المخاطر الجيوسياسية في اختيار الموردين هي تقييم كيفية تأثير الولايات القضائية التي يعمل فيها المورد، أي مكان مقره الرئيسي ومكان وجود موظفيه ومصدر سلسلة توريده والأنظمة القانونية التي تخضع لها عملياته، في أمن بيانات المؤسسة وعملياتها وخصوصيتها. ويختلف هذا عن تحليل إقامة البيانات الذي يركز على مكان تخزين البيانات فعلياً. فتقييم المخاطر الجيوسياسية يركز على من يمكن إلزامه بالوصول إلى تلك البيانات، أي الموظفين، وعبر أي آليات قانونية، وتحت أي رقابة، بصرف النظر عن المكان الذي توجد فيه البيانات فعلياً.
فجوة الولاية القضائية على الموظفين هي المخاطر المحددة في السيناريو الافتتاحي. فأطر حماية البيانات مثل GDPR تحمي البيانات الشخصية بناءً على مكان تخزينها ومعالجتها. لكنها لا تحكم مباشرةً ما يمكن لحكومات دول ثالثة أن تُلزم به الموظفين الذين لديهم وصول إلى تلك البيانات. فيمكن لحكوماتهم الوطنية أن تُلزم فرق الهندسة وموظفي الدعم ومسؤولي الأنظمة الذين لديهم وصول إلى أنظمة الإنتاج بتوفير الوصول، بموجب أطر قانونية قد لا تشترط رقابة قضائية وقد تحظر الإفصاح لصاحب البيانات أو للمؤسسة. والبيانات المستضافة في مركز بيانات في الاتحاد الأوروبي ممتثل لـGDPR، لكن يديرها موظفو هندسة في ولاية قضائية لديها قوانين وصول إلزامي، تنطوي على تعرض للخصوصية لا يحميه موقع الاستضافة في الاتحاد الأوروبي.
لماذا يهم هذا
تكتسب المخاطر الجيوسياسية أهميتها لأنها تُنشئ فئة من مخاطر الموردين لا تتناولها التقييمات الأمنية التقنية التقليدية، وهي المخاطر الناشئة عن البيئة القانونية التي يعمل فيها موظفو المورد وهيكله المؤسسي وعملياته. فالضوابط التقنية تحمي البيانات من الوصول غير المصرح به من قِبل المهاجمين. أما المخاطر الجيوسياسية فتتناول الوصول المصرح به الذي تفرضه الحكومات، وهو نموذج تهديد لم تُصمم التقييمات الأمنية التقنية لتقييمه.
- عدم تقييم المخاطر الجيوسياسية إلى جانب الوضع الأمني التقني
- تقييم موقع استضافة البيانات دون تقييم الولاية القضائية على الموظفين
- عدم تقييم تبعات قوانين الوصول الحكومي على مواقع الموظفين الرئيسيين
- عدم تقييم هيكل ملكية المورد بحثاً عن مخاطر تأثير الحكومات الأجنبية
- المخاطر الجيوسياسية في سلسلة التوريد: عدم تقييم المكونات القادمة من ولايات قضائية مقيدة
كيف تبدو الممارسة الجيدة
تقيّم برامج المخاطر الجيوسياسية الناضجة المقر الرئيسي للمورد، والولاية القضائية على موظفيه الرئيسيين، ومصادر سلسلة توريده، وهيكل ملكيته، بحثاً عن ولايات قضائية لديها قوانين وصول حكومي إلزامي، أو تبعات تتعلق بضوابط التصدير، أو ملكية أجنبية قد تُنشئ مخاطر تأثير حكومي، وتحديداً للموردين الذين يتعاملون مع بيانات حساسة أو يقدمون خدمات حرجة للأمن الوطني أو للقطاعات الخاضعة للتنظيم.
- تقييم الولاية القضائية للمورد: مواقع المقر الرئيسي والموظفين الرئيسيين وفرق الهندسة والدعم
- رسم خريطة لقوانين الوصول الحكومي في الولايات القضائية ذات الصلة
- مراجعة هيكل الملكية بحثاً عن مخاطر تأثير الحكومات الأجنبية
- تقييم مصادر سلسلة التوريد للمكونات ذات التبعات الأمنية
- تصنيف مخاطر الولايات القضائية في مستويات: معايير مختلفة لمستويات المخاطر الجيوسياسية المختلفة
الأدوات
المخاطر الجيوسياسية: Oxford Analytica وControl Risks لتقييم مخاطر الولايات القضائية؛ وإرشادات CFIUS للبنية التحتية الحرجة في الولايات المتحدة
تقدم خدمات الاستشارات المتخصصة في المخاطر الجيوسياسية تحليلاً خاصاً بكل ولاية قضائية لقوانين الوصول إلى البيانات ومخاطر التأثير الحكومي والأطر التنظيمية التي تؤثر في علاقات الموردين. وبالنسبة للقطاعات الخاضعة للتنظيم والبنية التحتية الحرجة، توفر الإرشادات الحكومية بشأن مخاطر الموردين الأجانب، مثل CFIUS في الولايات المتحدة والأطر المكافئة في الدول الأعضاء في الاتحاد الأوروبي، سياقاً تنظيمياً محدداً لتقييم المخاطر الجيوسياسية للموردين.
تحديات الحوكمة
إن تحدي الحوكمة في المخاطر الجيوسياسية هو متطلب الخبرة. فتقييم تبعات قوانين الوصول إلى البيانات في دول بعينها، وأطر ضوابط التصدير، ومتطلبات الإفصاح عن الملكية، يتطلب خبرة قانونية وجيوسياسية لا تحتفظ بها معظم فرق TPRM داخلياً. والحل من منظور الحوكمة هو وضع إطار لمخاطر الولايات القضائية، أي تقييم متدرج لأي الولايات القضائية تمثل مخاطر جيوسياسية مرتفعة، وتطبيق ذلك الإطار عند اختيار الموردين بدلاً من إجراء تحليل مخصص لكل مورد.
- ضع إطاراً لتصنيف مخاطر الولايات القضائية في مستويات: مستويات مخاطر جيوسياسية مرتفعة ومتوسطة ومنخفضة
- طبّق الإطار عند اختيار الموردين، قبل إنشاء العلاقة
- قيّم الولاية القضائية على الموظفين إلى جانب موقع البيانات
- راجع هيكل الملكية بحثاً عن مخاطر تأثير الحكومات الأجنبية
- استشر مستشاراً قانونياً بشأن الولايات القضائية ذات التبعات المعقدة لقوانين الوصول
إذا كنت فريقًا صغيرًا
بالنسبة للموردين الذين يعالجون بياناتك الأعلى حساسية، اطرح سؤالين لا يطرحهما تقييم إقامة البيانات عادةً. الأول: في أي الدول توجد فرق الهندسة والدعم التي لديها وصول مباشر إلى أنظمة الإنتاج لديكم التي تعالج بياناتنا؟ الثاني: هل تخضع أي من تلك الدول لقوانين وصول حكومي إلزامي تسمح بالوصول إلى بياناتنا دون أمر قضائي أو دون إخطارنا؟ هذان السؤالان يوسّعان تقييم حماية البيانات من مكان تخزين البيانات إلى من يمكن إلزامه بالوصول إليها.
- اسأل عن مكان وجود فرق الهندسة والدعم التي لديها وصول إلى بيئة الإنتاج
- قيّم تبعات قوانين الوصول الحكومي في تلك الولايات القضائية
- راجع هيكل الملكية بحثاً عن تأثير الحكومات الأجنبية
- ضع إطاراً لتصنيف مخاطر الولايات القضائية في مستويات
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«في أي الدول يوجد الموظفون الذين لديهم وصول إداري أو هندسي إلى الأنظمة التي تعالج بياناتنا؟ وهل تخضع أي من تلك الدول لقوانين وصول حكومي إلزامي إلى البيانات قد تفرض الوصول دون رقابة قضائية أو دون إخطارنا؟»
ما تتوقعه دليلًا
- الإفصاح عن الولاية القضائية على الموظفين في أدوار الوصول إلى البيانات
- تحليل قوانين الوصول الحكومي للولايات القضائية المُفصح عنها
- توثيق هيكل الملكية
- الإطار القانوني لإخطار العميل في حال حدوث وصول حكومي
المورد الذي يؤكد استضافة البيانات في الاتحاد الأوروبي ينبغي أن يُسأل عن مكان وجود الأشخاص الذين لديهم وصول إلى تلك البيانات. فموقع الاستضافة يحدد الحماية الجغرافية للبيانات. أما الولاية القضائية على الموظفين فتحدد من يمكن إلزامه قانوناً بتوفير الوصول إليها.
كيف تُثبت ذلك
- سجلات تقييم الولاية القضائية للموردين
- تقييم مواقع الموظفين في أدوار الوصول إلى البيانات
- إطار تصنيف المخاطر الجيوسياسية في مستويات
- مراجعة المستشار القانوني للموردين في الولايات القضائية عالية المخاطر
الخلاصة الرئيسية
البيانات: مستضافة في الاتحاد الأوروبي ومحمية بموجب GDPR. فريق الهندسة: في ولاية قضائية لديها قانون وصول حكومي إلزامي لا يشترط رقابة قضائية. كان موقع البيانات محمياً. أما الأشخاص الذين لديهم وصول إلى البيانات فلم يكونوا كذلك. الضوابط الأمنية التقنية تحمي البيانات من الوصول غير المصرح به من قِبل المهاجمين. أما المخاطر الجيوسياسية فتتناول الوصول المصرح به الذي تفرضه الحكومات، وهو ما لم تُصمم أطر التقييم التقني لتقييمه. وتقييم الولاية القضائية على الموظفين إلى جانب تقييم إقامة البيانات، وتحليل قوانين الوصول الحكومي، ومراجعة هيكل الملكية، توسّع تقييم مخاطر الموردين ليشمل البُعد الذي لا يتناوله موقع البيانات وحده.