لائحة أمن المعلومات لمركز دبي للأمن الإلكتروني (ISR)

ليس مباشرة، لكن عمليًا نعم لكل من هو في سلسلة توريد حكومة دبي. تلزم اللائحة الجهات الحكومية وشبه الحكومية في دبي. وتصبح المؤسسات الخاصة خاضعة لها عبر العقد حين تقدّم خدمات لتلك الجهات أو تتعامل مع بياناتها، ويُكتشف المتطلب عادةً أثناء عملية الشراء لا قبلها.

ISO 27001 يمنحك نظام إدارة قابلًا للاعتماد؛ وISR تخبرك بما تتوقعه دبي داخله. والتداخل كبير في السياسات وإدارة المخاطر والتحكم بالوصول والاستجابة للحوادث، فعمل ISO 27001 القائم ينتقل عادةً بالربط لا بإعادة العمل. ثم تضيف ISR توقعات خاصة بدبي لا يغطيها ISO، وهي تُقيَّم ولا تُعتمَد بشهادة.

النتيجة تجارية. عدم المطابقة يعرّض العقود القائمة مع الجهات الحكومية في دبي للخطر وقد يخرجك من المشتريات المستقبلية، وهي خسارة أكبر وأسرع عادةً من أي غرامة تنظيمية. وخطط المعالجة بجداول زمنية متفق عليها هي الطريق المعتاد للعودة.

لمؤسسة لديها نظام إدارة فعّال وفق ISO 27001، يستغرق تقييم الفجوات مع معالجة موجّهة من ثلاثة إلى ستة أشهر عادةً. أما البدء بلا نظام إدارة موثّق فتوقّع معه من تسعة إلى اثني عشر شهرًا، لأن بنية السياسات ومسار الأدلة يجب أن يُبنيا قبل أن يمكن تقييم الضوابط أصلًا.

يُعامَل الموقع كقرار ضابط مرتبط بتصنيف البيانات، لا كقاعدة واحدة شاملة، والبيانات الحكومية تحمل أشد التوقعات. كما يتحمل مزوّدو السحابة والاستضافة الذين يخدمون الجهات الحكومية في دبي متطلبات تتعلق بالعزل والشفافية التشغيلية قد لا يفي بها عرض متعدد المستأجرين قياسي. تحقق من الموقف الحالي مع مركز دبي للأمن الإلكتروني أو مع الجهة المتعاقدة قبل الالتزام ببنية معينة، فهذا من أكثر المواضع التي تتقادم فيها الملخصات المنشورة.

التقييم لدى مركز دبي للأمن الإلكتروني ولدى مقيّمين يعملون ضمن نظامه، والجهات الحكومية داخل النطاق تُقيَّم مباشرة. أما المورّدون فيصادفونه غالبًا بشكل غير مباشر، حين تطلب الجهة المتعاقدة أدلة على المطابقة كشرط للعقد. أما أعمال التحضير، من تقييم فجوات ومعالجة وتجميع أدلة، فينفّذها فريقك أو مستشارك، وهي منفصلة عن التقييم نفسه.

سياسات معتمدة بسجلات إصدار واعتماد، وسجل المخاطر وقرارات المعالجة، ومراجعات الوصول، وسجلات التغيير، وتقييمات المورّدين، ومخرجات المراقبة، وسجلات الحوادث بما فيها ما تبيّن أنه بلا أثر، وإثبات أن التدريب والتمارين حدثت فعلًا. والاحتفاظ لا يقل أهمية عن الجمع: فالأدلة المُعاد بناؤها بعد وصول الطلب هي ما تُخسر بسببه التقييمات، لأنها لا تثبت أن الضابط كان يعمل في حينه.

مجموعة متطلبات تنشرها هيئة أمن دبي الإلكتروني لمزوّدي الخدمات السحابية الذين يخدمون جهات حكومة دبي، وتُطبَّق فوق لائحة أمن المعلومات لا بدلًا منها. وتتركز على الأسئلة التي لا تحسمها شهادة عامة الغرض: أين تقع البيانات فعليًا، وكيف يُعزَل المستأجرون، وكم من الشفافية التشغيلية تحصل عليها الجهة الحكومية، وما حقوق التفتيش القائمة. وقد يحمل المزوّد شهادة ISO 27001 وحزمة من الشهادات الدولية ولا يستوفيه مع ذلك، لأن المعيار يسأل عن هذه الخدمة في هذه المنطقة لا عن البرنامج الأمني بوجه عام. وبالنسبة للمشتري، موقف المزوّد منه جزء من ملف أدلتك، ولذلك مكانه قرار التصميم لا التقييم الذي يليه.

الإصدار الذي يحدده الكيان الذي يفرض المتطلب، وهو ليس دائمًا الإصدار الحالي. فهيئة أمن دبي الإلكتروني تضع جداول الانتقال وهي تتغيّر، والعقد الموقّع على أساس الإصدار الثاني قد يُلزمك به حتى يُجدَّد. أثبت هذا كتابةً قبل تحديد النطاق، لأن الفارق بين الإصدارين كبير بما يكفي ليجعل التقييم على الإصدار الخطأ يهدر معظم الارتباط. وتتركز الفروق في ضمان سلسلة التوريد وحدود المسؤولية السحابية والتقنية التشغيلية وأدلة عمليات الأمن المحفوظة.

معظم جوهر الضوابط، وقليل من تفاصيل الإبلاغ. فالتحكم بالوصول والتسجيل والاستجابة للحوادث وإدارة المورّدين واستمرارية الأعمال تنتقل بنظافة من برنامج ISO 27001 أو NIS2 أو DORA. أما ما لا ينتقل فهو من يجب إخطاره، وفي أي مهلة، وبأي صيغة، إضافة إلى التوقعات الخاصة بدبي التي تضيفها ISR حول التعامل مع البيانات الحكومية. شغّل مجموعة ضوابط واحدة بعروض خاصة بكل إطار، بدل مكتبتَي سياسات متوازيتين.