vCISO مقابل CISO داخلي: متى يكون كل نموذج منطقياً

مقارنة صادقة بين مسؤول أمن المعلومات الافتراضي والداخلي للشركات الأوروبية المتوسطة. معايير قرار، لا خطاب بيع.

vCISO مقابل CISO داخلي: متى يكون كل نموذج منطقياً

سيكون نموذج مسؤول أمن المعلومات الافتراضي (vCISO) مُبالَغاً في بيعه خلال الأشهر الثمانية عشر القادمة. والسبب مباشر: فهو أسهل خدمة يمكن لشركة استشارية متخصصة في الأمن السيبراني تغليفها، والإجابة الأكثر قابلية للدفاع لشركة متوسطة تعرف أنها تحتاج إلى قيادة في الأمن السيبراني لكنها لا تستطيع تبرير توظيف خبير بدوام كامل. نحن نقدّم الخدمة. ونرفضها أيضاً عندما تكون الشركة التي أمامنا أفضل حالاً بتوظيف CISO داخلي. وهذا المقال عن المعايير التي نستخدمها للحسم.

لن نتناول الشركات الكبرى (أكثر من 1500 موظف، اختصاصات قضائية متعددة، وظائف أمنية مخصَّصة في مجالات كثيرة). فعند تلك المقاسات، ليس السؤال vCISO مقابل CISO داخلي؛ بل هو CISO زائد CISO مساعد زائد مسؤول عمليات أمنية زائد مسؤول حوكمة ومخاطر وامتثال (GRC)، ولا يندرج الـ vCISO في الحديث. سنتناول الشركة الأوروبية المتوسطة الواقعية: من 80 إلى 800 موظف، اختصاص قضائي إلى ثلاثة، وفريق أمن يضم اليوم بين صفر وأربعة أشخاص.

ماذا يفعل الدوران (وماذا لا يفعلان)

قبل المقارنة، يجدر تحديد الغرض من وظيفة CISO. في السياق المتوسط تغطي، كحد أدنى:

ملكية المخاطر والامتثال. ترجمة التنظيم (NIS2 وGDPR والأنظمة القطاعية) إلى برنامج تستطيع الشركة تنفيذه.
الحوكمة. خط المساءلة أمام مجلس الإدارة، والتقارير للمجلس، والمواءمة مع التدقيق والشؤون القانونية.
الاستراتيجية. خارطة طريق للأمن السيبراني من 12 إلى 36 شهراً بميزانية ومعالم وتعريف واضح لما يعنيه "جيد بما يكفي" لهذه الشركة.
المساءلة التشغيلية. المسؤولية النهائية عن الضوابط، حتى عند تفويض العمليات إلى فريق أو إلى مزوِّد مُدار.
التمثيل الخارجي. المحادثات مع الجهات التنظيمية، ومع فرق أمن العملاء في الدورات التجارية، ومع شركات التأمين، ومع المدقّقين.

أما ما ليس عليه CISO في السياق المتوسط، فهو المهندس الذي يضبط نظام إدارة الأحداث الأمنية (SIEM)، ولا المحلِّل الذي يفرز التنبيهات، ولا المستشار الذي ينفّذ اختبار الاختراق، ولا المحامي الذي يراجع عقد معالجة البيانات. فالدور قيادة؛ والعمل يُفوَّض.

سواء كانت القيادة افتراضية أو داخلية، فالوظيفة هي ذاتها. والسؤال هو أي نموذج تسليم يناسب أي شركة.

متى يكون vCISO هو الإجابة الصحيحة

ينجح vCISO عندما تتوافر ثلاثة شروط في آنٍ معاً.

الشرط 1 · البرنامج في طور البناء، لا التشغيل

يناسب vCISO جداً عندما تبني الشركة برنامجها للأمن السيبراني لأول مرة، أو عندما ينحرف برنامج قائم ويحتاج إلى إعادة هيكلة. فالعمل ثقيل في التصميم، واختيار الإطار، وصياغة السياسات، وإقامة الحوكمة، والجولة الأولى من تقييم المخاطر. وتستفيد هذه الأنشطة من المنظور الخارجي ومن شخص رأى الأنماط نفسها في 30 شركة أخرى.

ويناسب vCISO ضعيفاً عندما يكون البرنامج في تشغيل مستقر ويكون العمل السائد هو الاستمرارية التشغيلية وإدارة الحوادث وتحسينات تدريجية صغيرة. فاحتكاك قائد خارجي يلحق بالسياق كل أسبوعين يآكل الفعالية.

الشرط 2 · تستطيع الشركة استيعاب حضور جزئي

يُتعاقَد على vCISO عادةً بين يوم وخمسة أيام شهرياً، وأحياناً بذروات استجابةً لحوادث أو تدقيقات. ويتطلب هذا أن:

تقبل الإدارة قائداً غير حاضر جسدياً كل يوم.
يوجد على الأقل شخص داخلي (يُسمّى غالباً "بطل الأمن" أو "مسؤول العمليات الأمنية") يصون اليومي بين جلسات vCISO.
تكون أنماط الاتصال ناضجة: قرارات موثَّقة، وتحديثات غير متزامنة، وتقويم يحترم الالتزام الخارجي.

أما الشركات التي يحتاج فريقها التنفيذي إلى رؤية القائد كل يوم، أو التي يتطلب فيها كل قرار حضوره، فليست شركات vCISO. هي شركات CISO داخلي، ويجدر إخبارها بذلك.

الشرط 3 · يفضّل الاقتصاد فعلاً التفرّغ الجزئي

CISO داخلي متوسط بكامل تكلفته (راتب، اشتراكات، تجهيزات، تدريب) تكلفة ثابتة مهمة في قائمة الأرباح والخسائر. ومهمة vCISO بثلاثة أيام شهرياً بتعرفات نموذجية لشركة متخصصة متوسطة هي جزء من تلك التكلفة الثابتة، يعتمد حجمه على نطاق المهمة. لا ننشر أرقاماً في هذا المقال لأن النسبة الواقعية تعتمد حقاً على الموقع، ومستوى الخبرة، وكثافة المهمة. والاختبار الصادق هو التحقق مما إذا كان نطاق vCISO المقترح ونطاق CISO الداخلي المقترح متقاربين؛ فإن كانا كذلك، تتقدم المهمة الجزئية بوضوح في التكلفة.

إذا كان العمل يندرج فعلاً في 3-5 أيام شهرياً، فالاقتصاد يفضّل vCISO. أما إذا ضُغط العمل إلى 3 أيام شهرياً لأن الميزانية لم تتسع لأكثر، فالشركة تدفع لقاء قائد وتتلقى مستشاراً جزئياً. وهذا أسوأ ما في العالَمين.

متى يكون CISO داخلي هو الإجابة الصحيحة

الصورة المعكوسة لما سبق. CISO داخلي هو الإجابة عند توافر واحدة أو أكثر من الحالات التالية:

السبب 1 · العبء التنظيمي يبرّر الحضور اليومي

تميل الكيانات الأساسية بموجب NIS2 في قطاعات ذات حوار تنظيمي مستمر (الطاقة، الصحة، البنية المالية) إلى الحاجة إلى قائد في القاعة كل يوم. فساعة الإشعار، والمحادثات مع المُشرِف، والالتزامات القطاعية لا تندرج بسهولة في وتيرة 3 أيام شهرياً.

السبب 2 · الشركة في عملية اندماج أو استحواذ (M&A)

شركة تستعد للاستحواذ عليها أو تستحوذ على أخرى تحتاج إلى CISO يستطيع التواجد في العناية الواجبة (due diligence)، وتخطيط التكامل، والتوحيد بعد الاستحواذ. وهذه أنشطة كثيفة على التقويم وتتطلب استمرارية. يمكن لـ vCISO أن يدعم؛ لكن القائد المُسمّى للوظيفة أثناء صفقة يجب أن يكون داخلياً.

السبب 3 · برنامج الأمن السيبراني ناضج بالفعل

إذا كان لدى الشركة برنامج موثَّق جيداً، وفريق مستقر من 3-8 أشخاص، وكان العمل يسوده التحسين المستمر والتميّز التشغيلي، فإن CISO داخلياً يقود ويطوّر الفريق استثمار أفضل من قائد خارجي يدور جزئياً.

السبب 4 · الثقافة تكافئ المساءلة المرئية

في بعض ثقافات الشركات، يحتاج قائد الأمن السيبراني إلى التواجد في كل إطلاق منتج، وكل تأهيل عميل، وكل مراجعة معمارية. ليست هذه ثقافة سيئة؛ بل نموذج تشغيلي محدد. ولن يناسبها vCISO.

متى لا يكون أيٌّ منهما هو الإجابة

نصحنا، في حالات قليلة، شركات لم تكن بحاجة بعد إلى CISO. ومعايير "ليس بعد" ضيقة: الشركة صغيرة (أقل من 50 موظفاً)، والتعرّض التنظيمي منخفض فعلاً، وحساسية البيانات منخفضة فعلاً، ويوجد قائد تكنولوجيا معلومات خبير يستطيع تولّي الوظيفة السيبرانية كجزء من دوره مع استشارة خارجية في مواضيع محددة.

هذه هي المحادثة الصادقة التي لن تخوضها بعض الشركات المتخصصة، لأن كل محادثة تدعها تمرّ هي إيراد ضائع. نحن ندعها تمرّ حين يكون ذلك صحيحاً. ويحدث.

النموذج الهجين ولماذا يفشل عادةً

نمط شائع هو الهجين: قائد داخلي للأمن السيبراني بمستوى خبرة متوسط، وvCISO خبير بعقد احتجاز (retainer) للاستراتيجية والعلاقة مع المجلس. وعلى الورق يجمع الأفضل. وفي الممارسة ينجح في سيناريوهين ويفشل في كثير غيرهما.

ينجح حين تكون الأدوار مفصولة بوضوح (الداخلي يتولى العمليات والاستجابة، والـ vCISO يتولى الاستراتيجية والمجلس) وحين يوجد احترام متبادل وقواعد تصعيد واضحة.

ويفشل حين تكون الحدود ضبابية، وحين يستاء الداخلي من سلطة vCISO على الوصول إلى المجلس، أو حين لا يعرف المجلس من المسؤول عن قرار بعينه. وقد رأيناه يفشل بثمن باهظ في ثلاث مهام دخلنا فيها كبدلاء.

إطار قرار في صفحة واحدة

السؤال	إن نعم، نحو vCISO	إن نعم، نحو CISO داخلي
البرنامج في طور البناء أو إعادة الهيكلة	نعم
البرنامج في تشغيل مستقر		نعم
3-5 أيام شهرياً تندرج فعلاً في العمل	نعم
العمل يقتضي حضوراً يومياً		نعم
القطاع ذو حوار تنظيمي مستمر		نعم
القطاع B2B بتنظيم معتدل	نعم
الشركة في عملية اندماج أو استحواذ		نعم
الشركة لديها فريق أمن مستقر من 3 أشخاص فأكثر		نعم
الشركة لديها فريق أمن من 0-1 شخص	نعم
الميزانية تدعم فعلاً التفرّغ الجزئي	نعم
الميزانية ضُغطت لتلائم التعرفة الجزئية		نعم
ثقافة المجلس تقبل قائداً غير مقيم	نعم
ثقافة المجلس تقتضي قائداً مقيماً		نعم

إذا مال عدّكم بقوة نحو جانب، فالقرار محسوم. وإن توزّع، فالمحادثة أكثر تعقيداً، وغالباً تتطلب منظوراً خارجياً بلا مصلحة تجارية في الإجابة.

> "خسرنا مهام vCISO مع شركات وظّفت بعد محادثتنا التشخيصية CISO داخلياً. لا نعدّها خسائر. بل نعدّها مهام وُضعت في مكانها الصحيح." — مراجعة داخلية من IBL، 2026

ماذا نفعل في IBL

نقدّم vCISO بثلاث كثافات: يوم شهرياً (حوكمة خفيفة فقط)، و3 أيام شهرياً (النطاق المتوسط النموذجي)، و5 أيام شهرياً (بأسابيع ذروة أثناء التدقيقات والحوادث). نرفض المهام التي نعتقد أن CISO داخلياً هو الإجابة الصحيحة فيها؛ وفي تلك الحالات يمكننا المساعدة في البحث وتعريف الدور بتعرفة لمرة واحدة.

إذا أردتم الحديث عمّا إذا كان vCISO يناسب شركتكم، فاكتبوا إلى [email protected]. نرد خلال يوم عمل.

OCIRIA شركة استشارية متخصصة (boutique) في الأمن السيبراني، مقرها في مالقة وفريقها التشغيلي في رومانيا. نعمل مع شركات أوروبية متوسطة تفضّل الصدق التقني على التغليف التجاري. تأسسنا في 2026؛ لا نختلق تاريخاً أطول.

قراءات ذات صلة

برامج توعية تنجح فعلاً: 5 مقاييس تكفّ عن كونها مسرحاً (cluster Q4)
Tier-1 مقابل tier-2 في مزوِّدي الأمن السيبراني: كيف تختارون حسب حجمكم
التقييم الذاتي لـ NIS2: 25 سؤالاً لمعرفة ما إذا كانت شركتكم ممتثلة (cluster pillar Q3)

الوسوم: vciso, liderazgo, empresa-mediana, marco-decisión, gestión-ciberseguridad, gobierno