تتعامل كثير من التعاقدات مع ضوابط التشفير على أنها قائمة مراجعة تُغلق بنودها وتُنسى. غير أن التجربة العملية تُظهر أن إخفاقات المجال الثالث في إطار الأمن السيبراني للبنك المركزي السعودي (ساما) كثيرًا ما تظهر لاحقًا في صورة ملاحظات تدقيق في المجال الخامس، لأن دورات حياة الشهادات لم تُسجَّل تسجيلًا يمكن الاستدلال به. يبيّن هذا المقال ضوابط التشفير في المجال الثالث من إطار ساما التي ينبغي لمسؤول أمن المعلومات، أصيلًا كان أو افتراضيًا، أن يتحقق منها قبل تشغيل نظام إدارة المفاتيح، وما السجلات التي يجب أن تقف خلف كل ضابط.
ملاحظة منهجية: نصف هنا المتطلبات بصياغة وصفية، ولا نذكر أرقام ضوابط بعينها. يُرجع إلى النص الرسمي لإطار ساما عند إعداد مصفوفة الامتثال.
لماذا يتحول ضعف التسجيل إلى ملاحظة تدقيق
يتوقع الإطار أن يكون لدى المؤسسة سياسة تشفير معتمدة، ومعايير لإدارة المفاتيح، وأدلة على التطبيق. المدقق لا يسأل فقط: هل التشفير مفعّل؟ بل يسأل: من أنشأ هذا المفتاح، ومتى، وبموافقة من، ومتى ينتهي، وماذا حدث عند تجديده؟ فإذا غابت الإجابة المكتوبة، فالضابط في نظر المدقق غير مُثبت، حتى لو كان التنفيذ التقني سليمًا.
الضوابط الخمسة التي يجب التحقق منها
1. سياسة التشفير ومعيار الخوارزميات
تحقق من وجود سياسة معتمدة من الإدارة تحدد الخوارزميات وأطوال المفاتيح المسموحة، وحالات الاستخدام الإلزامية للتشفير: البيانات المخزنة، والبيانات المنقولة، والنسخ الاحتياطية.
السجل المطلوب: سجل اعتماد السياسة يتضمن رقم الإصدار وتاريخ الاعتماد وجهة الاعتماد وتاريخ المراجعة التالية، مع قائمة استثناءات موثقة ومحددة المدة.
2. حوكمة إنشاء المفاتيح وحمايتها
تحقق من أن المفاتيح تُنشأ داخل بيئة محمية، وأن المفاتيح الجذرية تخضع لفصل المهام والتحكم المزدوج، وأن الوصول الإداري إلى نظام إدارة المفاتيح مقيّد ومسجَّل.
السجل المطلوب: سجل مراسم المفاتيح يوثق كل عملية إنشاء: التاريخ، والحاضرين، والغرض، وموقع التخزين، إضافة إلى مصفوفة صلاحيات تُراجع دوريًا.
3. دورة حياة الشهادات والمفاتيح
هنا يقع أكثر الإخفاقات تكرارًا. تحقق من وجود جرد شامل للشهادات، وتواريخ انتهاء معروفة، وإجراء تجديد مسبق بإنذار مبكر، وإجراء إلغاء عند الاشتباه بالتسريب أو انتهاء الحاجة.
السجل المطلوب: سجل دورة حياة الشهادات، وأقل حقوله:
- معرّف الشهادة أو المفتاح والنظام الذي يستخدمه
- مالك الشهادة (فرد أو دور) وجهة الإصدار
- تاريخ الإصدار وتاريخ الانتهاء
- تاريخ التجديد الفعلي ومرجع طلب التغيير
- حالة الشهادة: نشطة، أو مجدَّدة، أو ملغاة، أو منتهية
- سبب الإلغاء إن وُجد
4. التدوير والأرشفة والإتلاف
تحقق من أن لكل نوع من المفاتيح فترة تدوير محددة، وأن المفاتيح القديمة تُؤرشف بالقدر اللازم لفك تشفير البيانات التاريخية، ثم تُتلف وفق إجراء موثق.
السجل المطلوب: سجل التدوير والإتلاف يربط كل مفتاح بتاريخ تدويره وبالبيانات المتأثرة، وشهادة إتلاف حين يُسحب المفتاح نهائيًا.
5. المراقبة والنسخ الاحتياطي والاستعادة
تحقق من أن أحداث نظام إدارة المفاتيح تُرسل إلى منصة المراقبة المركزية، وأن النسخ الاحتياطية للمفاتيح مشفرة ومفصولة عن بيئة التشغيل، وأن الاستعادة اختُبرت فعليًا.
السجل المطلوب: سجل اختبارات الاستعادة بتاريخ كل اختبار ونتيجته والإجراءات التصحيحية، وسجل مراجعة دورية لتنبيهات النظام.
الفجوات الشائعة
- جرد الشهادات ناقص، فتظهر شهادات منسية على أنظمة فرعية أو بيئات اختبار.
- المالك مذكور باسم موظف غادر المؤسسة، فلا يصل إنذار التجديد إلى أحد.
- التجديد يتم تقنيًا دون طلب تغيير، فيغيب الأثر المكتوب.
- النسخ الاحتياطية للمفاتيح موجودة لكن لم تُجرَّب استعادتها.
- الاستثناءات مفتوحة بلا تاريخ انتهاء.
ترتيب العمل المقترح
- اعتماد السياسة والمعيار قبل أي نشر تقني.
- بناء الجرد الأولي للشهادات والمفاتيح وتحديد المالكين.
- تصميم نماذج السجلات الخمسة وربطها بنظام إدارة التغيير.
- إجراء مراسم إنشاء المفاتيح الجذرية وفق التحكم المزدوج وتوثيقها.
- اختبار الاستعادة والمراقبة قبل الإعلان عن جاهزية التشغيل.
- مراجعة السجلات مرة قبل التشغيل ثم بصورة دورية، بحيث تكون جاهزة للمدقق.
كيف نعمل مع المؤسسات في هذا المسار
حين لا يتوفر لدى المؤسسة مسؤول أمن معلومات متفرغ، تظل هذه التحققات بلا صاحب. تقدم سيزو خدمات المدير التنفيذي الأمني الافتراضي: قيادة استراتيجية للأمن السيبراني عند الطلب عبر مدير أمن معلومات افتراضي متخصص. يبدأ العمل بتقييم في أول 30 يومًا للوضع والمخاطر والمكاسب السريعة، ثم نرتب خارطة طريق متفقًا عليها مع الإدارة، ثم نواصل القيادة عبر اللجان والتقارير.
في سياق التشفير، يعني ذلك أن تدخل متطلبات الضوابط الخمسة ضمن خارطة الأمن وأولوياته، وأن تُرفع حالتها في التقرير الشهري للإدارة وفي الحزمة الربعية لمجلس الإدارة، وأن تُتابع الإجراءات في محاضر اللجنة. ويشمل نطاق الخدمة التواصل مع الجهات التنظيمية والمدققين، والإشراف على الموردين والميزانية، وهي أمور تلامس مباشرة مزودي أنظمة إدارة المفاتيح والشهادات.
خاتمة
سجل الشهادات الجيد لا يُظهر أن التشفير موجود فحسب، بل يُثبت أنه مُدار. إن كنتم تخططون لتشغيل نظام إدارة المفاتيح ولا يوجد من يملك هذه التحققات، فيمكن أن تبدأ المحادثة مع خدمات المدير التنفيذي الأمني الافتراضي من سيزو بتقييم الوضع الحالي وترتيب الأولويات.
