Summary

  • وجد تدقيق المفتش العام الصادر في 28 أكتوبر 2026 أن نحو 97% من مستخدمي مجموعة تقنية داخلية واحدة أُعفوا من المصادقة متعددة العوامل المقاومة للتصيد في تطبيقات معينة. هذه ليست نسبة جميع موظفي مجلس المحافظين ولا جميع عمليات دخول المجموعة.
  • لم يكن المجلس يتابع الاستثناءات مركزياً. تعذر على الإدارة تفسير أسباب بعض الإعفاءات سريعاً، ولم تعرف إدارة التقنية المركزية كم مضى عليها أو متى تنتهي. أوصى المفتش بسياسة مؤسسية ومراجعة مجموعات المستخدمين المعفيين.

القاعدة العامة لم تعرف باب الخروج

يطبق المجلس المصادقة المقاومة للتصيد، لكن الأقسام تدير المخارج من هذه القاعدة بإجراءات مختلفة. يحدد التقرير الكامل حالة صارخة: في مجموعة تقنية داخلية واحدة شمل الإعفاء نحو 97% من المستخدمين بالنسبة إلى تطبيقات معينة. لا يثبت التقرير أنهم يدخلون كل الأنظمة بلا عامل ثانٍ. إنه يثبت أن الاستثناء من الوسيلة الأقوى أصبح واسعاً جداً داخل نطاق محدد، فيما تغيب عنه مساءلة مركزية واضحة.

لم تكن الإدارة المركزية تعرف مدة جميع الإعفاءات ولا تاريخ انتهائها. ولم تستطع الإدارة تبيان مبرر بعضها على الفور. عند هذه النسبة، لا تكفي عبارة «هذا استثناء» لوصف التشغيل اليومي. المعنى العملي للقاعدة يُكتب حيث تتكرر الموافقات، لا على غلاف السياسة.

المجموعة التقنية التي تخدم أقساماً عدة احتفظت أيضاً بإجراءات منفصلة لمعالجة الثغرات. سمحت سياستها المحلية بإبلاغ مسؤول أمن المعلومات وفق تقديرها، بينما يوجب المسار المؤسسي التصعيد. كما افتقر سجل الأنظمة إلى عشرة من أصل 32 نوعاً من الحقول المطلوبة، منها مالك النظام وحدود الترخيص. المقصود عشرة أنواع من البيانات، لا عشرة أنظمة ضائعة. إذا غاب اسم المالك ومسار البلاغ، يصل الخطر إلى المركز بلا عنوان أو لا يصل أصلاً.

صنف المفتش نضج أمن المعلومات في 2026 عند المستوى الثاني من خمسة، دون المستوى الرابع الذي يعد فعالاً؛ وكان المستوى الثالث في 2025 والرابع في 2024. يعزو التقرير الحركة إلى ضعف في الضوابط وإلى طريقة احتساب الدرجات وزيادة وزن الحوكمة، فلا يجوز تحويلها إلى سردية عن سلسلة اختراقات. بقيت 13 من 17 توصية سنوية سابقة مفتوحة. وافق المجلس على ثماني توصيات جديدة، بينها ضبط الاستثناءات. الموافقة لا تقدم قائمة بالمستخدمين الذين انتهى إعفاؤهم.

Sources