موسوعة تقنية المعلومات والحوكمة والمخاطر والامتثال
ما يعنيه كل مفهوم ومنهج ووثيقة ومعيار، وكيف يعمل وكيف يُطبَّق، مع المصادر الرسمية التي تستند إليها كل إجابة.
أدلة شاملة
- الدليل الكامل لمعيار ISO 27001اقرأ هذه المقالات بالترتيب وستتبع تسلسل مشروع شهادة حقيقي، من فهم المعيار إلى فحص نظامك بنفسك.
- الدليل الكامل لتوجيه NIS2يبدأ هذا المسار بالسؤال الذي تطرحه معظم الشركات أولاً، هل ينطبق عليها NIS2، ثم يمر بالتزاماته بالترتيب الذي ستتناولها به.
- الدليل الكامل لإدارة المخاطرتبني هذه المقالات بعضها على بعض. وفي النهاية ستتمكن من إعداد عملية لإدارة المخاطر يستطيع فريق صغير مواصلتها فعلاً.
- الدليل الكامل لاستمرارية الأعماليفشل التخطيط للاستمرارية حين يبدأ بالخطة. أما هذا المسار فيبدأ بما تحتاجه الأعمال فعلاً، وينتهي بوسائل استعادته.
إدارة المخاطر
- ما هو سجل المخاطر؟سجل المخاطر هو القائمة المحدّثة لما قد يضر بالشركة: من المسؤول عن كل خطر، وما مدى جسامته، وما الذي يُفعل حياله، وإلى أين وصل هذا العمل.
- شرح مصفوفة المخاطرمصفوفة المخاطر شبكة تقاطع الاحتمالية مع الأثر. تتيح للشركة مقارنة مخاطر مختلفة جداً على مقياس واحد، وتقرير أيها يُعالَج أولاً.
- منهجية تقييم المخاطرمنهجية تقييم المخاطر هي الطريقة الثابتة التي تحدد بها الشركة مخاطرها وتحللها وتقدّرها، كي يصل شخصان يقيّمان الشيء نفسه إلى نتائج قابلة للمقارنة.
- خطة معالجة المخاطرتحدد خطة معالجة المخاطر ما سيحدث لكل خطر لا ترغب الشركة في تركه على حاله: أي خيار، وأي إجراءات، ومن ينفذها، وبحلول متى، وما النتيجة المتوقعة.
- ملكية المخاطرمالك الخطر هو الشخص المسؤول عن خطر معين، والذي يملك صلاحية تقرير معالجته وتمويلها وقبول ما يتبقى منه.
- تقييم المخاطر وفق ISO 27001يشترط معيار ISO/IEC 27001 عملية محددة لتقييم مخاطر أمن المعلومات (البند 6.1.2)، تُجرى على فترات مخطط لها (البند 8.2)، تحدد المخاطر ومالكيها وتحللها وتقدّرها مقارنة بمعايير موضوعة.
- جرد الأصولجرد الأصول هو القائمة المحدّثة للمعلومات والأنظمة والأجهزة والخدمات التي تعتمد عليها الشركة، لكل منها مسؤول. فلا يمكنك حماية ما لا تعرف أنك تملكه.
الامتثال
- تقييم المخاطر وفق اللائحة العامة لحماية البياناتيتناول تقييم المخاطر وفق اللائحة العامة لحماية البيانات المخاطر التي ينشئها نشاط معالجة على حقوق الأشخاص وحرياتهم. وحين يُرجَّح أن يكون هذا الخطر مرتفعاً، تشترط المادة 35 إجراء تقييم للأثر على حماية البيانات.
- ما هي إدارة الامتثال؟إدارة الامتثال هي العمل المستمر لمعرفة الالتزامات التي تنطبق على الشركة، والوفاء بها، وإثبات ذلك، وتصحيح ما يقصر عنها.
- دليل استبيان الامتثالاستبيان الامتثال مجموعة منظمة من الأسئلة تُظهر موقع الشركة من قانون أو معيار أو عقد، وأين تقصر عنه.
- شرح الرقابة الداخليةالضابط الداخلي إجراء يمنح تأكيداً معقولاً بأن الشركة ستبلغ أهدافها رغم مخاطرها: موافقة إلزامية، أو فصل بين المهام، أو مراجعة، أو قيد تقني.
- ما هو معيار ISO 27001؟معيار ISO/IEC 27001 هو المعيار الدولي لنظام إدارة أمن المعلومات: الطريقة التي تحكم بها الشركة أمن معلوماتها وتقيّمه وتحسّنه.
- بيان قابلية التطبيقبيان قابلية التطبيق هو الوثيقة الإلزامية في ISO/IEC 27001 التي تبيّن الضوابط التي تحتاجها الشركة، ولماذا، وهل هي مطبقة، ولماذا استُبعد أي ضابط من الملحق A.
- ما هو توجيه NIS2؟توجيه NIS2 هو توجيه الاتحاد الأوروبي (2022/2555) الذي يفرض التزامات في الأمن السيبراني على الكيانات المتوسطة والكبيرة في القطاعات الحيوية: تدابير لإدارة المخاطر، والإبلاغ عن الحوادث، ومساءلة الإدارة.
- قائمة تحقق NIS2تتبع قائمة تحقق NIS2 بنية التوجيه نفسه: النطاق، وواجبات هيئة الإدارة (المادة 20)، والتدابير العشرة في الفقرة 2 من المادة 21، ومواعيد الإبلاغ (المادة 23).
- ما هي اللائحة العامة لحماية البيانات؟تحدد اللائحة العامة لحماية البيانات (EU) 2016/679 قواعد استخدام البيانات الشخصية في الاتحاد الأوروبي. وهي سارية منذ 25 مايو 2018.
- مراقبة الامتثالمراقبة الامتثال هي التحقق المنتظم، من قِبل المسؤولين، من أن الالتزامات ما زالت مستوفاة وأن الضوابط ما زالت تعمل، كي تظهر المشكلات قبل أن يظهرها التدقيق.
استمرارية الأعمال
- ما هي استمرارية الأعمال؟استمرارية الأعمال هي قدرة الشركة على مواصلة تقديم أهم منتجاتها وخدماتها بمستوى مقبول أثناء الاضطراب، أياً كان سببه.
- ما هو التعافي من الكوارث؟التعافي من الكوارث هو مجموعة الخطط والوسائل التقنية التي تعيد أنظمة تقنية المعلومات والبيانات بعد اضطراب جسيم، ضمن المهل التي اتفقت عليها الأعمال.
- استمرارية الأعمال أم التعافي من الكوارثتُبقي استمرارية الأعمال الشركة تعمل أثناء الاضطراب، ويستعيد التعافي من الكوارث تقنية المعلومات التي تعتمد عليها. والتعافي جزء من الاستمرارية.
- تحليل الأثر على الأعماليحدد تحليل الأثر على الأعمال (BIA) ما يحدث بمرور الوقت إذا توقف كل نشاط، ويستخدم ذلك لتحديد أولويته وأهداف تعافيه.
- شرح هدف زمن التعافي (RTO)هدف زمن التعافي (RTO) هو المدة التي يجب أن يعود خلالها نشاط أو نظام بعد الاضطراب، قبل أن تصبح العواقب غير مقبولة.
- شرح هدف نقطة التعافي (RPO)هدف نقطة التعافي (RPO) هو أحدث البيانات التي تستطيع الشركة تحمّل فقدانها، معبراً عنه بمدة زمنية قبل الحادث.
التدقيق
- دليل التدقيق الداخليالتدقيق الداخلي فحص مستقل ومخطط وموثق للتأكد من أن ممارسات الشركة تستوفي متطلباتها وتعمل كما هو مقصود.
- قائمة تحقق التدقيققائمة تحقق التدقيق هي وثيقة عمل المدقق. فهي تحدد لكل معيار ما يجب النظر فيه، ومن يُسأل، وما تؤخذ منه العينات، وتسجل ما وُجد.
- ملاحظات التدقيقتقارن ملاحظة التدقيق دليلاً بمعيار. فهي تقول ما ينبغي أن يحدث، وما شوهد، ولماذا يهم، ولماذا حدث.
- قائمة تحقق تدقيق الشبكةتتحقق قائمة تحقق تدقيق الشبكة من أن الشبكة معروفة ومقسّمة ومحدّثة ومراقبة، ولا يصل إليها إلا من ينبغي له ذلك، مع دليل لكل سطر.
مخاطر الأطراف الثالثة
- تقييم مخاطر المورّدينيحدد تقييم مخاطر المورّدين ما قد يسوء عبر مورّد معيّن، ومدى استعداده، وهل الخطر المتبقي مقبول.
- إدارة مخاطر الأطراف الثالثةإدارة مخاطر الأطراف الثالثة هي البرنامج الذي يضبط مخاطر الاعتماد على المورّدين والشركاء، من اختيارهم حتى إنهاء العلاقة.
- استبيانات الأمناستبيان الأمن هو قائمة الأسئلة التي يرسلها المشتري إلى المورّد للتحقق من ممارساته الأمنية. وقد أصبحت الإجابة الجيدة عنه جزءاً من البيع.
أدلة عملية
- ما هي GRC؟ شرح الحوكمة والمخاطر والامتثالتعني GRC الحوكمة والمخاطر والامتثال: كيف تضع الشركة قواعدها، وتدير ما قد يسوء، وتثبت أنها تفي بالتزاماتها.
- كيف تحدد نطاق نظام إدارة أمن المعلوماتيبيّن النطاق أي جزء من الشركة يغطيه نظام إدارة أمن المعلومات. ويطلب البند 4.3 من ISO/IEC 27001 تحديد حدوده وقابلية تطبيقه، والاحتفاظ به كمعلومات موثقة.
- كيف تجري تحليلاً لفجوات الامتثاليقارن تحليل الفجوات ممارستك الحالية بمتطلبات إطار ما، ليبيّن ما ينقص وما يجب فعله أولاً. وكثيراً ما يكون الخطوة الأولى في مشروع امتثال.
- متطلبات DORA: شرح الركائز الخمستنطبق لائحة المرونة التشغيلية الرقمية، اللائحة (EU) 2022/2554، منذ 17 يناير 2025 على الكيانات المالية في الاتحاد الأوروبي، وتضع مجموعة واحدة من القواعد بشأن مرونة تقنية المعلومات والاتصالات.
- قاعدة الأمن في HIPAA: الضمانات وما يجب توثيقهتضع قاعدة الأمن في HIPAA (45 CFR Part 164, Subpart C) معايير أمريكية لحماية المعلومات الصحية الإلكترونية التي تحتفظ بها الجهات المشمولة وشركاء أعمالها.
- شرح متطلبات PCI DSS الاثني عشرPCI DSS هو معيار الأمن لقطاع البطاقات لكل شركة تخزن بيانات حاملي البطاقات أو تعالجها أو تنقلها. ويتبع هذا الدليل الإصدار 4.0.1 المنشور في يونيو 2024: راجع مكتبة وثائق PCI SSC للاطلاع على أحدث إصدار.
- انتهاك البيانات وفق اللائحة العامة: ما العمل خلال 72 ساعةوفق المادة 33 من اللائحة العامة لحماية البيانات، يجب إخطار السلطة الرقابية بانتهاك البيانات الشخصية خلال 72 ساعة من العلم به، ما لم يكن من غير المرجح أن ينتج عنه خطر على الأشخاص.
- SOC 2 أم ISO 27001: الفروق وأيهما تختاريمنح ISO/IEC 27001 شهادة لنظام إدارة؛ أما تقرير SOC 2 فيقدم رأي مدقق في ضوابطك. ويتداخلان كثيراً، ويتوقف الاختيار الصحيح أساساً على ما يطلبه عملاؤك.
- السياسة والإجراء والمعيار والإرشاد: ما الفرق؟تجيب هذه الأنواع الأربعة من الوثائق عن أسئلة مختلفة. والفصل بينها يجعل كلاً منها أقصر، وأسهل في الاعتماد، وأسهل في التحديث.
- مراجعات صلاحيات الوصول: كيف تُجرىتتحقق مراجعة صلاحيات الوصول من أن الأشخاص ما زالوا يحتاجون إلى الصلاحيات التي يملكونها. وهي من أكثر الضوابط اختباراً، وكثيراً ما تظهر إخفاقاتها في ملاحظات التدقيق.
- كيف تكتب خطة للاستجابة للحوادثتحدد خطة الاستجابة للحوادث من يفعل ماذا حين يسوء أمر ما. وحين تُكتب مسبقاً، توفر الساعات التي تكون فيها القرارات أهم ما يكون.