‏إدارة الامتثال

تعمل كل مؤسسة ضمن شبكة من المتطلبات الخارجية والداخلية، مثل قوانين حماية البيانات، واللوائح القطاعية، ومعايير الصناعة، والالتزامات التعاقدية، والسياسات الداخلية. قد يبدو كل متطلب قابلاً للإدارة بمفرده، لكنها مجتمعةً تتداخل وتتغير وتتعارض أحياناً. وإدارة الامتثال هي الانضباط الذي يضع النظام في هذا المشهد. فهي تجيب باستمرار عن ثلاثة أسئلة عملية: ما الالتزامات التي تنطبق علينا؟ وماذا نفعل تجاه كل منها؟ وهل يمكننا إثبات ذلك؟

الكلمة المهمة هنا هي «المستمرة». فإدارة الامتثال ليست مشروعاً ينتهي بنشر سياسة، إذ تتغير الالتزامات مع تعديل القوانين، وإصدار الجهات التنظيمية توجيهات جديدة، ودخول المؤسسة أسواقاً جديدة أو إطلاق منتجات جديدة. لذلك يعمل البرنامج الناضج بصورة دورية: يحدد الالتزامات، ويقيّم المخاطر، ويطبّق الضوابط، ويتحقق من أثرها، ثم يعيد النتائج إلى المراجعة التالية.

يتكون برنامج الامتثال من ستة عناصر رئيسية:

في الممارسة العملية، يسير العمل وفق دورة متكررة. تبدأ الدورة بتحديد النطاق: حصر الالتزامات المطبقة وربطها بالعمليات والأنظمة والبيانات التي تتأثر بها. ثم يحدد تقييم المخاطر المواضع التي يكون فيها عدم الامتثال أكثر احتمالاً وأشد ضرراً، فتُصمَّم الضوابط أو تُعدَّل استجابةً لذلك. ولا يقتصر التطبيق على نشر الضوابط، بل يشمل توثيقها وتدريب الأشخاص الذين يعملون في ظلها.

تنتهي الدورة بالتحقق والتحسين. تتحقق المراقبة والتدقيق الداخلي من أن الضوابط الموجودة على الورق تعمل فعلاً. وتعود الثغرات المكتشفة في صورة سياسات محدثة أو ضوابط جديدة أو تدريب إضافي. وتُرفع النتائج والمؤشرات وبيانات الحوادث إلى الإدارة، ويُراجَع سجل الالتزامات كلما تغيّرت الأعمال أو البيئة التنظيمية.

1. 1

   النطاق

   حدّد الالتزامات المنطبقة واربطها بالعمليات والأنظمة والبيانات التي تؤثر فيها.

2. 2

   التقييم

   رتّب المواضع التي يكون فيها عدم الامتثال أكثر احتمالاً وأشد ضرراً.

3. 3

   التنفيذ

   صمّم الضوابط أو عدّلها، ووثّقها، ودرّب الأشخاص الذين يعملون بموجبها.

4. 4

   التحقق

   اختبر عملها في الواقع، ومرّر الثغرات إلى المراجعة التالية.

نادراً ما تقبل الجهات التنظيمية والمدققون الطمأنة بالكلام، فهم يتوقعون سجلات موثقة. وتتخذ الأدلة ثلاثة أشكال رئيسية، تُلخَّص أدناه.

يربط مسار التدقيق الكامل والقابل للنسبة كل حدث مسجل بمستخدم وإجراء وطابع زمني. وبذلك تستطيع المؤسسة إعادة بناء ما جرى خلال تحقيق داخلي أو تدقيق خارجي.

والاحتفاظ بالسجلات جزء من الانضباط نفسه. فيجب حفظ السجلات مدة تكفي لتلبية أطول متطلب ساري، وحمايتها من التلاعب، وإتاحتها عند الطلب. وضعف التوثيق في حد ذاته ملاحظة متكررة في التفتيش التنظيمي، حتى عندما تكون الضوابط الأساسية سليمة.

الاحتفاظ بالبيانات إعداد يُضبط، وليس عادة. ففي Anexet Reports Server يختار المسؤول مكان تخزين البيانات المجمّعة، والمدة التي تبقى فيها، والمجموعات التي تُحفظ. أما التقارير المبنية على هذه البيانات فتُشرح في تقارير الامتثال الأمني.

إدارة الامتثال أحد الأركان الثلاثة لإطار GRC، وهي: الحوكمة، وإدارة المخاطر، والامتثال. وGRC هو المصطلح الجامع لطريقة توجيه المؤسسات لنفسها ومراقبتها. وتتداخل الأركان عن قصد: فمخاطر الامتثال فئة ضمن إدارة مخاطر المؤسسة، بينما توفر الحوكمة هياكل المساءلة، ونهج القيادة، وحقوق اتخاذ القرار، وهي أسس يعتمد عليها أي جهد للامتثال.

ومعالجة الأركان معاً تتجنب ازدواج العمل. فتمرين واحد لتصنيف البيانات يمكن أن يخدم في الوقت نفسه لائحة للخصوصية، ومعياراً للأمن، وسياسة أرشفة داخلية. وتدير كثير من المؤسسات هذه الأنشطة على منصات GRC مشتركة تُبقي الالتزامات والمخاطر والضوابط والأدلة مترابطة. فيُثبت ضابط واحد الامتثال لعدة متطلبات في آن واحد، وتستمد التقارير من مصدر واحد للحقيقة.

تفشل البرامج الضعيفة عادةً في عدد قليل من النقاط نفسها، ويظهر كل إخفاق في السجلات.

• اعتبار الامتثال مشروعاً لمرة واحدة، فتتغير الالتزامات دون أن يلاحظ أحد
• نشر السياسات دون معرفة مكان البيانات الخاضعة للتنظيم، وهو ما تجيب عنه تصنيف البيانات
• عدم وجود سجل منسوب يبيّن من فعل ماذا، فلا يبقى ما يُعرض على المدقق
• التعامل مع إشعار خرق البيانات كمهمة طارئة بدلاً من إجراء مخطط له

ابدأ بالالتزامات ذات أعلى مخاطر الامتثال، ثم اربطها بالأنظمة والبيانات التي تمسّها. سجل قصير بمسؤولين محددين أفضل من وثيقة طويلة لا يحدّثها أحد.

تُعد واجبات الخصوصية بموجب قواعد حماية البيانات نقطة بداية عملية، لأنها تحدد البيانات والأشخاص المعنيين.

للمزيد من القراءة: استخدام نظام Anexet Ultimate DLP للامتثال لـ GDPR.