الخلاصة

  • في تدقيق صدر في 28 أكتوبر 2026، أقرّ المفتش العام بأن مجلس المحافظين يجري اختبارات طوارئ نصف سنوية ويحتفظ بخطط استمرارية لكل إدارة، لكنه لم يضع خطط استعادة مكتملة للأنظمة المعلوماتية الفردية بما يشمل العناصر التقنية المطلوبة.
  • يتولى فريق الاستخبارات والمخاطر الداخلية والأمن القومي تحليل أثر تعطل الأعمال والعمليات، بينما يتولى قسم تقنية المعلومات الطوارئ التقنية. لا توجد سياسة تحدد كيف ينسقان أو يراجعان الوثائق معاً. أغلب تحليلات أثر الأعمال لم تُحدث منذ 2023 أو قبلها.
  • حصل برنامج أمن المعلومات على مستوى نضج 2 من 5، دون المستوى 4 الذي تعده المعايير الاتحادية فعالاً. تغير طريقة الحساب وإضافة مجال الحوكمة يؤثران في المقارنة بالسنوات السابقة. بقيت 13 توصية من أصل 17 توصية سابقة مفتوحة؛ وقبل المجلس ثماني توصيات جديدة.

من خطة الإدارة إلى زر استعادة نظام بعينه

تقرير المفتش العام الأصلي المؤرخ 28 أكتوبر 2026 يخص مجلس محافظي نظام الاحتياطي الفيدرالي، الذي يستخدم بيانات مالية ورقابية حساسة. لا يقيس أحوال جميع بنوك الاحتياطي الإقليمية. ويبدأ بنتيجة لا يجوز إخفاؤها: لدى المجلس تدريبات للطوارئ وخطط لاستمرار العمل على مستوى الإدارات. الفجوة التي وجدها المدققون أدق من اتهام المؤسسة بأنها بلا استعداد؛ فهي لم تصنع خطة كاملة تعيد كل نظام معلومات إلى العمل وفق المتطلبات المحددة.

يمكن لخطة الإدارة أن تعلن أي وظيفة ينبغي إعادتها أولاً. تحتاج غرفة التقنية إلى ترتيب الأنظمة، ونقطة استعادة البيانات، وطريقة تشغيل بديلة، وإجراءات مفصلة لاختبار النتيجة وإعادة الخدمة. فحص المفتش العام الخطط ووجد هذه العناصر ناقصة في المستوى الفردي. قال مسؤول إن المعلومات محفوظة ضمن خطط أمن الأنظمة، لكن تلك الوثائق لم تتضمن إجراءات الاستعادة المطلوبة لكل نظام. اسم الملف لا يحل محل الخطوات التي يفترض أن يحتويها.

قد يثبت التمرين أن الموظفين تلقوا البلاغ وأدوا أدوارهم، لكنه لا يحدد تلقائياً أي نسخة من البيانات مقبولة عند عودة تطبيق محدد. هذه القرارات تصبح أغلى حين يقع تعطّل وتتزاحم الوظائف على الوقت والموارد. يجب أن تُحسم علاقة أولوية العمل بقدرة النظام قبل أن يفرض الانقطاع ترتيباً ارتجالياً.

فريقان يكتبان الأزمة بتوقيتين

يتولى برنامج الاستخبارات والمخاطر الداخلية والأمن القومي، IINS، تحليل أثر الانقطاع في الأعمال وتحليل العمليات والتخطيط للاستمرارية. ويتولى قسم تقنية المعلومات تخطيط الطوارئ التقنية. وجد المفتش العام أن المجلس لم يحدد سياسة مشتركة توضح التنسيق، والمسؤولية عن مطابقة الأولويات مع القدرة التقنية، وعدد مرات مراجعة الوثائق معاً.

أظهر التدقيق عمر هذه الفجوة. معظم تحليلات أثر الأعمال لم تُحدث منذ 2023 أو أقدم، وأكثر من نصف تحليلات العمليات لم تُحدث منذ 2024 أو أقدم. بعض تحديثات العمليات في 2025 لم تنعكس في تحليلات الأثر المقابلة. قد يملك أحد الفريقين ترتيباً جديداً للوظائف ويعمل الآخر على ترتيب قديم. عند تعطّل نظام لا يوجد وقت مريح لمقارنة إصدارات الأوراق.

استنتج المفتش العام أن المجلس لا يملك ضماناً كافياً لاستعادة أنظمته الحرجة باستمرار وفي الوقت المناسب خلال الاضطرابات. الاستنتاج عن الوثائق والضبط، لا عن واقعة فشل استعادة محددة. المسؤولية المطلوب تسميتها هي من يربط حكم العمل على الاستعجال بما تستطيع التقنية إعادته فعلاً.

حتى سجل الأنظمة لا يمنح الصورة المطلوبة. معيار المجلس يلزم بتسجيل 32 حقلاً لكل نظام؛ غاب منها عشرة، بينها نوع المعلومات، وحدود الترخيص، ومالك النظام، ونوع الخدمة السحابية. صُنفت بعض الأنظمة التي تحفظ معلومات شخصية أو تدعم وظائف أساسية على نحو خاطئ، وغابت عن السجل أنظمة موجودة في أداة امتثال أخرى. الحديث عن عشرة حقول مفقودة، لا عن عشرة أنظمة اختفت. من دون مالك واضح ووظيفة واضحة، يتعثر ترتيب الاستعادة منذ الخطوة الأولى.

درجة الأمن لا تعيد تشغيل جهاز

الملخص الرسمي للتدقيق وضع برنامج أمن المعلومات في المستوى 2 من أصل 5: سياسات محددة لكن تطبيقها غير متسق. تعد الإرشادات الاتحادية المستوى 4، المدار والقابل للقياس، فعالاً. كانت الدرجة 4 في 2024 و3 في 2025. ليست الأرقام الثلاثة مقياساً ثابت الطريقة: انتقل الحساب من الدرجة الأكثر تكراراً إلى المتوسط، وأصبح الأمن من زاوية الحوكمة مجالاً مستقلاً، وظهرت نتائج تدقيق إضافية. حكم 2026 واضح؛ تفسيره التاريخي يحتاج قراءة طريقة التقييم.

ومن التوصيات القديمة الـ17 بقيت 13 مفتوحة، فيما أغلق المفتش العام أربعاً بعد إجراءات اتخذها المجلس. أضاف التقرير ثماني توصيات تتناول الحوكمة التقنية والجرد واستثناءات المصادقة والثغرات والمراقبة والاستمرارية وعقود مزودي السحابة. وافق كبير مسؤولي تقنية المعلومات وكبير المسؤولين الماليين على النتائج، وقدما خطط عمل. قبول التوصية يحدد المهمة؛ لا يكتب إجراءات استعادة نظام بعينه.

إحدى التوصيات تطلب وضع قواعد مشتركة بين IINS وتقنية المعلومات لتحليلات الأثر والعمليات وربطها بالتخطيط التقني، ثم اشتراط خطط للطوارئ لكل نظام. الوثيقة التي ستغير تقدير المخاطر هي تحليل مؤرخ ومتوافق مع سجل يذكر المسؤول عن كل نظام، وخطوات استعادة مجربة ونتائجها. المجلس يملك تدريبات وأدوات أمن. عليه الآن أن يثبت أن وظيفة أساسية في الخطة تؤدي إلى نظام معروف وطريقة معروفة لإعادته.

المصادر