بريطانيا: سنقدم خدمات أمن سيبراني — هل يخضع القطاع لجهة تنظيمية، وأين يجب أن نسجل؟

المسألة الأهم من الناحية القانونية هي قانون إساءة استخدام الحاسوب لعام 1990 (Computer Misuse Act). فالدخول إلى نظام أي عميل بدون إذن كتابي صريح يُعتبر جريمة حتى لو كان بغرض الاختبار. لذلك من الضروري جداً توقيع اتفاقية تفويض خطية محكمة قبل أي اختبار، تحدد النطاق، والأهداف، وأوقات الاختبار، والحدود بوضوح تام.

لقد تأسسنا بهيكل مماثل قبل عامين. كلفنا تسجيل الشركة حوالي 50 sterlin. وكانت رسوم تسجيلنا لدى مفوضية المعلومات لفئة الشركات الصغيرة والمتوسطة حوالي 40 sterlin سنوياً. ودفعنا قسطاً سنوياً قدره 850 sterlin في العام الأول لتأمين المسؤولية المهنية والمخاطر السيبرانية بتغطية تبلغ 2.000.000 sterlin. وأصبحنا جاهزين للعمل بالكامل في غضون أسبوعين.

بموجب تشريعات حماية البيانات، يجب عليك بالضرورة إبرام اتفاقية معالجة بيانات مع عملائك. ونظراً لإمكانية الوصول إلى بيانات شخصية تابعة لأطراف ثالثة أثناء اختبار الاختراق، فإن توثيق بروتوكولات أمان البيانات وإجراءات الإبلاغ في حال حدوث تسريب محتمل كتابياً سيكون بمثابة ضمان قانوني لك.

اتبع هذا الترتيب للبدء: 1) أسس الشركة. 2) افتح تسجيلك لدى مفوضية المعلومات وسدد الرسوم. 3) احصل على وثيقة تأمين للمسؤولية المهنية من وكيل تأمين موثوق. 4) أعد اتفاقية خدمة ونموذج تفويض بالاختبار متوافقين مع القانون البريطاني. وبعدها ستكون جاهزاً لتقديم العروض فوراً.

هل ستقتصر شريحة عملائك على الشركات الصغيرة في القطاع الخاص، أم أنك تخطط لتقديم عروض في المناقصات الحكومية أو للبلديات المحلية؟ لأن الأمور تختلف في القطاع الحكومي، ويصبح امتلاك شهادات ضمان الأمن السيبراني المعتمدة من الدولة إلزامياً بشكل فعلي.

يجب ألا نخلط بين الترخيص والاعتماد. فالدولة لا تقول "إن لم يكن لديك ترخيص فلا يمكنك إجراء الاختبارات". لكن أطراف السوق وهيئات التدقيق قد تقول "إن لم تكن معتمداً فلن أثق بتقريرك". وحتى لا تستنزف ميزانيتك في مرحلة التأسيس، من المنطقي أكثر أن تبدأ بتقديم الخدمة ثم تتقدم للحصول على الاعتمادات المهنية الطوعية من الأرباح الأولى.

مرحباً بك في لندن، السوق نشط للغاية لكن سقف بناء الثقة مرتفع. والشركات الصغيرة والمتوسطة البريطانية تهتم جداً بوثيقة التأمين الخاصة بك حتى وإن لم تكن هناك متطلبات تنظيمية. بصراحة وطالما أنك جهزت وثيقتك وصغت عقودك بشكل محكم، فلن تواجه أي عقبة رسمية في البداية، وبالتوفيق لك.

لا يوجد ترخيص رسمي إلزامي؛ يكفي أن تسدد رسوم حماية البيانات وتستخرج تأمين مسؤولية مهنية متين.

سأكون ممتنًا لو شاركت النتيجة.

أنصح بعدم العجلة. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

مثبت بالتجربة.

نحن أيضاً واجهنا نفس المشكلة في فترة معينة. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

شكرًا جزيلًا، كان مفيدًا جدًا.

أود طرح سؤال ثم إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

صححوا لي إن أخطأت.

أخذت ملاحظة، شكرًا لك. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

نحن أيضاً واجهنا نفس المشكلة في فترة معينة. الخطأ المرتكب من جانب تنظيم خدمات الأمن السيبراني قابل للإصلاح عادةً، لكنه مكلف.

مثبت بالتجربة.

هل يمكنك توضيح هذا أكثر؟ الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

الخطأ المرتكب من جانب تنظيم خدمات الأمن السيبراني قابل للإصلاح عادةً، لكنه مكلف. بالتوفيق.

سأجرب ذلك. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

حدث معنا هذا. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

أتمنى أن يفيدك هذا.