اجعل برنامج أمنك جاهزاً للتدقيق، وأدلته مرتبة

المعيار ISO/IEC 27001 يخص نظام إدارة أمن المعلومات، ويُختصر غالباً في ISMS. هو منهج أكثر منه قائمة إعدادات تقنية: تحدد النطاق، وتقيّم المخاطر، وتختار الضوابط، وتشغّلها، وتفحصها، وتحسّنها. تصف البنود نظام الإدارة، ويسرد الملحق أ ضوابط مرجعية في محاور تنظيمية وبشرية ومادية وتقنية، وأعادت نسخة 2022 تنظيمها في 93 ضابطاً.

يقف عملنا عند الجاهزية. أي بيان النطاق وتقييم الفجوات وسجل المخاطر وبيان قابلية التطبيق ومجموعة السياسات وتدقيقاً داخلياً فعلياً ومراجعة إدارة. أما الشهادة فنشاط آخر تقوم به جهة منح شهادات معتمدة للتدقيق على المعيار، وأنت من تختارها وتتعاقد معها. نحن لا نصدر شهادات ولا نعد بنتيجة تدقيق أو بموعد، لأن المدقق هو من يقرر. ما نستطيعه هو أن نضمن أنه عند وصول المدقق تحكي مستنداتك وسجلاتك وأفرادك القصة نفسها.

مشروع الجاهزية الجيد حوار في أغلبه. نبدأ بالنطاق، لأن نطاقاً ضيقاً وصادقاً، كخط منتج واحد والمنصة السحابية خلفه، أرخص في التحضير وأسهل في الدفاع عنه من ادعاء عام يشمل الشركة كلها. ويمكنك توسيعه لاحقاً. ثم نقابل أصحاب العمليات في تقنية المعلومات والموارد البشرية والمشتريات والشؤون القانونية والعمليات، ونقارن ما يقولونه بما تظهره الأنظمة والتذاكر.

بعدها نبني سجل المخاطر معك لا نيابةً عنك. تقدير المخاطر حكم عمل يخص نشاطك، فلا بد أن يحضر أصحاب العمليات. تنبثق الضوابط من المخاطر، ويسجل بيان قابلية التطبيق الضوابط التي تطبقها ولماذا تستثني غيرها. وتُكتب السياسات أخيراً وتبقى قصيرة. توقع من 8 إلى 16 أسبوعاً لشركة متوسطة بموقع أو موقعين، بحسب ما يتوفر من أدلة وسرعة استجابة أصحاب العمليات. وعند التعاقد مع جهة التدقيق تأتي مرحلة أولى لمراجعة المستندات، ثم مرحلة ثانية تفحص عمل الضوابط فعلياً، فالسجلات التشغيلية تهم بقدر ما تهم المستندات.

نادراً ما تواجه الشركات السعودية إطاراً واحداً. تصدر الهيئة الوطنية للأمن السيبراني الضوابط الأساسية للأمن السيبراني التي يلزم كثيراً من الجهات الحكومية والقطاعات الحيوية بالالتزام بها، ويحدد نظام حماية البيانات الشخصية واجبات كل من يعالج بيانات شخصية. وهذه التزامات منفصلة عن ISO 27001، والوفاء بأحدها لا يعني الوفاء بغيره. لكنها تتداخل كثيراً: ضبط الوصول والسجلات والاستجابة للحوادث وإدارة الموردين واستمرارية الأعمال تظهر في جميعها.

لذلك نربط مجموعة ضوابطك بالأطر مرة واحدة. إجراء واحد لضبط الوصول، مع دليله، يمكن عرضه مقابل الضابط المقابل في ISO 27001 والضابط المناظر في الضوابط الأساسية وواجب الأمن في نظام حماية البيانات الشخصية. هذا يوفر أشهراً من التوثيق المكرر ويخفض كلفة المشاريع اللاحقة. وإذا كانت أولويتك الأولى متطلب الهيئة أو البيانات الشخصية، فنقرن هذا العمل بخدمتي الجاهزية للضوابط الأساسية وهندسة حماية البيانات، وبالتطوير الآمن إن كنت تبني برمجيات. ويطلب العملاء أدلة ISO 27001 في المناقصات واستبيانات الأمن، فوجود نطاق وبيان قابلية تطبيق جاهزين يسرّع أيضاً محادثات البيع.