تتعثر مشاريع الالتزام بالضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني في الغالب لسبب تنظيمي لا تقني: جمع الأدلة يسحب المهندسين والمشغلين من واجباتهم اليومية لأسابيع. يعرض هذا المقال طريقة تنفيذ التزام الضوابط الأساسية للأمن السيبراني كما نعمل بها في CISO Consulting، في أربع مراحل مصممة لتقليل الوقت المطلوب من فريقكم.
لماذا يتعطل الالتزام عادةً
حين تُطلب الأدلة دفعة واحدة وبصيغ جديدة، يتحول الالتزام إلى مشروع موازٍ للعمل التشغيلي. وحين تُعاد كتابة السياسات قبل معالجة الإعدادات الفعلية، يتأخر الأثر الحقيقي على مستوى الحماية. لذلك بنينا المنهج على ثلاثة مبادئ: ربط الضوابط بما يجري فعلًا في المؤسسة، وطلب الأدلة بالصيغ الموجودة لديكم، وتقديم تغييرات الإعدادات على إعادة صياغة الوثائق.
يغطي نطاق خدمتنا تقييم الامتثال والمعالجة ودعم التقييم الذاتي للضوابط الأساسية ECC-2:2024، ضابطًا ضابطًا. ويستغرق التقييم من 6 إلى 10 أسابيع.
المرحلة الأولى: ورش الاكتشاف
ما يجري: نعقد ورشتين لربط الضوابط بالعمليات القائمة. نبدأ من طريقة عملكم الحالية لا من نص الضوابط، فنحدد أي عملية تُنتج دليل أي ضابط، وأين تقع الفجوات الظاهرة، ومن المسؤول عن كل مجال.
من يشارك من جانبكم: مدير أمن المعلومات، ومسؤولو تقنية المعلومات عن البنية والشبكات والهويات، ومسؤول الامتثال. لا يُطلب من بقية الفريق حضور الورشتين.
ما تحتفظون به في نهايتها: خريطة تربط كل ضابط بالعملية والمالك ومصدر الدليل المتوقع، وتصبح مرجع المراحل التالية.
إذا كنتم ممتثلين لإصدار 2018، فهذه المرحلة هي التي تحدد ما تغيّر. تغيّر الهيكل وعدد من المتطلبات في إصدار 2024، ونربط امتثالكم الحالي بالضوابط الجديدة لتعالجوا فقط ما هو جديد أو مختلف فعلًا.
المرحلة الثانية: طلبات أدلة غير متزامنة
ما يجري: نرسل طلبات الأدلة بقوالب واضحة تحدد لكل ضابط ما المطلوب بالضبط وبأي صيغة. نستخدم صيغ التوثيق الحالية لديكم، فلا يُطلب من فريقكم إعادة إنتاج مستندات أو تصديرها بشكل جديد. ويرد كل مالك بحسب وقته دون اجتماعات متتابعة.
من يشارك من جانبكم: مالكو الضوابط، كل في نطاقه، ويقتصر دورهم على إرفاق ما هو موجود أصلًا أو الإشارة إليه.
ما تحتفظون به في نهايتها: سجل أدلة مرتب بحسب الضوابط، تظهر فيه حالة كل ضابط وما يسنده من أدلة، وما ينقصه.
نراجع الأدلة المستلمة ونقيّمها، ثم نعيد إلى المالك أسئلة محددة فقط عند وجود نقص، بدل طلب عام متكرر.
المرحلة الثالثة: معالجة الفجوات بالإنجازات السريعة أولًا
ما يجري: نرتب الفجوات بحيث تأتي الإنجازات السريعة قبل تغييرات البنية. تركز المعالجة على تغييرات الإعدادات قبل إعادة كتابة السياسات، لأن ضبط إعداد قائم يرفع مستوى الالتزام سريعًا ولا يحتاج مشروعًا مستقلًا. أما التغييرات الأكبر في البنية فتُجدول بمسؤولين ومواعيد وتقدير للجهد، لتدخل في دورة التخطيط المعتادة لديكم.
من يشارك من جانبكم: فرق التقنية المعنية بكل إعداد، ويراجع مدير أمن المعلومات الأولويات ويعتمدها.
ما تحتفظون به في نهايتها: خطة معالجة وأداة متابعتها، وفيها لكل فجوة مسؤول وموعد وتقدير للجهد.
وبعد ذلك تُستكمل السياسات والإجراءات، فتُكتب لتصف واقعًا مُعالَجًا لا واقعًا مرجوًّا، وتكون متوافقة مع ضوابط 2024.
المرحلة الرابعة: تجميع حزمة التقييم الذاتي
ما يجري: نجمع حزمة التقييم الذاتي بسرديات معبأة مسبقًا لكل ضابط، مبنية على الأدلة التي جمعناها وحالة المعالجة. ونقدم الدعم خلال التقييم الذاتي للهيئة، فنجيب عن الاستفسارات التي تظهر أثناء الإعداد.
من يشارك من جانبكم: مدير أمن المعلومات للمراجعة النهائية، والمسؤول المخوّل بالتوقيع.
ما تحتفظون به في نهايتها: حزمة جاهزة للتقديم، ولا يتبقى منكم سوى التوقيع. كما تحصلون على خط أساس يمكن قياسه من جديد كل عام، فتبدأ الدورة التالية من نقطة معروفة لا من الصفر.
ما يقل من وقت فريقكم في كل مرحلة
- الاكتشاف: ورشتان فقط.
- الأدلة: ردود غير متزامنة بالصيغ الحالية.
- المعالجة: أولوية لتغيير الإعدادات قبل أي إعادة كتابة.
- الحزمة: مراجعة وتوقيع.
قائمة المخرجات الكاملة
في نهاية العمل تتسلمون:
- تقرير تقييم الامتثال، وفيه حالة الامتثال لكل ضابط مع أدلته.
- خطة المعالجة وأداة متابعتها، بمسؤولين ومواعيد وتقدير للجهد.
- مجموعة السياسات والإجراءات المتوافقة مع ضوابط 2024.
- دعم إعداد التقييم الذاتي، بما في ذلك الدعم خلال التقييم الذاتي للهيئة.
- ملخص تنفيذي موجز لأعضاء مجلس الإدارة والإدارة العليا.
الخطوة التالية
إذا كان موعد التقييم الذاتي يقترب وتريدون إنجازه دون تعطيل فرقكم، فيمكن أن نبدأ بالورشتين الأوليين لتحديد وضعكم الحالي مقابل ECC-2:2024. اطلعوا على صفحة خدمة الضوابط الأساسية للأمن السيبراني لمعرفة نطاق العمل، ثم تواصلوا معنا لتحديد موعد الاكتشاف.
