معايير ضمان المعلومات الإماراتية (NESA)

الضوابط دائمة التطبيق كلها ضوابط إدارية، مدرجة في الملحق أ من لائحة ضمان المعلومات الإماراتية. وتغطي الاستراتيجية والتخطيط (M1)، ودورة إدارة المخاطر الكاملة (M2)، والتوعية والتدريب (M3)، وأمن الموارد البشرية عبر دورة التوظيف (M4)، وتقييم الأداء والتحسين (M6). ويجب تنفيذها بغض النظر عن نتيجة تقييم المخاطر لديك، وإغفال أي منها يعني عدم مطابقة اللائحة.

تفصيل يستحق المعرفة: يذكر الملحق أ إجمالي 34 ضابطًا إداريًا، بينما يعدّد الجدول أسفل تلك الجملة 35 معرّفًا. والقائمة كاملة منسوخة في هذه الصفحة كي تعمل من المعرّفات لا من العدد. ولاحظ أيضًا أن «دائم التطبيق» ليس الشيء نفسه كفئة الأولوية P1، التي تضم 39 ضابطًا وتحكم ترتيب التنفيذ لا القابلية للتطبيق.

188 ضابطًا أمنيًا، مقسّمة إلى 60 ضابطًا إداريًا في العائلات من M1 إلى M6، و128 ضابطًا تقنيًا في العائلات من T1 إلى T9. ويوزّعها الملحق ب على أربع فئات أولوية: 39 في P1، و69 في P2، و35 في P3، و45 في P4.

لا. يجوز للكيانات ترقية أو تخفيض الضوابط في P2 وP3 وP4 بناءً على تقييم المخاطر، لكن اللائحة تنص على أن ضوابط P1، حيثما انطبقت، يجوز تعزيزها ولا يجوز تخفيضها أبدًا. أما القابلية للتطبيق نفسها فيحددها المعيار، فالضابط الذي لا ينطبق على بيئتك إطلاقًا يُعالَج عبر بيان القابلية للتطبيق لا عبر التخفيض.

صدرت المعايير أصلًا عن الهيئة الوطنية للأمن الإلكتروني، ولهذا لا يزال الإطار يُعرف على نطاق واسع باسم NESA. واللائحة تُنشر وتُصان الآن تحت هيئة تنظيم الاتصالات والحكومة الرقمية الاتحادية باسم لائحة ضمان المعلومات الإماراتية. ومعرّفات الضوابط لم تتغيّر، فتقييمات الفجوات القائمة تبقى صالحة للاستخدام.

لا. تُثبَت المطابقة للائحة ضمان المعلومات الإماراتية عبر التقييم والأدلة، لا عبر شهادة تصدرها جهة معتمدة كما هو الحال في ISO 27001. والمؤسسات التي تحتاج إلى شيء تعرضه على عميل تجمع عادةً بين تقرير تقييم فجوات داخلي أو من طرف ثالث مقابل المعايير، وشهادة ISO 27001 التي تنتج شهادة فعلية.

ارتباطًا كبيرًا، وبطريقة توفّر عملًا حقيقيًا. تتوافق العائلات الإدارية من M1 إلى M6 بشكل وثيق مع بنود ISO 27001 المتعلقة بالسياق والقيادة والتخطيط والدعم والتشغيل وتقييم الأداء والتحسين، بينما تتداخل العائلات التقنية من T1 إلى T9 بقوة مع الملحق أ. وينتقل مخرجان انتقالًا شبه مباشر: خطة معالجة المخاطر وبيان القابلية للتطبيق، وهما مطلوبان بالاسم في M2.3.3 وM2.3.4. أما ما لا ينتقل فهو تدرّج الأولويات، الذي لا مقابل له في ISO ويحكم ترتيب تنفيذك.

قرارًا، مع سبب، لكل ضابط في المعيار. فللضوابط المُدرجة، سجّل حالة التنفيذ وموضع الأدلة. وللضوابط المستثناة، سجّل التبرير، واجعله خاصًا ببيئتك لا عبارة عامة بأن الضابط غير ذي صلة. ويجعل الضابط M2.3.4 بيان القابلية للتطبيق متطلبًا دائم التطبيق، فغيابه أو عموميته عدم مطابقة بحد ذاته لا مجرد فجوة توثيق.

عمليًا من إدارة الأصول والتحكم بالوصول، لأن كل عائلة تقنية أخرى تقريبًا تعتمد على معرفة ما تشغّله ومن يستطيع الوصول إليه. واللائحة لا تفرض هذا الترتيب، بل تفرض اختيارًا مبنيًا على المخاطر على مراحل بحسب فئة الأولوية، لكن المؤسسة التي تحاول بناء المراقبة أو التشفير أو الاستجابة للحوادث قبل امتلاك جرد أصول موثوق تنتهي إلى إعادة بناء تلك الضوابط حين يصل الجرد.