أطر الامتثال

يعني الامتثال استيفاء متطلبات الأمان التي تحددها القوانين أو اللوائح أو معايير القطاع. وتوفر أطر العمل للمؤسسات مجموعة منظمة ومعترفًا بها من الضوابط لتطبيقها وإثبات تطبيقها.

لا يساوي الامتثال الأمان، لكن إطار العمل الجيد يدفع إلى تحسينات حقيقية.

يُعد ISO/IEC 27001 معيارًا دوليًا لـISMS (نظام إدارة أمن المعلومات). وهو قائم على المخاطر؛ إذ تحدد المخاطر، وتختار الضوابط من Annex A، وتعمل على التحسين المستمر.

• يصدر الاعتماد مدققون معتمدون.
• يركز على عملية الإدارة، وليس على التقنية وحدها.

يُعد SOC 2 (ضوابط الأنظمة والمؤسسات) تقرير تصديق شائعًا لدى موفري SaaS، ويستند إلى معايير خدمات الثقة لدى AICPA: الأمان والتوافر وسلامة المعالجة والسرية والخصوصية.

• النوع الأول: الضوابط مصممة في نقطة زمنية محددة.
• النوع الثاني: الضوابط تعمل بفاعلية خلال فترة زمنية.

ينطبق PCI DSS (معيار أمن بيانات صناعة بطاقات الدفع) على أي مؤسسة تخزّن بيانات حاملي البطاقات أو تعالجها أو تنقلها. وهو معيار وصفي يتضمن متطلبات محددة.

• شفّر بيانات حاملي البطاقات واستخدم تقسيم الشبكة.
• قيّد الوصول على أساس الحاجة إلى المعرفة.
• أجرِ الاختبارات والمراقبة بانتظام.

ستواجه أيضًا ما يلي:

• GDPR: حماية البيانات والخصوصية في الاتحاد الأوروبي.
• HIPAA: بيانات الرعاية الصحية في الولايات المتحدة.
• NIST CSF / 800-53: إطار العمل الأمريكي وفهرس الضوابط.

تتداخل كثير من هذه الأطر، لذا يمكن مواءمة الضوابط عبر أطر العمل المختلفة.

تقع أطر العمل على نطاق متدرج:

• القائم على المخاطر (ISO 27001): تختار ضوابط تتناسب مع مخاطر مؤسستك.
• الوصفي (PCI DSS): متطلبات محددة وإلزامية بغض النظر عن السياق.

توضح معرفة نوع الإطار مقدار المرونة المتاح لتكييف الضوابط.

يُعد تحديد النطاق أول خطوة عملية. ويحدد النطاق الأنظمة والبيانات والعمليات التي ينطبق عليها إطار العمل.

في PCI DSS، يمكن أن يؤدي تقسيم الشبكة إلى تقليص النطاق والتكلفة بعزل الأنظمة التي تحتوي على بيانات حاملي البطاقات عن بقية الشبكة.

تنظم أطر العمل المتطلبات في صورة ضوابط، وغالبًا ما تجمعها في عائلات مثل التحكم في الوصول والتشفير والتسجيل والاستجابة للحوادث.

يحتاج كل ضابط إلى مالك وتنفيذ وأدلة تثبت فاعليته.

تختلف المخرجات باختلاف إطار العمل:

• الشهادة (ISO 27001): شهادة نجاح أو إخفاق تصدرها جهة معتمدة.
• التصديق (SOC 2): تقرير يتضمن رأي المدقق ويُشارك بموجب اتفاقية NDA.
• التحقق (PCI DSS): مستند AOC و/أو ROC صادر عن QSA.

الامتثال ليس حدثًا يُجرى مرة واحدة. تتوقع المعايير استمرار التشغيل وإعادة التقييم والتحسين بشكل دوري.

• يتطلب ISO 27001 عمليات تدقيق للمراقبة.
• يغطي SOC 2 Type II فترة تمتد لعدة أشهر.
• يتطلب PCI DSS عمليات فحص ربع سنوية وتقييمًا سنويًا.

تواجه معظم المؤسسات عدة أطر عمل في الوقت نفسه. أنشئ مواءمة للضوابط بحيث يستوفي ضابط واحد مطبق جيدًا، مثل MFA، المتطلبات المناظرة في ISO 27001 وSOC 2 وPCI DSS في الوقت نفسه، مما يجنبك تكرار العمل.

طابق إطار العمل مع طبيعته.

تنظم أطر الامتثال الأمان وتثبت تطبيقه:

• ISO 27001 = شهادة ISMS قائمة على المخاطر.
• SOC 2 = تصديق يستند إلى معايير خدمات الثقة لموفري الخدمات.
• PCI DSS = معيار وصفي لبيانات حاملي البطاقات.
• حدّد النطاق، وعيّن مالكي الضوابط، ومواءم الضوابط المتداخلة لتحقيق الكفاءة.