حوكمة أمن تقنية المعلومات في الإمارات

الضوابط دائمة التطبيق هي الضوابط الإدارية المدرجة في الملحق أ من لائحة ضمان المعلومات الإماراتية. يجب تنفيذها بغض النظر عن نتيجة تقييم المخاطر لديك، وتنص اللائحة على أن إغفال أي منها يشكّل عدم مطابقة. وتقع في خمس عائلات:

• M1، الاستراتيجية والتخطيط. سياق الكيان، والتزام القيادة، والأدوار المحددة، وسياسة أمن المعلومات والسياسات الداعمة لها، والموارد، والتواصل، والتوثيق.
• M2، إدارة مخاطر أمن المعلومات. الدورة الكاملة: التحديد، والتحليل، والتقييم، وخيارات المعالجة، وخطة معالجة المخاطر، وبيان القابلية للتطبيق، والأهداف، والمراقبة، والتشاور.
• M3، التوعية والتدريب. برنامج موثّق، واحتياجات تدريب محددة، وخطة تنفيذ، وأدلة على تنفيذ التدريب فعلًا.
• M4، أمن الموارد البشرية. دورة التوظيف كاملة: التدقيق في الخلفية، والشروط والأحكام، ومسؤوليات الإدارة، والإجراء التأديبي، ومسؤوليات إنهاء الخدمة، وإعادة الأصول، وإلغاء حقوق الوصول.
• M6، تقييم الأداء والتحسين. المراقبة والقياس، والتدقيق الداخلي، والإجراء التصحيحي، والتحسين المستمر.

انتبه للالتباس الشائع: «دائم التطبيق» ليست المجموعة نفسها كفئة الأولوية P1. تضم P1 تسعة وثلاثين ضابطًا وتحكم ترتيب التنفيذ لا ما إذا كان الضابط ينطبق. وتبقي اللائحة الاثنين في ملحقين منفصلين. ونحن ننسخ قائمة الضوابط دائمة التطبيق كاملة، مع معرّفاتها، في صفحتنا المرجعية لمعيار ضمان المعلومات الإماراتي (NESA).

المسؤولية موزّعة. إطار ضمان المعلومات الوطني لدى الجهات الاتحادية المعنية بالاستخبارات الإشارية والأمن السيبراني، وقد صدر أصلًا تحت NESA ويُصان الآن تحت الجهات الخلف. وتضيف دبي مركز دبي للأمن الإلكتروني بلائحته لأمن المعلومات. وتخضع الرعاية الصحية في أبوظبي لـ ADHICS. أما المناطق المالية الحرة مثل مركز دبي المالي العالمي وسوق أبوظبي العالمي فتشغّل أنظمة حماية بيانات خاصة بها فوق ذلك.

ينطبق المرسوم بقانون اتحادي رقم 45 لسنة 2021 على معالجة البيانات الشخصية للأفراد داخل الإمارات، بما في ذلك من قِبل المتحكمين والمعالجين خارج الدولة. أما المناطق المالية الحرة التي لديها قوانين حماية بيانات خاصة، وأبرزها مركز دبي المالي العالمي وسوق أبوظبي العالمي، فمستثناة وتطبّق نظامها الخاص بدلًا منه، وهو ما يهم إن كان كيانك داخل إحداها. وتغطي صفحتنا المرجعية لقانون حماية البيانات الشخصية الإماراتي النطاق والنقل الدولي ومهل الإخطار بالاختراق.

اربط بمجموعة ضوابط واحدة، ثم حافظ على عروض خاصة بكل إطار فوقها. تتداخل معظم المتطلبات الإماراتية والأوروبية بقوة في التحكم بالوصول والتسجيل والاستجابة للحوادث وإدارة المورّدين، وتختلف أساسًا في مهل الإبلاغ وموقع البيانات ومن يجب إخطاره. والاحتفاظ بسجل واحد بعدة ارتباطات يجنّبك صيانة مكتبتَي سياسات متناقضتين.

سنويًا كحد أدنى، إضافة إلى مراجعة مدفوعة بالأحداث كلما تغيّرت البنية أو النطاق التنظيمي أو منظومة المورّدين تغيّرًا جوهريًا. يبحث المقيّمون عن أدلة على أن المراجعة حدثت فعلًا واعتمدها شخص ذو صلاحية، لا عن تاريخ مراجعة في ترويسة مستند.

المساءلة لدى مجلس الإدارة أو لجنة تنفيذية؛ أما الملكية اليومية فلدى قائد أمني محدد له خط تقارير لا يمر عبر الفريق الخاضع للتقييم. وتنص معايير ضمان المعلومات الإماراتية على ذلك صراحة في M1.1.3 التي تتطلب أدوارًا ومسؤوليات محددة، وفي M1.1.2 التي تتطلب التزامًا قياديًا قابلًا للإثبات. وأي هيكل تنظيمي يُظهر تبعية الأمن للمدير نفسه المسؤول عن مواعيد التسليم يُعد ملاحظة في معظم التقييمات.

أصغر مما يوحي معظم المورّدين، شرط أن يكون مسار الأدلة آليًا. تعمل المؤسسة الإماراتية متوسطة الحجم عادةً بقائد أمني واحد بدوام كامل، وجزء من وقت محلل مخاطر أو امتثال، ومالكي ضوابط محددين داخل الفرق التي تشغّل الأنظمة أصلًا. وما يرفع عدد الموظفين هو جمع الأدلة يدويًا، فقرار التسلسل الأهم هو أتمتة الأدلة قبل التوظيف لها.

أربعة أشياء: ما تغيّر في صورة التهديدات والتنظيم، وأي المخاطر تحرّكت ولماذا، وكم كلّف برنامج المعالجة مقابل ما حقّقه، وما التعرض المتبقي المطلوب من المجلس قبوله. أما أعداد الضوابط والخرائط الحرارية بلا قرار مرتبط بها فهي ضجيج. وينبغي أن تخرج حزمة التقارير من السجل نفسه الذي تعمل منه الفرق التشغيلية، حتى لا يتباعد عرض المجلس عن عرض العمل اليومي.

امنح كل خطر مالكًا محددًا بالاسم لا إدارةً، واضبط تاريخ مراجعة يُطلق مهمة لا تذكيرًا، واربط خطط المعالجة بعمل يُتابَع أصلًا في عملية التسليم الاعتيادية لديك. فالسجل الذي يعيش خارج الأنظمة التي يعمل فيها الناس يُحدَّث في الأسبوع السابق للتدقيق فقط، والمقيّمون يميّزون هذا النمط فورًا.