تحليل الفجوة وتقييم الجاهزية وفق NESA في الإمارات

تقييم للمؤسسة ضابطًا بضابط مقابل معايير ضمان المعلومات الإماراتية، يقيس كلًّا من الضوابط الـ188 مقابل الأدلة وينتج خطة معالجة. وهو يرسي الأساس الذي يُتخذ منه كل قرار آخر في البرنامج، بما في ذلك الميزانية. وهو ليس تقييمًا بالمعنى التنظيمي ولا يصدر عنه شهادة؛ بل يخبرك بما سيجده تقييم حقيقي.

عمليًا نعم، وفحص الامتثال يعني الشيء نفسه عادةً. فالأسماء الثلاثة تصف ارتباطًا واحدًا: اختبار الضوابط وتقييمها وتخطيط المعالجة. والفرق في التركيز. فتقييم الجاهزية يُطلب عادةً حين يكون تقييم خارجي مجدولًا بالفعل، فيولي عرض الأدلة وزنًا أكبر؛ أما تحليل الفجوة فيُطلب مبكرًا ويولي خارطة الطريق وزنًا أكبر. ونحدد نطاقهما بالطريقة نفسها ونضبط التقرير تبعًا لذلك.

من أربعة إلى ستة أسابيع لكيان واحد ببيئة محددة. وما يطيله: تعدد الكيانات بين البر الرئيسي والمناطق الحرة، وبيئة بلا سجل أصول، وعمليات مُسنَدة إلى الغير تكون الأدلة لدى مزوّد يجب طلبها منه. وما يقصّره: وجود نظام إدارة وفق ISO 27001، لأن الضوابط الإدارية تنتقل بالمطابقة لا بإعادة العمل.

نعم، وسيكون أسرع. فشهادة ISO 27001 تمنحك نظام الإدارة الذي تصفه عائلات الإدارة في ضمان المعلومات الإماراتي إلى حد بعيد، فينطبق كثير من M1 إلى M6. أما ما لا ينتقل فهو الدقة التقنية في T1 إلى T9، ومجموعة الضوابط دائمة التطبيق بوصفها التزامًا ثابتًا لا نتيجة لتقييم مخاطر، وترتيب الأولويات. وتحليل الفجوة المرتبط بنظام إدارة قائم يستغرق عادةً ثلاثة إلى أربعة أسابيع.

الكيانات في القطاعات المصنّفة بنية تحتية وطنية حساسة والمؤسسات في سلاسل التوريد الحكومية هي المستهدف المباشر. وأبعد من ذلك بكثير، صارت المعايير المرجع الذي يستخدمه مشترو المؤسسات في الإمارات، فيُطلب من الشركات الخاصة بانتظام إثبات التوافق كشرط تعاقدي. وإن كان يُطلب منك دليل، فسؤال ما إذا كانت اللائحة تلزمك مباشرةً لم يعد ذا أثر تجاري.

نعم، ويبقيهما التقرير منفصلين. فالمناطق الحرة المالية تطبّق قانون حماية بيانات خاصًا بها وجهة رقابية خاصة بها، لذا يمكن لمجموعة ضوابط واحدة أن تفي بالنظامين بينما تختلف الأدلة والتزامات الإبلاغ. ونحن نُجري المطابقة مرة واحدة وننتج عرضًا لكل نظام بدل إجراء تقييمين على البيئة نفسها.

قائمة بالكيانات والاختصاصات القضائية، ونظرة عامة على البنية، وما يوجد من سياسات وسجل مخاطر، وشخص واحد له صلاحية البتّ في النطاق. لا شيء غير ذلك. وتصدر طلبات الأدلة التفصيلية بعد تحديد النطاق حتى لا يقضي أحد أسبوعًا في تجميع وثائق لضوابط تخرج من النطاق.

لسنا نحن، وهذا الفصل مقصود. فالتقييم الرسمي من اختصاص الجهة الرقابية والمقيّمين العاملين ضمن نظامها. نحن نهيّئك له ولا ندقّق أعمال المعالجة التي نفّذناها بأنفسنا، لأن تقرير فجوة يكتبه الطرف الذي سيتقاضى أجرًا لسد الفجوات أقل قيمة لدى مجلس إدارتك من تقرير مستقل.