اعرف موقعك من الضوابط الأساسية للأمن السيبراني

الضوابط الأساسية للأمن السيبراني هي الحد الأدنى الذي أصدرته الهيئة الوطنية للأمن السيبراني للجهات الحكومية وغيرها من الجهات التي تحددها، ومنها مشغلو البنى التحتية الوطنية الحساسة. وهي مقسمة إلى مجالات تغطي الحوكمة والدفاع والصمود وأمن الأطراف الثالثة والحوسبة السحابية، والتقنيات التشغيلية حيث تنطبق. وينقسم كل مجال إلى مجالات فرعية وضوابط مرقمة، ويتطلب كثير منها سياسة مكتوبة وإثباتاً بأن الضابط يعمل فعلاً.

الجزء الثاني هو ما يربك أغلب الجهات. السياسة المكتوبة تحقق جزءاً فقط من الضابط. يريد المقيّم أن يرى أن صلاحيات المستخدمين تُراجع بجدول منتظم، وأن السجلات تُجمع وتُراقب، وأن النسخ الاحتياطية تُختبر، وأن للحوادث مسؤولاً. عمل الجاهزية في معظمه تحويل النية إلى ممارسة متكررة يقف خلفها سجل.

وهل تلزمك الضوابط مباشرة؟ ذلك يتوقف على طبيعة جهتك. الجهات الحكومية والجهات المحددة ملزمة بالامتثال. أما الشركات الخاصة فتلتزم بها غالباً بشكل غير مباشر لأن عميلاً أو جهة تنظيمية أو عقداً يطلب ذلك. نبدأ كل مشروع بتأكيد النسخة المنطبقة عليك، والأطر المرتبطة بها مثل ضوابط الأمن السيبراني للحوسبة السحابية.

نبدأ بالنطاق: كياناتك النظامية ووحداتك وأنظمتك وترتيبات الحوسبة السحابية والتعهيد المحيطة بها. ثم نقابل المسؤولين ونقرأ الوثائق الموجودة ونتحقق من الإعدادات التقنية مباشرة. المقابلات وحدها لا تكفي، لذلك نأخذ عينات من الإعدادات والسجلات الفعلية لنتأكد مما يقوله الناس.

يحصل كل ضابط على درجة وسبب مكتوب مختصر. ثم تغذي بطاقة التقييم خارطة المعالجة. نرتب بالخطر أولاً وبالجهد ثانياً، ونجمع العمل في ما يمكن إنجازه خلال ثلاثين وستين وتسعين يوماً. المكاسب السريعة، مثل فرض التحقق متعدد العوامل أو تفعيل السجلات المركزية، تغلق غالباً عدة ضوابط دفعة واحدة.

وأثناء المعالجة نصوغ السياسات والإجراءات الناقصة ونبني هيكل الأدلة، فلا تضطر إلى التسابق لاحقاً. يستغرق تقييم الفجوات عادة من أربعة إلى ستة أسابيع. أما المعالجة الكاملة فتتوقف على نقطة انطلاقك وحجم ما يحتاج إلى عمل هندسي لا توثيقي، ونعطيك في ختام التقييم نطاقاً واقعياً، لا تخميناً في بدايته.

نريد أن نكون دقيقين في هذه النقطة. بروكل ديجيتال تهيئك للتقييم، وعملنا مبني وفق متطلبات الضوابط. أما الحكم بالامتثال فللهيئة الوطنية للأمن السيبراني والجهات التي تعمل معها. لا شيء مما نسلمه يُعد موافقة أو شهادة أو ضماناً لنتيجة التقييم، ولن نصفه بذلك.

ما تحصل عليه فعلاً هو الوضوح وأفضلية في الاستعداد. تعرف موقعك الحقيقي، ويكون العمل مرتباً بحسب الخطر، وتكون الأدلة جاهزة. وإذا كشف التقييم أمراً لم نره نحن، فإننا نعده درساً ونساعدك على إغلاقه.

وترتبط الجاهزية بأعمال أخرى. اختبار الاختراق المستقل يدعم الضوابط التقنية المتعلقة بإدارة الثغرات. ومعالجة البيانات الشخصية تمس نظام حماية البيانات الشخصية، والتطوير الآمن يدعم ضوابط أمن التطبيقات. نحدد نطاق هذه الأعمال معاً حين يكون ذلك منطقياً، ونقول بوضوح متى يكون عمل منفصل أقل كلفة.