ما هو التدقيق؟
تدقيق الأمن السيبراني هو تقييم وجود الضوابط التي أرستها المنشأة لحماية أصولها المعلوماتية ومدى فاعليتها. ولا يقتصر على الضوابط التقنية: فعناصر الحوكمة كالسياسات والتخويل وإدارة المورّدين والاستجابة للحوادث داخلة في النطاق.
لماذا يُجرى؟
الهدف تحديد سطح الهجوم وثغرات الضوابط قبل وقوع أي حادث.
من يطلبه؟
- شركات التكنولوجيا التي يطلب عملاؤها ضمانات أمنية
- المؤسسات التي تنشئ أو تحافظ على ISO/IEC 27001
- المنشآت في البنية التحتية الحرجة والقطاعات الخاضعة للتنظيم
- المؤسسات التي تعالج بيانات البطاقات (ضمن نطاق PCI DSS)
- الشركات المشمولة بتقييم أمني للموردين
معايير التدقيق
المعيار هو الإطار المُطبَّق: ضوابط الملحق A من ISO/IEC 27001، أو IEC 62443 (الصناعي)، أو PCI DSS، أو NIST CSF، أو CIS Controls. وتطبيق إطار تقنية المعلومات مباشرةً في بيئة صناعية يعطي نتيجة خاطئة؛ ويجب اختيار معيار مناسب للتقنية التشغيلية (OT).
نطاق التدقيق
- سياسات أمن المعلومات وهيكل الحوكمة
- جرد الأصول وتصنيفها
- عملية تقييم المخاطر وبيان قابلية التطبيق
- إدارة الهوية والوصول، الحسابات المميزة
- تجزئة الشبكة وأمن المحيط
- حماية النقاط الطرفية وإدارة التصحيحات
- التشفير وإدارة المفاتيح
- التسجيل والمراقبة وقدرات الكشف
- اختبارات النسخ الاحتياطي والاستعادة
- ممارسات تطوير البرمجيات الآمنة
- أمن الموردين ومزودي الخدمات السحابية
- خطة الاستجابة للحوادث وتمارينها
- استمرارية الأعمال والتعافي من الكوارث
- التدريب التوعوي والعامل البشري
المعايير ذات الصلة
- آيزو/آي إي سي 27001
- ISO/IEC 27002
- IEC 62443
- بي سي آي دي إس إس
- NIST CSF
- ISO 19011
عملية التدقيق
- 1اختيار المعيار المطبَّقيُحدَّد المعيار أو المخطط أو التشريع الذي يُجرى التدقيق بموجبه؛ وفي التدقيقات الموضوعية يحدّد اختيار المعيار معنى النتيجة مباشرةً.
- 2تقييم المخاطر والنطاقتُحدَّد مجالات الخطورة بحسب نشاط المنشأة وموقعها الجغرافي؛ ويُخطَّط عدد أيام التدقيق تبعًا لذلك.
- 3مراجعة الوثائق والسجلاتتُفحص السياسات والإجراءات والتصاريح وسجلات القياس ونتائج التدقيقات السابقة.
- 4التدقيق الميدانيتُجال المناطق المعنية؛ وتُجرى قياسات وملاحظات وفحوص سجلات خاصة بالموضوع.
- 5مقابلات العاملينإذا اقتضى الموضوع، تُجرى مقابلات سرية مع العاملين بمعزل عن الإدارة؛ وتُقارن الإفادات بالسجلات.
- 6تقييم الامتثال القانونييُتحقق من الامتثال للتشريعات السارية على نحو منفصل؛ وعدم المطابقة القانونية هي أشدّ فئات النتائج في كل مخطط.
- 7الإبلاغ عن النتائجتُصنَّف النتائج بحسب درجة الأهمية وتُجمَع في تقرير.
- 8الإجراء التصحيحي والمتابعةتُستلم خطة إجراءات تصحيحية؛ وتُتابَع حتى الإغلاق ضمن المدة التي يقرّرها المخطط.
النتائج
تُرتَّب النتائج حسب مستوى الخطورة. فالثغرة القابلة للاستغلال مباشرةً ووثيقة السياسة المفقودة لا تحملان الوزن نفسه؛ ويُبرَز هذا التمايز صراحةً في التقرير، ويُقترح ترتيب المعالجة وفق الخطورة.
تقرير التدقيق
- بيانات جهة التدقيق والمدقّق والجهة الخاضعة للتدقيق
- المعيار أو المخطط أو التشريع المطبَّق
- تاريخ التدقيق ومدته ونطاقه
- نتائج مراجعة الوثائق والسجلات
- الملاحظات الميدانية ونتائج القياس
- نتائج مقابلات العاملين إن أُجريت
- تقييم الامتثال القانوني
- النتائج ودرجات أهميتها والأدلة
- خطة الإجراءات التصحيحية والمهل
حدود المخرجات
يُقيِّم تدقيق الأمن السيبراني وجود الضوابط وتصميمها؛ ولا يضمن عمل كل ضابط بفعالية في كل لحظة. ويُظهر التدقيق الوضع في تاريخ محدد، والمشهد التهديدي يتغيّر باستمرار. كما أن التدقيق ليس اختبار اختراق: فإمكانية استغلال الثغرات فعليًا مسألة اختبار تقني منفصل.
الاعتماد
يختلف الاعتماد باختلاف نوع التدقيق. فتدقيقات الطرف الثالث التي تستند إليها شهادة نظم الإدارة تُجرى وفق ISO/IEC 17021-1، وتلك التي تستند إليها شهادة المنتج وفق ISO/IEC 17065، وهذه النطاقات خاضعة للاعتماد. أما تدقيقات الطرف الأول والثاني والتدقيقات الخاضعة لقواعد مالك المخطط (مثل SMETA وamfori BSCI) فليست ضمن الشهادات المعتمدة؛ وتُجرى وفق إرشادات ISO 19011 وتنتج تقريرًا. وتمتلك EUROLAB اعتمادًا معترفًا به دوليًا وفق ISO/IEC 17021-1 وISO/IEC 17065 من جهات موقِّعة على اتفاقية IAF؛ ويُؤكَّد كتابةً في مرحلة عرض السعر أي تدقيق يمكن تقديمه ضمن النطاق المعتمد.
النطاق والصلاحياتعمليات تدقيق ذات صلة
الأسئلة الشائعة
ما الفرق بين التدقيق واختبار الاختراق؟
يُقيِّم التدقيق وجود الضوابط والحوكمة؛ ونطاقه واسع. أما اختبار الاختراق فيختبر، من منظور مهاجم، ما إذا كانت الثغرات قابلة للاستغلال فعليًا؛ ونطاقه ضيّق لكنه عميق. ويكمّل كل منهما الآخر.
هل ينطبق التدقيق نفسه على أنظمتنا الصناعية أيضًا؟
لا. فترتيب الأولويات في التقنية التشغيلية مختلف: إذ تأتي الإتاحة وسلامة العمليات قبل السرية؛ كما قد لا يمكن تحديث الأنظمة بتصحيحات، ولا مجال للتسامح مع التوقف. وفي هذه البيئة ينبغي استخدام IEC 62443 كمعيار.
هل أحصل على شهادة نتيجة هذا التدقيق؟
يعتمد ذلك على الإطار الذي يُجرى التدقيق بموجبه. فإذا أُجري ضمن مخطط شهادات معتمد، فقد يُفضي إلى شهادة؛ أما مخرج التدقيق الذي يُجرى بناءً على طلب العميل أو لأغراض تقييم داخلي فهو تقرير.
هل يُفحص الامتثال القانوني أيضًا؟
نعم، وفي كل تدقيق مواضيعي، يُعدّ عدم الامتثال القانوني أشدّ فئات النتائج خطورة. ومهما كان نظام الإدارة جيد البناء، فإن أيّ مخالفة للتشريعات النافذة، إن اكتُشفت، تُبلَّغ بالأولوية القصوى.