"المحاسبة" عن الأمن السيبراني: التقصير طال الجميع

صنّفه ضمن الموضوعات عالية المخاطر على البلاد واللائمة الكبرى على "تكنولوجيا المعلومات" و"هيئة الاتصالات"

• عدم تعاون "الاتصالات" سبب التأخر في تسليط الضوء على أهمية الأمن السيبراني
• تدني مراحل إنجاز الستراتيجية الوطنية لأغلب الجهات المسؤولة وعدم قيامها بدورها
• تعدد الجهات الحكومية وضعف التنسيق بينها وتداخل اختصاصاتها وغياب المعايير

فيما أدرج ديوان المحاسبة ستة موضوعات مختلفة كعالية المخاطر على البلاد، في احدث تقاريره الذي حمل عنوان (الموضوعات عالية المخاطر)، برز موضوع الامن السيبراني بين هذه المواضيع، حيث تمكن الديوان من تشخيص اسباب المشاكل والمخاطر المترتبة عليها فضلا عن تحميله للمسؤوليات كل فيما خصه من الجهاز الحكومي وجوانب القصور التي طالت مجالات عمالهم، ليبين التقرير ان الخطط والبرامج والرؤى جميعها كانت موجودة فيما جاء الخطر من تدني الاداء في بعض الجهات التنفيذية التي حددها الجهاز بالاسم، بدءا من مجلس الوزراء مرورا بجهاز تقنية المعلومات حتى مختبرات وزارة الاشغال.. وفي التفاصيل:
تطرق تقرير ديوان المحاسبة الى موضوع الاجراءات الحكومية بشان الامن السيبراني وتكنولوجيا المعلومات، وحدده كموضوع عالي المخاطر على البلاد، وقدم تقييما كاملا له، وقال في تقريره ان الإصدار الثاني من تقرير الموضوعات عالية المخاطر الصادر عنه في عام 2021 تناول لموضوع الأمن السيبراني إلا أنه لم يتمكن من تضمينه بالتقرير كأحد الموضوعات عالية المخاطر رغم أهميته وخطورته، بسبب عدم تعاون هيئة الاتصالات وتقنية المعلومات في تزويد الديوان بالمستندات اللازمة.
واضاف انه في فبراير من عام 2022 ورد لديوان المحاسبة كتاب من رئيس مجلس الأمة يحمل تضمن تكليفا له بإعداد تقرير يبين الإجراءات الحكومية بشأن الأمن السيبراني، وقام الديوان بإصدار القرار رقم (62) لسنة 2022 بتشكيل فريق عمل لإعداد تقرير متكامل، حيث تلاحظ إدراك الحكومة لمخاطر الأمن السيبراني التي تطول الدولة ومؤسساتها وأفرادها.
وتابع التقرير انه جرى انشاء المركز الوطني للامن السيبراني في عام 2019 والموافقة على تشكيل لجنة وطنية عليا للامن السيبراني برئاسة رئيس مجلس الوزراء بانشاء المركز الوطني للامن السيبراني ليباشر كافة اختصاصاته في الكويت.
وعن الاجراءات المعنية بالامن السيبراني، قال التقرير انه جرى توزيع مهام الامن السيبراني واسناد مسؤولياته للجهات المختصة من ضمنها وزارة الدفاع - وزارة الداخلية - واشراك الوازارات المعنية ومراجعة مسؤوليات هيئة الاتصالات ليشمل حماية البيانات - وتقليل صلاحياتها لوضع سياسات الامن السيبراني ضمن السنة الأولى والثانية من برنامج العمل الحكومي.

مخاطر التقصير

لخص ديوان المحاسبة في تقريره اهم المخاطر الناتجة عن القصور في التعامل مع موضوع الامن السيبراني في خمس نقاط هي:

1- تأخر إنجاز مشروع الأمن السيبراني لتدني مراحل إنجاز الستراتيجية الوطنية لأغلب الجهات المسؤولة عن تطبيق مبادرات الستراتيجية وعدم قيامها بالدور المنوط بها بالشكل المطلوب.
2- تعدد الجهات الحكومية المسؤولة عن الأمن السيبراني وضعف التنسيق بينها وتداخل اختصاصاتها، ما يؤدي لعدم تسخير كافة إمكاناتها لتحقيق الأهداف المرجوة وحماية المال العام.
3- عدم استغلال كافة الاعتمادات المالية المدرجة في ميزانية الجهات المعنية واللازمة لمشاريع تنفيذ الستراتيجية الوطنية للأمن السيبراني، لعدم تنفيذ تلك المشاريع.
4- عدم وضع معايير وسياسات وطنية بشأن الأمن السيبراني وتعميمها على أجهزة ومؤسسات الدولة ليتم تطبيقها والحد من حوادث الأمن السيبراني.

أهم النتائج التي تمثل مخاطر عالية

1- التأخر في إصدار القرارات لتنفيذ الستراتيجية الوطنية للأمن السيبراني ما أدى لعدم تفعيلها والتأخر في تنفيذها ما أثر سلبا في المضي قدما على مستوى تطبيق الأمن السيبراني بالدولة.
2- عدم قيام الجهات الحكومية بالدور المنوط بها، فهناك مظاهر قصور شابت أعمال الجهاز المركزي لتكنولوجيا المعلومات والهيئة العامة للاتصالات على مستوى الدولة.
3- على الرغم من إبرام الهيئة العامة للاتصالات لاتفاقيات ومذكرات التفاهم التي تضمنت بعض المهام والأعمال المتعلقة بالأمن السيبراني إلا أنها لم تحقق الاستفادة المرجوة من خبرات الأطراف الأخرى بالاتفاقيات عدم تفعيل ما جاء بها ولم تحدد الهيئة الهدف من إبرامها للاتفاقيات ومذكرات التفاهم طالما أنها انتهت دون مخرجات أو أعمال منجزة في مجال الأمن السيبراني.
4- عدم تنفيذ الهيئة العامة للاتصالات للمشاريع المتعلقة بالأمن السيبراني المدرجة ضمن ميزانياتها المعتمدة في السنوات المالية 2019/2018 و2020/2019.
5 - عدم صرف الامانة العامة لمجلس الوزراء للاعتمادات المالية المدرجة في ميزانيتها لعام 201-2022 بمبلغ 3.6 مليون دينار لما يخص الامن السبراني.
6- مرسوم إنشاء المركز الوطني للأمن السيبراني نقطة تحول لمشروع الأمن السيبراني في الدولة عن طريق إنشاء جهة مركزية تتولى تحقيق أهدافه ووضع إطار قانوني متكامل للأمن السيبراني، إلا أن التأخر في إصدار القرارات اللازمة لتفعيل المرسوم أدى إلى عدم ممارسة المركز لمهامه واختصاصاته.

أهم التوصيات الكفيلة بمعالجة الموضوع

أصدر ديوان المحاسبة في تقريره 13 توصية لمعالجة قضايا الامن السيبراني هي:

1- الإسراع في وضع السياسات والخطط الستراتيجية للتطور التكنولوجي بما فيها الأمن السيبراني على مستوى الدولة بمشاركة الجهات ذات العلاقة، بحيث يتم فيها تقييم الوضع الراهن وتحديد الرؤية والأهداف والمبادرات والمسؤوليات ومعالجة التحديات والمعوقات التي تول دون تحقيق الهدف المرجو والعمل على سرعة تطبيقها وتنفيذها وفق برنامج زمني محدد.
2- العمل على تطوير منهجية مناسبة لقياس نسب الإنجاز المطلوب تحقيقها وعلى أن تشتمل على مؤشرات الأداء، لقياس مدى كفاءة وفاعلية أداء الجهات الحكومية في إنجاز الأهداف المنوطة بها والمتعلقة بالأمن السيبراني.
3- سرعة تفعيل المركز الوطني للأمن السيبراني للاختصاصات الواردة بمرسوم إنشائه -3 رقم (37) لسنة 2022 بما يمكنه من القيام بالدور المنوط به.
4- العمل على دراسة وتقييم أداء بعض الجهات الحكومية في الدولة المسؤولة عن وضع سياسات وخطط تكنولوجيا المعلومات ومعالجة أوضاعها في ضوء نتائج تلك الدراسة.
5- تفعيل سياسات الحوكمة المؤسسية لتنظيم قطاع تكنولوجيا المعلومات والتنسيق بين الجهات الحكومية المسؤولة عن تكنولوجيا المعلومات على مستوى الدولة، وإعادة النظر في التنظيم الإداري للمؤسسات الحكومية المسؤولة وفك التشابك بين اختصاصاتها.
6- أهمية دراسة وتحديث وتطوير البنية التحتية لتكنولوجيا المعلومات ومواكبة التطور التكنولوجي.
7- قيام الجهات المعنية بالدولة بدراسة احتياجات سوق العمل في مجال تكنولوجيا المعلومات والتطبيقات الحديثة لتحقيق الملاءمة بين مخرجات التعليم ومتطلبات سوق العمل في هذا المجال.
8- دراسة أسباب تأخر إنجاز مشاريع الأمن السيبراني والعمل على إيجاد الحلول المناسبة التي تضمن سرعة الإنجاز.
9- أهمية تنمية الكوادر البشرية العاملة في مجال تكنولوجيا المعلومات ورفع قدراتها بما يتواكب مع المستجدات العالمية في مشاريع تكنولوجيا المعلومات ودراسة مدى ملاءمة المزايا والكوادر المالية الممنوحة في الجهات الحكومية لتلك الكوادر.
10- ضرورة الاستفادة من تجارب الدول الأخرى الرائدة بوضع الخطط الستراتيجية في مجال تكنولوجيا المعلومات والأمن السيبراني.
11- دراسة مدى إمكانية الاستفادة من إشراك القطاع الخاص في مجال تكنولوجيا المعلومات والأمن السيبراني بما يملكه من خبرات فنية يمكن الاستفادة منها في هذا المجال.
12- ضرورة تفعيل الاتفاقيات ومذكرات التفاهم المبرمة مع الدول المتقدمة والشركات العالمية في مجال تكنولوجيا المعلومات والاستفادة من تجاربها، لمواكبة الاتجاهات الحديثة وتطبيق أفضل الممارسات التي تساهم في تمكين دولة الكويت من تحقيق رؤيتها الخاصة بالأمن السيبراني.
13 - ضرورة تفعيل دور الجهات الحكومية ذات العلاقة بالتوعية المجتمعية في نشر ثقافة تكنولوجيا المعلومات والأمن السيبراني، لتهيئة مؤسسات الدولة والمجتمع، وإشراك القياديين في الدولة بتلك المبادرة لضمان مشاركتهم الفعالة في تحقيق الأهداف المنشودة فيما يتعلق بتكنولوجيا المعلومات والأمن السيبراني.