المدقق عايز سياسة تدقيق أمني لـ AWS — ايه اللي المفروض يكون فيها فعلاً؟

من عين المدقق الموضوع بسيط: السياسة بتقول 'ايه اللي المفروض يتعمل'، والإجراء بيشرح 'إزاي يتعمل'، والإثبات بيوضح 'إنه اتعمل'. اللي مطلوب منك هو الخطوة الأولى. هتكتب في المستند 'شركتنا تفرض MFA مادي أو برمجي على كل مستخدمي AWS'، وبعدها تقدم كإثبات جدول حالة الـ MFA من لوحة IAM.

أربع بنود أول ما يبحث عنها المدققون المؤسسيون في الوثيقة: 1) كيف تُحمى سجلات CloudTrail من الحذف. 2) من يدخل بيئة الإنتاج وبأي آلية موافقة. 3) خلال كم يوم كحد أقصى تُطبَّق التحديثات الأمنية. 4) البند الذي يضمن إغلاق صلاحيات AWS للموظفين السابقين في يوم انتهاء عملهم.

أجرينا تدقيقاً مشابهاً الربع الماضي لعميل في القطاع المالي بميزانية 80.000 $. أعددنا وثيقة سياسة بسيطة من 6 صفحات. بعد أن قرأ المدقق السياسة طلب دليلين حيين فقط: تاريخ آخر دخول لحساب Root، وتنبيهات الدخول غير المصرح به المُعدّة على CloudWatch. إذا كان الاثنان جاهزين فالعملية عادةً تُعتمد خلال 48 ساعة.

لا تتعب نفسك بكتابة النص من الصفر. ابحث في الإنترنت عن عنوان CIS AWS Foundations Benchmark. خذ بنود الضبط من هذا الدليل وضعها في ملف Word وحوّلها إلى قاعدة داخلية لشركتك. وضع في العنوان اسم الشركة ورقم الإصدار ووقّعها بصيغة PDF.

أكبر فخ هنا هو نسخ قوالب مؤسسية جاهزة من 30 صفحة من الإنترنت وإرسالها. إذا كتبت في الوثيقة "يُجرى فحص الثغرات كل أسبوع" وأنت لا تفعل ذلك، فبمجرد أن يطلب المدقق دليلاً تنهار عملية البيع. اكتب ما تستطيع فعله فعلاً، قليل لكن حقيقي.

في أول تدقيق مؤسسي لنا كتبنا في السياسة "تُجدَّد مفاتيح الوصول كل 90 يوماً". جاء المدقق ورأى أن أحد مفاتيح API في النظام مفتوح منذ 410 أيام، وسجّل ملاحظة عدم مطابقة مباشرة في تقريرنا. تأخر الاتفاق شهراً. لذلك كل جملة تُكتب يجب أن يكون لها مقابل في لوحة التحكم.

هذه وثيقة Word/PDF بالكامل، وليست كوداً تقنياً؛ تُعلن فيها قواعد البنية التحتية وانضباط التسجيل بلغة رسمية.

من الأساسي أن يكون النص المُعد متوافقاً مع عمليات إدارة أمن معلومات الشركة. ويُعد تضمين تاريخ سريان السياسة ورقم المراجعة وتوقيع موافقة الإدارة العليا في الوثيقة أمراً إلزامياً من حيث معايير التدقيق.

دعوني ألخص ما قيل حتى الآن. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا. بالتوفيق.

أنت محق تمامًا. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

شكرًا جزيلاً، سأجربها اليوم.

شكراً لكتابة هذا، فهو صحيح تماماً. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

لو كنت مكانك، لسلك هذا المسار.

سأجرب ذلك.

صحيح.

بالضبط هكذا. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

مررت بهذا الطريق، دعني أشرح. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

أتمنى أن يفيدك هذا.

بالضبط، بل إن هذا الجانب غير معروف بشكل كافٍ. بصراحة الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.