تنفيذ NESA ومعالجة الفجوات في الإمارات

من اثني عشر إلى عشرين أسبوعًا لإغلاق الضوابط الـ35 دائمة التطبيق والضوابط الـ39 في المستوى P1، بافتراض وجود تقرير فجوة وتعيين مالك. ومن ستة إلى تسعة أشهر لبرنامج يبلغ المستوى P2 عبر بيئة متعددة الكيانات. والبدء بلا نظام إدارة موثّق يضيف نحو ثلاثة أشهر في المقدمة، لأن بنية السياسات ودورة المخاطر يجب أن توجدا قبل أن يمكن إثبات الضوابط التقنية مقابل أي شيء.

يمكنكم، وعادةً بكلفة أعلى. فبلا خط أساس يُحدَّد نطاق البرنامج بالافتراض، وهو ما يعني في هذا النظام أن الضوابط التقنية تُبنى بإفراط وأن ضوابط الحوكمة تُكتشف متأخرة. وحيث تكون الميزانية هي القيد، فإن تقييم نطاق قصيرًا يغطي الضوابط دائمة التطبيق والمستوى P1 وحدهما حل وسط أفضل من لا شيء. انظر تحليل الفجوة وفق NESA.

نحن نقدّم المشورة ونحدّد المواصفات ونراجع؛ والتنفيذ لفريقكم ومزوّديكم. بنية السياسات وأتمتة الأدلة نصوغها ونسلّمها كوثائق وإعدادات؛ أما الضوابط التقنية داخل بيئتكم فيبنيها الفريق الذي سيشغّلها، بتصميم ومراجعة منّا. ما لا نفعله هو كتابة خطة والمغادرة.

تتآكل ما لم يعمل خط الأدلة من تلقاء نفسه. وأفضل مؤشر منفرد على تقييم ثانٍ سلس هو ما إذا كان جمع الأدلة قد أُتمت خلال البرنامج الأول أم جرى يدويًا لأجل الموعد النهائي. ونحن نعامل ذلك كمخرج تسليم لا كميزة إضافية، وهو أيضًا ما يجعل الكلفة السنوية قابلة للتنبؤ.

ينبغي ذلك. فعائلات الإدارة متطابقة بما يكفي لأن يؤدي تشغيلهما كبرنامجين إلى تكرار معظم الجهد وإنتاج مكتبتي سياسات تتباعدان. ومجموعة ضوابط واحدة مع عرض لكل إطار هي النمط الذي يصمد، وهو النهج نفسه الذي نتبعه حين تُضاف التزامات قانون حماية البيانات الشخصية أو لائحة أمن المعلومات في دبي.

حيث يكون الكيان ضمن سلسلة التوريد لحكومة دبي، نعم، وتنفيذهما معًا أقل كلفة. فالتداخل في السياسات والمخاطر والتحكم في الوصول والاستجابة للحوادث كبير، ولذلك يقتصر العمل الإضافي على المتطلبات الخاصة بدبي لا على برنامج ثانٍ. ويوضّح مرجع لائحة أمن المعلومات في دبي لدينا ما تضيفه تلك المتطلبات.