بروس شناير Bruce Schneier من أكثر المفكرين تأثيراً في عالم أمن المعلومات اليوم، وأفكاره تساعد على قراءة ISO/IEC 27001:2022 بعين نقدية وواقعية في آن واحد. لا يكتفي شناير بالحديث عن كلمات السر والتشفير، بل يركّز على سؤال أعمق: هل الضوابط التي نطبقها تقلل فعلاً المخاطر، أم أنها مجرد “استعراض أمني” يطمئن الإدارة ولا يحمي الأصول؟ هذا السؤال هو نفس ما تحاول أنظمة إدارة أمن المعلومات (ISMS) وفق ISO/IEC 27001 الإجابة عنه عبر دورة مستمرة من فهم السياق، تقييم المخاطر، اختيار الضوابط، ومراجعة الأداء والتحسين.

أولاً: من هو بروس شناير في عالم أمن المعلومات؟

بروس شناير خبير أمن معلومات ومشفّر أمريكي، يُشار إليه كثيراً بلقب “Security Guru”، وله مسار طويل ككاتب وباحث ومستشار، حيث ألّف كتباً مؤثرة مثل Applied Cryptography، Secrets and Lies وBeyond Fear، كما يدرّس ويكتب في قضايا الأمن، الخصوصية، والسياسة العامة. إلى جانب مساهماته التقنية في التشفير، اشتهر أكثر كـ “مفكر أمني” يحاول أن يربط الأمن بالواقع الاجتماعي والسياسي، وينتقد الأساليب الشكلية في إدارة المخاطر. هذه الزاوية الفكرية تجعل منه مرجعاً مناسباً لأي مؤسسة تطبق ISO/IEC 27001 وتريد الانتقال من تطبيق بنود المواصفة حرفياً إلى بناء ثقافة أمن معلومات ناضجة.

ثانياً: الأمن عملية لا منتج – و27001 كنظام لا مجموعة ضوابط

من أشهر أفكار شناير أن الأمن ليس منتجاً يُشترى، بل عملية مستمرة تتضمن الناس، العمليات، والتقنية. هذه الفكرة تنسجم مباشرة مع تعريف ISO/IEC 27001 للنظام على أنه “نظام إدارة أمن معلومات” (ISMS) يغطي سياق المنظمة وأهدافها وبنيتها، وليس مجرد قائمة ضوابط تقنية في الملحق A؛ فالمعيار يطلب في البنود 4 إلى 7 تحديد السياق والأطراف المعنية 4.1 و4.2، تحديد نطاق ISMS 4.3، إنشاء النظام وعملياته 4.4، قيادة والتزام الإدارة 5.1، سياسة أمن المعلومات 5.2، الأدوار والمسؤوليات 5.3، التخطيط لمعالجة المخاطر والفرص 6.1، تحديد أهداف أمن المعلومات 6.2، وتوفير الموارد والمهارات والتوثيق في 7.1 إلى 7.5. قراءة هذه البنود من زاوية شناير تدفع المؤسسة إلى التركيز على “كيف يعمل النظام يومياً” لا على حيازة شهادة أو تركيب منتج أمني جديد.

ثالثاً: من “أمن الاستعراض” Security Theater إلى الأمن المبني على المخاطر

يصك شناير مصطلح “Security Theater” ليصف الإجراءات الأمنية التي تبدو مطمئنة للجمهور لكنها لا تضيف حماية فعلية، مثل بعض إجراءات التفتيش في المطارات بعد أحداث معينة، والتي تهدف إلى طمأنة لا إلى خفض المخاطر بشكل ملموس. هذا المفهوم يتلاقى بقوة مع فلسفة ISO/IEC 27001 في رفض الضوابط العشوائية؛ فالمعيار يلزم المنظمة في البند 6.1.2 بتطبيق عملية منهجية لتقييم مخاطر أمن المعلومات، تبدأ بوضع معايير قبول المخاطر، مروراً بتحديد المخاطر المتعلقة بفقدان السرية والتكامل والتوافر، وتحليل النتائج والاحتمال، ثم تقييم المخاطر وفق معايير واضحة. بعد ذلك يلزم البند 6.1.3 باختيار خيارات معالجة المخاطر، وتحديد الضوابط اللازمة، ثم مقارنتها بضوابط الملحق A للتحقق من عدم إغفال ضوابط ضرورية، مع إعداد “بيان تطبيق” يبرر إدراج أو استبعاد كل ضابط. هذا التسلسل يترجم عملياً دعوة شناير لتجنّب الأمن الاستعراضي والتركيز بدلاً من ذلك على ضوابط مرتبطة بمخاطر محددة ومدعومة بتحليل عقلاني.

رابعاً: الأمن في سياق اجتماعي وتنظيمي – وأهمية البنود 4 و5 و7

يرى شناير أن الأمن لا يمكن عزله عن البشر والسياسة والاقتصاد؛ فالهجوم ليس “حزمة بيانات خبيثة” فقط، بل نتيجة دوافع بشرية، قدرات تقنية، وضعف في الحوكمة أو الثقافة التنظيمية. هذا ينسجم مع تركيز ISO/IEC 27001 على “سياق المنظمة” في البند 4.1 الذي يطلب تحديد القضايا الداخلية والخارجية ذات الصلة بأمن المعلومات، وتحديد الأطراف المعنية ومتطلباتها في 4.2، ثم تحديد نطاق النظام على ضوء هذه المعطيات في 4.3. كذلك يربط المعيار أمن المعلومات بقيادة الإدارة العليا في 5.1 من حيث الالتزام وتوفير الموارد ودمج متطلبات الأمن في العمليات، وبالسياسة والأدوار والمسؤوليات في 5.2 و5.3، وبالموارد والكفاءة والوعي والاتصال في البنود 7.1 إلى 7.4. قراءة هذه البنود بعين شناير تدفع المؤسسة إلى طرح أسئلة من نوع: هل سياسة أمن المعلومات مفهومة فعلاً؟ هل الموظفون واعون لدورهم؟ هل الاتصال الداخلي يعالج المخاوف الحقيقية أم يكتفي بالشعارات؟

خامساً: القياس والتحليل والتحسين – من بيانات الواقع إلى قرار أمني أفضل

يشدّد شناير في كتاباته على أن الأمن الجيد يتطلب فهماً للتهديدات الفعلية والنتائج الواقعية، لا مجرد افتراضات أو سيناريوهات درامية، وأن القرارات يجب أن تستند إلى بيانات وتحليل للمنفعة مقابل التكلفة والمخاطر. هذا الفكر يظهر بوضوح في متطلبات 27001 المتعلقة بالتقييم والتحسين؛ فالبند 9.1 يلزم المنظمة بتحديد ما يجب مراقبته وقياسه من عمليات وضوابط أمن المعلومات، وتحديد طرق القياس والتحليل والتقييم، وتوقيت ذلك، ومن المسؤول عنه، مع توفير معلومات موثقة بالنتائج وتقييم أداء أمن المعلومات وفعالية النظام. ثم تأتي البنود 9.2 و9.3 لتنظيم برنامج التدقيق الداخلي ومراجعة الإدارة كآليتين منهجيتين لاستنتاج فرص التحسين، وتتوجها البند 10.1 الذي يطلب التحسين المستمر، و10.2 الذي ينظم التعامل مع عدم المطابقة والإجراءات التصحيحية، من التفاعل مع الحدث، مروراً بتحديد السبب الجذري، وصولاً إلى مراجعة فاعلية الإجراءات. هذا المسار من القياس إلى التحسين مماثل تماماً لدعوة شناير إلى بناء قرارات أمنية مبنية على الأدلة، لا على الخوف أو الصورة الإعلامية للهجمات.

سادساً: كيف تقرأ ISO/IEC 27001 بعين بروس شناير في منظمتك؟

تطبيق ISO/IEC 27001 بروح أفكار بروس شناير يعني النظر إلى ISMS ليس كـ “قائمة متطلبات” بل كإطار لتجنب الأمن الاستعراضي، وبناء أمن واقعي مبني على فهم السياق، تحليل المخاطر، اختيار الضوابط المناسبة، وقياس نتائجها وتحسينها باستمرار. المؤسسة التي تنطلق من سؤال شناير: “هل هذا الضابط يقلل فعلاً من المخاطر أم يبدو فقط جيداً على الورق؟” ستستخدم البنود 6.1.2 و6.1.3 والملحق A ليس لنسخ قائمة ضوابط جاهزة، بل لصياغة مجموعة ضوابط متناسبة مع تهديداتها الحقيقية وقدراتها ومواردها. ومع الوقت، يتحول نظام إدارة أمن المعلومات من مشروع للحصول على شهادة إلى عملية ناضجة لصنع قرارات أمنية أفضل تخدم الأعمال والأطراف المعنية والمجتمع، تماماً كما يدعو شناير في أعماله حول “الأمن في المصلحة العامة” Public Interest Security.

ماذا عنكم هل قمتم بتطبيق هذه الالية من قبل وتجربتها؟