عندما تطبق مؤسستك المالية نظام إدارة أمن المعلومات وفق ISO/IEC 27001:2022، فإن أهم وثيقة تواجه المدققين والجهات التنظيمية هي بيان قابلية التطبيق (Statement of Applicability). هذا البيان يحدد أي من ضوابط الملحق أ آيزو ٢٧٠٠١ ساما الـ٩٣ تطبقها مؤسستك، وأيها استبعدت، ولماذا. بالنسبة للمؤسسات الخاضعة لإشراف البنك المركزي السعودي (ساما)، فإن هذا القرار ليس تقنياً فحسب، بل تنظيمياً أيضاً: كل ضابط تستبعده يجب أن يكون له مبرر واضح ومقبول أمام المدققين.
المشكلة التي يواجهها مدراء أمن المعلومات ومسؤولو المخاطر هي أن المعيار الدولي لا يخبرك أي الضوابط إلزامية لقطاعك. يقدم الملحق أ قائمة شاملة، لكنه يترك لك حرية الاختيار بناءً على تقييم المخاطر. في الوقت نفسه، تفرض ساما متطلبات محددة عبر إطار الأمن السيبراني وضوابط أخرى، مما يعني أن بعض ضوابط آيزو ٢٧٠٠١ تصبح عملياً إلزامية للمؤسسات المالية السعودية، بينما يمكن استبعاد أخرى بحجج مقبولة.
هذا المقال يقدم إطار عمل عملياً لاتخاذ قرارات القابلية للتطبيق: كيف تربط كل ضابط من ضوابط الملحق أ بمتطلبات ساما، وأي الضوابط قابلة للتطبيق دائماً تقريباً في البنوك السعودية، وأيها يتطلب مبرراً قوياً للاستبعاد، وكيف توثق حججك بطريقة تصمد أمام التدقيق.
فهم بيان قابلية التطبيق ودوره التنظيمي
بيان قابلية التطبيق هو وثيقة إلزامية في ISO/IEC 27001. يجب أن يحتوي على:
- قائمة بجميع الضوابط الـ٩٣ في الملحق أ
- قرار لكل ضابط: قابل للتطبيق أم مستبعد
- تبرير الاستبعاد لكل ضابط غير مطبق
- الإشارة إلى الضوابط الإضافية التي طبقتها خارج الملحق أ
بالنسبة للمؤسسات المالية الخاضعة لساما، فإن هذا البيان يخدم غرضين:
أولاً، هو دليل للمدقق الخارجي أثناء تدقيق الشهادة. المدقق سيفحص كل ضابط مستبعد ويتحقق من أن المبرر منطقي ومبني على تقييم مخاطر موثق.
ثانياً، هو أداة للامتثال التنظيمي. عندما تطلب ساما أو مدققوها الداخليون أو الخارجيون مراجعة نظام إدارة أمن المعلومات، فإن بيان قابلية التطبيق يوضح كيف تغطي ضوابطك المتطلبات التنظيمية. إذا استبعدت ضابطاً يرتبط بمتطلب من إطار الأمن السيبراني لساما، فيجب أن تثبت أنك غطيت المتطلب بطريقة أخرى.
ربط ضوابط الملحق أ بإطار الأمن السيبراني لساما
إطار الأمن السيبراني الصادر عن ساما يحتوي على خمسة مجالات رئيسية: الحوكمة السيبرانية، وحماية التقنية السيبرانية، وحماية البيانات، ومرونة التقنية، والامتثال لمتطلبات الأمن السيبراني. كل مجال يحتوي على ضوابط ومتطلبات محددة.
عندما تعد بيان قابلية التطبيق، فإن الخطوة الأولى هي رسم خريطة تربط كل ضابط من ضوابط الملحق أ بمجال أو أكثر من مجالات إطار ساما. هذا الربط يساعدك على:
- تحديد الضوابط التي تغطي متطلبات تنظيمية صريحة (وبالتالي يصعب استبعادها)
- اكتشاف الفجوات حيث يطلب إطار ساما ضابطاً لا يغطيه الملحق أ بالكامل
- توثيق التغطية المزدوجة حيث يغطي ضابط واحد في آيزو عدة متطلبات لساما
على سبيل المثال:
- الضابط ٥.١ (السياسات لأمن المعلومات): يرتبط مباشرة بمتطلبات الحوكمة السيبرانية في إطار ساما، وهو قابل للتطبيق دائماً.
- الضابط ٥.٧ (استخبارات التهديدات): يرتبط بمتطلبات الرصد والكشف، وهو قابل للتطبيق في معظم البنوك، لكن يمكن لمؤسسة صغيرة جداً أن تبرر الاعتماد على مصادر عامة بدلاً من برنامج رسمي.
- الضابط ٥.٢٣ (أمن المعلومات لاستخدام الخدمات السحابية): إلزامي عملياً لأي مؤسسة تستخدم السحابة، ويرتبط بمتطلبات ساما حول الأطراف الثالثة والخدمات الحرجة.
الضوابط القابلة للتطبيق دائماً تقريباً
بناءً على الممارسة الفعلية في المؤسسات المالية السعودية، هناك مجموعة من الضوابط يصعب جداً استبعادها دون أن تثير علامات استفهام لدى المدققين أو ساما:
ضوابط الحوكمة والتنظيم (الفصل ٥)
جميع الضوابط في هذا الفصل تقريباً قابلة للتطبيق:
- السياسات (٥.١)
- أدوار ومسؤوليات أمن المعلومات (٥.٢، ٥.٣)
- الفصل بين المهام (٥.٤)
- الاتصال مع الجهات التنظيمية (٥.٦)
- استخبارات التهديدات (٥.٧)
- أمن المعلومات في إدارة المشاريع (٥.٨)
- جرد الأصول (٥.٩)
- الاستخدام المقبول (٥.١٠)
- إعادة الأصول (٥.١١)
- تصنيف المعلومات (٥.١٢، ٥.١٣)
- الوصول المادي (٥.١٥)
- الهوية والصلاحيات (٥.١٥ إلى ٥.١٨)
- حقوق الملكية الفكرية (٥.٣٢)
- مراجعة السياسات (٥.٣٥)
استبعاد أي من هذه الضوابط يتطلب مبرراً استثنائياً، لأنها تشكل الأساس التنظيمي لأي نظام إدارة أمن معلومات.
ضوابط الأفراد (الفصل ٦)
جميع الضوابط الثمانية في هذا الفصل قابلة للتطبيق في المؤسسات المالية:
- الفحص قبل التوظيف (٦.١)
- شروط التوظيف (٦.٢)
- التوعية والتدريب (٦.٣)
- الإجراءات التأديبية (٦.٤)
- المسؤوليات بعد انتهاء العلاقة (٦.٥)
- اتفاقيات السرية (٦.٦)
- العمل عن بُعد (٦.٧)
- الإبلاغ عن الأحداث (٦.٨)
ساما تشدد على الضوابط المتعلقة بالأفراد، خاصة في ظل المخاطر الداخلية.
ضوابط التقنية الحرجة (الفصل ٨)
معظم الضوابط التقنية قابلة للتطبيق، خاصة:
- نقاط النهاية للمستخدمين (٨.١)
- حقوق الوصول المميزة (٨.٢)
- تقييد الوصول (٨.٣)
- الوصول إلى الكود المصدري (٨.٤)
- المصادقة الآمنة (٨.٥)
- إدارة السعة (٨.٦)
- الحماية من البرمجيات الخبيثة (٨.٧)
- إدارة الثغرات (٨.٨)
- الرصد والتسجيل (٨.١٥، ٨.١٦)
- النسخ الاحتياطي (٨.١٣)
- التشفير (٨.٢٤)
- دورة حياة التطوير الآمن (٨.٢٥ إلى ٨.٣١)
الضوابط التي يمكن استبعادها بمبررات مقبولة
هناك عدد محدود من الضوابط التي يمكن للمؤسسات المالية السعودية استبعادها بمبررات منطقية، شريطة توثيقها جيداً:
الضوابط المرتبطة بسياق تشغيلي غير موجود
- الضابط ٦.٧ (العمل عن بُعد): إذا كانت سياسة المؤسسة تمنع العمل عن بُعد كلياً، يمكن استبعاده، لكن يجب توثيق السياسة بوضوح.
- الضابط ٥.٢٣ (أمن المعلومات لاستخدام الخدمات السحابية): إذا لم تستخدم المؤسسة أي خدمات سحابية ولا تخطط لذلك في نطاق النظام، يمكن استبعاده، لكن هذا نادر جداً في ٢٠٢٥.
- الضابط ٧.٤ (مراقبة الأمن المادي): إذا كان النطاق لا يشمل مواقع مادية تملكها المؤسسة (مثلاً، نطاق يغطي خدمات سحابية فقط)، يمكن استبعاده.
الضوابط المغطاة بضوابط أخرى أو بطرق بديلة
في بعض الحالات، يمكن استبعاد ضابط إذا كانت المخاطر التي يعالجها مغطاة بالكامل بضوابط أخرى. لكن هذا المبرر يجب أن يكون موثقاً بدقة:
- يجب أن يشير تقييم المخاطر إلى المخاطر المحددة
- يجب أن يوضح بيان قابلية التطبيق الضوابط البديلة المطبقة
- يجب أن تكون الضوابط البديلة فعالة بنفس القدر أو أكثر
على سبيل المثال، إذا استبعدت ضابطاً محدداً حول التشفير لأنك تطبق سياسة تشفير شاملة تغطي جميع الحالات، فيجب أن توثق السياسة والتطبيق الفعلي.
الضوابط التي يصعب استبعادها في السياق السعودي
بعض الضوابط، حتى لو لم تكن إلزامية صراحة في إطار ساما، يصعب استبعادها بسبب السياق التنظيمي والتوقعات:
- جميع ضوابط حماية البيانات والخصوصية (٥.٣٣، ٥.٣٤، ٨.١١، ٨.١٢): بسبب نظام حماية البيانات الشخصية ومتطلبات ساما حول سرية بيانات العملاء.
- ضوابط إدارة الحوادث (٥.٢٤ إلى ٥.٢٨): ساما تطلب قدرات واضحة للكشف عن الحوادث والاستجابة لها والإبلاغ عنها.
- ضوابط استمرارية الأعمال (٥.٢٩، ٥.٣٠): متطلبات ساما حول المرونة التشغيلية تجعل هذه الضوابط إلزامية عملياً.
- ضوابط إدارة الأطراف الثالثة (٥.١٩ إلى ٥.٢٣، ٨.٣٠): ساما تشدد على مخاطر سلسلة الإمداد والموردين الحرجين.
- ضوابط الامتثال (٥.٣٦، ٥.٣٧): المراجعة المستقلة والامتثال للمتطلبات القانونية إلزامية.
كيف توثق قرارات القابلية للتطبيق
التوثيق الجيد هو ما يفصل بين بيان قابلية تطبيق يصمد أمام التدقيق وآخر يثير علامات استفهام. إليك الممارسات الفعالة:
لكل ضابط قابل للتطبيق
- اذكر المخاطر التي يعالجها (بالإشارة إلى سجل المخاطر)
- اذكر متطلبات ساما ذات الصلة (بالإشارة إلى مجال الإطار)
- حدد حالة التطبيق: مطبق كلياً، مطبق جزئياً، أو مخطط له
- أشر إلى الأدلة: السياسة، الإجراء، السجل، أو الأداة التقنية
لكل ضابط مستبعد
- اذكر السبب بوضوح: غير قابل للتطبيق على السياق، أو المخاطر مقبولة، أو مغطى بضوابط أخرى
- أشر إلى تقييم المخاطر الذي يدعم القرار
- إذا كان السبب هو عدم وجود سياق تشغيلي، وثق السياسة أو القرار الإداري
- إذا كان السبب هو تغطية بديلة، اذكر الضوابط البديلة بالتحديد
المراجعة والتحديث
بيان قابلية التطبيق ليس وثيقة ثابتة. يجب مراجعته:
- عند كل تقييم مخاطر دوري (على الأقل سنوياً)
- عند تغيير النطاق (إضافة خدمات، مواقع، أو تقنيات جديدة)
- عند تغيير المتطلبات التنظيمية (تحديثات إطار ساما)
- بعد حوادث كبيرة قد تغير تقييم المخاطر
الترتيب العملي للعمل
عندما تبدأ في إعداد بيان قابلية التطبيق، اتبع هذا الترتيب:
١. ابدأ بتقييم المخاطر
لا يمكنك اتخاذ قرارات قابلية تطبيق سليمة دون تقييم مخاطر موثق. حدد الأصول، والتهديدات، والثغرات، والمخاطر، ثم قيّم كل مخاطرة.
٢. ارسم خريطة متطلبات ساما
استخرج جميع المتطلبات من إطار الأمن السيبراني لساما وأي ضوابط أخرى ذات صلة (مثل ضوابط حماية البيانات الشخصية). ضع قائمة بالمتطلبات حسب المجال.
٣. اربط كل ضابط من الملحق أ
امر على الضوابط الـ٩٣ واحداً تلو الآخر. لكل ضابط:
- هل يعالج مخاطرة محددة في سجل المخاطر؟
- هل يغطي متطلباً من متطلبات ساما؟
- هل السياق التشغيلي موجود؟
إذا كانت الإجابة "نعم" على أي من الأسئلة الثلاثة، فالضابط قابل للتطبيق. إذا كانت الإجابة "لا" على الثلاثة، فقد يكون قابلاً للاستبعاد.
٤. وثق القرارات في جدول
استخدم جدولاً يحتوي على الأعمدة التالية:
- رقم الضابط واسمه
- قابل للتطبيق (نعم/لا)
- المبرر (للاستبعاد) أو المخاطر المعالجة (للتطبيق)
- متطلبات ساما ذات الصلة
- حالة التطبيق
- الأدلة (السياسة، الإجراء، الأداة)
٥. راجع مع الإدارة والمدقق الداخلي
قبل أن تعتمد بيان قابلية التطبيق، راجعه مع:
- الإدارة العليا (للموافقة على قبول المخاطر المتبقية)
- المدقق الداخلي (للتحقق من الامتثال التنظيمي)
- مسؤولي الامتثال (للتأكد من تغطية جميع المتطلبات)
٦. استعد للتدقيق الخارجي
عندما يأتي المدقق الخارجي، سيفحص بيان قابلية التطبيق بعناية. استعد بـ:
- نسخة محدثة من سجل المخاطر
- خريطة واضحة بين الضوابط ومتطلبات ساما
- أدلة على التطبيق الفعلي لكل ضابط قابل للتطبيق
- مبررات موثقة لكل ضابط مستبعد
كيف نساعدكم في بناء بيان قابلية تطبيق محكم
عندما نطبق نظام إدارة أمن المعلومات وفق ISO/IEC 27001:2022، فإن بيان قابلية التطبيق هو أحد المخرجات الرئيسية. نبنيه معكم عبر أربع مراحل: التخطيط (النطاق والسياق والتزام القيادة)، والبناء (تقييم المخاطر وبيان التطبيق والسياسات والضوابط)، والفحص (التدقيق الداخلي ومراجعة الإدارة)، والشهادة (الدعم خلال تدقيقي المرحلتين الأولى والثانية).
نسلمكم بيان قابلية التطبيق كجزء من مخرجات المشروع، إلى جانب دليل النظام والسياسات، وسجل المخاطر وخطة المعالجة، وتقرير التدقيق الداخلي، ومراجعة الجاهزية للشهادة. المشروع يستغرق من ٤ إلى ٨ أشهر حسب حجم المؤسسة ونضج الضوابط الحالية.
ما يميز عملنا هو الربط العملي بين تقييم المخاطر ومتطلبات ساما وضوابط الملحق أ. لا نكتفي بملء جدول، بل نبني معكم الحجج التي تصمد أمام المدققين والجهات التنظيمية، ونوثق كل قرار بطريقة تجعل المراجعات المستقبلية أسهل.
إذا كنتم تستعدون للحصول على شهادة آيزو ٢٧٠٠١ أو تحتاجون إلى مراجعة بيان قابلية التطبيق الحالي، تواصلوا معنا.
