مسؤول أمن المعلومات الرئيسي

مسؤول أمن المعلومات الرئيسي ( CISO) هو مسؤول تنفيذي رفيع المستوى في المؤسسة ، مسؤول عن وضع رؤية المؤسسة واستراتيجيتها وبرنامجها والحفاظ عليها لضمان حماية أصول المعلومات والتقنيات بشكل كافٍ. يوجه مسؤول أمن المعلومات الرئيسي الموظفين في تحديد وتطوير وتنفيذ وصيانة العمليات على مستوى المؤسسة للحد من مخاطر المعلومات وتقنية المعلومات ، ويدير تقنيات أمن المعلومات ، وينفذ السياسات، ويضمن الامتثال للأطر التنظيمية مثل اللائحة العامة لحماية البيانات (GDPR) ومعيار أمان بيانات صناعة بطاقات الدفع (PCI DSS) وقانون إدارة أمن المعلومات الفيدرالية (FISMA). كما يكون مسؤول أمن المعلومات الرئيسي مسؤولاً عادةً عن الامتثال المتعلق بالمعلومات (على سبيل المثال، الإشراف على تنفيذ الحصول على شهادة ISO/IEC 27001 لكيان أو جزء منه). وهو مسؤول أيضاً عن حماية المعلومات والأصول الخاصة بالشركة، بما في ذلك بيانات العملاء والمستهلكين. قد يرفع مسؤول أمن المعلومات الرئيسي تقاريره إلى مدير المعلومات الرئيسي (CIO) أو مباشرةً إلى الرئيس التنفيذي (CEO).

أصبح وجود مسؤول أمن معلومات رئيسي أو ما يعادله في المؤسسات ممارسة شائعة في قطاعات الأعمال والحكومة والمنظمات غير الربحية. ويُعدّ مسؤولو أمن المعلومات الرئيسيون مطلوبين بشدة، وتتساوى رواتبهم مع رواتب المناصب القيادية الأخرى التي تحمل مسميات وظيفية مماثلة .

تطوّر دور مسؤول أمن المعلومات الرئيسي في منتصف التسعينيات مع تزايد التهديدات الرقمية التي تواجهها المؤسسات. وكان ستيفن كاتز أول من شغل هذا المنصب، حيث عُيّن في سيتي كورب عام ١٩٩٥ بعد حادثة اختراق كبيرة. ^{[ ١ ]} وعلى مرّ السنين، تبنّت شركات كبرى أخرى، لا سيما في قطاع الخدمات المالية، أدوارًا مماثلة كالأمن السيبراني وحماية البيانات، والتي أصبحت بدورها جزءًا أساسيًا من إدارة مخاطر الأعمال. ^{[ ٢ ]} غالبًا ما كانت وظائف مسؤول أمن المعلومات الرئيسي في بداياتها تُركّز على الضوابط الأمنية التقنية والاستجابة للحوادث. ومع مرور الوقت، تغيّر الدور ليُركّز على مخاطر المؤسسة، والحوكمة، والخصوصية، والتواصل مع مجلس الإدارة، واحتياجات العمل. ^{[ ٣ ]}

بحلول عام 2009، كان لدى ما يقرب من 85٪ من المؤسسات الكبيرة مسؤول تنفيذي للأمن، ارتفاعًا من 56٪ في عام 2008، و43٪ في عام 2006. وفي عام 2018، خلصت دراسة الحالة العالمية لأمن المعلومات لعام 2018 (GSISS)، وهي دراسة مشتركة أجرتها CIO وCSO وPwC، ^{[ 4 ] [ 5 ]} إلى أن 85٪ من الشركات لديها مسؤول أمن معلومات رئيسي أو ما يعادله.

ينص قانون تحديث أمن المعلومات الفيدرالية في الولايات المتحدة (FISMA) على إلزام الوكالات الفيدرالية الأمريكية بتعيين مسؤول أمن معلومات رفيع المستوى. ^{[ 6 ]}

تشمل مسؤوليات مسؤول أمن المعلومات عادةً وضع سياسات أمنية، والاستجابة لأي حوادث إلكترونية، ومتابعة إدارة الهوية والوصول، والامتثال للوائح، وإدارة مخاطر المعلومات بشكل عام، والتعاون مع مختلف أقسام الشركة، والتخطيط للتعافي من الكوارث، وقيادة فرق عمليات الأمن. تتداخل هذه المسؤوليات مع وحدات الأعمال، وإدارات تقنية المعلومات، والشؤون القانونية والمالية. في المؤسسات الحديثة، يضطلع مسؤول أمن المعلومات عادةً بدور استراتيجي أوسع يشمل تقديم المشورة للمديرين التنفيذيين ومجالس الإدارة بشأن المخاطر الإلكترونية، ودمج استثمارات الأمن مع أولويات المؤسسة، ومتابعة مخاطر الأطراف الثالثة وسلسلة التوريد، بالإضافة إلى متابعة تطور بيئة الأمن والوعي الأمني ​​في جميع أنحاء الشركة.

في الشركات، يتجه التوجه نحو أن يتمتع مديرو أمن المعلومات بتوازن قوي بين الفطنة التجارية والمعرفة التقنية. ويمكن لمدير أمن المعلومات ترجمة الأداء السيبراني إلى مؤشرات أعمال قابلة للقياس، مثل القيمة المعرضة للخطر (VaR) وتجنب تكاليف الاختراق ونضج الاستجابة للحوادث.

بشكل عام، قد تشمل المسؤوليات ما يلي:

• فريق الاستجابة لحالات الطوارئ الحاسوبية / فريق الاستجابة لحوادث أمن الحاسوب
• الأمن السيبراني
• إدارة التعافي من الكوارث واستمرارية الأعمال
• إدارة الهوية والوصول
• خصوصية المعلومات
• الامتثال التنظيمي للمعلومات (على سبيل المثال، معيار أمان بيانات صناعة بطاقات الدفع الأمريكي، وقانون إدارة أمن المعلومات الفيدرالية ، وقانون غرام- ليتش - بليلي ، وقانون قابلية نقل التأمين الصحي والمساءلة ؛ وقانون حماية البيانات في المملكة المتحدة لعام 1998 ؛ وقانون حماية المعلومات الشخصية والوثائق الإلكترونية الكندي ؛ واللائحة العامة لحماية البيانات الأوروبية )
• إدارة مخاطر المعلومات
• أمن المعلومات وضمان المعلومات
• مركز عمليات أمن المعلومات (ISOC)
• ضوابط تكنولوجيا المعلومات للأنظمة المالية وغيرها
• التحقيقات في تكنولوجيا المعلومات، والأدلة الجنائية الرقمية ، والاكتشاف الإلكتروني

توسّع دور مسؤول أمن المعلومات ليشمل المخاطر المتعلقة بعمليات الأعمال ، وأمن المعلومات، وخصوصية العملاء، وغيرها. ونتيجةً لذلك، يتجه الوضع حاليًا نحو فصل وظيفة مسؤول أمن المعلومات عن قسم تقنية المعلومات. ففي عام ٢٠١٩، كان ٢٤٪ فقط من مسؤولي أمن المعلومات يتبعون مباشرةً لمدير تقنية المعلومات ، بينما كان ٤٠٪ يتبعون مباشرةً للرئيس التنفيذي ، و٢٧٪ يتبعون مباشرةً لمجلس الإدارة. ويُعتبر دمج وظيفة مسؤول أمن المعلومات ضمن هيكل التقارير الخاص بمدير تقنية المعلومات غير مثالي، نظرًا لاحتمالية تضارب المصالح، ولأن مسؤوليات هذا الدور تتجاوز نطاق مسؤوليات قسم تقنية المعلومات. ويمكن أن يختلف هيكل التقارير الخاص بمسؤول أمن المعلومات تبعًا لحجم المؤسسة، وقطاعها، وبيئتها التنظيمية، ومستوى المخاطر فيها. ومع ذلك، فقد رفعت أهمية أمن المعلومات في الشركات اليوم من شأن منصب مسؤول أمن المعلومات ليصبح منصبًا رفيع المستوى. ^{[ ٧ ]}

كان العديد من مديري أمن المعلومات (CISO) يتبعون مباشرةً لمدير تقنية المعلومات (CIO)، إلا أنه منذ أواخر العقد الأول من الألفية الثانية، اتجهت المؤسسات بشكل متزايد إلى تغيير هذا الدور ليصبح التبعية المباشرة لكبار المسؤولين في الإدارة. أظهر استطلاع رأي أُجري عام 2020 أن 34% فقط من هذه المناصب كانت تتبع مباشرةً للرئيس التنفيذي، بينما كانت 33% تتبع لمدير تقنية المعلومات. ^{[ 8 ]} وكانت المؤسسات التي تقل إيراداتها عن 100 مليون دولار أقل احتمالاً لوجود مناصب متقدمة متعددة، مثل منصب مدير أمن المعلومات، مقارنةً بالكيانات الأكبر حجماً. ^{[ 9 ]} ووفقاً لاستطلاع عالمي أُجري عام 2024 وشمل 416 مديراً لأمن المعلومات، تُظهر خطوط ونماذج التبعية المختلفة زيادة في تعقيد الحوكمة، لكن الاتجاه العام نحو الوصول المباشر إلى مجلس الإدارة أو الرئيس التنفيذي لا يزال واضحاً. ^{[ 10 ]} وقد حفز هذا التحول نحو التبعية المباشرة بشكل رئيسي قضايا تضارب المصالح في حال إشراك مدير أمن المعلومات في عمليات تقنية المعلومات، فضلاً عن ضرورة الإدارة المستقلة للمؤسسة.

يتمتع مديرو أمن المعلومات عادةً بخبرة تزيد عن عشر سنوات في مجال أمن المعلومات أو حوكمة تكنولوجيا المعلومات، وغالبًا ما يحملون شهادات مهنية. يحمل مدير أمن المعلومات عادةً شهادات غير تقنية (مثل CISSP و CISM )، مع العلم أن مدير أمن المعلومات ذو الخلفية التقنية يمتلك مجموعة مهارات تقنية موسعة. ومع تطور دور مدير أمن المعلومات بمرور الوقت، لم يعد يُتوقع منه فقط فهم الضوابط التقنية، بل أيضًا فهم المخاطر السيبرانية بلغة الأعمال والتأثير في عملية صنع القرار لدى الإدارة العليا. وقد صرّح ستيفن كاتز بأن هذا الدور يتعلق بمخاطر الأعمال، وأن الأمن السيبراني هو وسيلة لتقييم هذه المخاطر، "وليس غاية في حد ذاته". ^{[ 11 ]} وتشمل المهارات الأساسية الآن القيادة التنظيمية، والتفكير الاستراتيجي، والتواصل مع مجالس الإدارة، وإدارة الميزانية، وعلاقات الموردين، وعمليات الأعمال، والإلمام باللوائح التنظيمية، والقدرة على دمج نتائج الأمن مع احتياجات العمل. تشمل التدريبات النموذجية الأخرى إدارة المشاريع لإدارة برنامج أمن المعلومات، والإدارة المالية (مثل الحصول على ماجستير إدارة أعمال معتمد) لإدارة ميزانيات أمن المعلومات، والمهارات الشخصية لتوجيه فرق متنوعة من مديري أمن المعلومات، ومديري أمن المعلومات، ومحللي الأمن، ومهندسي الأمن، ومديري مخاطر التكنولوجيا. ونظرًا لانخراط مسؤول أمن المعلومات (CISO) مؤخرًا في مسائل الخصوصية، فقد ازداد الطلب على شهادات مثل CIPP .

في الولايات المتحدة، بلغ متوسط ​​رواتب مديري أمن المعلومات حوالي 500 ألف دولار أمريكي في عام 2024، وقد يتجاوز دخل المديرين التنفيذيين الأعلى دخلاً، لا سيما في الشركات الكبرى، مليون دولار أمريكي سنويًا. ^{[ 12 ]} وأظهر استطلاع رأي أُجري عام 2025 أن متوسط ​​الراتب بلغ حوالي 700 ألف دولار أمريكي في المؤسسات الكبيرة، لكن 60% فقط كانوا راضين عن ميزانية الأمن ومجلس إدارتها. ^{[ 13 ]}

A recent development in this area is the emergence of "Virtual" CISOs (vCISO, also called "Fractional CISO").^[14][15] These CISOs work on a shared or fractional basis, for organizations that may not be large enough to support a full-time executive CISO, or that may wish to, for a variety of reasons, have a specialized external executive performing this role. vCISOs typically perform similar functions to traditional CISOs, and may also function as an "interim" CISO while a company normally employing a traditional CISO is searching for a replacement.^[16] These services typically include developing cybersecurity strategy, advising on cyber risk, checking on compliance and helping internal security teams. vCISOs have grown in popularity among small and mid sized enterprises who want better leadership without the cost of a full time CISO.^[17]

Key areas that vCISOs can support an organization include: advising on addressing cyber risk; coaching management team members to improve security expertise; evaluating and selecting vendor products and services; assessing the maturity of engineering team processes, capability and skills; board and management team briefings and updates; and planning and review of operating and capital budgets related to cybersecurity. This includes identifying and prioritizing cybersecurity investments, developing cost-effective strategies for cybersecurity, and ensuring that adequate resources are allocated to address cybersecurity risks.

• Information security
  • Information security governance
  • Information security management
• Board of Directors
• Chief data officer
• Chief executive officer
• Chief information officer
• Chief risk officer
• Chief security officer

• "قسم CERT" . معهد هندسة البرمجيات بجامعة كارنيجي ميلون . تم الاطلاع عليه بتاريخ 17 أغسطس 2021 .
• "إدارة مخاطر أمن المعلومات: منظور تنظيمي، ومهمة، ونظام معلوماتي" . المعهد الوطني للمعايير والتكنولوجيا . مارس 2011. تاريخ الاسترجاع : 17 أغسطس 2021 .
• قاعدة معارف الأمن السيبراني