التكلفة الحقيقية للأمن السيبراني للشركات

إنفورماتيك ديجيتال » موارد » التكلفة الحقيقية للأمن السيبراني للشركات

لم يعد الحديث عن التكلفة الحقيقية للأمن السيبراني يقتصر على تراخيص برامج مكافحة الفيروسات أو توظيف متخصص في تكنولوجيا المعلومات للمساعدة عند حدوث مشكلة. فاليوم، تتجاوز الخسائر المالية التي تتكبدها الشركات في حال وقوع حادث أمني خطير أي استثمار معقول في الحماية ، وتؤكد البيانات الصادرة عن شركات التأمين والاستشارات والهيئات الحكومية هذا الأمر بوضوح تام.

في حين يتزايد حجم الهجمات الإلكترونية وتعقيدها بشكلٍ هائل، لا تزال العديد من الشركات تعاني من ضعف الحماية ، مع ميزانيات محدودة، وتدابير جزئية، وعقلية "لن يحدث هذا لي" التي تُثبت، عند وقوع أول حادثة، أنها مكلفة للغاية. من المجموعات الصناعية ومجموعات الطاقة الكبيرة إلى الشركات الصغيرة والمتوسطة المحلية، يتضح بشكل متزايد التباين بين المخاطر المُفترضة والأموال المخصصة فعليًا للتخفيف منها.

التكلفة المباشرة للحوادث الإلكترونية: أرقام مرعبة

عند تحليل مطالبات التأمين السيبراني على نطاق واسع، يتضح أن اختراقات البيانات وتسريب المعلومات هما أكثر أنواع الحوادث شيوعًا، وهما أيضًا الأكثر تسببًا في الخسائر المالية. نتحدث هنا عن حالات تتراوح بين عدد قليل من الأفراد المتضررين وحوادث تؤثر على أكثر من مليون عميل، بكل ما يترتب على ذلك من إخطارات وإدارة أزمات وتمثيل قانوني وعقوبات وأضرار بالسمعة.

أظهرت دراسة عالمية استندت إلى 4.650 مطالبة تأمينية في نحو 90 دولة على مدى عقد من الزمن، أن متوسط ​​تكلفة الهجوم الإلكتروني يبلغ حوالي 2,4 مليون دولار أمريكي لكل حادثة. وعندما ينطوي الأمر على اختراق بيانات ضخم، يتضاعف الأثر بشكل أكبر، حيث يصل متوسط ​​تكلفة اختراق البيانات إلى حوالي 3,9 مليون دولار أمريكي، شاملة التكاليف التقنية والقانونية والتشغيلية وتكاليف الإضرار بالسمعة.

علاوة على ذلك، فإن تأثير "الحوادث الكبرى" هائل: فنسبة الحوادث التي تتجاوز 10 ملايين دولار لا تتجاوز 4%، ومع ذلك، تمثل هذه النسبة الضئيلة حوالي 91% من إجمالي الخسائر المسجلة. وفي الحالات القصوى، وصلت بعض المطالبات إلى أرقام مذهلة بلغت 331 مليون دولار، مما يُظهر الإمكانات التدميرية لهجوم مُستهدف بدقة على مؤسسة شديدة الحساسية.

أحد العوامل التي تظهر بشكل متكرر هو نقص التدابير الأمنية الكافية . حوالي ربع الخسائر التي تم تحليلها ناتجة عن ضعف الحماية: أنظمة غير محدثة ، وضوابط وصول ضعيفة، ونقص في إشراف الموردين، أو عدم وجود خطط استجابة وتعافي تسمح بالعودة السريعة إلى العمليات.

الأسباب الرئيسية للخسائر: أطراف ثالثة، خطأ بشري، وبرامج الفدية

بالنظر إلى أسباب العديد من هذه الحوادث، يتضح أن جزءًا كبيرًا من الخسائر الناجمة عن اختراقات البيانات مرتبط بالموردين والجهات الخارجية . وينتج ما يقارب نصف هذه الحوادث عن أعطال أو هجمات تؤثر على الشركاء الذين يخزنون أو يعالجون بيانات العملاء والموظفين. وهذا يستلزم مراجعة شاملة ومنتظمة للأمن السيبراني في جميع مراحل سلسلة التوريد، وليس فقط داخل المؤسسة نفسها.

لا يزال الخطأ البشري سببًا رئيسيًا للمشاكل. حوالي 24% من الخسائر المرتبطة باختراقات البيانات تعود إلى الإهمال أو الممارسات الخاطئة من جانب الموظفين أو الشركاء، مثل النقر على الروابط في رسائل البريد الإلكتروني الاحتيالية، والرد على الرسائل المزيفة، وإرسال المستندات الحساسة إلى المستلم الخطأ، أو مشاركة بيانات الاعتماد دون اتخاذ الاحتياطات الكافية. يساهم برنامج تدريب وتأهيل جيد في الحد من هذه المخاطر بشكل كبير.

في غضون ذلك، تستمر هجمات برامج الفدية في التصاعد. يقوم هذا النوع من البرامج الخبيثة بتشفير أو قفل الأنظمة والبيانات، مطالباً بفدية مقابل استعادة الوصول إليها. وفي كثير من الحالات، يُدمج ذلك مع سرقة البيانات ونشرها لزيادة الضغط. وقد أصبح هذا النموذج متطوراً للغاية لدرجة ظهور جهات تقدم خدمة برامج الفدية ، حيث توفر الأدوات والبنية التحتية والدعم لمجرمين آخرين مقابل نسبة من الفدية.

هذا السيناريو يجعل من الضروري وجود خطة جيدة التصميم ومختبرة ومحدثة لاستمرارية الأعمال والتعافي منها : نسخ احتياطية قوية ومعزولة، وإجراءات واضحة لعزل الأنظمة المخترقة، وتنسيق الاتصالات الداخلية والخارجية، وقبل كل شيء، تدريبات منتظمة لتجنب الارتجال عندما تتعرض الشركة للهجوم.

الفجوة بين المخاطر والميزانية في مجال الأمن السيبراني

بينما يُحسّن المهاجمون أدواتهم وأساليبهم، لا يواكب الإنفاق على الحماية هذا التطور دائمًا. ففي أسواق مثل إسبانيا، تشير التقديرات الحديثة إلى أن تكلفة الجرائم الإلكترونية قد ترتفع بنسبة تصل إلى 148% بحلول عام 2028، لتصل إلى حوالي 69.000 مليار يورو. ومع ذلك، فإن الميزانية المخصصة للأمن السيبراني تنمو بمعدل سنوي يقل قليلاً عن 6%، مما يخلق فجوة مقلقة بشكل متزايد بين حجم المخاطر المتوقعة ومستوى الدفاع الفعلي.

يُعدّ هذا الوضع بالغ الخطورة، لا سيما في القطاعات الاستراتيجية ، حيث لا يقتصر تأثير تعطيل النشاط على الخسائر الاقتصادية فحسب، بل يمتدّ ليشمل أمن الدولة وإمداداتها وخدماتها الأساسية. في العام الماضي، شكّلت الصناعات التحويلية ربع الهجمات المسجلة تقريباً، تلتها قطاعات الطاقة والإمدادات، ثم قطاع النقل الذي شهد أيضاً نسبة كبيرة من الحوادث.

إن القضايا البارزة مثل الهجوم الإلكتروني على شركة سيارات بريطانية كبرى، والذي يعتبر من أكثر الهجمات تكلفة في ذلك البلد، توضح أن حادثة واحدة يمكن أن تشل الإنتاج، وتعطل سلاسل التوريد، وتضر بالسمعة، وتؤدي إلى مطالبات تعويض بملايين الدولارات.

على الرغم من هذه النظرة، لا تزال العديد من المؤسسات تعاني من مستويات متدنية من النضج في مجال الأمن السيبراني. وتشير التقارير الحديثة إلى أن نسبة ضئيلة فقط من الشركات، حوالي 2%، قد طبقت استراتيجية شاملة للمرونة السيبرانية، أي نهجًا متكاملًا لا يقتصر على محاولة منع الهجمات فحسب، بل يشمل أيضًا الصمود أمامها والتعافي منها بسرعة وبشكل منظم.

والخبر السار هو أن غالبية المديرين التنفيذيين باتوا يدركون ضرورة تعزيز هذا المجال. إذ تتوقع أكثر من ثلاثة أرباع الشركات زيادة ميزانياتها المخصصة للأمن السيبراني على المدى القريب، ويخطط عدد كبير منها لزيادات تتجاوز 10%، مدركين أن استمرار تأجيل هذه الاستثمارات لن يؤدي إلا إلى ارتفاع التكاليف المستقبلية.

الرقمنة والاتصال وسطح هجوم جديد

أحدث التحول الرقمي ثورة في أساليب العمل في قطاعات متنوعة كخدمات الطوارئ، والخدمات اللوجستية، وصيانة البنية التحتية، والدفاع. تتيح الأجهزة المحمولة وأجهزة الكمبيوتر المحمولة المتصلة الوصول إلى المعلومات في الوقت الفعلي، وتحسين المسارات، وتنسيق الفرق، وتقليل وقت التوقف. مع ذلك، فإن هذا الاتصال نفسه يوسع نطاق الهجمات الإلكترونية . لذا، يتطلب التحول الرقمي اتخاذ تدابير محددة لتجنب مضاعفة المخاطر.

في البيئات النائية أو الميدانية، حيث تكون الرقابة المباشرة لفريق تقنية المعلومات محدودة أو معدومة، تتضاعف المخاطر: الوصول غير المصرح به إلى أنظمة الشركة، وفقدان أو سرقة الأجهزة التي تحتوي على بيانات حساسة، والاتصال بشبكات لاسلكية غير آمنة، واستخدام تطبيقات غير خاضعة للرقابة. كل هذا يخلق بيئة مثالية لتحول أي خرق أمني يبدو بسيطًا إلى مشكلة خطيرة.

صُممت الأجهزة المتينة (أجهزة الكمبيوتر المحمولة والأجهزة اللوحية) المستخدمة في هذه القطاعات للعمل في ظروف قاسية، وتوفر اتصالاً متطوراً، سواءً كان بتقنية 4G LTE أو 5G، حتى في المناطق النائية. مع ذلك، فإن زيادة الاتصال دون استراتيجية أمنية مناسبة تُنذر بكارثة: المزيد من نقاط الدخول، والمزيد من الأجهزة التي تحتاج إلى ترقيع، والمزيد من الهويات التي يجب إدارتها.

للتخفيف من هذه المخاطر، فإن اتباع نهج حماية متعدد الطبقات يركز على نقطة النهاية أمر منطقي: أجهزة مزودة بميزات أمان محسنة من مستوى البرامج الثابتة، وأنظمة تشغيل مهيأة بمبادئ أمان افتراضية، وضوابط هوية قوية (مثل المصادقة متعددة العوامل)، وتشفير كامل للقرص والاتصالات، وأدوات مراقبة تسمح بالكشف عن النشاط المشبوه في الوقت الفعلي.

وعلى هذا الأساس، يُنصح بإضافة طبقات إضافية مثل الاستخدام المنهجي لشبكات VPN الآمنة للوصول عن بعد، وسياسات صارمة لإدارة تحديثات البرامج الثابتة والبرامج (تجنب ترك النوافذ مفتوحة لنقاط الضعف المعروفة) وخطط الاستجابة للحوادث التي تأخذ في الاعتبار السياق المحدد للعمل الميداني.

قياس المخاطر السيبرانية وتحديد أولويات الاستثمار

يُعدّ الانتقال من اتخاذ القرارات بناءً على الحدس أو المخاوف العامة إلى اتباع نهج كمّي في إدارة مخاطر الأمن السيبراني أحد أكبر التحديات التي تواجه العديد من الشركات . ويتفق معظم المديرين التنفيذيين على أن قياس مخاطر الأمن السيبراني سيكون أساسياً لتحديد أوجه تخصيص الأموال، والمشاريع ذات الأولوية، والضوابط الأكثر فعالية من حيث التكلفة للحدّ من المخاطر.

مع ذلك، لا تُفيد سوى أقلية من المؤسسات بتخصيص الموارد بطريقة تتوافق فعلاً مع المناطق الأكثر عرضة للمخاطر. ومن بين أبرز العقبات: عدم اليقين بشأن المدى الحقيقي للتهديدات ، ونقص البيانات الموثوقة، وصعوبة تحويل تلك المعلومات إلى مقاييس مفهومة للأعمال، وانعدام الثقة في نماذج القياس الكمي المتاحة.

مع ذلك، يتزايد استخدام تقييمات الأثر المالي لأنواع الحوادث المختلفة. تساعد هذه الحلول في تقدير، على سبيل المثال، تكلفة انقطاع طويل الأمد لنظام حيوي، أو تأثير اختراق بيانات العملاء على نطاق واسع، وذلك بحسب القطاع واللوائح المعمول بها وقدرة الشركة على الاستجابة.

إلى جانب الشركات الكبرى، يمكن حتى للشركات الصغيرة والمتوسطة الاستفادة من أساليب أبسط لتقييم ذلك، ولو لمجرد مقارنة رقم تقريبي للخسائر المحتملة بالإنفاق الحالي على الحماية. غالبًا ما تكون هذه المقارنة كاشفة، وتُبرز مدى انخفاض تكلفة الاستثمار في الأمن السيبراني مقارنةً بتكلفة وقوع حادث خطير.

في هذا السياق، يُعدّ التعاون الوثيق مع شركات التأمين والوسطاء المتخصصين مفيدًا للغاية. إذ يُتيح تبادل المعلومات حول مقدمي الخدمات، والبنية التقنية، وإجراءات العمل، تعديلًا أفضل لحدود التغطية التأمينية، والتغطية، والاستثناءات، مما يقلل من احتمالية حدوث مفاجآت غير سارة في حال تقديم مطالبة.

ما يتم إنفاقه فعلياً: حالة الشركات الصغيرة والمتوسطة الإسبانية

إذا نظرنا إلى مستوى الشركات الصغيرة والمتوسطة، نجد أن الاستثمار في الأمن السيبراني عادةً ما يكون منخفضًا للغاية . فقد أظهر استطلاع حديث، استند إلى مقابلات مع أكثر من ألف شركة إسبانية صغيرة ومتوسطة، أن ما يقرب من نصفها ينفق أقل من 500 يورو سنويًا على الأمن الرقمي، وهو مبلغ غير كافٍ على الإطلاق بالنظر إلى المخاطر التي تواجهها.

في الجزء التالي، أفادت حوالي 18% من الشركات الصغيرة والمتوسطة بتخصيص ما بين 500 و2.000 يورو سنويًا، بينما تتجاوز نسبة ضئيلة منها حاجز 2.000 يورو. ومن بين أبرز عوائق الاستثمار، يبرز الاعتقاد بأن تكاليف التنفيذ باهظة للغاية ، وهو اعتقاد غالبًا ما ينبع من نقص الفهم أكثر من كونه مبنيًا على أرقام فعلية.

توجد عوائق أخرى ذات طابع ثقافي أو متعلقة بالتصورات: إذ يعتقد ربع الشركات الصغيرة والمتوسطة أنه لا حاجة لتطوير برامجها الحالية (مع أن هذه البرامج غالباً ما تقتصر على برامج مكافحة الفيروسات الأساسية). يُضاف إلى ذلك الشعور بأن الأمن السيبراني معقد للغاية ويصعب إدارته، أو أن الكوادر المؤهلة غير متوفرة، مما يدفع العديد من الشركات إلى تجنب الاستثمار فيه، على الرغم من وجود حلول وخدمات مُدارة تناسب مختلف الميزانيات.

علاوة على ذلك، يرى ما يقارب نصف هذه الشركات أن اللوائح الأوروبية المتعلقة بالتحول الرقمي تشكل عائقاً أكثر منها عوناً، مما يجبرها على الامتثال لمتطلبات تعتبرها صعبة التحقيق بمواردها الحالية. ومن المفارقات أن العديد من هذه المؤسسات نفسها تُقر بأن الاستثمارات في التحول الرقمي وخدمات الحوسبة السحابية تُحقق بالفعل فوائد اقتصادية وكفاءة تشغيلية.

في الواقع، أفادت أربع من كل عشر شركات صغيرة ومتوسطة الحجم بتحقيق عائد إيجابي من التحول الرقمي، كما ترى نسبة كبيرة منها أن الأمن السيبراني عاملٌ يُمكن أن يُحسّن أرباحها النهائية. لا تكمن المشكلة عادةً في نقص الأدلة على القيمة، بل في صعوبة ترجمة هذه القيمة إلى قرارات مالية ملموسة ومستدامة.

الذكاء الاصطناعي والإنتاجية والتحديات الأمنية الجديدة

ومن الجوانب المهمة الأخرى للتكلفة الحقيقية للأمن السيبراني اعتماد أدوات الذكاء الاصطناعي . ففي قطاع الشركات الصغيرة والمتوسطة، أفاد ما يزيد قليلاً عن ثلث الشركات باستخدام حلول قائمة على الذكاء الاصطناعي، حيث تلعب المساعدات التوليدية دورًا هامًا في إدارة المستندات ومعالجة النصوص وتحليل البيانات ودعم التسويق والمبيعات وخدمة العملاء.

يتمثل الدافع الرئيسي لدى الشركات التي بدأت باستخدام هذه التقنيات في زيادة الإنتاجية والكفاءة ، وذلك من خلال تقليل العمل اليدوي، وتسريع إنتاج المحتوى، وتحسين خدمة العملاء عبر روبوتات المحادثة، أو تسهيل عملية اتخاذ القرارات عبر التحليل الآلي. وتخطط العديد من هذه الشركات لزيادة استثماراتها في الذكاء الاصطناعي خلال الأشهر القادمة.

مع ذلك، بالنسبة للشركات الصغيرة والمتوسطة التي لم تُقدم على هذه الخطوة بعد، لا يُمثل التكلفة المالية العائق الرئيسي عادةً، إذ لا تُشير إليها سوى نسبة ضئيلة جدًا كمشكلة أساسية. بل يكمن العائق الأكبر في غياب حالة استخدام واضحة في أعمالها اليومية أو في نقص الوعي بالحلول المتاحة. وهذا يعني أن العديد من المؤسسات تُفوّت فرصًا لتحسين قدرتها التنافسية، وفي الوقت نفسه، تعزيز أمنها باستخدام أدوات الذكاء الاصطناعي.

من المهم أن نتذكر أن الذكاء الاصطناعي نفسه أصبح سلاحًا في أيدي المهاجمين. فالتصيد الاحتيالي المُولّد تلقائيًا ، والتزييف العميق للصوت والفيديو، وهجمات الهندسة الاجتماعية الأكثر تطورًا، ترفع مستوى التمييز بين محاولات الاحتيال والتواصل المشروع. وهذا يضع مزيدًا من الضغط على الشركات لتعزيز برامج أمن الذكاء الاصطناعي لديها وضوابطها التقنية.

في هذا السياق، يمكن أن يؤدي الجمع بين الذكاء الاصطناعي لتحسين العمليات واكتشاف التهديدات، إلى جانب سياسات واضحة للاستخدام المسؤول لهذه الأدوات، إلى إحداث فرق بين اكتساب الكفاءة دون فقدان الأمن، أو فتح ثغرات جديدة في المؤسسة عن غير قصد.

دور سياسات إدارة المخاطر السيبرانية وحدودها

أصبحت وثائق التأمين ضد مخاطر الأمن السيبراني عنصراً هاماً في منظومة إدارة المخاطر. وبشكل عام، يغطي هذا النوع من التأمين المطالبات المرتبطة بحوادث مثل التصيد الاحتيالي، واختراقات البيانات، وانقطاع الأعمال، وهجمات برامج الفدية، وغيرها من الأحداث المتعلقة بالأنظمة والأصول الرقمية.

يُظهر تحليل المطالبات أن حوالي 94% من الخسائر في معظم حالات اختراق البيانات تُغطى بموجب هذه البوالص، شريطة أن يستوفي الحادث الشروط التعاقدية. مع ذلك، عندما يكون سبب المشكلة داخل المؤسسة المؤمن عليها نفسها، تنخفض نسبة التغطية الفعلية إلى حوالي 83%.

من بين أسباب النزاعات المتعلقة بالتغطية، تبرز ثلاثة أسباب على وجه الخصوص: تقديم المطالبات خارج الموعد النهائي ، وعدم تفعيل بعض البنود التي تتطلب إجراءات محددة من قبل المؤمن عليه، والقرارات التي تتخذها الشركة دون الحصول على موافقة مسبقة من شركة التأمين، الأمر الذي قد يبطل في بعض الحالات جزءًا من الضمانات.

لتجنب هذه المواقف، من الضروري أن تفهم المؤسسات تمامًا ما تغطيه بوليصة التأمين الخاصة بها، وما هي استثناءاتها، وما هي التزاماتها في حال وقوع حادث. ويضمن التواصل المبكر والسلس مع الوسيط وشركة التأمين، وتوفير معلومات حول الموردين الرئيسيين والأصول الحساسة ونقاط الضعف المعروفة، أن تكون بوليصة التأمين مصممة خصيصًا لتناسب المخاطر التي تواجهها الشركة.

علاوة على ذلك، فإن دمج هذه السياسة ضمن استراتيجية أوسع نطاقاً لتعزيز الأمن السيبراني يمنع الانطباع الخاطئ بأن التأمين سيحل كل شيء. فالتغطية المالية تساعد في تخفيف الأثر، لكنها لا تمنع الهجمات ولا تغني عن الحاجة إلى إجراءات فعّالة، وكوادر مدربة، وتقنيات مناسبة.

قانون الأمن السيبراني الجديد وتكلفة الامتثال له

في أوروبا، يُؤدي تطبيق توجيه NIS2 من خلال قانون جديد للأمن السيبراني إلى رفع مستوى الالتزامات المفروضة على آلاف الشركات، لا سيما تلك العاملة في قطاعات تُعتبر حيوية أو أساسية للاقتصاد والمجتمع. وفي إسبانيا، تشير التقديرات إلى أن نحو 6.000 مؤسسة ستضطر إلى التكيف مع هذا القانون وتحمل تكاليف تنفيذه.

يُفرّق القانون بين الكيانات الأساسية والكيانات المهمة . تشمل الكيانات الأساسية في المقام الأول الشركات العاملة في قطاعات بالغة الأهمية (كالطاقة، والنقل، والمصارف، والرعاية الصحية، وإدارة المياه، والبنية التحتية الرقمية، وخدمات تكنولوجيا المعلومات والاتصالات للغير، والفضاء، والصناعة النووية) والتي تتجاوز أيضًا عتبات معينة من حيث الحجم والإيرادات، بالإضافة إلى مزودي الخدمات الموثوقة، والنطاقات، وشبكات الاتصالات العامة، وغيرها. أما جميع المنظمات الأخرى التي تندرج ضمن نطاق القانون ولكنها لا تستوفي شروط الأساسية، فتُعتبر كيانات مهمة.

تختلف تكلفة التكيف اختلافًا كبيرًا باختلاف نقطة البداية. بالنسبة للمؤسسات الكبيرة التي يتعين عليها عمليًا بناء بنيتها التحتية للأمن السيبراني من الصفر، يبلغ متوسط ​​الاستثمار المُقدّر حوالي 180.000 يورو. أما تلك التي طبقت بالفعل ما يقارب 27% من التدابير المطلوبة، فقد تصل تكاليف التكيف فيها إلى حوالي 131.000 يورو.

أما بالنسبة للكيانات الأساسية ، فترتفع الأرقام بشكل كبير: فقد تحتاج الكيانات التي تبدأ من مستوى منخفض جدًا من التنفيذ إلى استثمارات تتجاوز مليوني يورو، بينما تحتاج الكيانات التي تستوفي بالفعل حوالي نصف المتطلبات إلى حوالي 1,19 مليون يورو. أما الشركات الخاضعة بالفعل للتنظيم بموجب الإطار السابق (NIS1)، فتواجه تكلفة إضافية أقل بكثير، في حدود 100 ألف يورو، للتكيف مع المتطلبات الجديدة.

إذا تضافرت كل هذه الجهود، تُقدّر الحكومة أن قطاع الإنتاج المتضرر بأكمله قد يستثمر حوالي 2.250 مليار يورو للتكيف مع القانون الجديد. هذا رقم كبير، لكن يجب تفسيره في ضوء التكلفة، سواء من الناحية المالية أو من حيث الأثر الاجتماعي، لسلسلة من الحوادث الخطيرة في قطاعات استراتيجية تفتقر إلى حد أدنى مشترك من الحماية.

التدابير المطلوبة: من إدارة المخاطر إلى العقوبات

يتجاوز قانون الأمن السيبراني التوصيات العامة، إذ يُلزم الشركات المشمولة به بتبني مجموعة شاملة من التدابير ، بدءًا من إدارة المخاطر وصولًا إلى تدريب الموظفين. وتشمل المتطلبات الرئيسية وضع سياسات أمنية متينة، وإجراء تحليلات دورية للمخاطر، وإدارة منهجية للثغرات الأمنية ، ووضع إجراءات واضحة للاستجابة للحوادث.

كما تم التأكيد على ضرورة وجود نسخ احتياطية متكررة وموثوقة، وآليات لاستعادة البيانات في حالات الكوارث ، وبروتوكولات لإدارة الأزمات، وذلك لمنع الحوادث الأمنية من شلّ العمليات لأيام أو أسابيع. وتتصدر أمن سلسلة التوريد المشهد مجدداً، مما يُلزم المؤسسات بمراقبة أمن مورديها وشركائها التقنيين.

ومن المجالات المهمة الأخرى حل الحوادث والإبلاغ عنها . يجب أن تمتلك الشركات خدمات قادرة على الاستجابة بسرعة عند اكتشاف مشكلة ما، والتخفيف من آثارها، واستعادة الوضع الطبيعي في أسرع وقت ممكن، بالإضافة إلى إخطار السلطات المختصة والأفراد المتضررين ضمن أطر زمنية محددة وبمعلومات واضحة.

ينص النظام أيضاً على تعيين مسؤول أمن معلومات ليكون بمثابة نقطة اتصال داخلية مع السلطات. ويؤكد على أهمية التدريب المستمر في مجال الأمن السيبراني للمديرين والموظفين، إدراكاً منه أن التكنولوجيا وحدها غير كافية إذا لم يتمكن الأفراد من تحديد المخاطر وإدارتها.

لضمان الامتثال، يجري التخطيط لآليات اعتماد للجهات الأساسية، وتقييمات ذاتية موجهة للجهات الهامة، ومنح صلاحيات واسعة للهيئات الرقابية، التي ستتمكن من إجراء عمليات تدقيق، وطلب معلومات، وفرض عقوبات. وفي الحالات الأكثر خطورة، قد تصل الغرامات إلى 10 ملايين يورو، كما يجري النظر في تدابير أخرى مثل تعليق الاعتمادات أو التقييد المؤقت لمهام كبار المسؤولين إلى حين تصحيح أوجه القصور المحددة.

عند مقارنة حجم الاستثمارات اللازمة لتعزيز الأمن السيبراني بالأثر الاقتصادي والقانوني والسمعة المحتمل لحادث خطير، يتضح جلياً أن التغاضي عنه مكلف للغاية . إن فهم التكلفة الحقيقية للأمن السيبراني يعني إدراك أن حماية الأنظمة والبيانات والعمليات ليست نفقة ثانوية، بل هي عنصر أساسي في نموذج العمل؛ وكلما أدركت الشركات ذلك مبكراً، قلّ ما ستدفعه من ثمن التقاعس عند وقوع الهجوم التالي.