عندما تتلقى الجهة إشعاراً بضرورة تقديم التقييم الذاتي للضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، يصبح الوقت عاملاً حاسماً. كثير من مدراء أمن المعلومات ومدراء تقنية المعلومات يواجهون السؤال نفسه: كيف نجمع الأدلة، نختبر الضوابط، نعالج الفجوات، ونرفع التقييم الذاتي في إطار زمني محدود؟ في هذا المقال نشرح عملية تقييم امتثال الضوابط الأساسية للأمن السيبراني كما نطبقها في كل مشروع: أربع مراحل أسبوعية واضحة، مع المخرجات الدقيقة واعتمادات العميل والتبعيات التي تبقي المشروع على المسار الصحيح.
لماذا أربعة أسابيع؟
الضوابط الأساسية للأمن السيبراني تضم 114 ضابطاً في إصدار 2024. تقييم كل ضابط يتطلب جمع أدلة، اختبار فعالية الضوابط، وتوثيق حالة الامتثال. عندما يكون لدى الجهة موعد ضيق، فإن تقسيم العمل إلى مراحل أسبوعية محددة يسمح بتوزيع الجهد بين فريق الاستشاري وفريق العميل، ويضمن أن كل اعتماد يُسلّم في الوقت المناسب حتى لا يتأخر المشروع.
الإطار الزمني الذي نستخدمه يتراوح عادة من ستة إلى عشرة أسابيع للتقييم الكامل، لكن عندما تكون الجهة قد أعدّت بعض السياسات أو لديها ممارسات موثقة، يمكن إنجاز التقييم في أربعة أسابيع مركّزة. هذا يتطلب التزاماً واضحاً من الطرفين وجدولاً زمنياً محكماً.
الأسبوع الأول: تحديد النطاق وطلب الأدلة
ما الذي يحدث
في الأسبوع الأول، نعقد جلسة انطلاق مع فريق العميل لتحديد نطاق التقييم: ما هي الأنظمة والأصول والعمليات التي تخضع للضوابط الأساسية؟ ما هي الوحدات التنظيمية المعنية؟ من هم أصحاب المصلحة الذين سيوفرون الأدلة؟
بعد تحديد النطاق، نُعدّ قائمة طلب الأدلة لكل ضابط من الضوابط الـ 114. هذه القائمة تحدد بالضبط ما نحتاج إليه: السياسات، الإجراءات، سجلات التدريب، تقارير الفحص، إعدادات الأنظمة، سجلات الوصول، وغيرها. نرسل القائمة إلى نقاط الاتصال في الجهة مع تحديد الموعد النهائي للتسليم.
من يشارك من جانب العميل
- مدير أمن المعلومات أو مدير تقنية المعلومات: يعتمد النطاق ويحدد نقاط الاتصال.
- مسؤولو الأنظمة والشبكات: يوفرون الوصول إلى الأنظمة والإعدادات.
- مسؤول الامتثال أو إدارة المخاطر: يوفر السياسات والإجراءات الموجودة.
- الموارد البشرية: توفر سجلات التدريب والتوعية.
ما الذي يحمله العميل في نهاية الأسبوع الأول
- وثيقة نطاق التقييم: تحدد الأنظمة والعمليات المشمولة.
- قائمة طلب الأدلة: جدول تفصيلي بكل الأدلة المطلوبة لكل ضابط، مع المسؤول عن تقديمها والموعد النهائي.
الأسبوع الثاني: اختبار الضوابط وتوثيق الحالة
ما الذي يحدث
بمجرد أن نتلقى الأدلة من العميل، نبدأ اختبار الضوابط. لكل ضابط، نراجع الأدلة المقدمة ونختبر فعاليتها. على سبيل المثال:
- ضوابط إدارة الهوية والوصول: نراجع سياسة إدارة الحسابات، نفحص عينة من حسابات المستخدمين، ونختبر إعدادات المصادقة متعددة العوامل.
- ضوابط إدارة الثغرات: نراجع سجلات الفحص الدوري، نتحقق من أن الثغرات الحرجة عولجت في الإطار الزمني المحدد، ونفحص عملية تصنيف الثغرات.
- ضوابط التوعية والتدريب: نراجع محتوى التدريب، نتحقق من سجلات الحضور، ونفحص آلية قياس الفعالية.
في حالات كثيرة، نكتشف أن بعض الضوابط مطبّقة جزئياً أو أن الأدلة غير كافية. نوثّق كل ذلك في تقرير تقييم الامتثال الذي يبيّن حالة كل ضابط: ممتثل، ممتثل جزئياً، أو غير ممتثل.
من يشارك من جانب العميل
- فرق تقنية المعلومات والأمن السيبراني: يجيبون على الأسئلة التوضيحية ويوفرون أدلة إضافية عند الحاجة.
- مسؤولو الأنظمة: يسمحون بإجراء اختبارات تقنية على الأنظمة والشبكات.
ما الذي يحمله العميل في نهاية الأسبوع الثاني
- تقرير تقييم الامتثال الأولي: يوثق حالة الامتثال لكل ضابط مع الأدلة المراجعة والفجوات المكتشفة.
الأسبوع الثالث: معالجة الفجوات وإعداد خطة العمل
ما الذي يحدث
بعد توثيق الفجوات، ننتقل إلى معالجة الفجوات. هنا نعمل مع العميل على إعداد خطة المعالجة التي تحدد لكل فجوة:
- الإجراء المطلوب: ما الذي يجب فعله لسد الفجوة؟
- المسؤول: من سيتولى تنفيذ الإجراء؟
- الموعد النهائي: متى يجب أن يكتمل الإجراء؟
- تقدير الجهد: كم من الوقت والموارد يحتاج الإجراء؟
بالإضافة إلى ذلك، إذا كانت الجهة تفتقر إلى سياسات أو إجراءات معينة، نعدّ مجموعة السياسات والإجراءات المتوافقة مع ضوابط 2024. هذه الوثائق تُكتب بما يتناسب مع بيئة العميل وتُراجع معه قبل اعتمادها.
نوفر أيضاً أداة متابعة لخطة المعالجة، عادة جدول بيانات أو أداة إدارة مشاريع، تسمح للعميل بتتبع التقدم وتحديث الحالة لكل إجراء.
من يشارك من جانب العميل
- مدير أمن المعلومات: يعتمد خطة المعالجة ويحدد الأولويات.
- رؤساء الأقسام المعنية: يوافقون على المسؤوليات والمواعيد النهائية.
- فريق الامتثال: يراجع السياسات والإجراءات الجديدة.
ما الذي يحمله العميل في نهاية الأسبوع الثالث
- خطة المعالجة النهائية: جدول تفصيلي بكل الفجوات والإجراءات المطلوبة والمسؤولين والمواعيد وتقدير الجهد.
- أداة متابعة خطة المعالجة: أداة عملية لتتبع التقدم.
- مجموعة السياسات والإجراءات: وثائق متوافقة مع الضوابط الأساسية 2024، جاهزة للاعتماد.
الأسبوع الرابع: إعداد التقييم الذاتي ورفعه عبر البوابة
ما الذي يحدث
في الأسبوع الأخير، نركز على إعداد التقييم الذاتي الذي سيُرفع عبر بوابة الهيئة الوطنية للأمن السيبراني. التقييم الذاتي يتطلب أن تحدد الجهة حالة الامتثال لكل ضابط وأن تقدم الأدلة الداعمة.
نقدم دعم إعداد التقييم الذاتي من خلال:
- مراجعة الإجابات: نساعد العميل في صياغة الإجابات الدقيقة لكل ضابط بناءً على نتائج التقييم.
- تنظيم الأدلة: نرتب الأدلة بطريقة تسهّل رفعها عبر البوابة.
- المراجعة النهائية: نراجع التقييم الذاتي بالكامل قبل الرفع للتأكد من اتساقه ودقته.
نعدّ أيضاً ملخصاً تنفيذياً موجهاً للإدارة العليا ومجلس الإدارة، يلخص حالة الامتثال الإجمالية، الفجوات الرئيسية، وخطة المعالجة.
من يشارك من جانب العميل
- مدير أمن المعلومات أو مسؤول الامتثال: يراجع التقييم الذاتي ويرفعه عبر البوابة.
- الإدارة العليا: تطّلع على الملخص التنفيذي وتعتمد خطة المعالجة.
ما الذي يحمله العميل في نهاية الأسبوع الرابع
- التقييم الذاتي الجاهز للرفع: إجابات دقيقة لكل ضابط مع الأدلة الداعمة المنظمة.
- ملخص تنفيذي: وثيقة موجزة للإدارة العليا تلخص حالة الامتثال وخطة العمل.
التبعيات التي تبقي المشروع على المسار
نجاح هذا الإطار الزمني المضغوط يعتمد على عدة تبعيات:
الالتزام بمواعيد تسليم الأدلة: إذا تأخر العميل في تقديم الأدلة المطلوبة في الأسبوع الأول، فإن الأسابيع اللاحقة تتأثر. نحدد مواعيد نهائية واضحة ونتابع بانتظام.
توفر نقاط الاتصال: كل ضابط قد يتطلب معلومات من أقسام مختلفة. وجود نقاط اتصال محددة ومتاحة يسرّع جمع الأدلة والإجابة على الأسئلة.
صلاحيات الوصول: اختبار بعض الضوابط يتطلب الوصول إلى الأنظمة والشبكات. تأخير منح الصلاحيات يؤخر الاختبار.
اعتماد السياسات: إذا كانت الجهة تحتاج إلى اعتماد رسمي من الإدارة العليا أو مجلس الإدارة للسياسات الجديدة، يجب تضمين ذلك في الجدول الزمني.
التنسيق مع الهيئة: في بعض الحالات، قد تطلب الهيئة الوطنية للأمن السيبراني توضيحات أو أدلة إضافية بعد رفع التقييم الذاتي. نبقى متاحين لدعم العميل في هذه المرحلة.
ماذا لو كانت الجهة ممتثلة لإصدار 2018؟
كثير من الجهات كانت ممتثلة لإصدار 2018 من الضوابط الأساسية، وتتساءل الآن عن حجم التغيير مع إصدار 2024. الهيكل تغيّر وعدد من المتطلبات تغيّر أيضاً. في هذه الحالة، نربط الامتثال الحالي بالضوابط الجديدة لنعالج فقط ما هو جديد أو مختلف فعلاً. هذا يقلل الجهد ويسمح بالتركيز على الفجوات الحقيقية.
المخرجات الكاملة لمشروع تقييم الامتثال
في نهاية المشروع، يحصل العميل على:
- تقرير تقييم الامتثال: يوثق حالة الامتثال لكل ضابط مع الأدلة المراجعة.
- خطة المعالجة وأداة متابعتها: جدول تفصيلي بالفجوات والإجراءات والمسؤولين والمواعيد، مع أداة لتتبع التقدم.
- مجموعة السياسات والإجراءات: وثائق متوافقة مع ضوابط 2024، جاهزة للاعتماد والتطبيق.
- دعم إعداد التقييم الذاتي: مساعدة في صياغة الإجابات وتنظيم الأدلة ورفع التقييم عبر بوابة الهيئة.
- ملخص تنفيذي: وثيقة موجزة للإدارة العليا تلخص الحالة وخطة العمل.
هذه المخرجات تشكل خط أساس يمكن قياسه من جديد كل عام، مما يسمح للجهة بمتابعة تحسّن حالة الامتثال مع الوقت.
الخطوة التالية
إذا كانت جهتك تحضّر لأول تقييم ذاتي للضوابط الأساسية للأمن السيبراني أو تواجه موعداً ضيقاً، فإن اتباع إطار زمني واضح ومحدد يضمن إنجاز المشروع في الوقت المحدد وبجودة عالية. نحن نقدم تقييم الامتثال والمعالجة ودعم التقييم الذاتي للضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، مع التركيز على الجاهزية لإصدار 2024 ضابطاً ضابطاً.
