‏الامتثال في الأمن السيبراني

يعني الامتثال في الأمن السيبراني أن تطابق إجراءات الأمن في المؤسسة مجموعة من المتطلبات الخارجية، وأن تستطيع المؤسسة إظهار ذلك عند الطلب. وقد تأتي هذه المتطلبات من قانون أو لائحة قطاعية أو عقد مع عميل أو معيار منشور. والسؤال دائماً واحد: هل تفعل المؤسسة ما تنص عليه القاعدة، وهل تستطيع إثبات ذلك؟

ويرتبط الأمر ارتباطاً وثيقاً بـحماية البيانات، لأن معظم القواعد وُضعت لصون المعلومات الشخصية والمالية والصحية. وهو كذلك مهمة إدارية: فالالتزامات يجب تتبعها وإسنادها ومراجعتها، وهذا ما تتناوله إدارة الامتثال.

والكلمة الأهم هي الدليل. فالضابط الذي يعمل دون أن يترك سجلاً يصعب الدفاع عنه في التدقيق، والسياسة التي لا يتبعها أحد عبء لا حماية.

قلّما تخضع مؤسسة لمرجع واحد من القواعد. وتختلف المصادر في الجهة التي تفرضها وفي ما يترتب على مخالفتها، لذلك فإن أول خطوة مفيدة هي ترتيبها بحسب أصلها. وتنظّم مؤسسات كثيرة برامجها حول إطار إداري مثل ISMS، ويطلب العملاء غالباً تقريراً مستقلاً مثل SOC 2.

مهما كان مرجع القواعد، فإن العمل يسير في دورة متكررة. فهو لا ينتهي بشهادة أو بتدقيق ناجح، لأن المتطلبات والأنظمة والتهديدات تتغير باستمرار. وتتكرر الدورة عبر مراقبة الامتثال.

1. 1

   تحديد النطاق

   دوّنوا القوانين والمعايير والعقود المنطبقة، والأنظمة والبيانات التي تشملها.

2. 2

   ربط المتطلبات بالضوابط

   حوّلوا كل متطلب إلى ضابط محدد له مسؤول معيّن، مثل مراجعة الصلاحيات أو الاحتفاظ بالسجلات.

3. 3

   التنفيذ والتوثيق

   طبّقوا الضوابط واكتبوا سياسات وإجراءات يستطيع الموظفون اتباعها.

4. 4

   جمع الأدلة

   احتفظوا بالسجلات والتقارير والمحاضر التي تُظهر عمل كل ضابط على مدى الوقت.

5. 5

   المراجعة والتحسين

   اختبروا الضوابط وسدّوا الثغرات، وكرروا الدورة عند تغيّر القواعد أو الأنظمة.

تأتي الأدلة عادةً من الأدوات التي ترصد البيانات والمستخدمين. ففي وحدة تحكم Anexet تسجّل قواعد الأمن الحوادث مع مستوى خطورة، ويمكن إعداد تقارير الحوادث لكل قاعدة وإرسالها وفق جدول زمني، وتمنح تقارير الأمن المراجعين سجلاً يعملون عليه بدلاً من لقطات شاشة تُجمع في الأسبوع الذي يسبق التدقيق.

1 / 3

• 
• 
• 

يفشل الامتثال في أغلب الأحيان عند تسليم المسؤوليات لا في التقنية. وتربط خريطة موجزة للمسؤوليات كل متطلب بشخص يستطيع التصرف.

يُظهر النجاح في التدقيق أن الضوابط المطلوبة كانت موجودة وتعمل وقت الاختبار، لكنه لا يثبت أن المؤسسة عصيّة على الاختراق. فالقواعد تضع حداً أدنى، والمهاجمون لا يقرؤون هذا الحد، لذلك قد تتعرض شركة ممتثلة لـخرق البيانات.

والعكس صحيح أيضاً: فقد يفشل أمن قوي غير موثّق في التدقيق. والهدف العملي أن نعامل القواعد كأرضية، ونبني الأمن فوقها، مستعينين بـمخاطر الامتثال لتحديد المواضع التي ستكلّف فيها الثغرات أكثر.

تتعثر معظم البرامج في المواضع نفسها:

• التعامل مع الامتثال كمشروع سنوي لا كعملية مستمرة
• جمع الأدلة في الأسابيع التي تسبق التدقيق فقط
• شراء أداة والافتراض أنها تجعل المؤسسة ممتثلة
• كتابة سياسات لم يقرأها أحد أو لا يمكن اتباعها
• إهمال الأطراف الثالثة، مع أن وصولها إلى بياناتكم مسؤوليتكم

ابدأوا صغيراً وبخطوات ملموسة. دوّنوا القواعد التي تنطبق عليكم، واختاروا البيانات التي يكون ضرر كشفها أكبر، وتحققوا من وجود الضوابط الأساسية عليها ومن أنها تترك أثراً. ثم توسّعوا تدريجياً بدلاً من بناء إطار لا يستخدمه أحد.