استشارات الأمن السيبراني في دبي

حدّد أي الأنظمة تلزم كيانك في دبي، وأغلق الضوابط دائمة التطبيق والفئة P1 من معايير ضمان المعلومات الإماراتية، ثم أضف فوقها متطلبات القطاع والمتطلبات التعاقدية. تسير خارطة الطريق في ست خطوات على مدى نحو ستة أشهر:

1. الأسبوعان 1 و2، تحديد النطاق التنظيمي. تحديد أي الأنظمة تلزم الكيان وأيها تعاقدي. الكيانات في البر الرئيسي ومركز دبي المالي العالمي وسوق أبوظبي العالمي تخضع لأنظمة مختلفة، وأي خطأ في تحديد النطاق هنا مكلف التصحيح.
2. الأسبوعان 3 و4، جرد الأصول والبيانات. الأنظمة وتدفقات البيانات والاختصاصات القضائية والمالكون. كل ضابط لاحق يعتمد على معرفة ما تشغّله وأين تقيم بياناتك.
3. الأسابيع 5 إلى 8، تحصين الهوية والوصول. مصادقة متعددة العوامل في كل مكان، وفصل الوصول المميّز عن الحسابات اليومية، وتطبيق دورة الالتحاق والانتقال والمغادرة فعليًا لا توثيقها فقط.
4. الأسابيع 9 إلى 12، الأساس التقني. تجزئة الشبكة، والتسجيل والمراقبة بمدد احتفاظ تصمد أمام التقييم، ونسخ احتياطي واستعادة جرّبت الاستعادة منها فعلًا.
5. الأسابيع 13 إلى 20، الاستجابة للحوادث وأدلة الحوكمة. أدلة تشغيل، ومسارات تصعيد، وتمارين مكتبية، وسياسات موثّقة، وسجل مخاطر بمالكين محددين، وتقييمات للمورّدين.
6. الأسابيع 21 إلى 24، التقييم الرسمي. تقييم فجوات مقابل الإطار المُلزِم، ينتج ملف الأدلة الذي سيطلب المنظّم أو العميل فحصه.

التسلسل أهم من الجدول الزمني. محاولة بناء المراقبة أو التشفير أو الاستجابة للحوادث قبل وجود جرد الأصول تعني إعادة بناء تلك الضوابط حين يصل الجرد.

يعتمد على القطاع وعلى هوية عملائك. تستهدف لائحة ضمان المعلومات الإماراتية الكيانات في القطاعات الحيوية وسلاسل التوريد الحكومية، لكن المعايير أصبحت المرجع الفعلي لأمن المؤسسات في الدولة. والشركات الخاصة المتقدمة لأعمال حكومية أو شبه حكومية يُطلب منها روتينيًا إثبات التوافق حتى حين لا تلزمها اللائحة مباشرة. وتسرد صفحتنا المرجعية لمعيار ضمان المعلومات الإماراتي (NESA) مجموعة الضوابط كاملة.

ISO 27001 معيار دولي قابل للاعتماد لنظام إدارة أمن المعلومات. أما لائحة أمن المعلومات لمركز دبي للأمن الإلكتروني فهي تفويض خاص بدبي ينطبق على الجهات الحكومية في دبي وعلى المؤسسات التي تتعامل مع بياناتها أو تقدّم لها خدمات. ISO 27001 يمنحك نظام الإدارة؛ وISR يخبرك بما تتوقعه دبي داخله. وعادةً ينتقل عمل ISO 27001 القائم، لكنه لا يغني عن مجموعة ضوابط ISR.

تقييم فجوات مركّز مقابل إطار واحد يستغرق من أربعة إلى ستة أسابيع. ومراجعة كاملة للوضع الأمني مع خارطة طريق للمعالجة تستغرق من ثمانية إلى اثني عشر أسبوعًا. أما دعم التنفيذ فيعتمد على حجم ما يجب بناؤه لا توثيقه، ويستغرق عادة من ثلاثة إلى تسعة أشهر بالتوازي مع فريقك.

نعم. كل ما نصممه ذاتي الاستضافة افتراضيًا، فتبقى بيانات التقييم والسجلات والأدلة على بنية تحتية داخل الإمارات طوال المشروع. ونتعامل أيضًا مع البيئات المعزولة تمامًا حيث لا يُسمح لأي أداة تقييم بالوصول إلى الإنترنت إطلاقًا.

نعم، والفارق أهم مما تتوقعه معظم المجموعات. الكيان في البر الرئيسي يخضع للنظام الاتحادي، بينما تطبّق الكيانات في مركز دبي المالي العالمي وسوق أبوظبي العالمي قانون حماية بيانات خاصًا بها وسلطة إشرافية خاصة بها. وتنشر سلطات المناطق الحرة كذلك توقعاتها الخاصة بالتقنية والاستعانة بمصادر خارجية. نحدد أي نظام يلزم كل كيان قبل بدء أي عمل على الضوابط، لأن أخطاء تحديد النطاق هنا مكلفة التصحيح لاحقًا.

بشكل روتيني. نقيّم الخدمة التي تتلقاها فعليًا مقابل العقد الذي وقّعته، وهو ما يكشف كثيرًا فجوات في تغطية السجلات وضبط التنبيهات والتصعيد لم يكن أي من الطرفين يراها. وحين يكون أداء المزوّد جيدًا نقول ذلك ونوجّه العمل إلى موضع آخر. ولأننا لا نعيد بيع خدمات المراقبة، فلا يوجد سبب تجاري يدفعنا للتوصية باستبداله.

نعم. ننطلق من مقرنا في دبي بمنطقة ميدان، وتُدار عادةً في الموقع المراحل كثيفة المقابلات مثل تحديد النطاق وورش العمل. أما أعمال التقييم والتوثيق فتُنفَّذ عن بُعد على أنظمة تتحكم فيها أنت، وهو ما يخفض التكلفة دون نقل بياناتك إلى أي مكان لم توافق عليه.

نظرة عامة على البنية، وقائمة الكيانات والاختصاصات القضائية ضمن النطاق، وأي حزمة سياسات وسجل مخاطر قائمين، واسم شخص واحد لديه صلاحية اتخاذ القرار. هذا يكفي لتحديد النطاق. ويبدأ جمع الأدلة التفصيلي بعد تحديد النطاق، حتى لا يقضي أحد أسابيع في تجميع مستندات تتضح لاحقًا أنها غير ذات صلة.