عندما تبدأ المؤسسات المالية والجهات الحكومية في المملكة مشاريع تطبيق نظام إدارة أمن المعلومات وفق ISO/IEC 27001:2022، يواجه كثير منها عقبة غير متوقعة عند الضابط 5.7 من الملحق أ: المعلومات الاستخبارية عن التهديدات. يفترض مديرو المشاريع أن شراء اشتراك في إحدى خدمات تغذيات التهديدات يكفي لاستيفاء المتطلب، لكنهم يكتشفون خلال التدقيق الداخلي أو تدقيق الشهادة أن المدققين يطلبون أكثر من ذلك بكثير: عمليات موثقة للجمع والتحليل والنشر، وأدلة على أن المعلومات الاستخبارية تُستخدم فعلياً في اتخاذ القرارات الأمنية. هنا نشرح منهجية تطبيق المعلومات الاستخبارية عن التهديدات آيزو 27001 التي نتبعها لتحويل هذا الضابط من عقبة إلى قدرة تشغيلية حقيقية خلال تسعين يوماً.
لماذا يفشل النهج التقليدي
معظم المؤسسات تتعامل مع الضابط 5.7 بإحدى طريقتين: إما شراء اشتراك مكلف في منصة معلومات استخبارية عالمية تنتج آلاف التنبيهات اليومية التي لا يقرأها أحد، أو الاكتفاء بكتابة إجراء عام ينص على "متابعة مصادر المعلومات الاستخبارية" دون تحديد كيف أو من أو متى. كلا النهجين يفشل في تحقيق ما يتطلبه ISO/IEC 27001:2022 فعلياً.
الضابط 5.7 من الملحق أ يتطلب أن تجمع المؤسسة معلومات عن التهديدات ذات الصلة بأمن المعلومات، وأن تحللها، وأن تستخدمها في تحسين الوضع الأمني. المدققون يبحثون عن ثلاثة أشياء محددة: سجلات توثق المصادر المستخدمة وتكرار المراجعة، أدلة على التحليل وليس مجرد النسخ، وأمثلة على قرارات أو إجراءات اتخذت بناءً على المعلومات الاستخبارية المستلمة.
المشكلة ليست في نقص المعلومات — بل في غياب العملية التي تحول البيانات الخام إلى معلومات استخبارية قابلة للتنفيذ ومرتبطة بسياق المؤسسة.
المنهجية المكونة من أربع مراحل
نتبع منهجية منظمة تنتج نظاماً كاملاً للمعلومات الاستخبارية عن التهديدات خلال تسعين يوماً، مع التركيز على إنتاج الأدلة التي يطلبها المدققون والمعلومات الاستخبارية التي يحتاجها مركز العمليات الأمنية فعلياً. المنهجية تتكون من أربع مراحل متتالية، كل مرحلة تبني على مخرجات المرحلة السابقة.
المرحلة الأولى: ربط الأصول بالتهديدات
نبدأ بتحديد ما يجب أن نراقبه بالضبط. هذه المرحلة تستغرق أسبوعين وتتطلب مشاركة مدير أمن المعلومات ومدير تقنية المعلومات وممثلين عن وحدات الأعمال الحرجة.
نراجع سجل الأصول الحرجة من تقييم المخاطر — الأنظمة والبيانات والخدمات التي حُددت كأصول عالية المخاطر أو حرجة للعمليات. لكل أصل، نحدد أنواع التهديدات ذات الصلة: هل هو نظام مصرفي أساسي معرض لهجمات برمجيات الفدية؟ هل هي قاعدة بيانات عملاء معرضة لمحاولات الاختراق؟ هل هو تطبيق ويب يواجه الإنترنت معرض لثغرات يوم الصفر؟
نربط كل أصل بمؤشرات التهديد المحددة التي يجب مراقبتها: عناوين IP وأسماء نطاقات وتوقيعات برمجيات خبيثة وأنماط هجوم وثغرات أمنية في التقنيات المستخدمة. هذا الربط يحول المعلومات الاستخبارية من مجرد أخبار عامة عن التهديدات إلى معلومات محددة ذات صلة مباشرة بالمؤسسة.
في نهاية هذه المرحلة، تحصل المؤسسة على مصفوفة الأصول والتهديدات — وثيقة تربط كل أصل حرج بأنواع التهديدات ومؤشرات التهديد التي يجب مراقبتها، مع تحديد الأولوية بناءً على مستوى المخاطر.
المرحلة الثانية: اختيار المصادر والتحقق منها
بعد تحديد ما نحتاج إلى مراقبته، نختار المصادر التي سنستخدمها. هذه المرحلة تستغرق ثلاثة أسابيع وتتطلب مشاركة فريق العمليات الأمنية والفريق التقني.
نقيّم مصادر المعلومات الاستخبارية المتاحة — المجانية والتجارية — بناءً على معايير محددة: التغطية الجغرافية (هل تشمل التهديدات الموجهة للمنطقة؟)، التغطية القطاعية (هل تركز على القطاع المالي أو الحكومي؟)، التوقيت (ما مدى سرعة نشر المعلومات؟)، التنسيق (هل يمكن دمجها مع الأنظمة الحالية؟)، والموثوقية (ما نسبة الإيجابيات الكاذبة؟).
نختار مزيجاً من المصادر يغطي احتياجات المؤسسة دون أن يغرق الفريق في البيانات. عادة يشمل ذلك: تغذيات مؤشرات التهديد من مراكز الاستجابة للطوارئ الحاسوبية الوطنية والإقليمية، تقارير التهديدات القطاعية من الجهات التنظيمية مثل البنك المركزي السعودي (ساما) والهيئة الوطنية للأمن السيبراني، قواعد بيانات الثغرات الأمنية، ومصادر مفتوحة متخصصة في التهديدات الموجهة للمنطقة.
نختبر كل مصدر لمدة أسبوع على الأقل لقياس الحجم والجودة والملاءمة. نوثق معايير التقييم والنتائج في سجل المصادر.
في نهاية هذه المرحلة، تحصل المؤسسة على سجل مصادر المعلومات الاستخبارية — قائمة موثقة بالمصادر المعتمدة مع وصف كل مصدر وتكرار المراجعة والمسؤول عن المتابعة، وإجراءات الوصول والتحقق لكل مصدر.
المرحلة الثالثة: تصميم سير عمل المحلل
المعلومات الاستخبارية الفعالة تتطلب أكثر من مجرد استلام التغذيات — تتطلب عملية تحليل منظمة. هذه المرحلة تستغرق ثلاثة أسابيع وتتطلب مشاركة محللي الأمن السيبراني والمستجيبين للحوادث.
نصمم سير عمل يحدد كيف تُعالج المعلومات الاستخبارية الواردة: من يستلمها، كيف تُصنف حسب الأهمية والاستعجال، كيف تُحلل لتحديد مدى الصلة بالمؤسسة، كيف تُثرى بالسياق المحلي، وكيف تُوزع على الأطراف المعنية.
نحدد نقاط القرار الحرجة: متى يُصعّد تهديد من "للمتابعة" إلى "يتطلب إجراء فوري"؟ من يملك صلاحية إصدار تنبيه داخلي؟ كيف تُربط المعلومات الاستخبارية بسجلات الحوادث الأمنية؟
نصمم قوالب موحدة لتوثيق التحليل: ملخص التهديد، مدى الصلة بالمؤسسة، الأصول المتأثرة المحتملة، الإجراءات الموصى بها، والجدول الزمني. هذه القوالب تضمن أن كل تحليل يحتوي على المعلومات التي يحتاجها متخذو القرار.
نربط سير العمل بالأنظمة الحالية — نظام إدارة الحوادث، نظام إدارة الثغرات، منصة SIEM — لضمان أن المعلومات الاستخبارية تُستخدم فعلياً في العمليات اليومية.
في نهاية هذه المرحلة، تحصل المؤسسة على إجراءات جمع وتحليل ونشر المعلومات الاستخبارية — وثيقة تفصيلية تصف سير العمل الكامل من الاستلام إلى التصرف، وقوالب التحليل والتقارير الموحدة.
المرحلة الرابعة: إعداد التقارير لأصحاب المصلحة
المعلومات الاستخبارية يجب أن تصل إلى الأشخاص المناسبين بالشكل المناسب. هذه المرحلة تستغرق أسبوعين وتتطلب مشاركة الإدارة العليا ومديري وحدات الأعمال.
نحدد أصحاب المصلحة المختلفين واحتياجاتهم من المعلومات الاستخبارية: الفريق التقني يحتاج إلى مؤشرات تهديد تقنية مفصلة يمكن إدخالها في أنظمة الحماية، مديرو أمن المعلومات يحتاجون إلى تقارير تحليلية عن الاتجاهات والأنماط، الإدارة العليا تحتاج إلى ملخصات تنفيذية عن التهديدات الاستراتيجية.
نصمم آليات نشر مختلفة لكل فئة: تنبيهات فورية للتهديدات الحرجة، نشرات أسبوعية للتهديدات الناشئة، تقارير شهرية عن المشهد العام للتهديدات، وإحاطات ربع سنوية للإدارة العليا.
نحدد مقاييس لقياس فعالية برنامج المعلومات الاستخبارية: عدد التهديدات المحددة، عدد الإجراءات المتخذة، الوقت من الاكتشاف إلى التصرف، وتأثير المعلومات الاستخبارية على تقليل الحوادث.
نوثق دورة المراجعة: كيف ومتى تُراجع فعالية المصادر، كيف تُحدّث قائمة الأصول والتهديدات، وكيف تُحسّن العمليات بناءً على الدروس المستفادة.
في نهاية هذه المرحلة، تحصل المؤسسة على قوالب التقارير والنشرات لجميع أصحاب المصلحة، ولوحة مقاييس المعلومات الاستخبارية التي تعرض الأداء والتأثير.
التكامل مع تطبيق آيزو 27001
هذه المنهجية مصممة لتتكامل مع مراحل تطبيق نظام إدارة أمن المعلومات الأوسع. عندما نطبق نظام إدارة أمن المعلومات وفق ISO/IEC 27001:2022، تُنفذ منهجية المعلومات الاستخبارية عن التهديدات خلال مرحلة البناء — بعد اكتمال تقييم المخاطر وقبل التدقيق الداخلي.
مخرجات تقييم المخاطر — سجل الأصول الحرجة وسجل المخاطر — تغذي المرحلة الأولى من منهجية المعلومات الاستخبارية. الإجراءات والسجلات المنتجة تصبح جزءاً من بيان قابلية التطبيق كأدلة على تطبيق الضابط 5.7 من الملحق أ.
خلال التدقيق الداخلي، يراجع المدققون الداخليون الإجراءات والسجلات والأدلة على الاستخدام الفعلي. أي فجوات تُعالج قبل مراجعة الجاهزية للشهادة.
المخرجات الكاملة
عند اكتمال المنهجية، تحصل المؤسسة على حزمة كاملة من الوثائق والأدوات:
الوثائق الإجرائية:
- إجراء جمع وتحليل ونشر المعلومات الاستخبارية عن التهديدات
- مصفوفة الأصول والتهديدات
- سجل مصادر المعلومات الاستخبارية
- معايير تقييم المصادر
الأدوات التشغيلية:
- قوالب تحليل التهديدات
- قوالب التنبيهات والنشرات
- قوالب التقارير التنفيذية
- لوحة مقاييس المعلومات الاستخبارية
السجلات والأدلة:
- سجل المعلومات الاستخبارية المستلمة
- سجل التحليلات المنجزة
- سجل الإجراءات المتخذة بناءً على المعلومات الاستخبارية
- محاضر مراجعة فعالية المصادر
هذه المخرجات تشكل الأدلة التي يطلبها المدققون عند تقييم الضابط 5.7 من الملحق أ، وفي نفس الوقت تشكل نظاماً تشغيلياً يمكن لفريق الأمن السيبراني استخدامه يومياً لتحسين الوضع الأمني للمؤسسة.
الخطوة التالية
إذا كنتم تخططون لمشروع تطبيق آيزو 27001 أو تواجهون صعوبة في استيفاء متطلبات الضابط 5.7 من الملحق أ، تواصلوا معنا لمناقشة كيف يمكن أن تساعدكم خدمة تطبيق نظام إدارة أمن المعلومات وفق ISO/IEC 27001 في بناء قدرة حقيقية للمعلومات الاستخبارية عن التهديدات — ليس فقط للحصول على الشهادة، بل لتحسين قدرتكم على اكتشاف التهديدات والاستجابة لها.
