‏أنظمة إدارة أمن المعلومات (ISMS)

نظام إدارة أمن المعلومات، أو ISMS، هو مجموعة السياسات والعمليات والأدوار والضوابط التي تحدد بها المؤسسة ما المعلومات التي تحتاج إلى حماية، ومن أي خطر، وبأي طريقة، ثم تتحقق من أن هذه القرارات تعمل فعلاً. الكلمة الأهم هنا هي «إدارة». فالنظام ليس منتجاً يُثبَّت، بل هو أسلوب لإدارة أمن البيانات بوصفه مسؤولية مستمرة، لها مسؤولون وسجلات ومراجعات دورية.

المرجع الدولي هو عائلة معايير ISO/IEC 27000. يحدد المعيار ISO/IEC 27001 المتطلبات التي يجب أن يستوفيها النظام، وهو المعيار الذي تُمنح المؤسسات شهادة المطابقة عليه، أما ISO/IEC 27002 فهو دليل لضوابط الأمن مع إرشادات التطبيق. والهدف حماية السرية والسلامة والإتاحة للمعلومات بأي شكل كانت: ملفات، وقواعد بيانات، وأوراق، وحتى المحادثات.

ولأن النظام قائم على المخاطر، تستطيع شركتان الالتزام بالمعيار نفسه بمجموعتي ضوابط مختلفتين تماماً. فالمعيار لا يطلب قائمة مشتريات ثابتة، بل دليلاً على أن المخاطر حُدِّدت وعولجت عن قصد وأُعيدت مراجعتها.

يعمل النظام على شكل دورة، تُوصف غالباً بنموذج Plan-Do-Check-Act، لا على شكل مشروع يُنجَز مرة واحدة. وكل شيء يبدأ بمعرفة ما تملكه: سجل أصول تقنية المعلومات محدّث ونظام تصنيف البيانات فعّال يبيّنان أين تستحق الضوابط كلفتها. وهذا هو الترتيب المعتاد للدورة:

1. 1

   تحديد النطاق

   حدّد الوحدات والمواقع والأنظمة والبيانات التي يغطيها النظام، ومن له مصلحة فيه: العملاء والجهات التنظيمية والموظفون.

2. 2

   تقييم المخاطر ومعالجتها

   حدّد الأصول والتهديدات، وقيّم المخاطر، وقرّر هل يُخفَّف كل خطر أو يُتجنَّب أو يُشارَك أو يُقبَل. لكل خطر مالك وقرار مسجّل.

3. 3

   اختيار الضوابط وتشغيلها

   اختر الضوابط المناسبة للمخاطر، وسجّل الاختيار وأسبابه في بيان قابلية التطبيق، ثم أدخل الضوابط في العمل اليومي.

4. 4

   القياس والتدقيق

   تابع أداء الضوابط، وأجرِ تدقيقاً داخلياً ومراجعات للإدارة، حتى ترى القيادة النتائج لا السياسات وحدها.

5. 5

   التحسين

   عالج حالات عدم المطابقة، وتعلّم من الحوادث، وانقل الاستنتاجات إلى تقييم المخاطر التالي.

يطلب المعيار معلومات موثّقة، لكن الوثائق وحدها لا تصنع نظاماً. ومعظم العناصر التالية موجودة لإثبات أن دورة الإدارة تدور فعلاً:

يحتاج النظام إلى دليل على أن الضوابط موجودة وأن التغييرات فيها قابلة للتتبع. ففي Anexet Inventory تعرض بطاقة محطة العمل البرامج المثبّتة مع الإصدار وتاريخ التثبيت، وهي المادة الخام لسجل الأصول. وفي وحدة تحكم المسؤول يسجّل تبويب Journal من غيّر أي ملف تعريف أو قاعدة، ومتى.

1 / 2

• 
• 

من المفاجآت الشائعة لمن ينفّذ النظام للمرة الأولى أن جزءاً صغيراً منه فقط يخص فريق الأمن. فالمعيار يتوقع مشاركة القيادة، ويتوقع أن يكون مالكو المخاطر هم من يملكون فعلاً عملية العمل. وهذه الأدوار في الممارسة:

كثيراً ما يُخلط بين ISO/IEC 27001 والنظام نفسه. فالنظام هو ما تشغّله المؤسسة، والمعيار هو المقياس، والشهادة هي تدقيق مستقل لهذا النظام ضمن نطاق معلن. لذلك تقول الشهادة إن النظام ضمن النطاق يستوفي المعيار، ولا تقول إن الشركة كلها آمنة أو إن الاختراق مستحيل.

وتوجد أطر أخرى إلى جانبه. يقدّم NIST Cybersecurity Framework وNIST SP 800-53 هياكل وكتالوجات ضوابط، ويُعد SOC 2 تقرير تصديق من مدقق وفق معايير لمنظمات الخدمات، وتفرض قوانين مثل GDPR وتوجيه NIS2 في الاتحاد الأوروبي تدابير أمنية مناسبة دون أن تشترط نظام ISMS. ويجعل النظام العامل هذا التداخل أقل كلفة، لأن عملية مخاطر واحدة ومجموعة أدلة واحدة تخدمان متطلبات عدة عبر إدارة الامتثال. فهو يساعد على إثبات العناية الواجبة، لكنه وحده لا يساوي الامتثال القانوني.

تتعثر معظم برامج ISMS لأسباب تنظيمية لا تقنية. والتسلسل المعتاد أن تُشترى أداة، مثل نظام DLP، قبل أن يحصر أحد ما يجب حمايته، ثم تُكتب الوثائق بعد ذلك. والأنماط تتكرر:

• نطاق ضيق إلى حد أن الشهادة تغطي القليل مما يهم العملاء
• سجل مخاطر منسوخ من قالب دون مالكين حقيقيين
• بيان قابلية تطبيق مليء بعبارة «لا ينطبق» دون أسباب
• سياسات تُكتب مرة واحدة ولا تُقرأ ولا تُختبر
• ملاحظات تدقيق تُغلق على الورق دون إزالة السبب

ابدأ صغيراً وواقعياً: اختر نطاقاً يهم العملاء، وأحصِ أصول المعلومات فيه ومالكيها، وقيّم المخاطر القليلة الأشد ضرراً. وتأتي الضوابط بعد ذلك بترتيب المخاطر، لا بترتيب فهرس المعيار.

ودع الأنظمة نفسها تنتج الأدلة، مثل تقارير الأمن المجدولة وسجلات التغيير، بدلاً من جمع لقطات الشاشة في الأسبوع السابق للتدقيق. فالنظام الرخيص في صيانته هو الذي يبقى بعد عامه الثاني.