بعد القراءة، ستتمكن من بناء البيان انطلاقاً من معالجة المخاطر، وكتابة مبررات تصمد أمام التدقيق.
التعريف
يحدد البند 6.1.3 د محتواه: الضوابط اللازمة، وسبب إدراجها، وهل هي مطبقة، وسبب استبعاد أي ضابط من الملحق A.
تحدد معالجة المخاطر الضوابط اللازمة. وقد تأتي من الملحق A، أو من إطار آخر، أو من تصميمك الخاص.
لماذا يهم
يربط المخاطر بالضوابط ويبيّن الضوابط التي يطبقها النظام الحاصل على الشهادة. وكثيراً ما يطلب المشترون نسخة منه، ويستخدمه المدققون لتحديد ما يختبرونه.
كيف يعمل
انطلق من خطة معالجة المخاطر وأدرج الضوابط المختارة. ثم راجع ضوابط الملحق A الثلاثة والتسعين لتتأكد من عدم إغفال شيء لازم.
اكتب لكل ضابط سبب إدراجه أو استبعاده، وحالة تطبيقه، وإحالة إلى الوثيقة أو السجل الذي يثبت ذلك.
احصل على اعتماده، واحفظه تحت إدارة الإصدارات، وحدّثه عندما تتغير المخاطر أو الضوابط.
حالة تطبيقية
الضابط 7.10، وسائط التخزين. تستبعده شركة لا توجد في نطاقها وسائط قابلة للإزالة، موضحة أن جميع البيانات تبقى على منصتها السحابية وأن سياسة الأجهزة تعطّل منافذ USB.
الضابط 8.13، النسخ الاحتياطي للمعلومات. يُدرج لمعالجة خطر فقدان البيانات وهو مطبق، مع إحالة إلى إجراء النسخ الاحتياطي واختبار الاستعادة في 12 مايو.
ممارسات جيدة
- اربط كل ضابط بخطر أو بالتزام.
- أحِل إلى الدليل. فنسخه داخل الوثيقة يجعلها غير مقروءة وسريعة التقادم.
- حدّث البيان بعد كل مراجعة للمخاطر، وتحقق من الإصدار الذي تشير إليه الشهادة.
أخطاء شائعة
- استبعاد ضابط لأنه مزعج. يجب أن يأتي السبب من مخاطرك ونطاقك.
- ملؤه قبل تقييم المخاطر، مما يقلب منطق المعيار رأساً على عقب.
- وسم كل شيء بأنه مطبق. فعينة من ثلاثة سجلات تكفي لدحض ذلك.
- كتابة «قابل للتطبيق» كمبرر، وهي لا تشرح شيئاً.
أسئلة
- هل يجب إدراج كل ضوابط الملحق A؟
- لا، لكن يجب تناول كل واحد منها: إدراجه مع سبب، أو استبعاده مع سبب.
- هل بيان قابلية التطبيق علني؟
- لا يلزم أن يكون كذلك. وكثيراً ما تشاركه الشركات مع المشترين بموجب اتفاقية سرية.
- هل يمكن أن يتضمن ضوابط من خارج الملحق A؟
- نعم. يسمح البند 6.1.3 بضوابط من أي مصدر، وتُدرج مع غيرها.
- من يعتمد بيان قابلية التطبيق؟
- يشترط المعيار إعداد البيان دون تسمية من يعتمده. والممارسة المعتادة أن يعتمده مسؤول الأمن والإدارة.
- بماذا يختلف عن خطة معالجة المخاطر؟
- تقول الخطة كيف ستُعالج المخاطر ومن سيعالجها ومتى. أما البيان فيعطي الموقف من كل ضابط.