أي ضوابط معيار ضمان المعلومات الإماراتي (NESA) «دائمة التطبيق» أيًا كان حجمك

الإجابة المختصرة. هي الضوابط الإدارية المدرجة في الملحق أ من لائحة ضمان المعلومات الإماراتية، وتمتد عبر خمس عائلات: M1 الاستراتيجية والتخطيط، وM2 إدارة مخاطر أمن المعلومات، وM3 التوعية والتدريب، وM4 أمن الموارد البشرية، وM6 تقييم الأداء والتحسين. وحجم الشركة لا يغيّر قابليتها للتطبيق، وإغفال أي منها عدم مطابقة للائحة.

هذا أكثر خطأ متداول، وهو يغيّر النطاق والتسلسل معًا. فعدة ملخصات تصف ضوابط P1 التسعة والثلاثين بأنها خط الأساس دائم التطبيق. واللائحة تبقيهما في ملحقين منفصلين لأنهما يجيبان عن سؤالين مختلفين.

القابلية للتطبيق تجيب عن سؤال: هل ينطبق الضابط أصلًا؟ فالضوابط دائمة التطبيق تنطبق بغض النظر عن نتيجة تقييم المخاطر لديك. وكل ما عداها يُختار عبر تقييم المخاطر ويُبرَّر في بيان القابلية للتطبيق.

الأولوية تجيب عن سؤال: متى تنفّذ؟ فكل ضابط يقع في إحدى أربع فئات، من P1 إلى P4، تحكم ترتيب التنفيذ. ويجوز للكيانات ترقية أو تخفيض ضوابط P2 وP3 وP4 بناءً على المخاطر. أما ضوابط P1، حيثما انطبقت، فيجوز تعزيزها ولا يجوز تخفيضها أبدًا.

والنتيجة: قد يكون لديك ضابط من P1 ليس دائم التطبيق، وضابط دائم التطبيق خارج P1. ومعاملة الاثنين كمجموعة واحدة تنتج خطة زائدة في مواضع وناقصة على نحو خطير في مواضع أخرى.

M1، الاستراتيجية والتخطيط. فهم الكيان وسياقه، والتزام قيادي قابل للإثبات، وأدوار ومسؤوليات محددة، وسياسة لأمن المعلومات مع سياسات داعمة، وموارد، وتواصل داخلي وخارجي، وتوثيق. ويبحث المقيّمون عن سجلات اعتماد وأدلة استخدام، لا عن وجود مستند.

M2، إدارة مخاطر أمن المعلومات. أكبر مجموعة. سياسة، وتحديد، وتحليل، وتقييم، وخيارات معالجة، وتحديد للضوابط، وخطة معالجة مخاطر، وبيان قابلية للتطبيق، وأهداف أمنية، إضافة إلى المراقبة والمراجعة والتواصل والتشاور المستمرين. وإن كان سجل مخاطرك جدول بيانات بلا مالك، فهذه العائلة أول ما يسقط.

M3، التوعية والتدريب. برنامج، واحتياجات تدريب موثّقة، وخطة تنفيذ، وأدلة على التنفيذ. وعرض تقديمي سنوي لكل الموظفين لا يفي بذلك وحده، لأن ثلاثة من الضوابط الأربعة تتعلق بالتخطيط والأدلة لا بالتقديم.

M4، أمن الموارد البشرية. دورة التوظيف كاملة: سياسة، وتدقيق في الخلفية، وشروط وأحكام، ومسؤوليات إدارية، وإجراء تأديبي، وثلاثي إنهاء الخدمة المكوّن من المسؤوليات وإعادة الأصول وإلغاء حقوق الوصول. وضوابط إنهاء الخدمة هي الأكثر إخفاقًا عند الفحص، لأنها تعتمد على مشاركة عملية بين الموارد البشرية وتقنية المعلومات.

M6، تقييم الأداء والتحسين. المراقبة والقياس والتحليل والتقييم، والتدقيق الداخلي، والإجراء التصحيحي، والتحسين المستمر. وهذه هي الحلقة التي تجعل كل ما سبق قابلًا للفحص لا مجرد موجود.

القائمة الكاملة بمعرّفات الضوابط منسوخة بترتيب الوثيقة في صفحتنا المرجعية لمعيار ضمان المعلومات الإماراتي (NESA).

يذكر الملحق أ إجمالي 34 ضابطًا إداريًا، بينما يعدّد الجدول الذي يليه مباشرة 35 معرّفًا. اعمل من المعرّفات لا من العدد. وإن طُلب منك إثبات «الضوابط الأربعة والثلاثين دائمة التطبيق»، فقدّم قائمة المعرّفات وينحلّ التناقض من تلقاء نفسه.

ليس في القابلية للتطبيق. فهو يغيّر كيفية تنفيذ الضوابط لا ما إذا كانت تُنفَّذ. فكيان من عشرين موظفًا لا يزال يحتاج إلى أدوار محددة بموجب M1.1.3، لكن قد يتولاها شخصان بدل إدارة كاملة. ولا يزال يحتاج إلى تدقيق داخلي بموجب M6.2.2، لكن قد ينفّذه شخص من وظيفة أخرى بدل فريق تدقيق داخلي مخصص، شرط استقلاله عمّا يدققه.

وحيث يعضّ الحجم فعلًا هو مسار الأدلة. فالفرق الصغيرة التي تجمع الأدلة يدويًا تنفق حصة غير متناسبة من طاقتها على ذلك، وهذه هي الحجة لأتمتة الجمع قبل التوظيف له. راجع حوكمة أمن تقنية المعلومات في الإمارات لمعرفة كيف نبني تلك الطبقة.

معظم العمل ينتقل. فالعائلات من M1 إلى M6 تتوافق بشكل وثيق مع بنود ISO 27001 المتعلقة بالسياق والقيادة والتخطيط والدعم والتشغيل وتقييم الأداء والتحسين. وينتقل مخرجان انتقالًا شبه مباشر: خطة معالجة المخاطر وبيان القابلية للتطبيق، وهما مطلوبان بالاسم في M2.3.3 وM2.3.4.

أما ما لا ينتقل فهو تدرّج الأولويات، الذي لا مقابل له في ISO ويحكم ترتيب تنفيذك. ولاحظ أن المطابقة هنا تُثبَت عبر التقييم والأدلة لا عبر شهادة: فلا توجد شهادة NESA تُعلَّق على الجدار. وتقرير تقييم فجوات مقابل المعايير هو ما يطلبه العملاء والمنظّمون فعلًا. راجع تدقيق أمن المعلومات في دبي.