عميل مؤسسي كبير طلب شهادة ISO 27001، هل نقدر نسويها بنفسنا بدون ما نجيب مستشار؟

إحنا في جدة فريقنا 18 شخص، أخذناها السنة الماضية. دفعنا 38.000 SAR للاستشارات و18.000 SAR لشركة التدقيق المعتمدة. العملية أخذت 5,5 شهور بالضبط. لو سويناها بنفسنا كان مهندس DevOps عندنا لازم يترك كل شغل التطوير لمدة 3 شهور على الأقل، وهذا كان بيكلفنا أكثر بكثير.

لا تحمّل مهندس DevOps هذا العبء. ISO 27001 ما هو بس جدار حماية أو تشفير؛ عمليات التوظيف في الموارد البشرية، وأمن المكتب المادي، وعقود الموردين، وإدارة الأصول، هذي الأجزاء الإدارية تشكل أكثر من نصف المعيار. المهندس يكتب الضوابط التقنية بس يتعثر في إدارة العمليات.

انتبه كثير لما تجيب مستشار. أغلبهم ينسخ قوالب Word المنتشرة في السوق على شركتك وياخذ 40.000 SAR. لما يجي المدقق ويسأل "مين اللي يطبّق هذا الإجراء؟" يطلع موظفينك ما عندهم علم أصلاً. دوّر على اللي يجلس معك ويصمم العمليات، مو اللي يبيع قوالب جاهزة.

إحنا أول شي قلنا بنجرب بنفسنا بقوالب لقيناها في النت بس بعد شهرين ضعنا وسط كومة الأوراق. لما المدقق الخارجي واجهنا بالنواقص في المرحلة الأولى اضطرينا نجيب مستشار. يعني إذا عندك هدف واضح زي 6 شهور، أنصحك لا تدور مغامرات.

بما إن عميلك شبه حكومي في السعودية، هل طلب بس ISO 27001، ولا ينتظر كمان التوافق مع NCA ECC (Essential Cybersecurity Controls)؟ اقرأ المواصفات بعناية؛ أحياناً متطلبات NCA في المناقصات الحكومية تحتوي شروط أصرم من معيار ISO، ولازم تسأل المستشار عن هذا من البداية.

تنبيه تنظيمي مهم: كون شركة الاستشارات وشركة التدقيق نفس الشركة أو كيان مشترك يخالف قواعد الاعتماد. لما تاخذ عروض، تأكد إلزامياً من صلاحية اعتماد جهة التدقيق المستقلة اللي بتسوي التدقيق (مثلاً متوافقة مع IAS أو UKAS أو SASO).

أول شي سويه ضيّق النطاق. لا تدخل كل عمليات الشركة في النطاق (scope)، بس البنية التحتية للبرمجيات اللي تقدمها للعميل وفريق التطوير. كل ما ضاق النطاق قلّ عدد الأصول اللي بتتدقق، وتسارعت العملية، وانخفضت تكلفة الاستشارات.

أنت محق. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

قضيت وقتًا طويلاً في هذا المجال. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

سمعنا هذا كثيراً، لكنه لم يحدث معنا أبداً. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

حدث معنا هذا. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

سأكتب ما حدث لي، ربما يفيدكم. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

يجب إجراء تمييز هنا. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

يجب إجراء تمييز هنا. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

مثبت بالتجربة.

أنت محق، لقد مررت بنفس المسار. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

لو كنت مكانك، لسلك هذا المسار.

هناك خطأ شائع جداً يقع فيه الكثيرون أثناء فعل هذا. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

صححوا لي إن أخطأت.

أود طرح سؤال. يعني معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً. صححوا لي إن أخطأت.

هل يمكنك توضيح هذا أكثر؟ إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

دعني أتركها كملاحظة، قد تكون مفيدة.