أغلب المنشآت التي تتعثر في التدقيق لا تفتقر إلى السياسات، بل إلى الدليل على تطبيقها. المدقق لا يسأل «هل لديكم سياسة نسخ احتياطي؟» فحسب، بل «أرني آخر اختبار استعادة، ومن نفّذه، ومتى». هذه المقالة تستعرض ما يُطلب عادة، وكيف تجهّزه قبل أن يُطلب.

عن أي تدقيق نتحدث؟

قد يكون التدقيق داخلياً، أو بطلب من عميل كبير يشترط ضوابط معينة على مورّديه، أو مرتبطاً بمتطلبات تنظيمية. في المملكة، تُعد الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني المرجع الأبرز؛ وهي ملزمة للجهات الحكومية والجهات التي تشغّل بنى تحتية وطنية حساسة، وكثير من الشركات تتبنّاها مرجعاً حتى إن لم تكن ملزمة بها. ويضاف إليها نظام حماية البيانات الشخصية حين تعالج المنشأة بيانات شخصية.

تختلف التفاصيل بحسب الإطار والجهة، لكن الأسئلة الجوهرية تتكرر في أغلب عمليات التدقيق، وهي ما نركز عليه هنا.

ما الذي سيطلبه المدقق عادة؟

١. حصر الأصول

لا يمكن حماية ما لا تعرف بوجوده. سيُطلب منك سجل محدّث بالخوادم والأجهزة والشبكات والتطبيقات والخدمات السحابية، مع مالك كل أصل ومستوى أهميته والبيانات التي يعالجها. السجل الذي لم يُحدَّث منذ سنة يُعامَل كأنه غير موجود.

٢. سياسات مطبّقة فعلاً

السياسات يجب أن تكون معتمدة من الإدارة، ومؤرخة، ومراجعة دورياً، والأهم أن تطابق الواقع. إن نصت السياسة على مراجعة الصلاحيات كل ربع سنة، فسيُطلب منك محضر آخر مراجعة. السياسة المنسوخة من نموذج عام ولا يُعمل بها أسوأ من عدم وجودها، لأنها تكشف الفجوة بوضوح.

٣. إدارة الوصول والتحقق متعدد العوامل

سيُسأل عن آلية منح الصلاحيات وسحبها: من يوافق، وكيف تُسحب صلاحيات الموظف المغادر، وهل هناك مراجعة دورية. وسيُتحقق من تفعيل التحقق متعدد العوامل على البريد والوصول عن بعد والأنظمة الحساسة. جهّز قائمة الحسابات النشطة، ومقارنتها بقائمة الموظفين الحاليين.

٤. الحسابات ذات الصلاحيات العالية

حسابات مديري الأنظمة هي الهدف الأول لأي مهاجم، ولذلك يركز عليها المدقق. سيسأل: كم عددها؟ من يملكها؟ هل هي منفصلة عن الحسابات اليومية؟ هل يُسجَّل استخدامها؟ الحسابات المشتركة بكلمة مرور واحدة يعرفها عدة أشخاص ملاحظة شائعة ويصعب تبريرها.

٥. سجلات التحديثات الأمنية

لا يكفي القول إن الأنظمة محدّثة. المطلوب دليل: تقارير توضح حالة التحديثات على الأجهزة والخوادم، والمدة المعتادة بين صدور التحديث وتطبيقه، وكيف تُعالَج الأنظمة التي لا يمكن تحديثها.

٦. النسخ الاحتياطي ودليل الاستعادة

وجود نسخ احتياطية نصف الإجابة. النصف الآخر هو سجل اختبارات استعادة فعلية: ماذا استُعيد، ومتى، وكم استغرق، وهل نجح. تحدثنا عن هذا بالتفصيل في نسخ احتياطي يعمل فعلاً.

٧. السجلات والمراقبة ومدة الاحتفاظ

سيُسأل: ما الأحداث التي تُسجَّل؟ أين تُحفظ السجلات؟ من يراجعها؟ وكم مدة الاحتفاظ بها؟ السجلات التي تُجمع ولا يراجعها أحد لا تُعد مراقبة. والتنبيهات التي تصل إلى بريد لا يتابعه أحد لا تُعد استجابة.

٨. خطة الاستجابة للحوادث وتمرينها

الخطة المكتوبة يجب أن تحدد الأدوار، ومسار التصعيد، وجهات التواصل الداخلية والخارجية، ومتى يُبلَّغ من يلزم إبلاغه. والمدقق سيسأل عن آخر تمرين عليها، حتى لو كان تمريناً نظرياً حول الطاولة، وما الدروس التي خرج بها.

٩. مخاطر الأطراف الخارجية

المورّدون ومزوّدو الخدمات الذين يصلون إلى أنظمتك أو بياناتك جزء من نطاق التدقيق. جهّز قائمة بهم، ونوع وصول كل منهم، والبنود الأمنية في عقودهم، وكيف تتحقق من التزامهم.

١٠. سجلات التوعية

برنامج التوعية يُثبَت بالسجلات: من حضر، ومتى، وما المحتوى، ونتائج أي اختبارات تصيّد تجريبية. عبارة «نرسل تنبيهات للموظفين أحياناً» لن تكون كافية.

نظّم ملف الأدلة قبل أن يُطلب

جزء كبير من ضغط التدقيق يأتي من البحث عن الأدلة في اللحظة الأخيرة. نظّمها مسبقاً في مجلد واحد بصلاحيات محدودة، مقسم بحسب مجالات الضوابط:

المجال أمثلة على الأدلة المسؤول
الحوكمة والسياسات السياسات المعتمدة، محاضر المراجعة مسؤول الأمن أو مدير التقنية
الأصول سجل الأصول المحدّث وتاريخ آخر تحديث فريق البنية التحتية
الوصول مراجعات الصلاحيات، تقرير التحقق متعدد العوامل مدير الأنظمة
التشغيل تقارير التحديثات، سجلات اختبار الاستعادة فريق التشغيل
المراقبة والحوادث إعدادات السجلات، خطة الاستجابة، تقرير التمرين فريق المراقبة
الأطراف الخارجية والتوعية قائمة المورّدين وعقودهم، سجلات التدريب المشتريات والموارد البشرية

سمِّ الملفات بطريقة موحدة تتضمن التاريخ، واحتفظ بالإصدارات السابقة. المدقق قد يطلب دليلاً على استمرارية التطبيق، لا لقطة واحدة قبل موعد التدقيق.

ابدأ بتقييم الفجوات، ثم خطة المعالجة

الخطأ الشائع هو البدء بالإصلاح مباشرة. الترتيب الأصح:

  • قيّم الوضع الحالي مقابل الإطار المطلوب، ضابطاً ضابطاً، بصراحة
  • صنّف الفجوات بحسب الخطورة وسهولة المعالجة
  • ضع لكل فجوة مسؤولاً محدداً بالاسم، وتاريخاً مستهدفاً
  • ابدأ بما يقلل المخاطر الفعلية أولاً، لا بما يسهل توثيقه
  • تابع الخطة دورياً مع الإدارة، ووثّق ما أُنجز

خطة معالجة واقعية ومتابَعة تُظهر للمدقق نضجاً في الإدارة، حتى لو لم تُغلق كل الفجوات بعد. أما الادعاء بالامتثال الكامل دون أدلة فيضعف الثقة في كل ما عداه.

أخطاء تتكرر قبل التدقيق

  • إنتاج الأدلة بأثر رجعي: محاضر مراجعة كُتبت قبل التدقيق بأيام لتغطية سنة كاملة. المدقق المتمرس يلاحظ ذلك، والأفضل الإقرار بالفجوة ومعالجتها.
  • ترك الملف لشخص واحد: الاستعداد للتدقيق مسؤولية مشتركة بين التقنية والموارد البشرية والمشتريات والإدارة، لا مهمة موظف تقني وحده.
  • التركيز على الأدوات دون الإجراءات: شراء أداة حماية جديدة لا يعوّض غياب إجراء واضح لمن يراجع تنبيهاتها وكيف يتصرف.
  • إغفال الخدمات السحابية: البريد والتخزين والتطبيقات السحابية جزء من النطاق، وإعداداتها الأمنية مسؤولية المنشأة لا المزوّد وحده.

وإن كان جزء من تشغيلكم لدى مزوّد خدمات مُدارة، فتأكد أن العقد يلزمه بتقديم الأدلة المتعلقة بنطاقه: تقارير التحديثات، وسجلات النسخ والاستعادة، وتقارير الحوادث. هذه نقطة تستحق الاتفاق عليها مسبقاً في اتفاقية مستوى الخدمة.

الخلاصة

الاستعداد للتدقيق ليس مشروعاً يُنجز في الأسابيع الأخيرة، بل نتيجة ممارسات يومية موثقة. اعرف أصولك، وطبّق سياساتك، واحتفظ بالدليل، وابدأ بتقييم صريح للفجوات. حين يصبح جمع الأدلة جزءاً من التشغيل المعتاد، يتحول التدقيق من مصدر قلق إلى مراجعة روتينية.