عندما تستعد مؤسستك لتقييم الضوابط الأساسية للأمن السيبراني، فإن السياسات والإجراءات هي أول ما يطلبه المقيّم. لكن قبل أن يقيّم المدقق ما إذا كانت السياسة تغطي متطلبات الضابط، يتحقق من أحد عشر عنصراً هيكلياً وإجرائياً في كل وثيقة. إن غاب أي منها، تُعاد السياسة قبل أن تُقرأ. هذا المقال يسرد قائمة متطلبات سياسات الضوابط الأساسية للأمن السيبراني التي تضمن اجتياز وثائقك القراءة الأولى أمام مقيّمي الهيئة الوطنية للأمن السيبراني.
لماذا يُرفض نموذج السياسة قبل قراءة محتواه
تتطلب الهيئة الوطنية للأمن السيبراني في إطار الضوابط الأساسية للأمن السيبراني (NCA ECC) أن تكون لديك سياسات موثّقة ومعتمدة لعشرات الضوابط عبر المجالات الثلاثة الأولى. ECC-1 (ضوابط الأمن السيبراني) وحده يشير إلى أكثر من عشرين سياسة مطلوبة — من إدارة الأصول إلى التحكم بالوصول، ومن الاستجابة للحوادث إلى النسخ الاحتياطي. ECC-2 (ضوابط الحماية من التهديدات السيبرانية) وECC-5 (ضوابط الأمن السيبراني للحوسبة السحابية) يضيفان المزيد.
لكن وجود سياسة بعنوان "سياسة إدارة الأصول" لا يكفي. يتحقق المقيّم من أن الوثيقة نفسها تستوفي معايير الحوكمة: من وضعها، من اعتمدها، متى تُراجع، ما نطاقها، وهل هي متاحة باللغتين. إن فشلت السياسة في أي من هذه العناصر، فإن الضابط يُعتبر غير مستوفٍ بغض النظر عن جودة المحتوى التقني.
السبب بسيط: السياسة ليست مجرد نص إرشادي؛ إنها أداة حوكمة قابلة للتدقيق. يجب أن تُظهر من المسؤول، وما الذي يُحكم، ومتى يُعاد النظر فيها، وكيف تُطبّق. هذه العناصر هي ما يجعل السياسة ملزمة وقابلة للقياس.
الأحد عشر بنداً الإلزامياً في كل سياسة ضوابط أساسية
فيما يلي القائمة الكاملة للعناصر التي يجب أن تحتويها كل سياسة من سياسات الضوابط الأساسية للأمن السيبراني، بالترتيب الذي يتوقعه المقيّمون.
1. عنوان واضح ومحدد
يجب أن يعكس العنوان الغرض من السياسة بدقة. "سياسة إدارة الأصول" أفضل من "سياسة الأصول". تجنّب العناوين الغامضة مثل "سياسة الأمن" التي لا تحدد النطاق.
2. رقم الوثيقة ورقم الإصدار
كل سياسة تحتاج إلى معرّف فريد (مثل POL-IAM-001) ورقم إصدار (مثل 1.2). هذا يسمح بتتبع التغييرات ويضمن أن المقيّم ينظر إلى النسخة الصحيحة. بدون ترقيم، لا يمكن إثبات أن الوثيقة خضعت للمراجعة أو التحديث.
3. تاريخ الاعتماد وتاريخ السريان
متى اعتُمدت السياسة؟ ومتى دخلت حيز التنفيذ؟ هذان التاريخان يُظهران أن السياسة ليست مسودة، وأنها نافذة. إذا كان تاريخ الاعتماد يسبق تاريخ التقييم بأكثر من عام دون مراجعة، فقد يُطلب دليل على المراجعة الدورية.
4. تاريخ المراجعة القادمة أو تكرار المراجعة
تشترط الهيئة الوطنية للأمن السيبراني أن تُراجع السياسات بانتظام — عادة سنوياً أو كلما طرأ تغيير جوهري. يجب أن تذكر السياسة صراحة: "تُراجع هذه السياسة سنوياً" أو "المراجعة القادمة: يناير 2025". هذا يثبت أن السياسة حيّة وليست وثيقة ثابتة.
5. الغرض (Purpose)
فقرة أو فقرتان تشرحان لماذا وُضعت السياسة. مثلاً: "تهدف هذه السياسة إلى ضمان حماية أصول المعلومات من الوصول غير المصرح به والفقدان والتلف، وفقاً لمتطلبات الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني."
6. النطاق (Scope)
من وما الذي تنطبق عليه السياسة؟ هل هي لكل الموظفين أم لفريق تقنية المعلومات فقط؟ هل تشمل المقاولين والأطراف الثالثة؟ هل تغطي جميع الأصول أم فئة محددة؟ النطاق الواضح يمنع الالتباس ويحدد حدود المسؤولية.
مثال: "تنطبق هذه السياسة على جميع موظفي المؤسسة والمقاولين والأطراف الثالثة الذين يتعاملون مع أصول المعلومات، وتشمل جميع الأصول المادية والرقمية المملوكة أو المُدارة من قبل المؤسسة."
7. الأدوار والمسؤوليات
من المسؤول عن تطبيق السياسة؟ من يراجعها؟ من يعتمدها؟ يجب تحديد الأدوار بوضوح:
- مالك السياسة: عادة مدير أمن المعلومات أو مدير المخاطر.
- المسؤول عن التطبيق: قد يكون مدير تقنية المعلومات أو مدير العمليات.
- المعتمِد: عادة الإدارة التنفيذية أو لجنة الحوكمة.
بدون هذا القسم، لا يمكن إثبات المساءلة.
8. المحتوى الموضوعي (المتطلبات والضوابط)
هذا هو قلب السياسة: ماذا يجب أن يحدث؟ هنا تُسرد المتطلبات التي تغطي الضابط المعني. مثلاً، في سياسة إدارة الأصول:
- يجب جرد جميع الأصول وتصنيفها.
- يجب تعيين مالك لكل أصل.
- يجب مراجعة قائمة الأصول كل ستة أشهر.
- يجب التخلص الآمن من الأصول عند نهاية دورة حياتها.
المحتوى يجب أن يكون قابلاً للقياس والتدقيق، وليس مجرد نصائح عامة.
9. الإشارة إلى المعايير والإجراءات المرتبطة
السياسة تحدد "ماذا"، لكن المعايير والإجراءات تحدد "كيف". يجب أن تشير السياسة إلى الوثائق الداعمة:
- "للحصول على تفاصيل تقنية حول تصنيف الأصول، راجع معيار تصنيف المعلومات (STD-IAM-002)."
- "لإجراءات جرد الأصول، راجع إجراء جرد الأصول (PROC-IAM-003)."
هذا يُظهر أن السياسة جزء من هرمية حوكمة متكاملة.
10. الاستثناءات والإعفاءات
كيف تُعالج الحالات التي لا يمكن فيها تطبيق السياسة بالكامل؟ يجب أن تحدد السياسة عملية طلب الاستثناء، ومن يوافق عليه، ومدته. مثلاً: "يجوز منح استثناء مؤقت لمدة لا تتجاوز ثلاثة أشهر بموافقة مدير أمن المعلومات، مع توثيق المخاطر المتبقية وخطة المعالجة."
11. النسخة العربية والإنجليزية
تشترط الهيئة الوطنية للأمن السيبراني أن تكون السياسات متاحة باللغتين العربية والإنجليزية. يجب أن تكون النسختان متطابقتين في المحتوى والبنية. إذا كانت مؤسستك تعمل في بيئة متعددة الجنسيات، فإن النسخة الإنجليزية ضرورية للموظفين غير الناطقين بالعربية؛ والنسخة العربية ضرورية للامتثال التنظيمي.
كيف تضمن استيفاء كل بند في كل سياسة
عندما تواجه مؤسستك عشرين سياسة أو أكثر، فإن ضمان اتساق هذه العناصر الأحد عشر عبر جميع الوثائق يصبح تحدياً. الأخطاء الشائعة تشمل:
- سياسات بلا تواريخ اعتماد أو أرقام إصدار.
- نطاق غامض لا يحدد من ينطبق عليه.
- غياب الأدوار والمسؤوليات، ما يجعل السياسة غير قابلة للمساءلة.
- عدم وجود نسخة عربية أو إنجليزية، أو عدم تطابق النسختين.
- سياسات لم تُراجع منذ سنوات، ما يُظهر ضعف الحوكمة.
لتجنب هذه الفجوات، تحتاج المؤسسات إلى نموذج موحد لجميع السياسات، مع قائمة مراجعة تُطبّق على كل وثيقة قبل الاعتماد. يجب أن يشمل النموذج:
- رأسية موحدة (عنوان، رقم، إصدار، تواريخ).
- أقسام إلزامية (الغرض، النطاق، الأدوار، المحتوى، الاستثناءات، المراجعة).
- تذييل يشير إلى الوثائق المرتبطة.
- سجل تغييرات يوثّق كل تحديث.
من الحصر إلى الاعتماد: كيف تُبنى مجموعة السياسات
عندما تقرر مؤسستك إعداد أو تحديث سياسات الضوابط الأساسية للأمن السيبراني، فإن العملية تبدأ بحصر المستندات الحالية والفجوات والتداخلات. ثم تأتي مرحلة الصياغة، حيث تُكتب السياسات والمعايير والإجراءات باللغتين. بعد ذلك، يجري التحقق من خلال ورش عمل مع المالكين للتأكد من قابلية كل مستند للتطبيق. وأخيراً، يأتي دعم الاعتماد وإعداد ضبط المستندات.
المخرجات النهائية تشمل مجموعة السياسات (عادة 15–25 سياسة)، والمعايير وخطوط الأساس الآمنة، والإجراءات مع مسارات العمل، ومصفوفة ربط الضوابط، وسجل ضبط المستندات. كل هذا يُنجز عادة في 6–12 أسبوعاً، حسب حجم المؤسسة وتعقيد البيئة.
الميزات الأساسية لهذه الخدمة تشمل هرمية السياسات وضبط المستندات، وسياسات مرتبطة بالأطر، ومعايير تقنية وخطوط أساس، وإجراءات تشغيلية ونماذج، وصياغة باللغتين.
هل يمكن تحديث المستندات الحالية بدل البدء من جديد؟
نعم. إذا كانت لديك سياسات قائمة، فإن الاحتفاظ بما يعمل وسد الفجوات مقابل الأطر وتوحيد الأسلوب والهيكل هو نهج عملي وأسرع. المهم هو التأكد من أن كل سياسة — قديمة أو جديدة — تستوفي الأحد عشر بنداً الإلزامياً.
ماذا يحدث بعد اعتماد السياسات؟
اعتماد السياسات ليس نهاية المطاف. يجب أن تُطبّق، وأن يُدرّب الموظفون عليها، وأن تُراجع دورياً. عندما يأتي التقييم، سيطلب المقيّم أدلة على التطبيق: سجلات، تقارير، محاضر اجتماعات، نتائج تدقيق داخلي. إذا كانت السياسة موجودة لكنها غير مُطبّقة، فإن الضابط يُعتبر غير مستوفٍ.
لذلك، بعد الاعتماد، تحتاج المؤسسات إلى برنامج معالجة يرتّب الفجوات حسب الأولوية، وينسّق المالكين، ويطبّق الضوابط، ويبني الأدلة التي تغلق كل ملاحظة.
الخلاصة: قائمة المراجعة قبل إرسال السياسة للمقيّم
قبل أن تُقدّم أي سياسة إلى مقيّم الهيئة الوطنية للأمن السيبراني، تحقق من هذه القائمة:
- عنوان واضح ومحدد.
- رقم الوثيقة ورقم الإصدار.
- تاريخ الاعتماد وتاريخ السريان.
- تاريخ المراجعة القادمة أو تكرار المراجعة.
- الغرض.
- النطاق.
- الأدوار والمسؤوليات.
- المحتوى الموضوعي (المتطلبات والضوابط).
- الإشارة إلى المعايير والإجراءات المرتبطة.
- الاستثناءات والإعفاءات.
- النسخة العربية والإنجليزية.
إذا كانت أي من هذه العناصر مفقودة أو غير واضحة، فإن السياسة ستُعاد قبل أن يُقيّم محتواها. استثمار الوقت في بناء هيكل صحيح من البداية يوفّر أسابيع من المراجعات والتأخير.
كيف نساعدك في بناء مجموعة سياسات جاهزة للتقييم
إذا كنت تستعد لتقييم الضوابط الأساسية للأمن السيبراني، أو تحتاج إلى تحديث سياساتك الحالية لتستوفي المعايير التنظيمية، فإن خدمة السياسات والمعايير والإجراءات تساعدك على إعداد مجموعة مستندات كاملة ومعتمدة — مكتوبة لتُطبّق لا لتُحفظ. نعدّ سياسات الأمن السيبراني ومعاييره وإجراءاته أو نحدّثها، مع ربطها بالأطر التي يجب عليكم استيفاؤها وكتابتها بالعربية والإنجليزية.
تواصل معنا لمناقشة احتياجاتك، وسنبدأ بحصر مستنداتك الحالية وتحديد الفجوات، ثم نصيغ معك السياسات والمعايير والإجراءات، ونتحقق من قابليتها للتطبيق، وندعمك حتى الاعتماد النهائي.
