معظم النصائح المكتوبة عن تقييمات الهيئة الوطنية للأمن السيبراني يكتبها من يستعدّ لتقييم. والقليل جداً منها يكتبه من جلس في المقعد المقابل، وقرأ حزمة الأدلة، ووازنها بنص الضابط.
في عام 2023، نفّذت أعمال تدقيق على الضوابط الأساسية للأمن السيبراني (ECC) وضوابط الأمن السيبراني للعمل عن بعد (TCC)، كما أجريت مراجعات لمقدّمي الخدمات السحابية وفق ضوابط الأمن السيبراني للحوسبة السحابية (CCC)، بصفتي ممثلاً للهيئة الوطنية للأمن السيبراني. وأعددت أوراق العمل وتقارير الملاحظات. وما يلي هو وصف لما يتضمّنه ذلك العمل فعلياً: صورة مركّبة لكيفية سير المهام التي عملت فيها، وليس بياناً لإجراءات الهيئة؛ فالممارسة تتفاوت من مهمة إلى أخرى وتتطور. ولم يُذكر اسم أي جهة، ولا شيء هنا مأخوذ من مهمة بعينها، ولا شيء مما يُوصف هنا يتجاوز ما رأته في قاعات اجتماعاتها كل جهة خاضت تقييماً.
إن كنت تستعد لتقييم، فلن تفيدك قائمة تحقق أطول بقدر ما سيفيدك فهم كيف يصرف المقيّم الجالس أمامك وقته.
كيف يُحدَّد نطاق المهمة فعلياً
في المهام التي عملت فيها، كان النطاق يُحسم قبل وصول أي أحد، وكان يُحسم مرتين.
النسخة الأولى هي التي تقدّمها الجهة: بيان قابلية التطبيق، وقائمة الأنظمة الحساسة، والمواقع، والحدود المعلنة. وهذه النسخة ادّعاء.
والنسخة الثانية هي التي يبنيها المقيّم باختبار الأولى مقابل سجلات الجهة نفسها. فإذا قال بيان قابلية التطبيق إن ضابطاً غير قابل للتطبيق، فلا بد من سبب في السجل، لا جملة في خطاب مرافق. وإذا كانت قائمة الأنظمة الحساسة تضم أربعة أنظمة، وكان سجل الأصول يضم قاعدة بيانات تحمل البيانات نفسها بمالك مختلف، فالنطاق قد تحرّك للتو. وإذا كانت وظيفة مُسندة إلى طرف خارجي تقع خارج الحدود المعلنة، بينما الخدمة التي تدعمها داخل النطاق، فالحدود رُسمت للتسهيل.
وهنا، أكثر من أي موضع آخر، يفقد البرنامج السيطرة على تقييمه الخاص. تفترض الجهة أن النطاق مفاوضة تُجرى في الاجتماع الافتتاحي. وهو ليس كذلك. بل هو استنتاج يستخلصه المقيّم من سجل الأصول، والعقود، ومخطط الشبكة، والهيكل التنظيمي. وإذا لم تتفق هذه الوثائق الأربع فيما بينها، فتوقّع أن ينزاح النطاق إلى أوسع القراءات، لأن القراءة الأضيق لا يمكن إثباتها بالأدلة.
وتحديد النطاق يثبّت العيّنة أيضاً. فمراجعات صلاحيات الدخول لا تُقيَّم على نحو مجرّد؛ تُختار فترة، وتُسحب أنظمة محددة ومستخدمون محددون. وسجلات التغيير لا تُقيَّم على نحو مجرّد؛ تُتبَّع تغييرات بعينها من بدايتها إلى نهايتها. ولا تتوقع أن تُبلَّغ مسبقاً بأيها؛ فهذا هو الغرض من أخذ العيّنات.
ما يقرؤه المقيّم قبل اليوم الأول
عند بدء الاجتماع الافتتاحي تكون القراءة قد انتهت. وهذا ترتيب تقريبي بحسب قيمة كل مستند:
الملاحظات السابقة وأدلة إغلاقها. هذا أعلى المستندات قيمة في الحزمة، وهو الذي لا تقدّره الجهات حقّ قدره. فالملاحظة التي أُغلقت بتعديل سياسة، مع أنها كانت عن ممارسة تشغيلية، تكشف لك عادة الجهة في المعالجة. والملاحظات المتكررة تُقرأ كمؤشر حوكمة، لا كمؤشر على ضابط بعينه.
سجل الأصول والبيانات والخدمات. كل ما يأتي بعده يعتمد عليه: المالك، والتصنيف، ودرجة الحساسية، وتاريخ آخر تحديث. والسجل الذي لا يحمل تاريخ تحديث هو سجل بُني من أجل التقييم السابق.
مجموعة السياسات، مع تواريخ الاعتماد والمراجعة. تُقرأ لأمرين: هل البنود قابلة للإنفاذ، وهل يوجد إجراء تحتها. فعبارة «على الجهة ضمان الحماية المناسبة» لا يمكن اختبارها، وبالتالي لا يمكن إثباتها بالأدلة، وبالتالي لن تفيدك.
الهيكل التنظيمي مقابل قوائم الصلاحيات. وسأعود إلى ذلك أدناه.
التقييم الذاتي. فحيث قيّمت الجهة نفسها بالالتزام الكامل، صار لدى المقيّم ادّعاء محدد يختبره. وحيث قيّمت نفسها بأمانة على أنها مقصّرة، يصرف المقيّم وقتاً أقل هناك. والمبالغة في التقييم الذاتي لا تُكسبك نتيجة أفضل، بل تحوّل التدقيق إلى الضوابط ذاتها التي تفضّل ألا تُفحص.
تقرير الجاهزية من طرف خارجي، إن قُدّم. يُقرأ لمنفعة المقيّم نفسه: فهو يبيّن ما قيل للجهة سابقاً، ويبيّن الضوابط التي اختار مُراجع الجاهزية ألّا ينظر فيها.
الأدلة التي تُرفض، ولماذا
تُرفض الأدلة بسبب الشكل أكثر بكثير من رفضها بسبب المضمون. فالضابط مطبَّق في كثير من الحالات، غير أن المُخرَج لا يُثبته.
والأنماط المتكررة:
لقطات شاشة بلا طابع زمني، ولا اسم مضيف، ولا مستخدم مسجَّل الدخول. فاللقطة المقتطعة من نافذة وحدة تحكم تُظهر إعداداً ما تثبت أن هذا الإعداد كان موجوداً في مكان ما، وفي وقت ما، وعلى نظام ما. لكنها لا تثبت أنه قائم اليوم في بيئة الإنتاج على النظام المشمول بالنطاق. وتنطبق المشكلة نفسها على تقارير الأدوات التي حُذف من صورها شريط التصفية والنطاق الزمني.
سياسات بلا تاريخ اعتماد، ولا تاريخ مراجعة، ولا سجل إصدارات. السياسة التي لم تُراجع قط ليست دليلاً على الحوكمة؛ وعدة معايير تُلزم بالمراجعة الدورية، فالسياسة غير المؤرَّخة تُصبح ملاحظةً في ذاتها.
هياكل تنظيمية تتناقض مع قوائم الصلاحيات. وهذه تكاد تكون عامة في كل جهة. يُظهر الهيكل دوراً لم يعد موجوداً، أو يُظهر معتمِداً تركَ العمل، بينما قائمة الصلاحيات الهامة والحساسة (privileged access) لا تزال تحمل حسابه. أو يُظهر الهيكل فصلاً بين المهام لا تنفّذه الصلاحيات الممنوحة فعلاً: فالشخص نفسه يعتمد التغيير وينشره. وعند اختلاف الوثيقتين، تكون الغلبة لقائمة الصلاحيات، لأنها حالة النظام الحيّة. أما الهيكل فهو رسم.
أدلة أُنشئت في الأسبوع الذي فُتحت فيه نافذة التقييم. مراجعة ربع سنوية بأربعة سجلات أُنتجت كلها في الأيام التسعة الأخيرة ليست مراجعة ربع سنوية. فالضوابط الدورية تحتاج مُخرَجات دورية، موزّعة على مدى الفترة.
مُخرَج واحد يُقدَّم إثباتاً لضابط دوري. مراجعة صلاحيات واحدة مكتملة، واختبار استعادة واحد للنسخ الاحتياطية، وجلسة توعية واحدة. ونص الضابط يحدد عادةً دورية التنفيذ. والحالة الواحدة لا تُثبت إلا نفسها.
اعتمادات يُذكر حصولها دون توثيقها. تذكرة تُظهر الطلب والإنجاز، لكن خطوة الاعتماد غير ظاهرة لأنها تمت شفهياً أو في محادثة. وإذا لم يوثّق مسار العمل الاعتماد، فالاعتماد غير قائم في السجل، وإن كان قد حصل فعلاً.
مجموعة سياسات بالإنجليزية بلا إجراء تشغيلي بالعربية. في الجهات التي تعمل كوادرها بالعربية، قد تبدو الوثائق سليمة عند قراءتها، لكنها تفشل عند التطبيق؛ وتكشف مقابلات الموظفين هذه الفجوة سريعاً.
ولا شيء من هذا تشدُّد في الشكليات. فنتيجة المقيّم يجب أن تصمد أمام اعتراض الجهة، ثم أمام إعادة قراءتها لاحقاً من شخص لم يكن في الغرفة. وإذا لم يحمل المُخرَج ما يُثبت مصدره وتاريخه، فلن يحمل نتيجة.
الفجوات التي تفوتها مراجعات الجاهزية من أطراف خارجية باستمرار
مراجعات الجاهزية مفيدة. لكن المراجعات التي قرأتها أثناء عملي في التقييم كانت تفوّت الجوانب نفسها، ولأسباب بنيوية.
تختبر الوثيقة لا التشغيل. يربط مُراجع الجاهزية الضابط ببند في سياسة ويعدّه مُغطّى. أما المقيّم فيسأل: من نفّذه، ومتى، وعلى ماذا، ويطلب رؤية المُخرَج. والتغطية على الورق ودليل التنفيذ ملاحظتان مختلفتان.
تقبل نطاق الجهة كما هو. تتعاقد الجهة مع المراجع، ويعمل ضمن الحدود التي تحددها له. ولهذا تبقى الأنظمة الأرجح عدم التزامها، وهي الأنظمة التي لم يرغب أحد في الإفصاح عنها، خارج المراجعة في الغالب، بحكم تصميمها من الأساس.
تقيّم على الوجود لا على الأثر. الضابط موجود، فيُصبَغ بالأخضر. أما هل أنتج شيئاً، وهل تصرّف أحد بناءً على ما أنتجه، وهل أُغلقت الاستثناءات التي تولّدت عنه، فذلك سؤال آخر لا يُطرح عادةً.
تتجاهل الدورية. فالدورية هي الموضع الذي تفشل فيه البرامج التي تبدو ناضجة: مراجعات نُفّذت مرة واحدة، واختبارات نُفّذت مرة واحدة، وسجلات أحداث كانت تُراجَع إلى أن غيّر من يراجعها وظيفته.
تتخطّى سجل الاستثناءات. الاستثناءات أكثر الوثائق إفادةً في أي برنامج. والسجل المليء ببنود بلا تاريخ انتهاء، وبلا ضابط تعويضي، وبلا توقيع قبول للمخاطر، هو برنامج يعمل على إعفاءات دائمة. ونادراً ما كانت مراجعات الجاهزية التي رأيتها تفتح هذا السجل، بينما يفتحه المقيّمون مبكراً.
تتوقف عند حدود المورّد أو البيئة السحابية المستأجرة. فما يهم هو بند العقد، وتقسيم المسؤولية المشتركة، وتهيئة الجهة نفسها للمنصة. تتعامل مراجعات الجاهزية مع شهادة المورّد كأنها الجواب. والشهادة تغطي ضوابط المورّد، لا استخدام الجهة لها.
تقبل مُخرَج أداة الحوكمة وإدارة المخاطر والالتزام (GRC) كدليل. فلوحة المعلومات التي تُظهر الالتزام تُظهر ما أُدخل إليها. والمقيّم يتتبع سجلّين أو ثلاثة من لوحة المعلومات رجوعاً إلى المصدر، ويبني على ما يعود به التتبّع رأياً في مجتمع السجلات بأكمله.
ما يحتويه تقرير الملاحظات فعلياً
ليس درجة، وليس سرداً. التقارير التي عملت عليها كانت سلسلة من الوقائع المرصودة القابلة للتتبع، وكان على كل واحدة منها أن تصمد بمفردها.
لكل ملاحظة: المطلب كما هو مكتوب في المعيار؛ وعنصر النطاق الذي ينطبق عليه؛ وما فُحص، محدَّداً بالاسم، بتواريخه؛ وما لوحظ؛ والفجوة معروضة كفرق بين المطلب والمرصود، لا كرأي؛ والمخاطر المترتبة على ذلك؛ والتوصية؛ والمالك المسؤول. وخلف كل ملاحظة تقف أوراق العمل: المُخرَجات التي فُحصت، ومن قدّمها، ومتى، وملاحظات المقابلات التي تؤيدها أو تناقضها.
وفي هذا البناء أمران يهمّان كل من يُجرى عليه تقييم.
الأول: الملاحظة مقارنة، لا حكم. وأقوى ردّ على ملاحظة في مسوّدة التقرير هو دليل يغيّر المرصود. وأضعف ردّ هو الاعتراض على النتيجة مع بقاء المرصود كما هو.
والثاني: التقرير يُكتب ليُعاد قراءته من أشخاص لم يحضروا، ومنهم مجلس إدارتك، ولاحقاً مقيّم آخر. ولهذا يهمّ توثيق مصدر الدليل إلى هذا الحد. فالمقيّم لا يستطيع أن يكتب ملاحظة قابلة للدفاع عنها بناءً على مُخرَج لا يستطيع وصفه، ولا أن يُقرّر اجتيازاً كذلك.
ثلاث حقائق خاصة بالسعودية
ثلاثة أمور تُشكّل البرامج السعودية وتفوتها المنهجيات الدولية الجاهزة، والمقيّم يرى نتائج الثلاثة جميعاً.
عادات التعامل مع البيانات أسبق من نظام حماية البيانات الشخصية (PDPL). فممارسات الموظفين التي تشكّلت قبل النظام ولائحته التنفيذية تستمر طويلاً بعد نفاذهما. وبرامج التوعية التي تفترض صفحة بيضاء تفشل؛ والبرامج التي تنجح تبدأ من العادات التي لدى الناس فعلاً.
التسلسل الإداري ميزة. فراعٍ تنفيذي مُسمّى، واجتماعات لجنة توجيهية بدورية منتظمة، وسلاسل اعتماد واضحة، كل ذلك يعجّل التبنّي عند استخدامه عن قصد. والبرامج التي تحارب الهيكل التنظيمي تخسر أمامه.
اضبط مراحل التنفيذ وفق تقويم التفتيش، لا وفق خطة المشروع. فنوافذ التقييم والفحص المعروفة هي التي تحدد المواعيد الحاكمة للخطة، وترد الطلبات الرقابية الطارئة في أي وقت. ومواعيد التنفيذ تتحرك، أما التقويم فلا ينتظر.
ومبدأ واحد يشمل الثلاثة جميعاً: أعلن مواءماتك. فالبرامج المبنية على ISO أو NIST لا تعمل في السعودية إلا إذا كانت مواءمتها لالتزامات الهيئة الوطنية للأمن السيبراني والبنك المركزي السعودي «ساما» صريحة؛ فإعادة التسمية المخفية تُقرأ جهلاً، والمواءمة المعلنة تُقرأ تمكّناً.
ما ينبغي أن يكون جاهزاً قبل فتح النافذة
أمور عملية، بالترتيب الذي كنت سأتبعه:
- منسّق مُسمّى لديه صلاحية. شخص واحد يستطيع الحصول على أي وثيقة دون تصعيد. فالتقييم يسير بسرعة من يحتاج إلى طلب الإذن.
- فهرس أدلة، ضابطاً ضابطاً. لكل ضابط قابل للتطبيق: المُخرَج، وموقعه، ومالكه، وتاريخه. وبناء هذا الفهرس هو تمرين الجاهزية نفسه، وسيجد فجواتك أسرع من أي مراجعة.
- تواريخ على كل شيء. تاريخ الاعتماد، وتاريخ المراجعة، وتاريخ المراجعة القادمة، ورقم الإصدار. وإذا تعذر إثبات تاريخ الوثيقة، تعذر الاستناد إليها لإثبات الضابط.
- الأدلة الدورية، موزّعة على مدى الفترة. مراجعات الصلاحيات، ومراجعات سجلات الأحداث، ودورات إدارة الثغرات، واختبارات استعادة النسخ الاحتياطية، وتنفيذ التوعية، ومراجعات المورّدين. موزّعة، لا مجمّعة في دفعة واحدة.
- سجل الاستثناءات، منقّى. كل بند مفتوح له مالك، وضابط تعويضي، وقبول مخاطر، وتاريخ انتهاء. والبنود المنتهية إما أن تُغلق، أو يُعاد قبول مخاطرها بقرار صريح.
- الملاحظات السابقة، بأدلة إغلاق تطابق الملاحظة. فإن كانت الملاحظة تشغيلية، فدليل الإغلاق يجب أن يكون تشغيلياً.
- إجراءات بالعربية لكل ما ينفّذه الموظفون. ثم تحقق من أن الموظفين قادرون على وصف ما يفعلونه، لأنهم سيُسألون.
- إتاحة صلاحية وصول للقراءة فقط مسبقاً، مع مرافق. فعرض الأنظمة مباشرة يحسم في دقائق ما تستغرق مسارات الإثبات المستندي أياماً لحسمه.
- الأشخاص المناسبون في المبنى في الأيام المناسبة. الشخص الذي يشغّل الضابط، لا مالك السياسة وحده.
افعل هذه الأمور التسعة، ويتحول التقييم إلى فحص لبرنامجك بدلاً من بحث عن ملفاتك.
الجانب الآخر من الطاولة
أجلس اليوم على الجانب الآخر من هذه الطاولة. أعمل على الجاهزية للتفتيش داخل مؤسسة خاضعة للرقابة، ولذلك أصبح كل ما سبق وصفاً لما سأواجهه، لا لما كنت أقدّمه بصفتي مقيّماً. والتحوّل أقل مما توقعت. فالعادات التي تنجح بها عملية التقييم هي نفسها التي تجعل الضابط فعّالاً: له مالك محدد، ويُنفّذ دورياً، وينتج دليلاً مؤرخاً، ويطابق ذلك الدليل ما ينفّذه المسؤول فعلاً. والبرامج المبنية على هذا الأساس لا تستعد للتقييمات، بل هي تعمل فحسب، ويأتي التقييم عيّنة مما هو قائم فعلاً. أما البرامج التي تُبنى من أجل التقييم وحده، فتحوّل كل دورة إلى جمع للملفات، ويلمس المقيّم الفرق في الساعة الأولى.
هذا المحتوى تعليمي وليس استشارة قانونية. ولا شيء مما سبق يصف جهة أو مهمة بعينها. تحقّق من المصادر الرسمية للهيئة الوطنية للأمن السيبراني.