قائمة التحقق من الأمن السيبراني

ما هو التفتيش على الأمن السيبراني

التفتيش على الأمن السيبراني هو مراجعة منظمة للضوابط التي تحمي أنظمة مؤسستك ومرافقها ومعلوماتها. بدلاً من انتظار وقوع حادث، تستعرض كل مجال من مجالات الضوابط وتسجّل ما إذا كان موجوداً أم مفقوداً أم لا ينطبق عليك. والنتيجة هي صورة موثقة لمكان تعرضك وما يحتاج إلى اهتمام. تغطي قائمة التحقق هذه ثمانية مجالات: التفتيش نفسه، والموظفون، والأمن المادي، وإدارة الحسابات وكلمات المرور، وحماية البيانات السرية، والتعافي من الكوارث، والتوعية الأمنية، والامتثال. وتحتوي على 64 سؤالاً، يُجاب عن كل منها بنعم أو لا أو لا ينطبق. والهدف هو تقييم وتوثيق حالة ضوابط الأمان لديك، حتى تتمكن من التصرف بشأن الثغرات بدلاً من افتراض عدم وجود أي منها.

لماذا يهم هذا

التهديدات التي تنجح لا تخترق البيانات فحسب: بل تعطّل العمليات. جهاز حاسوب محمول مسروق، أو متعاقد سابق لا يزال يحمل شارة وصول، أو قرص صلب بيع ومحتوياته لا تزال سليمة، أو خطة كوارث لم يختبرها أحد، يمكن لكل منها أن يوقف العمل الذي تعتمد عليه مؤسستك. صُممت قائمة التحقق حول الوقاية والحماية. فالوصول المادي إلى مناطق الحاسوب، وطريقة مصادقة الموظفين، وكيفية تصنيف البيانات الحساسة وتشفيرها، وما إذا كان يمكن استعادة النسخ الاحتياطية فعلاً، كلها جزء من الصورة نفسها. وإذا تُركت دون فحص، يصبح كل منها نقطة فشل واحدة.

ما يغطيه التفتيش الجيد

**الأمن المادي والموظفون.** تأكد من أن شارات تعريف الموظفين سارية، وتُظهر صورة، وتحدد مستوى الوصول ونوع الحامل، وأن بيانات اعتماد المتعاقدين الخارجيين يتم التحقق منها، وأن فحوصات الخلفية مشمولة بالسياسة. يجب أن يكون الوصول إلى مناطق الحاسوب محكوماً عبر نقطة واحدة، أو مكتب استقبال، أو تسجيل الدخول والخروج، أو تصاريح زوار مؤقتة، مع مرافقة الزوار. وينبغي أن تغطي السياسات كيفية قطع الوصول إلى المرافق وأنظمة المعلومات عند مغادرة موظف أو متعاقد، وكيفية منع الوصول المادي غير المصرح به. وينبغي وضع المعدات بعيداً عن المناطق العامة، وحمايتها، وتأمينها ضد تركها مسجلة الدخول، وقفلها تلقائياً بعد 10 دقائق من عدم النشاط. وتحتاج أجهزة الحاسوب المحمولة إلى حمايتها الخاصة، مثل أقفال الكابلات أو التخزين الآمن، وينبغي إيقاف الرد التلقائي في أجهزة المودم. **الحسابات وكلمات المرور.** ينبغي أن تغطي السياسات والمعايير المصادقة الإلكترونية والتفويض والتحكم في الوصول للموظفين والأنظمة والتطبيقات والبيانات. وينبغي ألا يصل إلى حواسيبك سوى الموظفين المصرح لهم. وينبغي طلب أساليب كلمات المرور وإنفاذها، وينبغي أن تكون كلمات المرور نفسها صعبة التخمين، وتُغيَّر بانتظام، وألا تكون مؤقتة أو افتراضية أبداً. وينبغي أن يتمكن الموظفون من إدخال كلمات المرور دون أن يراها الآخرون. **البيانات السرية.** صنّف بياناتك بحيث يمكن التمييز بين المعلومات الحساسة وغير الحساسة، ومارس مسؤولياتك تجاه البيانات الحساسة التي تحتفظ بها. وينبغي تشفير البيانات الأكثر قيمة أو حساسية. وينبغي أن تغطي السياسات الاحتفاظ في النسخ الورقية والإلكترونية، والتعامل مع معلومات بطاقات الائتمان، والتعامل مع المعلومات الشخصية الخاصة. **التعافي من الكوارث.** تحتاج إلى خطة استمرارية الأعمال، وعملية لإنشاء نسخ احتياطية قابلة للاستعادة ونسخ من الملفات الحرجة، وخطة اتصالات لحالات الطوارئ والحوادث. وينبغي أن تحدد خطة الاتصالات من يجب إخطاره، وبيانات الاتصال بهم منظمة حسب نوع الحادث، ومن يقوم بالاتصالات، ومن يتحدث إلى الصحافة أو الجمهور، وكيف يتم إبقاء الموظفين وعائلاتهم على اطلاع. وينبغي أن تكون إجراءات الطوارئ قابلة للتنفيذ من قبل الأفراد المسؤولين عند الحاجة، وينبغي أن تكون خطة الإخلاء لديك محدثة، وتحدد المناطق والمرافق التي يجب إغلاقها فوراً وتضمن أن الأفراد الرئيسيين يعرفون كيفية إغلاقها. **التوعية الأمنية.** ينبغي أن يتلقى الموظفون معلومات وتدريباً في مجال أمن الحاسوب بشكل منتظم ومتكرر. وينبغي تعليمهم مراقبة الاختراقات المحتملة، واستخدام كلمات مرور قوية، وتحديد البيانات المصنفة وحمايتها سواء كانت في مستندات ورقية أو وسائط قابلة للإزالة أو ملفات إلكترونية. وينبغي أن تمتد التوعية إلى التعامل السليم مع بيانات بطاقات الائتمان والمعلومات الشخصية الخاصة مثل الأسماء والعناوين وأرقام الهواتف وأرقام الضمان الاجتماعي. **الامتثال.** راجع مستنداتك الأمنية بشكل منتظم ودقق في عملياتك وإجراءاتك مقابل السياسات والمعايير التي أنشأتها. واختبر خطط الكوارث لديك بانتظام، واجعل الإدارة تراجع بشكل دوري من يحمل الوصول المادي إلى المرافق الحساسة والوصول الإلكتروني إلى أنظمة المعلومات.

كيفية تنفيذ التفتيش

اعمل عبر قائمة التحقق قسماً تلو الآخر، وأجب عن كل سؤال بنعم أو لا أو لا ينطبق، واستخدم تفاصيل التفتيش في البداية لتسجيل متى تم إجراؤه، ومن أعدّه، وأين. أجب بصدق؛ فمجموعة مرتبة من الإجابات بـ "نعم" لا تعكس المبنى أو طابعة الشارات أو سجلات النسخ الاحتياطي أسوأ من عدم وجود سجل على الإطلاق. تعامل مع كل "لا" وكل "لا ينطبق" كقرار يجب اتخاذه وليس مربعاً يجب تجاوزه. بالنسبة لـ "لا"، اكتب ما يمكن أن يسد الثغرة، سواء كان سياسة أو إجراءً أو تغييراً في الإعدادات أو تدبيراً مادياً، وأعطه مسؤولاً. وبالنسبة لـ "لا ينطبق"، دوّن سبب عدم انطباقه. حيثما يعتمد ضابط ما على الأشخاص، اختبره بدلاً من افتراضه. تحقق من أن الشاشات تُقفل، وأن الرد التلقائي متوقف، وأن النسخ الاحتياطية تُستعاد، وأن الأشخاص المذكورين في خطة الاتصالات يعرفون أنهم مذكورون. بمجرد اكتمال التفتيش، حدد موعداً لتكراره ولمراجعة ما إذا كانت الثغرات التي سجلتها قد أُغلقت فعلاً.

الأسئلة الشائعة

امسح الأقراص المسحوبة من الخدمة قبل التخلص منها، واستخدم طرق التدمير المعترف بها مثل تمزيق الأقراص المدمجة وأقراص DVD، أو مسح الأقراص إلكترونياً، أو حرق الأشرطة بحيث تصبح الأجهزة والوسائط الإلكترونية غير قابلة للاستخدام وغير قابلة للوصول. وينبغي تمزيق نفايات الورق بدلاً من رميها في القمامة، وينبغي قفل حاويات التمزيق.

نعم. تدعو قائمة التحقق إلى التدريب بشكل منتظم ومتكرر، وتتوقع أن يُعلَّم الموظفون أن يكونوا في حالة تأهب للاختراقات الأمنية المحتملة، وأن يستخدموا كلمات مرور قوية، وأن يحموا البيانات المصنفة عبر المستندات الورقية والوسائط القابلة للإزالة والمستندات الإلكترونية، وأن يتعاملوا مع بيانات بطاقات الائتمان والمعلومات الشخصية الخاصة بشكل صحيح.

لا يمكنك استخدامها كدليل على شهادة محددة، لكن يمكنك استخدامها لتقييم وتوثيق حالة ضوابط الأمان لديك، وتدقيق عملياتك وإجراءاتك مقابل سياساتك ومعاييرك المعتمدة، ومراجعة مستنداتك الأمنية بشكل دوري. وهي تغطي ثمانية مجالات: تفاصيل التفتيش، والموظفون، والأمن المادي، وإدارة الحسابات وكلمات المرور، وحماية البيانات السرية، والتعافي من الكوارث، والتوعية الأمنية، والامتثال.

تستخدم قائمة التحقق مقياس نعم، ولا، ولا ينطبق، لذا حيث لا ينطبق ضابط ما على بيئتك، سجّل لا ينطبق ودوّن السبب. وأي شيء مُعلَّم بـ لا يصبح ملاحظة يجب معالجتها، إلى جانب السياسة أو الإجراء أو تغيير الإعدادات الذي سيغلقه.

يمتد عبر ضوابط الأمان التي قد تعطّل العمليات، من الحماية المادية لمناطق الحاسوب إلى المصادقة والتحكم في الوصول، وتصنيف البيانات المعقول وتشفيرها، والنسخ الاحتياطية، واتصالات الطوارئ، والمراجعة المنتظمة لما إذا كانت الضوابط لا تزال تعمل. استخدمها كسجل تفتيش عملي، ثم عُد إليها مع تغير الأنظمة والكوادر.

لا. فهي تساعدك على تقييم وتوثيق حالة ضوابط الأمان لديك واختبار ما إذا كانت خطط الكوارث لديك لا تزال صامدة، لكنها ليست بديلاً عن المشورة القانونية أو التنظيمية، ولا تشهد لمؤسستك.

كتبه

باسل ناصيف

مطور ويب أول ومتخصص في تحسين محركات البحث القائمة على الذكاء الاصطناعي

مهندس أنظمة حاسوب، ومطور مواقع ويب أول، ومتخصص في تحسين محركات البحث باستخدام الذكاء الاصطناعي، يُنشئ محتوى تقنيًا واضحًا ودقيقًا. يجمع بين الخبرة العملية في التطوير وخبرة في تحسين محركات البحث (SEO) وتحسين المواقع الجغرافية (GEO) وتحسين محركات البحث المُحسّن (AEO) وتحسين محركات البحث المُحسّن (AIO) لإنتاج مقالات عملية مُحسّنة لمحركات البحث.

عرض الملف الشخصي على LinkedIn