فجوات الأمن السيبراني NCA التي تكتشفها الشركات السعودية بعد فوات الأوان

نادرًا ما تظهر فجوات الأمن السيبراني NCA في السعودية لأول مرة أثناء اختراق كبير. فهي غالبًا تكون موجودة قبل ذلك بكثير: في ضعف الحوكمة، وسجلات الأصول غير المكتملة، وملكية البيانات غير الواضحة، وصلاحيات الوصول المفرطة، وخطط الاستجابة للحوادث غير المختبرة، وترتيبات السحابة التي لم يراجعها أحد بالكامل.

المشكلة هي التوقيت. تكتشف كثير من المنظمات الفجوة فقط بعد تعطل نظام، أو ملاحظة تدقيق داخلي، أو فشل مراجعة امتثال، أو حادثة فدية إلكترونية، أو إخفاق مورّد، أو تعرض بيانات العملاء. عندها، لا تعود المسألة ضعفًا في السياسة. بل تصبح مشكلة أعمال.

بالنسبة للشركات السعودية، لا يُعد الأمن السيبراني وظيفة تقنية معلومات فقط. بل هو مسؤولية حوكمة تمس إدارة المخاطر، وحماية البيانات، واستخدام السحابة، والمورّدين، واستمرارية العمليات، والتعرض النظامي، ورقابة مجلس الإدارة. تمنح وثائق الضوابط الصادرة عن الهيئة الوطنية للأمن السيبراني المنظمات طريقة منظمة لفهم هذه المسؤولية، لكن كثيرًا من الشركات لا تزال تتعامل معها كوثائق قوائم تحقق بدلًا من متطلبات تشغيلية.

وهنا يبدأ الضرر.

لماذا تبدأ فجوات الأمن السيبراني NCA غالبًا من ضعف الحوكمة

تبدأ معظم إخفاقات الأمن السيبراني قبل فشل أي ضابط تقني. فهي تبدأ عندما لا يكون هناك مالك واضح للخطر.

قد تمتلك الشركة جدران حماية، وأدوات مكافحة فيروسات، وأنظمة سحابية، وسياسات أمنية. لكن إذا كانت مسؤوليات الأمن السيبراني غير واضحة، وخطوط التقارير ضعيفة، وقرارات المخاطر غير موثقة، ولا تتلقى القيادة إلا تحديثات عامة، فإن بيئة الرقابة تبقى هشة.

صُممت الضوابط الأساسية للأمن السيبراني الصادرة عن NCA لتعزيز الأمن السيبراني على المستوى الوطني وحماية أصول المعلومات والتقنية للجهات الوطنية. وهذا الهدف مهم لأن الضوابط لا تتعلق بالتقنية فقط. بل تدفع المنظمات إلى التعامل مع الأمن السيبراني باعتباره نظام حوكمة مُدارًا.

يظهر ضعف الحوكمة عادةً بطرق بسيطة. لا تُناقش مخاطر الأمن السيبراني إلا بعد وقوع حادثة. ويتلقى مجلس الإدارة عروضًا تقنية، لا لوحات مؤشرات مبنية على المخاطر. وتعتمد الإدارة أنظمة جديدة دون التحقق من متطلبات الأمن السيبراني. ويراجع التدقيق الداخلي السياسات دون اختبار ما إذا كانت الضوابط تعمل فعليًا. وتتعامل وحدات الأعمال مع متطلبات الأمن على أنها تأخير، لا حماية.

عندما تكون الحوكمة ضعيفة، تُترك الفرق التقنية لتحمل مخاطر الأعمال وحدها.

تحتاج الشركات السعودية إلى أن تسأل ما إذا كانت قرارات الأمن السيبراني مرئية على المستوى الصحيح. من يقبل الخطر المتبقي؟ من يراجع فجوات الضوابط؟ من يملك مواعيد المعالجة؟ من يتحقق مما إذا كان مورّدو السحابة يلبون المتطلبات؟ من يؤكد أن حماية البيانات، والاستجابة للحوادث، وضوابط الوصول تعمل فعليًا؟

إذا لم تكن لهذه الأسئلة إجابات واضحة، فقد تكون لدى المنظمة بالفعل فجوة في ضوابط الأمن السيبراني NCA.

فجوات إطار NCA التي تكتشفها الشركات السعودية بعد فوات الأوان

تظهر فجوات إطار NCA غالبًا عندما تفترض الشركات أنها «آمنة عمومًا» لأنها تمتلك بعض أدوات الأمن السيبراني. لكن المشكلة أن الأدوات لا تعني نضج الضوابط.

قد تمتلك الشركة حماية لنقاط النهاية، لكنها لا تمتلك تصنيفًا للأصول. وقد تمتلك المصادقة متعددة العوامل لبعض المستخدمين، لكن ليس للحسابات ذات الامتيازات. وقد تمتلك عملية نسخ احتياطي، لكن لا توجد خطة استعادة مختبرة. وقد تمتلك مزودًا سحابيًا، لكن لا يوجد نموذج مسؤوليات واضح. وقد تمتلك وثيقة استجابة للحوادث لم يتدرب عليها أحد.

من السهل عدم ملاحظة هذه الفجوات أثناء العمليات العادية لأن الأعمال تستمر. تعمل رسائل البريد الإلكتروني. وتبقى الأنظمة متاحة. ويسجل المستخدمون الدخول. ويقدم المورّدون الخدمات. ولا يصبح الضعف مرئيًا إلا عندما يتعطل شيء ما.

تغطي الوثائق التنظيمية الصادرة عن NCA مجالات ضوابط مختلفة لأن مخاطر الأمن السيبراني ليست أحادية البعد. توفر ECC متطلبات الأمن السيبراني الأساسية، بينما تركز ضوابط الأمن السيبراني للبيانات الصادرة عن NCA على حماية البيانات طوال دورة حياتها. وتعالج ضوابط الأمن السيبراني للحوسبة السحابية خدمات الحوسبة السحابية من منظور كل من مزود الخدمة السحابية ومستأجر الخدمة السحابية.

بالنسبة للمنظمات السعودية، الدرس الأساسي هو أن جاهزية الامتثال للأمن السيبراني في السعودية يجب أن تُربط عبر بيئة الأعمال. لا يمكن للشركة أن تتحقق فقط مما إذا كان قسم تقنية المعلومات يمتلك سياسات. بل تحتاج إلى معرفة أي الأنظمة، والبيانات، والمورّدين، والمستخدمين، والخدمات السحابية، والعمليات التشغيلية تقع ضمن مخاطر الأمن السيبراني.

تصبح فجوة الإطار خطيرة عندما لا تستطيع الشركة إظهار كيف ترتبط الضوابط بالأصول الحقيقية والعمليات التجارية الحقيقية.

ضعف تصنيف الأصول والبيانات يُبقي المخاطر السيبرانية مخفية

لا تستطيع الشركة حماية ما لا تستطيع رؤيته.

يُعد ضعف تصنيف الأصول والبيانات أحد أكثر الأسباب شيوعًا لبقاء مخاطر الأمن السيبراني مخفية. قد تعرف المنظمات أنظمتها الرئيسية، لكنها قد لا تمتلك رؤية كاملة للتطبيقات، وقواعد البيانات، ونقاط النهاية، وأعباء العمل السحابية، والمجلدات المشتركة، ومواقع النسخ الاحتياطي، والحسابات ذات الامتيازات، ونقاط وصول المورّدين، وأصول التقنية التشغيلية.

هذا يخلق منطقة عمياء. إذا لم يتم تصنيف الأصل، فقد لا يحصل على الضوابط المناسبة. وإذا لم تُصنف البيانات، فقد لا تعرف الشركة أي المعلومات تحتاج إلى حماية أقوى. وإذا كانت الملكية غير واضحة، تصبح المعالجة بطيئة لأن لا أحد يعرف من المسؤول عن النظام أو مجموعة البيانات.

تُعد ضوابط الأمن السيبراني للبيانات مهمة بشكل خاص لأن المخاطر تتغير بحسب نوع البيانات المعنية. لا تحمل سجلات العملاء، وملفات الموظفين، والبيانات المالية، والبيانات الشخصية، والعقود السرية، والملكية الفكرية، والبيانات التشغيلية مستوى التعرض نفسه. قد تتطلب بعض البيانات ضوابط وصول أقوى، وتشفيرًا، وقواعد احتفاظ، ومراقبة، وتخطيطًا للاستجابة للاختراق.

تهدف ضوابط الأمن السيبراني للبيانات الصادرة عن NCA إلى وضع الحد الأدنى من متطلبات الأمن السيبراني التي تساعد المنظمات على حماية البيانات عبر دورة حياتها. وهذا النهج القائم على دورة الحياة مهم لأن مخاطر البيانات لا تبدأ عندما تُخزن المعلومات. بل تبدأ عندما تُجمع البيانات، أو تُستخدم، أو تُشارك، أو تُنقل، أو تُؤرشف، أو تُحذف.

بالنسبة للشركات السعودية، لا يؤثر ضعف التصنيف في الأمن السيبراني فقط. بل يمكن أن يؤثر في جاهزية PDPL، ومراجعات المورّدين، وقرارات السحابة، والاستجابة للحوادث، وملاحظات التدقيق، وتقارير الإدارة.

فجوات التحكم في الوصول وMFA والتشفير تخلق تعرضًا سهلًا

تُعد فجوات التحكم في الوصول خطيرة لأنها تمنح المهاجمين، أو المستخدمين غير الحذرين، أو المطلعين غير المصرح لهم مسارًا أسهل إلى الأنظمة الحساسة.

تعتقد كثير من الشركات أن الوصول مضبوط لأن المستخدمين لديهم كلمات مرور ولأن الحسابات تُنشأ من خلال تقنية المعلومات. هذا غير كافٍ. يعتمد التحكم القوي في الوصول على هوية المستخدم، والصلاحيات القائمة على الدور، وإدارة الوصول ذي الامتيازات، والمراجعة الدورية، وإزالة الحسابات، وMFA، ومراقبة النشاط غير المعتاد.

أكثر نقاط ضعف الوصول شيوعًا هي الحسابات القديمة التي تبقى نشطة، والصلاحيات المفرطة، وبيانات اعتماد المسؤولين المشتركة، وممارسات كلمات المرور الضعيفة، والمستخدمون ذوو الامتيازات دون ضوابط أقوى، وتأخر إزالة الوصول بعد انتقال الموظفين أو مغادرتهم.

تُعد فجوات MFA خطيرة بشكل خاص في الوصول عن بُعد، والتطبيقات السحابية، والبريد الإلكتروني، والحسابات ذات الامتيازات، والأنظمة التي تحتوي على بيانات حساسة. فإذا كانت كلمة مرور مسروقة كافية للوصول إلى النظام، فقد سهّلت الشركة مهمة المهاجم.

تخلق فجوات التشفير طبقة أخرى من التعرض. قد تكون البيانات محمية في نظام واحد، لكنها تُنسخ إلى جداول بيانات، أو مرفقات بريد إلكتروني، أو مجلدات مشتركة، أو وحدات تخزين محمولة، أو تخزين سحابي غير مُدار. وإذا لم يُطبق التشفير بناءً على حساسية البيانات ومخاطر الأعمال، فقد تمتلك الشركة شعورًا زائفًا بالحماية.

يجب أن تركز مراجعة التحكم في الوصول العملية على المجالات التي تخلق أعلى درجات التعرض.

هذه ليست مسائل تقنية فقط. بل هي مسائل حوكمة وإدارة مخاطر. يجب أن يعرف العمل من يستطيع الوصول إلى الأنظمة الحرجة، ولماذا يحتاج إلى هذا الوصول، وكم مرة تتم مراجعته.

تصبح فجوات التسجيل والاستجابة للحوادث خطيرة بعد الاختراق

قبل الاختراق، يبدو التسجيل غالبًا كتفصيل تقني. بعد الاختراق، يصبح دليلًا.

إذا لم تستطع الشركة معرفة من وصل إلى النظام، وما الذي تغيّر، ومتى تم تنزيل ملف، وكيف استُخدم حساب، أو إلى أين تحرك المهاجم، تصبح الحادثة أصعب في الاحتواء والشرح. يحول ضعف التسجيل الحادثة السيبرانية إلى تمرين تخمين.

تخلق فجوات الاستجابة للحوادث المشكلة نفسها. قد تكون لدى الشركة خطة استجابة محفوظة في مستند، لكن إذا لم تكن الخطة مختبرة، والأدوار غير واضحة، وقوائم الاتصال قديمة، ومسارات التصعيد بطيئة، فقد يفقد الفريق وقتًا ثمينًا خلال الساعات الأولى من الحادثة.

تعتمد جاهزية إدارة المخاطر السيبرانية في السعودية على القرارات السريعة. من يؤكد الحادثة؟ من يعزل الأنظمة المتأثرة؟ من يُبلغ القيادة؟ من ينسق بين الإدارة القانونية، والامتثال، والاتصالات، وتقنية المعلومات؟ من يتواصل مع المورّدين؟ من يحفظ الأدلة؟ من يقرر ما إذا كان يجب إخطار الجهات التنظيمية أو الأطراف المتأثرة؟

عندما تكون هذه الأدوار غير واضحة، قد تستجيب الشركة تقنيًا لكنها تفشل تشغيليًا.

وهنا تصبح انضباطية GRC في الأمن السيبراني مهمة. تحدد الحوكمة الملكية. وترتب إدارة المخاطر السيناريوهات الأكثر خطورة حسب الأولوية. ويضمن الامتثال توثيق الضوابط ومراجعتها. وتنفذ فرق الأمن السيبراني الاستجابة. وإذا كانت هذه الأجزاء غير مترابطة، تصبح الاستجابة للحوادث أبطأ وأضعف.

يمكن أن تساعد دورة  GRC  الفرق على فهم كيفية ارتباط حوكمة الأمن السيبراني، وملكية الضوابط، ورقابة المخاطر، ومتابعة الامتثال. وبالنسبة للشركات السعودية، تُعد هذه المعرفة مفيدة لأن فجوات الأمن السيبراني NCA لا توجد في الأنظمة فقط. بل توجد غالبًا في طريقة إدارة القرارات، والأدلة، والمساءلة.

غالبًا ما تكون مخاطر السحابة والأطراف الخارجية أقل ضبطًا من اللازم

غالبًا ما يُستهان بمخاطر السحابة لأن كثيرًا من الشركات تفترض أن مزود الخدمة مسؤول عن الأمن. وهذا الافتراض يخلق واحدة من أكثر فجوات الأمن السيبراني شيوعًا في المنظمات السعودية.

قد يؤمّن مزودو الخدمات السحابية البنية التحتية، لكن العميل لا يزال يتحمل مسؤوليات تتعلق بالوصول، والتهيئة، وتصنيف البيانات، وصلاحيات المستخدمين، والمراقبة، والتشفير، والنسخ الاحتياطي، وحوكمة المورّدين. يمكن لحاوية تخزين مُهيأة بشكل خاطئ، أو صلاحية مستخدم مفرطة، أو حساب مسؤول ضعيف، أو موقع بيانات غير واضح أن يعرّض العمل للخطر حتى عندما تكون المنصة السحابية نفسها قوية.

تم تطوير ضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن NCA بوصفها امتدادًا للضوابط الأساسية للأمن السيبراني، وتركز على خدمات الحوسبة السحابية من منظور كل من مزود الخدمة السحابية ومستأجر الخدمة السحابية. وهذا التمييز مهم لأن الشركات السعودية التي تستخدم الخدمات السحابية يجب أن تفهم ما الذي تتحكم فيه، وما الذي يتحكم فيه المزود، وما الذي يجب التحقق منه تعاقديًا وتشغيليًا.

تخلق مخاطر الأطراف الخارجية المشكلة نفسها. فقد يصل المورّدون إلى الأنظمة، أو يعالجون البيانات، أو يدعمون البنية التحتية، أو يديرون التطبيقات، أو يشغلون خدمات خارجية. وإذا لم يتم تقييم هؤلاء المورّدين، ومراقبتهم، وضبطهم تعاقديًا، فقد يصبحون طريقًا غير مباشر إلى بيئة المنظمة.

تظهر الفجوة عادةً بعد وقوع حادثة. حساب مورّد بقي نشطًا أكثر مما ينبغي. خدمة سحابية تمت الموافقة عليها دون مراجعة أمنية. مورّد خزّن بيانات حساسة في موقع غير مضبوط. عقد لم يحدد بوضوح التزامات الأمن السيبراني. هذه ليست مشكلات مشتريات فقط. بل هي إخفاقات في حوكمة الأمن السيبراني.

فجوات إدارة التصحيحات والثغرات تمنح المهاجمين فرصًا

إدارة التصحيحات من الضوابط التي تعرف الشركات أنها يجب أن تديرها، ومع ذلك تؤجلها. وغالبًا ما يكون السبب ضغط الأعمال. لا يمكن إيقاف الأنظمة. وقد لا تدعم التطبيقات القديمة التحديثات. وقد تخشى الفرق التشغيلية التعطيل. وقد يستغرق المورّدون وقتًا لاعتماد التغييرات.

لكن المهاجمين لا ينتظرون نوافذ الصيانة المناسبة.

تصبح فجوة الثغرات خطيرة عندما لا تعرف الشركة أي الأنظمة مكشوفة، وأي التصحيحات متأخرة، وأي الأصول حرجة، ومن يملك مسؤولية المعالجة. ولهذا السبب تهم رؤية الأصول من الجزء الأول. فمن دون حصر موثوق للأصول، تصبح إدارة التصحيحات تفاعلية.

لا ينبغي التعامل مع إدارة الثغرات باعتبارها فحصًا لمرة واحدة. فهي تحتاج إلى ترتيب للأولويات. لا تحمل مشكلة منخفضة الخطر في نظام اختبار غير حرج درجة الإلحاح نفسها التي تحملها ثغرة معروفة في نظام متصل بالإنترنت، أو خادم وصول ذي امتيازات، أو وحدة تحكم سحابية، أو نظام تشغيلي. تحتاج الشركات السعودية إلى عملية واضحة لتصنيف الثغرات بحسب أثرها على الأعمال، وقابليتها للاستغلال، وحرجية النظام، وتعرض البيانات.

تضيف التقنية التشغيلية طبقة أخرى من المخاطر السيبرانية. فقد لا تُصحح أنظمة التحكم الصناعي، ومعدات التصنيع، والمرافق، وأنظمة المباني، والبيئات التشغيلية المتصلة بالطريقة نفسها التي تُصحح بها أنظمة تقنية المعلومات العادية. وتضع ضوابط الأمن السيبراني للتقنية التشغيلية الصادرة عن NCA الحد الأدنى من متطلبات الأمن السيبراني للمنظمات لحماية أنظمة التحكم الصناعي من التهديدات السيبرانية التي قد تخلق آثارًا سلبية.

بالنسبة للشركات التي لديها بيئات تقنية تشغيلية، يمكن أن تصبح عملية التصحيح الضعيفة أكثر من مجرد خطر تقنية معلومات. فقد تؤثر في السلامة، والإنتاج، واستمرارية الخدمة، والعمليات الحرجة.

فجوات التدريب على الأمن السيبراني تُبقي المخاطر البشرية مرتفعة

تظل المخاطر البشرية واحدة من أسهل الفجوات تجاهلًا لأنها لا تبدو تقنية. تظهر في موظف مستعجل يضغط على رابط تصيّد، أو مدير يوافق على وصول دون مراجعة، أو موظف مالي يثق في طلب دفع مزيف، أو عضو فريق يشارك ملفات حساسة عبر قناة غير آمنة.

لا يقتصر الوعي بالأمن السيبراني على الموظفين المبتدئين. فالقادة، والمديرون، والمستخدمون ذوو الامتيازات، وفرق تقنية المعلومات، وموظفو المشتريات، وفرق المالية، وفرق الموارد البشرية، والموظفون التشغيليون يخلقون جميعًا أنواعًا مختلفة من المخاطر السيبرانية.

صُممت خدمة جلسات التوعية بالأمن السيبراني الصادرة عن NCA لتعزيز الوعي بالأمن السيبراني، وبناء ثقافة قوية للأمن السيبراني، وتعزيز الممارسات الآمنة لدى القادة والقوى العاملة الأوسع. وهذا يعكس نقطة مهمة للشركات السعودية: يعتمد نضج الأمن السيبراني على السلوك، لا على الأنظمة فقط.

تصبح فجوات التدريب خطيرة عندما لا يفهم الموظفون كيف تؤثر أفعالهم في الامتثال. قد لا يعرفون كيف يبلغون عن بريد إلكتروني مشبوه، أو كيف يتعاملون مع البيانات الحساسة، أو كيف يتحققون من طلبات المورّدين، أو كيف يحمون بيانات الاعتماد، أو كيف يصعّدون حادثة مشتبهًا بها، أو لماذا لا يمكن تجاوز MFA من أجل الراحة.

يجب أن يكون برنامج التوعية القوي قائمًا على الأدوار. يحتاج التنفيذيون إلى فهم ملكية المخاطر السيبرانية وقرارات الحوادث. وتحتاج فرق تقنية المعلومات إلى انضباط الضوابط والاستجابة. ويحتاج مستخدمو الأعمال إلى الوعي بالتصيد، وكلمات المرور، والتعامل مع البيانات، والإبلاغ. وتحتاج فرق المشتريات إلى أسئلة الأمن السيبراني الخاصة بالمورّدين. وتحتاج فرق المالية إلى ضوابط الاحتيال وتغيير المدفوعات.

عندما يكون التدريب عامًا جدًا، يتذكر الناس الشعارات ولا يتذكرون الإجراءات. يجب أن تجعل برامج التدريب على الأمن السيبراني في السعودية الموظفين أسرع في التعرف على المخاطر وأكثر وضوحًا بشأن ما يجب فعله بعد ذلك.

كيف يساعد تدريب GRC الفرق على تعزيز رقابة الأمن السيبراني

غالبًا ما تستمر فجوات الأمن السيبراني لأن تقنية المعلومات، والمخاطر، والامتثال، والتدقيق، والمشتريات، والقيادة لا تعمل من صورة رقابية واحدة.

قد تفهم تقنية المعلومات الضعف التقني. وقد تفهم إدارة المخاطر أثره على الأعمال. وقد يفهم الامتثال متطلبات NCA. وقد يرى التدقيق الداخلي فجوات الأدلة. وقد تمتلك المشتريات عقود المورّدين. وقد لا ترى القيادة إلا تحديثًا موجزًا للحالة. وإذا لم ترتبط هذه الأجزاء، فقد تستهين المنظمة بالتعرض الحقيقي.

تساعد دورة  GRC  الفرق على فهم كيف تدعم الحوكمة والمخاطر والامتثال رقابة الأمن السيبراني. فهي تربط ملكية الضوابط، وتقارير المخاطر، وأدلة التدقيق، ومراجعة الأطراف الخارجية، ومتابعة الامتثال، ومساءلة الإدارة.

بالنسبة للشركات السعودية، هذا مهم لأن ضوابط الأمن السيبراني NCA ليست ضمانات تقنية فقط. فهي تتطلب ملكية، وأدلة، ومراقبة، وتصعيدًا، وتحسينًا مستمرًا. قد تمتلك الشركة أدوات جيدة لكن حوكمة ضعيفة. وقد تمتلك سياسات دون اختبار. وقد تمتلك تقارير دون انضباط في المعالجة.

يساعد تدريب GRC الفرق على طرح أسئلة أفضل: أي الضوابط تحمي الأصول الحرجة؟ ومن يملك كل فجوة؟ وكيف يتم قبول الخطر؟ وما الدليل الذي يثبت التطبيق؟ ومتى تصل المسألة غير المعالجة إلى القيادة؟

هكذا ينتقل الأمن السيبراني من نشاط تقنية معلومات إلى انضباط تنظيمي.

الخاتمة

فجوات الأمن السيبراني NCA التي تكتشفها الشركات السعودية بعد فوات الأوان نادرًا ما تكون غير مرئية. فهي غالبًا تكون ظاهرة في ضعف الحوكمة، وسجلات الأصول غير المكتملة، وتصنيف البيانات غير الواضح، والوصول المفرط، وضعف التسجيل، والاستجابة للحوادث غير المختبرة، والاستخدام غير المُدار للسحابة، وضعف ضوابط المورّدين، وتأخر التصحيحات، والتدريب العام للموظفين.

السبب في أن الشركات تكتشفها متأخرًا ليس أن الفجوات كانت مستحيلة الرؤية. بل لأن أحدًا لم يربطها مبكرًا بما يكفي.

تحتاج المنظمات السعودية إلى التعامل مع الأمن السيبراني باعتباره مسألة حوكمة وإدارة مخاطر، لا وظيفة تقنية فقط. ستكون أقوى الشركات هي التي تحدد الأصول الحرجة، وتصنف البيانات، وتضبط الوصول، وتختبر الاستجابة للحوادث، وتراقب الأطراف الخارجية، وتدير الثغرات، وتدرب الموظفين قبل أن يكشف الاختراق نقطة الضعف.

بالنسبة للفرق التي تحتاج إلى تعزيز هذه الرقابة، تقدم دورة  GRC  مسارًا مركزًا لربط ضوابط الأمن السيبراني برؤية مجلس الإدارة، وملكية المخاطر، وأدلة الامتثال، والتحسين العملي للضوابط.