتفاظ الواردة في سياسة الحوكمة لديكم، هل يمكنكم أن تعرضوا علينا عمليات الحذف الآلي المهيأة لفئات البيانات التي نشاركها معكم، وتحديدًا جدول الحذف وسجل حذف حديثًا؟»
«متى أُجري آخر تدقيق داخلي لاختبار الامتثال لسياسة حوكمة البيانات لديكم، وهل يمكنكم مشاركة النتائج وحالة معالجة أي ثغرات حُددت؟»
ما تتوقعه دليلًا
- أدلة نشر أدوات التصنيف: لا السياسة، بل النظام المنشور
- إعدادات أتمتة الاحتفاظ: لا جدول السياسة، بل عملية الحذف المهيأة
- نتائج التدقيق الداخلي وحالة المعالجة: أدلة على اختبار الامتثال للحوكمة
- متتبّع معالجة الثغرات: ثغرات التطبيق المعروفة مع المالكين والجداول الزمنية
المورّد الذي يجيب عن طلب أدلة التصنيف بعبارة «سياسة حوكمة البيانات لدينا تشترط التصنيف» قد قدّم السياسة مرة أخرى. فاطلب أداة التصنيف التي تطبق السياسة، وتغطية التصنيف عبر البيئة، وتاريخ آخر فحص تصنيف أُجري. السياسة تصف المتطلب، والأدلة تصف الواقع.
كيف تُثبت ذلك
تُفحص الفجوات بين الحوكمة والإنفاذ تحديدًا في عمليات تدقيق SOC 2 من النوع II، وتقييمات شهادة ISO 27001، ومراجعات الامتثال التنظيمي. ويتطلب إثبات العناية الواجبة أدلة على أن تطبيق الحوكمة قد اختُبر مقابل متطلبات السياسة، لا مجرد مراجعة وثائق الحوكمة.
- سجلات أدلة التطبيق لمتطلبات السياسة ذات الصلة بالعميل
- وثائق نتائج التدقيق الداخلي وحالة المعالجة
- سجلات تتبع معالجة الثغرات المحددة بين السياسة والتطبيق
- وثائق برنامج اختبار الامتثال للحوكمة
الخلاصة الرئيسية
تصف سياسة الحوكمة ما تعتزم المؤسسة فعله بالبيانات، أما الضوابط فتحدد ما يحدث فعلًا. والسياسة المكونة من أربعين صفحة والمعتمدة من مجلس الإدارة التي لم تُختبر قط مقابل الممارسة الفعلية هي وثيقة عن النوايا. نظام التصنيف الذي كان يُفترض نشره لم يُنشر قط. أتمتة الاحتفاظ التي كان يُفترض تهيئتها لم تُهيأ قط. اتفاقيات معالجة البيانات التي كان يُفترض وجودها مع جميع المعالجين الفرعيين غائبة لاثني عشر منهم. وصفت السياسة كل ذلك بأنه مطبق، ولم يجد التدقيق أيًّا منه. وتقييم حوكمة البيانات يعني طلب أدلة على الضوابط، لا أدلة على التوثيق. السياسة هي المواصفات، والأدلة هي التأكيد. فاطلب الأدلة.