ما هي الشهادة؟
تقييم الأمن السيبراني هو الفحص المستقل للوضع الأمني للمنظمة أو النظام. ولا يلزم ربطه بنظام اعتماد محدد: اختبار الاختراق، أو تقييم الضعف، أو مراجعة البنية، أو تقييم النضج (على سبيل المثال NIST CSF، أو CIS Controls)، أو تمرين الفريق الأحمر، كلها تندرج تحت هذا العنوان. وتكون المخرجات عبارة عن تقرير نتائج وتوصيات وليس شهادة.
لمن هو مطلوب؟
- المنظمات الراغبة في قياس وضعها الأمني
- الشركات التي ترغب في تحليل الفجوات قبل إصدار الشهادات
- الشركات التي لديها التزام تعاقدي بإجراء اختبارات الاختراق الدورية
- الفرق الراغبة في التحقق من نظام أو منتج جديد قبل بدء البث المباشر
- تقوم المنظمات بإعادة تقييم وضعها بعد وقوع حادث
هل هو إلزامي؟
ليست إلزامية في حد ذاتها. ومع ذلك، تفرض العديد من الأطر واللوائح التزامًا بالاختبار الدوري: يتطلب PCI DSS اختبار الاختراق والمسح الضوئي، ويتوقع ISO/IEC 27001 مراجعة الامتثال الفني، وتتطلب اللوائح مثل NIS2 تقييم فعالية تدابير إدارة المخاطر.
نطاق المواصفة
- تحديد نطاق وقواعد المشاركة
- تجميع جرد الأصول وسطح الهجوم
- فحص الثغرات الأمنية والتحقق من صحتها
- اختبار الاختراق: الشبكة الخارجية، الشبكة الداخلية، تطبيق الويب، تطبيق الهاتف المحمول، الشبكة اللاسلكية
- مراجعة التكوين والتصلب
- مراجعة إدارة الهوية والوصول
- تقييم العمارة والتجزئة
- الهندسة الاجتماعية واختبار الوعي (إذا كان ضمن النطاق)
- تقييم النضج (مقابل أطر عمل مثل NIST CSF وCIS Controls)
- تحديد الأولويات والإبلاغ عن النتائج حسب مستوى المخاطر
- اختبار التحقق بعد المعالجة
عملية منح الشهادة
- 1تحديد النطاق والبرنامجيتم تحديد المواقع والعمليات المطلوب تدقيقها، ومدة التدقيق التي يتطلبها النظام.
- 2التقييم المسبقيتم إجراء تحليل الفجوات بشكل اختياري؛ تصبح الفجوات واضحة قبل التدقيق الرئيسي.
- 3التدقيق الميدانييتم إجراء مراجعة السجلات ومراقبة الموقع وإجراء مقابلات مع العمال وفقًا لقائمة المراجعة الخاصة بالمخطط.
- 4الإبلاغ عن النتائجيتم الإبلاغ عن النتائج وفقًا لتصنيف المخطط. وتكون مخرجات هذه المخططات عبارة عن تقرير تدقيق، وليس شهادة.
- 5الإجراء التصحيحي والمتابعةيتم تقديم خطة عمل تصحيحية للنتائج. يتم إغلاقه مع متابعة التدقيق بموجب المخطط.
مدة الصلاحية
يتم تحديد فترة صلاحية تقارير التدقيق من قبل النظام وتتراوح في الغالب بين سنة وسنتين. يتم استخدام التقرير للفترة التي تقبلها العلامة التجارية المشترية.
المستندات المطلوبة
- تفاصيل التنظيم والموقع
- عدد الموظفين ونمط التحول
- التصاريح والتراخيص القانونية
- السياسات والإجراءات ذات الصلة
- كشوف المرتبات والوقت وسجلات الموظفين
تكلفة الشهادة
لا يوجد سعر قائمة ثابت؛ يتم حساب التكلفة بناءً على المتغيرات التالية وتقديمها كتابياً في عرض السعر.
- عدد المواقع المراد تدقيقها وعدد الموظفين
- مدة التدقيق التي يحددها المخطط
- ما إذا كان مطلوبًا إجراء تقييم مسبق (تحليل الفجوات).
- ما إذا كانت هناك حاجة إلى تدقيق المتابعة
الاعتماد
تنتج معظم هذه المخططات تقارير تدقيق، وليس مستندات، وتخضع لنظام الموافقة الخاص بمالك المخطط (مثل Sedex، وamfori، وRBA)؛ الاعتماد بالمعنى الكلاسيكي غير موجود في كل مخطط. يتم تحديد كفاءة المدقق وصحة التقرير من خلال قواعد مالك المخطط.
يختلف النطاق الذي يمكن تقديم هذا المخطط ضمنه حسب منتجكم ونشاطكم؛ ويتم تأكيده كتابياً في مرحلة عرض السعر.
النطاق والتفويضاتشهادات ذات صلة
الأسئلة الشائعة
هل اختبار الاختراق وفحص الثغرات هما نفس الشيء؟
لا. يسرد فحص الثغرات الأمنية نقاط الضعف المعروفة باستخدام الأدوات الآلية. يتحقق اختبار الاختراق بالخبرة البشرية مما إذا كانت هذه النتائج قابلة للاستغلال بالفعل، ويكشف عن مسارات الهجوم المتسلسلة. ويختلف الاثنان في العمق والتكلفة.
هل أحصل على شهادة نتيجة التقييم؟
لا يتم إصدار أي شهادة؛ ويتم إعداد تقرير النتائج والتوصيات. يطلب بعض العملاء خطاب تصديق يؤكد إجراء الاختبار، لكن هذه ليست شهادة مطابقة.
كم مرة يجب أن أفعل هذا؟
يعتمد التكرار على الإطار الذي تخضع له ومعدل التغيير الخاص بك. الممارسة الشائعة هي الاختبار السنوي؛ ومع ذلك، من المتوقع إجراء اختبار مؤقت عندما يكون هناك تغيير كبير في البنية أو التطبيق.