عميل مؤسسي كبير يطلب منا شهادة ISO 27001، ما هي بالضبط وهل هي ضرورية؟

لا تقل للعميل مباشرة "هذه الشهادة غير موجودة لدينا" وتغلق الباب. كثير من المؤسسات الكبيرة تمنح موافقة مؤقتة عندما تقول "بدأنا مشروع الامتثال لـ ISO 27001 وموعد التدقيق المستهدف بعد 6 أشهر" وتقدم لهم سياساتك الأمنية الأساسية الحالية كإضافة.

في الإصدار الحالي ISO/IEC 27001:2022 تم تبسيط ضوابط الملحق A إلى 93 بندًا. أكثر الأجزاء التي تهمك ك‍وكالة برمجيات هي دورة حياة تطوير البرمجيات الآمنة (SDLC)، وسجلات الوصول إلى مستودع الكود المصدري، وإخفاء هوية بيانات الاختبار، وفصل بيئة الإنتاج عن بيئة التطوير.

نحن في مدريد حصلنا عليها العام الماضي بفريق من 11 شخصًا. دفعنا 5.000 يورو للمستشار الخارجي و3.500 يورو لشركة التدقيق المعتمدة للسنة الأولى. استغرق الأمر 5 أشهر إجمالًا. قد تبدو مكلفة لكن لعقد بقيمة 120.000 يورو سنويًا هذا الاستثمار يسترد نفسه بالتأكيد.

إذا كنت تحصل عليها من أجل عميل واحد فقط، أنصحك بالتفكير جيدًا. هذه الشهادة ليست ورقة تُعلَّق على الحائط مرة واحدة؛ هناك تدقيق إشرافي كل سنة وتدفع ثمنه. في شركة من تسعة أشخاص، التسجيل المستمر وتعبئة نماذج المخاطر يبطئان وتيرة عمل المطورين بشكل جدي.

في البداية يرتعب المرء عند رؤية مئات الصفحات من بنود المعيار... لكن عندما تدخل في صميمه تكتشف أنه مجرد تحويل ما يفعله فريق برمجيات جاد أصلًا بشكل غير رسمي إلى إجراءات موثقة.

ما البيانات التي ستصل إليها بالضبط في نظام العميل؟ إذا كنت تشغّل الكود فقط على خوادمهم ولا تستضيف بيانات العملاء في مكتبك، فقد تكون لديك فرصة لتضييق نطاق التدقيق (scope) وتخفيض العملية والتكلفة إلى النصف.

نحن مررنا بحالة مشابهة مع عميل في قطاع الاتصالات، أغلقنا الثغرات الأمنية وقدّمنا تقرير اختبار اختراق خارجي وحصلنا على مهلة إضافية 6 أشهر لكن أنصحكم ألا تتخلوا عن الاتفاقية فورًا.

في السوق الإسباني تعتبر الشركات المؤسسية والشركات التابعة للقطاع العام معيار ISO 27001 الحد الأدنى الأساسي في أمن الموردين. هذا التصديق خطوة استراتيجية ستمنح شركتك ميزة تنافسية في عمليات البيع المؤسسي مستقبلًا.

سأكتب ما حدث لي، ربما يفيدكم. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

لو كنت مكانك، لسلك هذا المسار.

أتفق جزئياً، وأختلف جزئياً. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

بالتوفيق.

دعني أترك تنبيهًا. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

بالتوفيق.

أكتب هذا حتى لا تكرروا نفس الخطأ. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

دعني أتركها كملاحظة، قد تكون مفيدة.

إذا دخلنا في التفاصيل: إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.. لكن دعني أتركها كملاحظة، قد تكون مفيدة.

عندنا نفس المشكلة. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

يجب إجراء تمييز هنا. الخطأ المرتكب من جانب ما هي ISO 27001 قابل للإصلاح عادةً، لكنه مكلف.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

موضوع في الوقت المناسب تمامًا.

عند النظر إلى العملية ككل، تتغير الصورة. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

صححوا لي إن أخطأت.

نادرًا ما تجد مقالاً يشرح الأمر بهذه الوضوح. يعني وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

مثبت بالتجربة.