مصفوفة التصعيد عندك تسمّي جهةً لم تعد تشرف عليك

أصدرت الهيئة الوطنية للأمن السيبراني خط أساس للأمن السيبراني موجّهًا إلى منشآت القطاع الخاص غير المصنّفة بنى تحتية وطنية حساسة، بالرمز NCNICC-1:2025. وتصف مكاتب المحاماة التي كتبت عنه فئتين: الأولى، على وجه العموم، 250 موظفًا فأكثر بدوام كامل أو إيراد سنوي يتجاوز 200 مليون ريال، والثانية من 6 إلى 249 موظفًا أو إيراد بين 3 ملايين و200 مليون ريال. وتصف ثلاثة مكوّنات، بمجموعة ضوابط أوسع للفئة الأكبر وأخرى مختصرة للأصغر. ولن أكتب عدد الضوابط؛ فالعدد في المسودة التي طُرحت للاستطلاع والعدد في الملخصات ليسا رقمًا واحدًا، والعدد الوحيد الذي سيعنيك هو المذكور في النص الذي ستُقيَّم أمامه. والمكوّن الأهم لموضوعنا هو الثالث: التزامات الأطراف الخارجية والإسناد والبيئات المستضافة، وهي استمرارية الأعمال مكتوبة بلغة المشتريات.

وهنا الجزء الذي يُنقل خطأً في كل مكان: الضوابط لا تحدد موعدًا للامتثال. وهذه ليست فجوة تملؤها بالقلق، وليست سببًا لشراء برنامج البتة. لكنها تغيّر شكل الاستجابة الجادة: فبدل أن تحسب رجوعًا من تاريخ، تحسب تقدمًا من تقييم فجوات، وترتّب المعالجات بحسب ما يؤلم فعلًا في يوم سيئ. وسأكون صريحًا في موقعي أنا: قرأت ملخصات المحامين لهذه الضوابط لا نصّها، والملخصات نفسها لا تتفق على تسمية المكوّن الثالث، ولا على الرمز، ولا على تاريخ الإصدار. لذلك أستعمل الحدود الفاصلة والهيكل، ولا أقتبس أرقام مواد لم أقرأها.

وما لم يفعله أي خط أساس قط هو أن يختار أرقامك. فزمن التعافي المستهدف (RTO) ونقطة التعافي المستهدفة (RPO) يضعهما في العادة من كتب الخطة، أي إدارة تقنية المعلومات، أي أن أحدًا ممن سيتحمل الخسارة لم يوافق عليهما قط. وهما ليسا معيارين تقنيين. فزمن التعافي هو المدة التي ستعمل فيها الشركة من دون النظام، ونقطة التعافي هي حجم العمل المنجز الذي تقبل الشركة إعادة إدخاله يدويًا. ولا يجيب عن أيٍّ من السؤالين إلا من يملك الإيراد، وما لم يُجب عنهما بصوت مسموع في غرفة لها محضر، فالأرقام في خطتك لا مالك لها.

وأداة الإلزام موجودة أصلًا، وقلّما رأيت فريقًا تقنيًا يمد يده إليها. ففي الدليل التنظيمي لإدارة استمرارية الأعمال الصادر عن البنك المركزي السعودي (SAMA)، يُحدَّد زمن التعافي المستهدف ونقطة التعافي المستهدفة وأقصى انقطاع مقبول (MAO) في تحليل الأثر على الأعمال (BIA)، وتعتمدها لجنة استمرارية الأعمال لا إدارة تقنية المعلومات. والمسؤولية النهائية عن البرنامج على مجلس الإدارة أو عضو تنفيذي مفوَّض، واللجنة محددة بأن تضم مسؤول المخاطر ومسؤول العمليات ومسؤول المعلومات ومسؤول أمن المعلومات. ومن قرأ ذلك هيكلًا تنظيميًا فاته المقصود، ومن قرأه خانة توقيع وجد رافعته: الرقم ليس لك أن تختاره، بل لك أن تسعّره. فاحمل خيارات لا توصية. أربع ساعات وساعة واحدة وخمس عشرة دقيقة ثلاث معماريات بثلاث فواتير، والفارق بينها في الغالب بيئة احتياطية جاهزة يموّلها أحدهم كل شهر سواء استُخدمت أم لا. والغرف التي عرضت فيها هذه المفاضلة، مجلس إدارة ولجنة تنفيذية، دارت عند اللحظة نفسها في كلتيهما: حين صار للرقم ثمن شهري.

التعميم رقم 202200000249 وتاريخ 18 مايو 2022 مدّ الدليل التنظيمي لإدارة استمرارية الأعمال الصادر عن البنك المركزي السعودي (SAMA) إلى شركات التأمين وإعادة التأمين. وأوجب تقييم فجوات أمام الإطار، وخطة عمل تُرفع خلال تسعين يوم عمل، وتقارير ربع سنوية، والامتثال الكامل خلال سنة. وتعمل شركات التأمين بهذا الإطار منذ ذلك الحين. فافتح الآن بند التواصل فيه، واقرأ من تُؤمر بإبلاغه: كل حادث معطِّل مصنَّف متوسطًا أو عاليًا يذهب إلى «الإشراف على مخاطر تقنية المعلومات المصرفية» في SAMA، فورًا، بهذا النص.

وأعد قراءة الاسم المقتبس، فكلمة واحدة فيه تحمل المقصود كله: المصرفية. شركة تأمين أُدخلت بتعميم تحت إطار مصرفي، ثم يوجّهها نص ذلك الإطار إلى إبلاغ جهة إشراف على مخاطر تقنية المعلومات المصرفية في أسوأ أيامها التشغيلية. وكان ذلك متسقًا في مايو 2022؛ فجهة واحدة كانت تشرف على الجانبين. والإطار نفسه أقدم من ذلك التعميم، ونطاق تطبيقه المكتوب هو القطاع المصرفي وقطاع التمويل وأنظمة المدفوعات ومزوّدو خدماتها وشركات المعلومات الائتمانية. فشركات التأمين أُضيفت إليه، ولم تُكتب فيه. ثم انتقل الإشراف على التأمين إلى هيئة التأمين، فلم تعد الجهة المسمّاة في النص تملك الاختصاص المذكور، وبقيت القواعد الصادرة في ظل الترتيب السابق سارية إلى أن يحل محلها غيرها. فالالتزام قائم، والصياغة لم تتغير، والباب الذي يشير إليه ليس الباب الذي يشرف عليك.

ولم يبطل البند. بل صار موجَّهًا إلى غير أهله.

وهنا اسمان للمخاطَب لا اسم واحد، وليسا الاسم نفسه. فالدليل التنظيمي لإدارة استمرارية الأعمال يسمّي «الإشراف على مخاطر تقنية المعلومات المصرفية» للحوادث المعطِّلة. والإطار التنظيمي للأمن السيبراني، في البند 3.3.15، يسمّي «الإشراف على مخاطر تقنية المعلومات» للحوادث الأمنية المصنَّفة متوسطة وعالية، ويضيف اشتراط عدم الممانعة قبل أي تواصل علني. وأي حادث يجمع بين كونه سيبرانيًا وكونه معطِّلًا، وهو حال أكثر ما يستحق الإبلاغ أصلًا، يُفعّل البندين معًا: جهتان مسمّاتان، وحالتان مختلفتان تُوجبان الإبلاغ. فإن كانت مصفوفة التصعيد عندك تحمل سطرًا واحدًا مكتوبًا فيه «إبلاغ SAMA»، فقد طوت التزامين في سطر لم يقرأه أحد أمام النص منذ يوم كتابته.

وقد بحثت عن التعليمات التي تعيد توجيه أيٍّ من البندين لشركات التأمين. فاللوائح المنشورة لدى هيئة التأمين، حتى أغسطس 2026، لا تتضمن أي أداة عن استمرارية الأعمال أو الأمن السيبراني أو الإسناد أو الإبلاغ عن الحوادث؛ فالمنشور وثائق تأمين وصيغ تغطية وقواعد سوق. ولم أعثر على تعليمات منشورة تعيد توجيه هذين البندين، ولن أدّعي أنني عثرت. والذي أفعله، بل الذي أصرّ عليه، أن تُطرح المسألة كتابةً على الجهة المشرفة في أسبوع هادئ، ويُؤخذ جواب يصلح للحفظ، ويُلصق في كتاب التشغيل إلى جوار البند الذي يصححه. فأن تصطدم بهذا الغموض أول مرة أثناء الحادث كلفةٌ باهظة، والكلمة التي يستعملها الإطار للمهلة هي «فورًا».

ثم أجرِ الفحص نفسه على ما عدا ذلك، فالتأمين هو الموضع الذي أرى فيه هذا، لا الموضع الذي يقف عنده. فالمخاطَب هو الجزء الوحيد من الضابط الذي يتقادم دون أن يُعلن عن نفسه: لا إنذار يُطلق، ولا اختبار يخفق، ولا تدقيق على الضابط يجد فيه خللًا، لأن الضابط ما زال يعمل، والخطأ في الاسم وحده. فافتح بند الإبلاغ في خطة الاستمرارية عندك، ومصفوفة التصعيد في أداة إدارة خدمات تقنية المعلومات (ITSM)، واقرأ الجهة المسمّاة في كل منهما أمام الجهة التي تشرف عليك هذا الشهر. واجعل ذلك داخل التمرين لا مهمةَ توثيق، فالتمرين هو الموضع الوحيد الذي يحاول فيه أحد أن يستعمل الاسم فعلًا، فيكتشف خطأه ولا شيء على المحك.

كل خطة استمرارية قرأتها تتوقف عند أول مورّد. تسمّي المنصة الأساسية، ومزوّد الاستضافة، وربما مزوّد الاتصال، ثم تنتهي الخريطة. وإطار القطاع المالي يطلب أكثر من هذا بكثير. فتحليل الأثر على الأعمال يحدد الاعتماديات الداخلية والخارجية المتبادلة، ويحدد التهديدات الداخلية والخارجية المحتملة بما فيها نقاط الفشل المنفردة. وخطة الاستمرارية توجب، لكل نشاط حرج يحدده ذلك التحليل، التحقق من أن مزوّدي الخدمة الرئيسيين لديهم خطة استمرارية وأن خططهم تُختبر سنويًا على الأقل. وقدرة المورّدين ومزوّدي الخدمة على صون مستويات الخدمة أثناء الحادث تُقيَّم مرة في السنة على الأقل. ولم يُسلَّم إليّ هذا العمل منجزًا قط، لأن مطالبة المورّد بدليل على خطة مُختبَرة حوار شرائي غير مريح، والحوار غير المريح يسهل أن يحل محله بند في العقد.

أما الاعتماديات التي تؤلم فعلًا فهي التي لم تتعاقد عليها أصلًا. الشهادة الرقمية التي تنتهي صلاحيتها في منتصف الحادث. ومزوّد الهوية، وهو في الغالب ليس اعتمادية للعطل بل هو العطل نفسه. ومسجّل النطاق. وخادم التراخيص الذي تتصل به منصتك قبل أن تبدأ. وبوابة الرسائل التي تحمل كلمة المرور لمرة واحدة التي يحتاج إجراء التعافي عندك إلى من يستقبلها. والمنصة القطاعية التي تتكامل معها يوميًا ولا تملك تجاهها اتفاقًا تجاريًا، فكل ما لديك بريد للدعم ولهجة مهذبة. لا مستوى خدمة تحتج به على أيٍّ منها، ولا تعويض يستحق التحصيل. وما لديك بدلًا من ذلك قرار يُتخذ مسبقًا: ماذا تفعل هذه الشركة يدويًا خلال الساعات التي تغيب فيها تلك الاعتمادية، ومن دُرِّب على فعله.

والمكوّن الثالث في خط الأساس الجديد للقطاع الخاص يخص هذا السطح بالذات. والالتزامات التي يصفها المحامون تعاقدية: تضمين متطلبات الأمن السيبراني في عقود الأطراف الخارجية، وإجراءات التواصل عند الحوادث، وتصنيف البيانات، وفصل البيئات، وإعادة البيانات بصيغة قابلة للاستخدام عند انتهاء الخدمة. وهذا الأخير بند خروج، وبند الخروج ضابط تعافٍ يرتدي بذلة محامٍ. فتعافيك من مورّد تعثّر أو انسحب محدود تمامًا بقدرتك على استرجاع بياناتك في صيغة تستطيع تحميلها فعلًا في مكان آخر. وضوابط الأمن السيبراني للحوسبة السحابية تشير إلى الوجهة نفسها، وتستحق القراءة إن كنت مشتركًا لا مزوّدًا: فـCCC-2:2024 امتداد للضوابط الأساسية للأمن السيبراني، وتُلزم المشتركين في الخدمات السحابية لا مقدّميها وحدهم. والمبدأ الذي تحت هذا كله، وقد قيل صراحةً في إرشادات المحامين بشأن الإسناد في القطاع المالي، أن المساءلة لا تُنقل إلى المورّد. تستطيع أن تُسند العمل، ولا تستطيع أن تُسند الجواب الذي ستقوله بعد ذلك.

ويبقى الطرف الرابع هو الجزء الصعب حقًا. أي مورّد مورّدك. وما جرّبه مورّدو مورّديّ ليس شيئًا أملك عليه دليلًا، لأني لم أسألهم كتابةً ولم أتلقَّ جوابًا يصلح للحفظ. فقل هذا صراحةً أمام جهة الحوكمة التي ترفع إليها، بدل أن تلوّن الخانة بالأخضر، فالخانة الخضراء التي لا تستطيع الدفاع عنها أغلى من الصفراء التي تستطيع. أما الرافعة التي تملكها فعلًا فأضيق مما يُظن: إذ توجب الضوابط الأساسية للأمن السيبراني أن تتضمن العقود مع الأطراف الخارجية التي قد يؤثر إخفاقها في بيانات الجهة أو خدماتها، كحد أدنى، إجراءات التواصل عند وقوع حادث سيبراني. وأكثر العقود التي فتحتها فيها مستوى خدمة وليس فيها إجراء تواصل. مستوى الخدمة يخبرك بما تستحقه بعد انتهاء الأمر، وإجراء التواصل يخبرك أي اسم يردّ على أي رقم. وواحد منهما فقط ينفعك والحدث جارٍ.

أكثر التمارين التي أراها إعادةُ تمثيلٍ للجواب لا اختبار للسؤال. يُعمَّم السيناريو قبل أسبوع. والمشاركون هم من كتبوا الخطة. والنظام المختار هو الذي جرى الاستثمار فيه حديثًا. ويقول التقرير إن الأهداف تحققت كلها، ثم يُحفظ. وهذه صورة فوتوغرافية للخطة لا اختبار لها. فغاية التمرين أن ينتج ملاحظات. وإن لم ينتج تمرينك شيئًا، فإما أنه صُمِّم على ألا ينتج، وإما أن مؤسستك أول مؤسسة في تاريخ القطاع أصابت كل شيء على الورق.

ومُهَل الجهة المشرفة نفسها تفترض وجود الملاحظات. فالدليل التنظيمي لإدارة استمرارية الأعمال يوجب اختبار خطة الاستمرارية مرة في السنة على الأقل بأهداف محددة وسيناريوهات مخطط لها، مع النص صراحةً على أن تُؤخذ سيناريوهات الأمن السيبراني في الاعتبار، ومع تفعيل فريق إدارة الأزمات ومشاركته؛ فإذا تمّت الاختبارات المنفردة، فالاختبار المتكامل الذي يغطي الخدمات والعمليات الحرجة كلها اختبارٌ مطلوب منك أن تنظر في إجرائه. ويُجرى اختبار خطة التعافي من الكوارث مرة في السنة على الأقل، مقترنًا باختبار الاستمرارية. ثم يأتي الموعدان اللذان يكشفان المقصود: تُشارَك نتائج الاختبار مع الجهة المشرفة خلال أربعة أسابيع من إجرائه، وتُقدَّم خطة عمل للتحسينات المستخلَصة خلال شهرين من تقديم تلك النتائج. فخطة التحسين ليست ملحقًا اختياريًا. الإطار مكتوب على افتراض أن الاختبار الحقيقي يولّد قائمة، وأن تقديم لا شيء ملاحظةٌ عنك أنت.

فصمّم إذن لأجل الاكتشاف. لا تعمّم السيناريو. واسحب من الغرفة شخصًا مُسمّى دون إنذار، وانظر هل تصمد الخطة في غيابه؛ فهو أرخص ما تُدخله على التمرين، ولا يكلّف إلا الجرأة. واجعل العطل واقعًا في الشيء الذي تتكئ عليه خطتك بصمت: منصة الهوية، أو الاتصال، أو المورّد الذي يتبيّن أن مكتب دعمه يعمل بساعات عمل رسمية في منطقة زمنية أخرى. وكلّف أحد المشاركين صراحةً بمهمة الاعتراض والقول إن التعافي لم يتحقق فعلًا. وقيّم التمرين بعدد الملاحظات وجودتها لا بإتمامه، فما إن يصير الإتمام هو المقياس حتى تكون قد علّمت المؤسسة كلها أن تصمم اختبارًا سهلًا.

واسحب الشخص، فستبلغ سجل التواصل قبل أن تبلغ الفجوة. تُكتب وثائق الاستمرارية بالأسماء لأن الأسماء هي الطريقة التي يفكر بها كاتبها، والإطار يطلب بيانات التواصل مع فريق إدارة الأزمات بما في ذلك الأطراف الخارجية. وهذه القائمة تبلى دون أن يفشل شيء في النظام ليدل عليها. فاكتب الأدوار في الإجراء، واحفظ الأسماء في سجل واحد تمسّه إجراءات إنهاء الخدمة فعلًا، ثم اختبر السجل بالاتصال به لا بقراءته: فالرقم الذي أُعيد تخصيصه لغيره يبدو على الورق كما هو، ويرنّ في جيب شخص غريب.

والملاحظات ضمانٌ أيضًا. فالإطار يوجب مراجعة البرنامج وتدقيقه دوريًا من جهة مستقلة مؤهلة، داخلية أو خارجية، مع رفع الفجوات وخارطة معالجتها إلى الإدارة العليا واللجنة. والبرنامج الذي لم ينتج فجوة قط ليس مطمئنًا، بل غير مدقَّق.

لوحات النسخ الاحتياطي خضراء لأن مهام النسخ اكتملت، والمهمة المكتملة دليل على أن ملفًا كُتب، لا أكثر. والضوابط الأساسية للأمن السيبراني دقيقة في صياغتها هنا: المطلوب اختبار فاعلية استعادة النسخ الاحتياطية دوريًا، إلى جانب القدرة على استعادة البيانات والأنظمة بسرعة بعد الحوادث السيبرانية. الفاعلية، لا الوجود.

وتكون الاستعادة كاملةً من أولها إلى آخرها حين يقلع التطبيق، ويتحقق من هويته لدى خدمة هوية كان لا بد من استعادتها هي الأخرى، ويعيد الاتصال بتكاملاته، ويطابق أرصدته، ويوقّع شخص من الأعمال لا من تقنية المعلومات بأن البيانات صحيحة حتى نقطة التعافي المتفق عليها. وما دون ذلك نسخ ملفات بنيّة حسنة. والخطوة التي تسقط هي الأخيرة، وهي وحدها في هذا التسلسل التي لا يستطيع أداءها الفريق الذي يُقيَّم عمله.

ثم قِس زمنها. فالاستعادة التي لم يُقس زمنها قط لا تسند زمن تعافٍ مستهدفًا، والظروف التي تقيس فيها جزء من القياس: نهاية الأسبوع، والفريق المنقوص، وتجميد التغيير الذي يلزم كسره، والموافقة التي يلزم البحث عمّن يمنحها. وارفع الرقم المقيس إلى جوار الرقم الملتزَم به، في الورقة نفسها، كل سنة. فإن لم يتطابقا فأمامك إما مشكلة هندسية وإما حوار تسعير، وكلاهما أهون في مارس منه أثناء الحادث.

والرقم الذي أعطيته للجنتك دون أن تقيسه كان أمنية بفاصلة عشرية.

اعرف ما سيُطلب منك قبل أن يُطلب. ففي الإطار التنظيمي للأمن السيبراني، يُبلَّغ عن الحادث الأمني المصنَّف متوسطًا أو عاليًا إلى الجهة المشرفة فور وقوعه وتحديده، وتجب حماية الأدلة والسجلات ذات الصلة، وتوفير قدرة كافية من محققي الأدلة الجنائية الرقمية المعتمدين، ويحمل تقرير ما بعد الحادث قائمة محددة: عنوان الحادث وتصنيفه، ووقت وقوعه ووقت اكتشافه، والتفاصيل التقنية والأصول المعلوماتية المتأثرة، وتحليل السبب الجذري، والإجراءات التصحيحية المنفَّذة والمخطط لها، والأثر مع التكاليف التقديرية. ويقول الدليل التنظيمي لإدارة استمرارية الأعمال الشيء نفسه في الحوادث المعطِّلة المصنَّفة متوسطة أو عالية: إبلاغ فوري، وتقرير بعد عودة التشغيل الطبيعي.

ثم أعد قراءة القائمة واسأل: أي بنودها يمكن إعادة بنائه بصدق؟ السبب الجذري نعم، لاحقًا. والإجراءات التصحيحية لاحقًا. أما وقت الوقوع محفوظًا مستقلًا عن وقت الاكتشاف فلا يُعاد بناؤه بعد ثلاثة أيام من محادثة جماعية، والفارق بين هذين الطابعين الزمنيين هو بالضبط الرقم الذي يخبر الجهة المشرفة عن جودة الكشف عندك. وكذلك سجل القرار: من أذن بالتحويل إلى البيئة البديلة، وفي أي ساعة، وبناءً على أي معلومة، ومن أُبلغ. وإذا دخلت البيانات الشخصية في النطاق، فاللائحة التنفيذية لنظام حماية البيانات الشخصية (PDPL) تمنحك اثنتين وسبعين ساعة من لحظة العلم لإبلاغ الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) متى كان التسريب قد يضر بالبيانات الشخصية أو بأصحابها، ويحمل الإبلاغ وصف الحادث، وفئات المتأثرين وعددهم التقديري، وتقييم العواقب، والتدابير المتخذة للاحتواء. والعدد التقديري للمتأثرين خلال 72 ساعة سؤال في نموذج البيانات لا في إدارة الأزمة. تجيب عنه قبل الحادث أو لا تجيب عنه أبدًا.

والعلاج التشغيلي غير لامع، وهو دور لا أداة. شخص في فريق الأزمة يكتب بينما يصلح الآخرون، في سجل واحد مختوم بالوقت، ولا يحمل هذا الشخص مهمة تقنية. ووقت الوقوع ووقت الاكتشاف حقلان منفصلان من الدقيقة الأولى، ولا حقل واحد اسمه «حين انتبهنا». ولكل قرار مالك وطابع زمني. وساعة الاثنتين والسبعين تبدأ من لحظة العلم لا من لحظة الاحتواء، ويجب أن يراقبها من هو خارج عملية التعافي. ومرّن أثر الأدلة في التمرين تمامًا كما تمرّن التحويل إلى البيئة البديلة. فأسوأ لحظة تكتشف فيها أن سجل حادثك محادثة بلا طوابع زمنية هي اللحظة التي تنتظره فيها جهة مشرفة.

يأتي التواصل متأخرًا في أكثر الخطط التي قرأتها: مجدولًا بعد التعافي، ومُسندًا إلى فريق التسويق. أما في شركة مالية خاضعة للتنظيم فهو متزامن ومقيَّد، وفيه اعتمادية موافقة تجلس في منتصف أسوأ ساعاتك. فالدليل التنظيمي لإدارة استمرارية الأعمال يوجب التنسيق مع الجهة المشرفة عند التواصل مع الإعلام في حال وقوع حادث. والإطار التنظيمي للأمن السيبراني يذهب أبعد، فيشترط الحصول على عدم ممانعة من الجهة المشرفة قبل التواصل العلني. فبيانك الأول إذن فعلٌ خاضع للتنظيم لا مادة تسويقية. وإن لم تكن خطة التواصل عندك تُدخل الجهة المشرفة في السلسلة بوصفها معتمِدًا له زمن استجابة، فستصنع لك تلك الخطة مشكلة امتثال وأنت لا تزال تعالج مشكلة توافر.

ويضع الإطار كذلك التواصل داخل فريق الأزمة لا في أسفل مجراه. فيوجب أن يضم فريق إدارة الأزمات ممثلين عن المنتجات والخدمات والوظائف والعمليات الحرجة، ويسمّي إدارة الاتصال صراحةً، وأن تحمل خطة إدارة الأزمة خطة تواصل تشمل خطة الاستجابة الإعلامية وتخاطب أصحاب المصلحة في الداخل والخارج. وهذا الموضع هو المقصود كله، وهو الجزء الذي تتخطاه المؤسسات بهدوء. فإدارة الاتصال التي تعلم بالحادث من التحديث الداخلي الثاني إدارة ستملأ الفراغ بتخمين، والتخمين يصير هو السجل العلني.

والذي يصمد تشغيليًا ممل ومحدد. بيانات صحفية أولية مكتوبة ومُجازة قانونيًا سلفًا، حتى لا تكون الصياغة هي عنق الزجاجة. والتزام بإيقاع لا بموعد حل، فقولك «التحديث القادم الساعة الحادية عشرة» وعدٌ تستطيع الوفاء به، وقولك «سنعود خلال ساعة» وعدٌ لا تستطيعه. وصوت واحد مُسمّى، وقاعدة دائمة بألا يتحدث سواه. ونص لمركز الاتصال يصدر في اللحظة نفسها التي يصدر فيها أول إشعار داخلي، فمن يردّ على مكالمات العملاء هو الوجه العلني للحادث سواء خطط أحد لذلك أم لم يخطط. وحيث تدخل البيانات الشخصية، إبلاغ المتأثرين دون تأخير غير مبرر، وهذا معيار نظامي لا اجتهاد في التواصل. وقرارُ ألا تقول شيئًا بعد قرارٌ أيضًا. له مالك وطابع زمني في سجل الحادث، كسائر القرارات.