خارطة طريق الأمن السيبراني خطوة بخطوة للمؤسسات التي تؤسس في دبي

الإجابة المختصرة. ست خطوات على مدى نحو ستة أشهر: تحديد النطاق التنظيمي، وجرد الأصول والبيانات، وتحصين الهوية والوصول، والأساس التقني، والاستجابة للحوادث وأدلة الحوكمة، ثم التقييم الرسمي. أغلق أولًا الضوابط دائمة التطبيق والفئة P1 من معايير ضمان المعلومات الإماراتية، ثم أضف فوقها متطلبات القطاع والمتطلبات التعاقدية.

التسلسل أهم من الجدول الزمني. فتقريبًا كل إعادة بناء مكلفة نُستدعى لإصلاحها تعود إلى السبب الجذري نفسه: نُفِّذ ضابط قبل وجود الجرد الذي يحدد نطاقه.

السؤال الأول ليس أي إطار تتبنّى. بل أي الأنظمة تلزم الكيان بحكم القانون، وأيها تلزمه بالعقد، وأيها يتوقعها السوق فحسب. والإجابات الثلاث مختلفة عادةً، والفجوة بينها هي موضع تضخّم النطاق.

الكيان في البر الرئيسي بدبي يخضع للنظام الاتحادي، بما في ذلك لائحة ضمان المعلومات الإماراتية حيثما انطبقت، والمرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن البيانات الشخصية. أما الكيان داخل مركز دبي المالي العالمي أو سوق أبوظبي العالمي فمستثنى من قانون حماية البيانات الاتحادي ويطبّق قانونه الخاص بسلطته الإشرافية الخاصة. والمورّد لجهة حكومية في دبي يُجرّ إلى لائحة أمن المعلومات لمركز دبي للأمن الإلكتروني عبر العقد لا عبر التشريع. وتضيف سلطات المناطق الحرة توقعاتها الخاصة بالتقنية والاستعانة بمصادر خارجية فوق ذلك كله.

المخرج: خريطة من صفحة واحدة للكيانات والاختصاصات القضائية والأدوات المُلزِمة، مع الأدلة التي سيطلبها كل منها لاحقًا. هذه الوثيقة تحدد ميزانية كل ما يليها، ولهذا تستحق أسبوعين من انتباه الإدارة العليا لا فقرة في عرض انطلاق المشروع.

لا يمكنك تحديد نطاق التحكم بالوصول دون معرفة ما يمكن الوصول إليه، ولا يمكنك الإجابة عن سؤال موقع البيانات دون معرفة أين تقيم البيانات حاليًا. ويشمل الجرد الأنظمة وتدفقات البيانات والاختصاص القضائي لكل مخزن ومالكًا محددًا لكل منها.

ويظهر هنا أمران بشكل موثوق. الأول هو البنية الظلّية: خدمة تسويق سحابية تحتفظ بسجلات عملاء لم يكن أحد في تقنية المعلومات يعلم بها، أو مكتب إقليمي يشغّل خادم ملفات خاصًا به. والثاني هو تدفق بيانات يعبر حدودًا افترض الجميع أنه لا يعبرها. وكلاهما رخيص الإصلاح في الأسبوع الثالث ومكلف الاكتشاف أثناء تقييم.

المخرج: جرد قابل للاستعلام لا شريحة عرض. فإن كان تحديثه مهمة يدوية، فسيبقى دقيقًا نحو شهر واحد.

الهوية هي موضع أكبر خفض للمخاطر مقابل كل درهم، وهي أيضًا عائلة الضوابط التي يبدأ بها كل مقيّم. ويجب أن تتحقق ثلاثة أمور: أن تكون المصادقة متعددة العوامل مفروضة في كل مكان لا متاحة في كل مكان، وأن يمر الوصول المميّز عبر حسابات منفصلة لا تُستخدم للعمل اليومي، وأن تُطبَّق دورة الالتحاق والانتقال والمغادرة عبر نظام لا أن تُوصف في سياسة.

استخدم عوامل مقاومة للتصيّد حيثما أمكن. ففي هذه المنطقة، يُعد اختراق البريد الإلكتروني للأعمال وانتحال شخصية التنفيذيين النمطين المهيمنين، وعامل إشعار الدفع الذي يمكن لمدير مالي مرهق أن يوافق عليه في الحادية عشرة ليلًا ضابط أضعف جوهريًا من مفتاح عتادي. وقد كتبنا عن الدفاع الكامل في المقال عن التصيّد الموجّه وانتحال شخصية التنفيذيين في الإمارات.

المخرج: نموذج وصول، وطرح مفروض للمصادقة متعددة العوامل، وعملية مغادرة تزيل الوصول في اليوم نفسه بشكل قابل للإثبات.

التجزئة، والتسجيل والمراقبة، والنسخ الاحتياطي والاستعادة. والترتيب داخل هذه المرحلة أقل أهمية من المعيار المطبّق على كل منها: فكل واحد يجب أن يُتحقق منه لا أن يُدّعى.

التسجيل هو الأكثر إعلانًا عن اكتماله بينما هو غير صالح للغرض. والاختبار ليس وجود نظام SIEM، بل أن تستطيع الإجابة، من سجلات محفوظة، عن سؤال: من وصل إلى سجل معيّن في يوم معيّن قبل أربعة أشهر؟ فإن كانت نافذة الاحتفاظ أقصر من الزمن المعتاد لاكتشاف اختراق، فلا قيمة تحقيقية للسجل.

والنسخ الاحتياطي هو الثاني. فالنسخة التي لم تستعِد منها قط مجرد فرضية. ويشمل مخرج هذه المرحلة اختبار استعادة موثّقًا بزمن تعافٍ مقاس، لا لقطة شاشة لمهمة نسخ ناجحة.

هذه هي المرحلة التي تحوّل مجموعة ضوابط إلى شيء قابل للفحص. أدلة تشغيل بمسارات تصعيد محددة، وتمرين مكتبي واحد على الأقل يشارك فيه شخص من خارج فريق الأمن، وسياسات موثّقة بسجلات اعتماد، وسجل مخاطر بمالكين محددين بالاسم لا بالإدارات، وتقييمات للمورّدين تتناسب مع المخاطر التي يحملها كل منهم.

والضوابط دائمة التطبيق في معايير ضمان المعلومات الإماراتية تقع كلها تقريبًا في هذه المرحلة. فهي ضوابط إدارية، ولا يمكن إسقاطها بناءً على تقييم مخاطر، وإغفال أي منها عدم مطابقة للائحة. والقائمة الكاملة بمعرّفات الضوابط موجودة في مقالنا عن الضوابط دائمة التطبيق وفي الصفحة المرجعية لمعيار ضمان المعلومات الإماراتي (NESA).

ابنِ مسار الأدلة في هذه المرحلة لا بعدها. فإن جُمعت الأدلة يدويًا، فسيُعاد بناؤها تحت الضغط، والأدلة المُعاد بناؤها هي ما تُخسر بسببه التدقيقات.

تقييم فجوات مقابل الإطار الذي يلزمك، ينتج ملف الأدلة الذي سيطلب منظّم أو عميل فحصه. ولمعظم المجموعات يكون ذلك تقييم فجوات لمعيار ضمان المعلومات الإماراتي، أو مراجعة جاهزية لـ DESC ISR، أو تدقيقًا داخليًا لـ ISO 27001 قبل زيارة جهة الاعتماد. راجع تدقيق أمن المعلومات في دبي لمعرفة ما يغطيه كل منها.

نفّذه كأنه التقييم الحقيقي. فالتقييم الداخلي المتساهل مع المؤسسة ينتج تقريرًا مريحًا ومفاجأة مزعجة بعد ثلاثة أشهر.

شراء الأدوات قبل الجرد. فمنصة مراقبة محددة النطاق بناءً على قائمة أصول ناقصة تراقب الأشياء الخطأ بالتكلفة الخطأ، والترخيص سنوي عادةً.

كتابة السياسة قبل وجود الضابط. فسياسة تصف ضابطًا لا يشغّله أحد أسوأ من غياب السياسة: إنها تحوّل فجوة إلى عدم مطابقة موثّق.

التوظيف قبل أتمتة الأدلة. فعدد موظفي الحوكمة يقوده كليًا تقريبًا جمع الأدلة يدويًا. أتمِت أولًا، ثم اكتشف كم شخصًا تحتاج فعلًا.

ننفّذ خارطة الطريق هذه كمشروع من مقرنا في دبي بمنطقة ميدان. تحديد النطاق وورش العمل تجري في الموقع، وأعمال التقييم والتوثيق تجري عن بُعد على أنظمة تتحكم فيها أنت، وتبقى بيانات التقييم على بنية تحتية داخل الإمارات، بما في ذلك البيئات المعزولة تمامًا. راجع استشارات الأمن السيبراني في دبي، أو حوكمة أمن تقنية المعلومات في الإمارات إن كانت طبقة الحوكمة هي الجزء الناقص.