السياسات والإجراءات

السياسات والإجراءات تحوّل الأمن من معرفة متوارثة إلى ممارسة قابلة للتكرار وقابلة للإنفاذ. فهي تحدد السلوك المتوقع، وتوزّع المسؤوليات، وتوفّر الأدلة التي يطلبها المدققون.

إذا لم يكن الأمر موثقًا، فلن تتمكنوا من إنفاذه أو إثباته باستمرار.

تتكون وثائق الأمن من طبقات:

• السياسة: النية والقواعد عالية المستوى (ما الذي يجب فعله ولماذا).
• المعيار: متطلبات محددة وإلزامية.
• الإجراء: خطوات تنفيذية متسلسلة.
• الإرشاد: أفضل ممارسة موصى بها (اختيارية).

احرصوا على وضوح الفرق:

• تنص السياسة على قاعدة: يجب ألا تقل كلمات المرور عن 12 حرفًا.
• يشرح الإجراء كيفية تنفيذ ذلك: الخطوات الدقيقة لإعداد سياسة كلمات المرور في مزود الهوية.

السياسات مستقرة، أما الإجراءات فتتغير مع تغير الأدوات.

تتضمن معظم البرامج ما يلي:

• سياسة الاستخدام المقبول.
• سياسة التحكم في الوصول / الهوية.
• تصنيف البيانات والتعامل معها.
• سياسة الاستجابة للحوادث.
• استمرارية الأعمال / التعافي من الكوارث.

تحدد AUP ما يجوز للمستخدمين فعله وما لا يجوز لهم فعله باستخدام أنظمة الشركة وبياناتها. وهي تغطي البريد الإلكتروني والإنترنت والأجهزة، والعواقب المترتبة على المخالفات، وعادةً ما يقرّ بها المستخدمون عند الانضمام إلى الشركة.

تكرّس سياسة التحكم في الوصول مبدأ أقل قدر من الصلاحيات ودورية المراجعة.

• كيفية طلب الوصول والموافقة عليه.
• تعريف الأدوار وفصل الواجبات.
• مدى تكرار مراجعة الوصول وإلغائه (مثلًا عند مغادرة الموظف للشركة).

تحدد هذه السياسة كيفية اكتشاف المؤسسة للحوادث الأمنية والإبلاغ عنها والتعامل معها. كما تحدد الأدوار ومسارات التصعيد وقواعد التواصل، حتى تسير الأزمات وفق خطة بدلًا من الارتجال.

تحتاج كل سياسة إلى مالك يكون مسؤولًا عن إبقائها محدثة، وإلى مسؤوليات محددة بوضوح. ومن دون ملكية واضحة، تصبح الوثائق قديمة وتفقد سلطتها.

• يوافق المالك على الوثيقة ويحافظ عليها.
• ينفذ أصحاب المصلحة السياسة ويلتزمون بها.

يجب اعتماد الوثائق رسميًا وإدارتها باستخدام التحكم في الإصدارات.

• سجّلوا اسم المؤلف والمعتمد وتاريخ الاعتماد ورقم الإصدار.
• تتبّعوا التغييرات حتى يتمكن المدققون من الاطلاع على السجل.
• حددوا دورة للمراجعة، تكون سنوية عادةً.

السياسة التي لا يقرأها أحد لا قيمة لها. وزّعوا الوثائق، ودرّبوا الموظفين، واجمعوا إقراراتهم. يحوّل الوعي القواعد المكتوبة إلى سلوك فعلي، ويوفّر دليلًا على إنفاذها.

تحتاج السياسات إلى قوة إلزامية. حدّدوا عواقب المخالفات، وادعموها بضوابط تقنية حيثما أمكن (مثل فرض معيار كلمات المرور في IdP بدلًا من الاكتفاء بكتابته على الورق). يحافظ الإنفاذ المتسق على مصداقية السياسة.

يجعل التوثيق الأمن قابلًا للتكرار وقابلًا للإثبات:

• استخدموا التسلسل الهرمي: السياسة، المعيار، الإجراء، الإرشاد.
• تنص السياسات على القواعد، بينما تقدم الإجراءات الخطوات.
• عيّنوا المالكين، واعتمدوا الوثائق، وأديروا إصداراتها، وراجعوها بانتظام.
• تواصلوا ودرّبوا وأنفذوا السياسات لجعل الوثائق فعّالة.