الضوابط وعمليات التدقيق والاعتماد

اختيار إطار العمل هو الجزء السهل. أما العمل الشاق فيتمثل في تنفيذ الضوابط، ثم إثبات فعاليتها من خلال عمليات التدقيق، والحصول على الشهادة عند الحاجة.

يتناول هذا الدرس الرحلة العملية: كيف تبدو الضوابط فعليًا، وأنواع الأدلة التي يتوقعها المدققون، وكيف تسير عملية التدقيق، وما الذي تعنيه الشهادة وما لا تعنيه.

تنقسم الضوابط إلى ثلاث فئات تقليدية وفقًا لطريقة خفضها للمخاطر:

• وقائية — تمنع وقوع الحادث (MFA، وجدران الحماية، وأقل قدر من الصلاحيات).
• كاشفة — تكشف الحادث أثناء وقوعه أو بعده (التسجيل، وتنبيهات SIEM، ومراقبة سلامة الملفات).
• تصحيحية — تستعيد الأنظمة وتحد من الأضرار بعد وقوع الحادث (النسخ الاحتياطية، والتصحيح، والاستجابة للحوادث).

يبني البرنامج القوي طبقات تجمع الفئات الثلاث؛ فالاعتماد على الوقاية وحدها يترككم دون رؤية عندما تفشل الوقاية.

تُصنّف الضوابط أيضًا بحسب طبيعتها:

• إدارية — السياسات والإجراءات والتدريب ومراجعات الوصول.
• تقنية — تُنفّذ باستخدام التقنية، مثل التشفير والتحكم في الوصول والتسجيل.
• مادية — الأقفال وقارئات البطاقات والمنشآت الآمنة.

يبحث المدققون عن تغطية للفئات الثلاث جميعها. فالضابط التقني المثالي الذي تقوّضه سياسة لا يلتزم بها أحد ليس ضابطًا حقيقيًا.

يقيّم المدققون الضوابط وفق بُعدين:

• فعالية التصميم — هل يستطيع الضابط، إذا عمل حسب تصميمه، معالجة الخطر؟
• الفعالية التشغيلية — هل يعمل الضابط فعليًا وباستمرار على مدى فترة زمنية؟

قد يكون الضابط مصممًا جيدًا على الورق لكنه يفشل أثناء التشغيل (مثل مراجعة السجلات التي لا يجريها أحد فعليًا). ويجب أن تثبت الأدلة كلا الجانبين.

تُجرى عمليات التدقيق اعتمادًا على الأدلة. ويجب أن تثبتوا تشغيل كل ضابط. ومن الوثائق الداعمة المعتادة:

• سجلات مراجعة الوصول التي توضح إعادة اعتماد الصلاحيات ربع سنويًا.
• السجلات والتذاكر التي تثبت التحقيق في التنبيهات.
• ملفات تصدير الإعدادات التي توضح فرض التشفير أو MFA.
• سجلات إتمام التدريب.

يأخذ المدققون عينات. فيختارون ضابطًا، ويطلبون دليلًا عن فترة زمنية، ويتتبعون العملية من بدايتها إلى نهايتها.

توجد طبقتان من التدقيق:

• التدقيق الداخلي — تراجعون ISMS الخاص بكم (أو يستعين أحدكم بمدقق داخلي) لاكتشاف الثغرات قبل التدقيق الخارجي. وهو مطلوب بموجب ISO 27001.
• التدقيق الخارجي / تدقيق إصدار الشهادة — تقيّمكم جهة مستقلة ومعتمدة من أجل إصدار الشهادة.

تمثل عمليات التدقيق الداخلية تجربة محاكاة. فاكتشاف حالات عدم المطابقة بأنفسكم أولًا أقل تكلفة بكثير من اكتشاف جهة إصدار الشهادة لها.

يُجرى الحصول على شهادة ISO 27001 عبر مرحلتين:

• المرحلة 1 — مراجعة الوثائق. يتحقق المدقق من وجود وثائق ISMS والنطاق والسياسة وتقييم المخاطر وSoA واتساقها.
• المرحلة 2 — تدقيق التنفيذ. يتحقق المدقق من أن الضوابط تعمل فعليًا من خلال المقابلات وأخذ عينات من الأدلة والملاحظة.

بعد اجتياز المرحلتين، تحصلون على الشهادة، وتكون صالحة عادةً لمدة ثلاث سنوات مع إجراء عمليات مراقبة مستمرة.

تنتج عن عمليات التدقيق نتائج تُصنّف حسب شدتها:

• حالة عدم مطابقة جسيمة — ضابط غائب أو يفشل فشلًا جوهريًا؛ وتمنع الحصول على الشهادة حتى تُعالج.
• حالة عدم مطابقة بسيطة — تقصير لا يقوّض النظام بأكمله؛ ويتطلب خطة إجراء تصحيحي.
• ملاحظة / فرصة للتحسين — توجيه استشاري لا يمثل إخفاقًا.

وتستجيبون لذلك من خلال خطة إجراء تصحيحي تتضمن السبب الجذري، والإصلاح، ومنع تكرار المشكلة.

الشهادة ليست دائمة. وتعمل شهادات ISO 27001 وفق دورة محددة:

• تدقيقات المراقبة — تُجرى عادةً سنويًا، وتتضمن فحوصات أخف للتأكد من استمرار عمل ISMS.
• تدقيق إعادة إصدار الشهادة — إعادة تقييم كاملة، تُجرى عادةً كل ثلاث سنوات.

ويضمن ذلك استمرار دورة عمل ISMS. فإذا أهملتم الضوابط بين عمليات التدقيق، فقد تخسرون الشهادة في زيارة المراقبة التالية.

تتجنب الفرق الناضجة الارتباك المصاحب لفترة التدقيق من خلال اتباع الامتثال المستمر: إذ تجمع الأدلة آليًا وتحافظ على جاهزية الضوابط للتدقيق في جميع الأوقات.

• أتمتوا جمع الأدلة (مثل مراجعات الوصول ولقطات الإعدادات) وفق جدول زمني.
• راقبوا انجراف الضوابط، مثل جعل حاوية S3 عامة، في الوقت الفعلي.
• تعاملوا مع الامتثال بوصفه حالة مستمرة، لا مشروعًا سنويًا.

وهنا أيضًا تظهر فائدة أدوات SOAR وأتمتة الامتثال، إذ تحوّل عمليات التدقيق اللحظية إلى ضمان مستمر.

أحيانًا يتعذر تنفيذ ضابط مطلوب بصيغته المكتوبة فعلًا، فربما لا يدعم نظام قديم المصادقة متعددة العوامل. وتسمح أطر العمل باستخدام الضوابط التعويضية: وهي بديل يحقق الهدف نفسه من حيث المخاطر.

• وثّقوا سبب تعذر تنفيذ الضابط الأصلي.
• صِفوا البديل، مثل العزل الصارم للشبكة إلى جانب المراقبة المعززة للنظام القديم.
• أثبتوا أنه يخفض المخاطر إلى مستوى مكافئ.

يقبل المدققون الضوابط التعويضية عندما تكون المبررات وخفض المخاطر المكافئ مدعومين بأدلة واضحة، لا بمجرد الادعاء.

حلّلوا فعالية الضوابط من منظور المدقق.

الضوابط وعمليات التدقيق والاعتماد:

• تكون الضوابط وقائية أو كاشفة أو تصحيحية من حيث الوظيفة، وإدارية أو تقنية أو مادية من حيث الطبيعة؛ فطبّقوا جميع هذه الأنواع ضمن طبقات متكاملة.
• يقيّم المدققون فعالية التصميم وفعالية التشغيل، ويتطلب التشغيل أدلة على امتداد فترة زمنية.
• تكشف عمليات التدقيق الداخلية الثغرات قبل تدقيق الاعتماد الخارجي، الذي يُجرى في المرحلة 1 (الوثائق) والمرحلة 2 (التنفيذ).
• تتراوح النتائج بين حالات عدم المطابقة الكبرى والصغرى والملاحظات؛ فاستجيبوا لها بخطط إجراءات تصحيحية.
• تتطلب الشهادات تدقيقات مراقبة وتدقيقات لإعادة الاعتماد؛ فاتبعوا الامتثال المستمر للبقاء جاهزين للتدقيق دائمًا.