خفض المخاطرة إلى مستوى مقبول: التخفيف بالضوابط

الإجابة الصحيحة: A. Implement safeguards such as full-disk encryption to mitigate the risk

✅ لماذا هذه الإجابة

ثلاث من استجابات المخاطر الأربع في سؤال واحد (التخفيف والنقل والقبول؛ والرابعة، التجنب، ليست بين الاختيارات)، والمفتاح في فعل السؤال: «lower that risk to an acceptable level»؛ أي استجابة تقلل الخطر نفسه؟ التخفيف (Mitigate): ضوابط تخفض الاحتمال أو الأثر (كالتشفير الكامل للأقراص)، وهو الوحيد بين الاختيارات الذي يغيّر الخطر ذاته.

❌ لماذا البدائل الأخرى خاطئة

• التأمين السيبراني لنقل المخاطرة (B): ينقل الأثر المالي إلى طرف ثالث؛ الحادث يقع كما هو، والفاتورة وحدها تنتقل. مشروع لكنه ليس «تقليلًا».
• التوثيق والقبول (C): قرار واعٍ موثق بالتعايش (للمخاطر الصغيرة أو التي علاجها أغلى منها)؛ مشروع، لكنه لا يقلل شيئًا، والقيادة تريد خفضها.
• التجاهل حتى وقوع حادث (D): الاستجابة الوحيدة غير المشروعة أبدًا. والفرق عن القبول: القبول قرار موثق بعد تقييم، والتجاهل غياب قرار.

💡 المفهوم الأساسي

قاعدة الامتحان: فعل السؤال يختار الاستجابة. «خفض الخطر» ← التخفيف (mitigate). و«نقل الأثر المالي» ← النقل (transfer). و«خطر صغير علاجه أغلى منه» ← القبول (accept). و«إيقاف النشاط نفسه» ← التجنب (avoid). والتجاهل خطأ دائمًا.

وفي الامتحان: بين هذه الاختيارات، التخفيف وحده يخفض الخطر نفسه، لأنه يقلل احتماله أو أثره بضوابط. (التجنب يزيل الخطر كله بإيقاف النشاط، لكنه ليس بين الاختيارات.) والتأمين ينقل الفاتورة ولا يمنع الواقعة. والقبول قرار موثق بعد تقييم، والتجاهل غياب القرار.

🔗 معلومات وأسئلة مرتبطة

• الاستجابة الرابعة، التجنب (avoid): إيقاف النشاط الذي ينشأ عنه الخطر.
  سؤال تدريبي: قررت الإدارة ألا تُخزَّن أي معلومات مرضى على الحواسيب المحمولة، وأن تبقى على الخوادم فقط. أي استجابة هذه؟ ← التجنب.
• النقل ليس تخفيفًا:
  سؤال تدريبي: اشترت مؤسسة تأمينًا ضد الهجمات الإلكترونية، واعتبرت أن ملف هجمات الفدية أُغلق. ما الخطأ؟ ← خلط بين النقل والتخفيف. التأمين يغطي التكلفة ولا يمنع الهجوم. والصحيح الجمع بينهما: ضوابط ثم وثيقة تأمين.
• الخطر المتبقي (residual risk): ما يبقى بعد تطبيق الضوابط. ويُقارن بما تقبله المؤسسة من مخاطرة (risk appetite): إن كان دونه قُبل، وإلا أُضيفت ضوابط.
  سؤال تدريبي: بعد تشفير الحواسيب بقي احتمال أن يختار المستخدمون كلمات مرور ضعيفة. ماذا يسمى هذا الخطر؟ ← الخطر المتبقي.
• أنواع الضوابط حسب وظيفتها: وقائية (preventive) تمنع الواقعة، مثل التشفير والتحكم في الوصول. وكاشفة (detective) تكتشفها، مثل مراجعة سجلات التدقيق. وتصحيحية (corrective) تعالج أثرها، مثل الاسترجاع من نسخة احتياطية.
  سؤال تدريبي: مراجعة سجل التدقيق أظهرت دخولًا غير مصرح به وقع أمس. أي نوع من الضوابط هذه المراجعة؟ ← كاشف.
• سجل المخاطر (risk register): وثيقة فيها كل خطر، واحتماله وأثره، ومالكه، والاستجابة المختارة له، وحالته. ويُراجَع دوريًّا، لأن الاحتمال والأثر يتغيران.
  سؤال تدريبي: قررت الإدارة قبول خطر صغير بعد تقييمه. أين يُوثَّق هذا القرار مع اسم مالك الخطر وموعد مراجعته؟ ← في سجل المخاطر. وهذا التوثيق هو ما يفرق القبول عن التجاهل.
• معالجة الخطر في أسئلة أخرى: الضوابط التعويضية (سؤال مرتبط في البنك الكامل) والتكرار الاحتياطي (سؤال مرتبط في البنك الكامل) من وجوه التخفيف. أما خطة الطوارئ (سؤال مرتبط في البنك الكامل) فتُعدّ مسبقًا وتُفعَّل إذا وقع الحدث.