يبحث كثير من مديري التقنية ومسؤولي الامتثال عن آيزو 27001 المادة 6.1.2 طرق تقييم المخاطر حين يقتربون من مرحلة التدقيق، وغالبًا بعد أن بنوا قائمة جرد شاملة للأصول والتهديدات ثم اكتشفوا أن المدقق لا يطلبها. ما يطلبه المعيار هو عملية محددة وقابلة للتكرار، وأدلة تثبت أن المؤسسة تطبقها فعلًا. توضح هذه المقالة ما تنص عليه المادة، وما العناصر الإلزامية فيها، وكيف تختار طريقة عملية تقبلها مراجعة المرحلة الثانية.
ماذا تتطلب المادة 6.1.2
تتناول المادة 6.1.2 من آيزو 27001:2022 عملية تقييم مخاطر أمن المعلومات. المطلوب أن تحدد المؤسسة هذه العملية وتطبقها وتوثقها، بحيث تنتج نتائج متسقة وصحيحة وقابلة للمقارنة عند تكرارها. لا يفرض المعيار أداة بعينها ولا عدد صفحات ولا قالبًا جاهزًا. يفرض أن تكون الطريقة معرّفة، وأن تكون النتائج محفوظة.
العناصر الأربعة الإلزامية
يمكن تلخيص متطلبات المادة في أربعة عناصر:
- معايير المخاطر: وضع معايير لقبول المخاطر ومعايير لإجراء التقييم، مثل مقياس الاحتمال ومقياس الأثر وحد القبول الذي تعتمده الإدارة.
- قابلية التكرار: ضمان أن تعطي التقييمات المتكررة نتائج متسقة وصحيحة وقابلة للمقارنة.
- تحديد المخاطر: تحديد المخاطر المرتبطة بفقدان سرية المعلومات أو سلامتها أو توافرها داخل نطاق النظام، وتحديد مالك لكل خطر.
- تحليل المخاطر وتقييمها: تقدير الأثر المحتمل والاحتمال ومستوى الخطر، ثم مقارنة النتائج بمعايير القبول وترتيب المخاطر حسب أولوية المعالجة.
يتصل بهذه العناصر أن تحتفظ المؤسسة بمعلومات موثقة عن نتائج التقييم. وهذا هو موضع الخلط الأكثر شيوعًا: الفرق تخلط بين توثيق العملية وتوثيق كل أصل في المؤسسة.
لماذا يرفض المدققون قوائم الجرد الشاملة
القائمة الشاملة تبدو جهدًا كبيرًا، لكنها تواجه ثلاث مشكلات عند التدقيق:
- لا تربط الأصول بنطاق النظام، فتظهر فيها عناصر خارج النطاق.
- تسرد الأصول دون أن تصل إلى مخاطر لها مالك ومستوى ومعالجة.
- يصعب تحديثها، فتصبح قديمة قبل وصول المدقق، ولا يمكن إثبات أن العملية تتكرر.
المدقق في المرحلة الثانية يسأل عن الاتساق: هل الطريقة المكتوبة هي الطريقة المطبقة، وهل تؤدي النتائج إلى قرارات معالجة موثقة.
ثلاث طرق عملية لتحديد المخاطر
المعيار لا يشترط الجرد القائم على الأصول، ولذلك يمكن اختيار إحدى الطرق التالية بحسب حجم المؤسسة ونضجها. المهم أن تُكتب الطريقة وتُطبق بالأسلوب نفسه في كل دورة.
الطريقة الأولى: القائمة على الأصول المهمة
تبدأ بالأصول والخدمات الحرجة داخل النطاق فقط، كالأنظمة التي تعالج بيانات العملاء أو تدعم العمليات الأساسية، ثم تحدد لكل أصل التهديدات والثغرات ذات الصلة. تناسب المؤسسات التي لديها سجل أصول قائم، بشرط ألا يتحول العمل إلى جرد لكل جهاز، فالتجميع حسب فئة الأصل يكفي غالبًا.
الطريقة الثانية: القائمة على السيناريوهات
تبدأ من أحداث محتملة بدل الأصول: تسرب بيانات عبر طرف ثالث، أو توقف نظام حرج، أو وصول غير مصرح به إلى حساب ذي صلاحيات عالية. تُكتب بضع عشرات من السيناريوهات الواضحة، ويُقدّر لكل منها الاحتمال والأثر ويُسند لمالك. تناسب هذه الطريقة الفرق التي تريد حوارًا مباشرًا مع الإدارة، وتنتج سجلًا قصيرًا يسهل تحديثه.
الطريقة الثالثة: القائمة على العمليات والخدمات
تحدد المخاطر على مستوى العمليات التشغيلية، كالدفع أو إدارة الهوية أو النسخ الاحتياطي، بمشاركة مالك كل عملية في ورشة قصيرة. تناسب المؤسسات التي تدير أعمالها بمنطق الخدمات، وتربط المخاطر مباشرة بمن يملك القرار.
صيغة الأدلة التي تستوفي المرحلة الثانية
أيًّا كانت الطريقة، يبحث المدقق عن مجموعة أدلة محددة وليس عن حجم الوثائق:
- وثيقة منهجية تقييم المخاطر تشمل مقاييس الاحتمال والأثر ومعيار القبول.
- سجل مخاطر يذكر لكل خطر وصفه ومالكه ومستواه وقرار المعالجة.
- خطة معالجة المخاطر مرتبطة بضوابط الملحق (أ) وببيان قابلية التطبيق.
- موافقة المالكين على المخاطر المتبقية، مع تاريخ المراجعة.
- محاضر أو سجلات تثبت أن التقييم أُعيد في موعده أو عند تغيّر جوهري.
سجل من بضع صفحات يوضح الطريقة ويثبت تطبيقها أقوى عند المدقق من مئة صفحة لا يُعرف كيف نشأت.
الفجوات المتكررة
- منهجية مكتوبة لا تطابق ما يجري فعلًا في الورش.
- مخاطر بلا مالك محدد، أو بمالك من فريق الأمن وحده بدل صاحب العمل.
- ضوابط في بيان قابلية التطبيق لا يظهر في السجل خطر يبررها.
- نطاق النظام غير واضح، فيتسع التقييم أو يضيق دون سبب.
ترتيب مقترح للعمل
- تثبيت النطاق والسياق والتزام القيادة، فهما أساس كل ما بعدهما.
- اختيار إحدى الطرق الثلاث وكتابة المنهجية ومعايير القبول واعتمادها.
- تنفيذ أول دورة تقييم مع مالكي الأعمال وتسجيل النتائج.
- إعداد خطة المعالجة وربطها ببيان قابلية التطبيق.
- إجراء التدقيق الداخلي ومراجعة الإدارة قبل موعد التدقيق الخارجي.
كيف يساعد سيزو
نطبق نظام إدارة أمن المعلومات وفق ISO/IEC 27001:2022: النطاق، وتقييم المخاطر، وبيان قابلية التطبيق، والسياسات، والتدقيق الداخلي، ومراجعة الإدارة. يسير العمل في أربع مراحل: التخطيط، ثم البناء الذي يشمل تقييم المخاطر والسياسات والضوابط، ثم الفحص، ثم الدعم خلال تدقيقي المرحلتين الأولى والثانية. وتشمل المخرجات دليل النظام والسياسات، وسجل المخاطر وخطة المعالجة، وبيان قابلية التطبيق، وتقرير التدقيق الداخلي، ومراجعة الجاهزية للشهادة. تستغرق مدة المشروع من 4 إلى 8 أشهر.
إذا كنتم تستعدون للاعتماد وتريدون عملية تقييم مخاطر تقبلها المراجعة وتبقى قابلة للصيانة، فيمكن لفريقنا أن يبدأ معكم بمراجعة النطاق واختيار الطريقة الأنسب لمؤسستكم.
