بعد القراءة، ستتمكن من معرفة ما يطلبه البند 6.1.2 فعلاً، وإعداد الأدلة التي سيفحصها مدقق الشهادة.
التعريف
يطلب البند 6.1.2 معايير لقبول المخاطر ومعايير لكيفية إجراء التقييمات. ويجب أن تكون النتائج متسقة وصحيحة وقابلة للمقارنة، والمخاطر المعنية هي تلك التي تمس سرية المعلومات وسلامتها وتوافرها ضمن نطاق نظام الإدارة.
لا يفرض المعيار أي منهجية، ومنذ إصدار 2013 لم يعد لزاماً الانطلاق من قائمة بالأصول. ويقدّم معيار ISO/IEC 27005 إرشادات حول كيفية أداء هذا العمل.
لماذا يهم
يتوقف باقي نظام الإدارة على هذا العمل. فاختيار ضوابط الملحق A، وبيان قابلية التطبيق، وخطة المعالجة تنبع كلها من نتائجه، ولهذا يفحصه المدققون مبكراً.
كيف يعمل
احرص أولاً على تحديد المعايير واعتمادها. ثم حدد ضمن النطاق المخاطر التي تمس السرية والسلامة والتوافر، وسمِّ مالكاً لكل منها.
قدّر العواقب والاحتمالية الواقعية، وحدد مستوى الخطر، وقارنه بالمعايير، ورتّب النتائج.
احتفظ بمعلومات موثقة عن العملية (البند 6.1.2) وعن النتائج (البند 8.2). وأعد التقييم في الفترات التي خططت لها وعند حدوث أي تغيير مهم.
حالة تطبيقية
تقصر شركة برمجيات يعمل فيها 60 شخصاً نظام إدارتها على منصتها السحابية SaaS، وتعتمد مصفوفة 5×5 بمستوى قبول قدره 8. تحدد 32 سيناريو، منها 11 فوق هذا المستوى.
تنتقل هذه السيناريوهات الأحد عشر إلى خطة المعالجة، ويقبل المالكون السيناريوهات الواحد والعشرين الأخرى. ولأجل التدقيق، تقدّم الشركة المنهجية والنتائج المؤرخة ومحضر اعتماد الإدارة.
ممارسات جيدة
- اجعل الإدارة العليا تعتمد معايير القبول. وإلا فإن المقيّم هو من يقرر حجم المخاطر التي تتحملها الشركة.
- أدخل سجل الحوادث في كل جولة، فالأحداث الفعلية هي أفضل معايرة لديك.
- احتفظ بنسخ مؤرخة، لتُظهر أن العملية تتكرر فعلاً.
- قارن نتائجك بعد ذلك بالملحق A لاكتشاف الضوابط الناقصة. إنها شبكة أمان، ولا ينبغي أن تصبح قائمة مخاطرك أبداً.
- أشرك المورّدين والخدمات السحابية في النقاش إذا كان النطاق يعتمد عليهم.
أخطاء شائعة
- الانطلاق من الملحق A وتسمية النتيجة تقييماً للمخاطر. فهذه مراجعة للضوابط، وسيرى المدقق الفرق.
- عدم وجود معايير قبول مكتوبة، ما يترك كل قبول عرضة للطعن.
- إجراء التقييم مرة واحدة من أجل الشهادة ثم عدم تكراره، فيجد تدقيق المتابعة ملفاً متقادماً.
أسئلة
- هل يلزم جرد للأصول لتقييم المخاطر؟
- لم يعد البند 6.1.2 يشترطه منذ 2013. لكن الضابط 5.9 في الملحق A يطلب جرداً، ولا تزال شركات كثيرة تنطلق منه.
- ما المنهجية التي يشترطها معيار ISO 27001؟
- لا شيء. إنه يضع متطلبات على المعايير وعلى النتائج.
- كم مرة يجب إجراء التقييم؟
- على فترات مخطط لها تحددها بنفسك، وعند حدوث تغييرات مهمة (البند 8.2). ومرة في السنة أمر شائع.
- ما الذي يريد مدقق الشهادة رؤيته؟
- العملية والمعايير الموثقة، والنتائج المؤرخة، والمالكين، ومساراً واضحاً من النتائج إلى خطة المعالجة وبيان قابلية التطبيق.
- ما الذي تغيّر في إصدار 2022؟
- بقي جوهر البند 6.1.2 كما هو. وأُعيد تنظيم الملحق A في 93 ضابطاً موزعة على أربعة محاور.