العميل يطلب إدارة الثغرات وفق معايير BSI — ماذا يجب أن نطبق عملياً في ألمانيا؟

عادة ما تغرق الفرق الصغيرة في مئات الصفحات من أدلة IT-Grundschutz بمجرد سماع اسم BSI. في الغالب، قصد العميل ليس شهادة رسمية كاملة، بل إثباتات تشغيلية يمكنهم تقديمها أثناء التدقيق. إذا لم يكن العقد ينص صراحة على إلزامية شهادة ISO 27001 أو شهادة BSI، فامضوا قدماً بتقديم وثيقة الإجراءات وتقارير الفحص فقط دون استنزاف الميزانية.

لتسهيل العمل من الناحية التقنية، ادمجوا أدوات فحص مستمر للاعتماديات مفتوحة المصدر وأدوات فحص للثغرات على مستوى الخوادم. إذا أنشأتم webhook ينقل سجلات CVE الناتجة مباشرة إلى نظام التذاكر، فلن يضطر مدير النظام للاحتفاظ بقوائم يدوية. مدققو BSI يركزون عادة على الخوادم المنسية (Shadow Servers)، لذا احرصوا على شمول جميع الأجهزة الفرعية في النطاق.

نحن في مشروع حكومي مشابه اشترينا ترخيص أداة لفحص الثغرات بقيمة 2.200 EUR سنوياً. استغرق إعداد النظام منا 3 أسابيع. يخصص مدير النظام لدينا ساعتين كل يوم إثنين لمراجعة إعلانات BSI وCERT، و6 ساعات شهرياً لإعداد التقارير. بفضل هذا الروتين، اجتزنا آخر تدقيقين للعميل دون تسجيل أي ملاحظة.

أسرع ما يمكنك فعله غداً: 1) تجهيز قائمة واضحة بالخوادم والمكتبات البرمجية في جدول محدد. 2) الاشتراك في نشرة CERT-Bund البريدية المجانية. 3) كتابة "سياسة أمنية" من صفحتين تحدد المهل الزمنية للترقيع واعتمادها وتوقيعها داخلياً في الشركة. عندما يأتي العميل للتدقيق، فأول ما سيسأل عنه هو هذه الورقة.

واجهنا نفس الطلب في مناقصة لبرمجيات صحية في ميونخ. في أول تدقيق سألونا: "كم من الوقت استغرقتم لإغلاق ثغرة أمنية حرجة في النواة ظهرت الشهر الماضي، وأين سجل ذلك؟". كنا قد طبقنا الترقيع على البيئة الحية خلال 4 ساعات، لكن لأننا لم نفتح تذكرة ولم نسجل التوقيتات بدقة، تلقينا إنذاراً. السر كله يكمن فعلياً في التوثيق السليم وحفظ السجلات.

هل يشير عميلكم في كراسة الشروط مباشرةً إلى البند BSI IT-Grundschutz OPS.1.1.3 (Patch- und Änderungsmanagement)؟ إذا كانت هذه الوحدة إلزامية، فعليكم ربط إدارة التغيير (Change Management) بمسار وإجراءات الموافقة على الترقيعات.

مرينا بنفس التجربة، ضيفوا بوتات فحص تلقائي للثغرات في مستودع git عندكم... بحيث تفحص المكتبات مع كل بناء (build). حتى مخطط سير العمل اللي يوضح إنكم ما ترفعون الكود للبيئة الحية إلا لما يعطي ضوء أخضر في بيئة الاختبار بيكفي لإقناع العميل.

نظراً لأن عميلكم جهة مرتبطة بالقطاع العام، فهو ملزم بضمان الامتثال لمعايير BSI في عقد مقاول الباطن. يجب أن تتضمن المستندات التي ستعدونها مصفوفة المسؤوليات (RACI)، وإجراءات الترقيع في حالات الطوارئ، والتزاماً بالتدقيق الخارجي السنوي. ومن الضروري للغاية أن تكون هذه الوثائق معتمدة من قِبل إدارة الشركة.

يجب إجراء تمييز هنا. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

هذا كل شيء، أرجو المعذرة إذا أطالت.

وكيف حللتم هذه النقطة؟ المسألة ليست الرقم، بل الأساس الذي بُني عليه.

أرجو المعذرة، لكن هذا لا ينطبق في كل الحالات. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

بالتوفيق.

قضيت وقتًا طويلاً في هذا المجال. كل من يستعجل في إدارة الثغرات وفق معايير bsi يتعثر في نفس النقطة.

سأكون ممتنًا لو شاركت النتيجة. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

دعني أتركها كملاحظة، قد تكون مفيدة.

أتابع الموضوع.

هناك نقطة لم أفهمها. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

بالتوفيق.

بالضبط هكذا. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

تشتت النقاش، دعني ألخصه. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة. أتمنى أن يفيدك هذا.

أنت محق تمامًا. القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

تقرير الفحص الآلي ليس نفس اختبار الاختراق... إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.