ما هي العمليات والسجلات المطلوبة تحديداً لإدارة الثغرات في تدقيق ISO 27001؟

قسّم النطاق إلى قسمين: البنية التحتية والكود. للبنية التحتية، شغّل أداة فحص ثغرات مفتوحة المصدر شهرياً على نطاقات IP للخوادم واستخرج التقارير. أما للكود، فأضف أداة لفحص التبعيات في مسار CI/CD؛ بحيث يتوقف البناء تلقائياً إذا وُجدت مكتبة بثغرة حرجة معروفة. سجلات هذا المسار هي أفضل دليل تقني يفضله المدقق.

عندما خضعنا للتدقيق العام الماضي، وضعنا أهدافاً واقعية للمدد: 7 أيام للحرجة، 30 يوماً للعالية، و90 يوماً للمتوسطة. وجد المدقق 4 ثغرات عالية لم تُغلق، لكن بمجرد اطلاعه على نماذج قبول المخاطر المرفقة بمبررات عملية، اعتمد النتيجة دون تسجيل أي حالة عدم مطابقة.

احرص على وجود هذه العناصر الأربعة في ملف التدقيق: 1) سياسة إدارة الثغرات وجدول الـ SLA المعتمد، 2) تقارير فحص ملخصة ومؤرخة لآخر ثلاثة أشهر، 3) سجلات إغلاق الثغرات من نظام التذاكر، 4) نماذج قبول مخاطر موقعة ومبررة لأي ثغرة تعذر إغلاقها لأسباب تقنية أو تشغيلية.

لا تقل للمدقق أبداً "لا تظهر عندنا أي ثغرات"، بل سيشك مباشرة ويتعمق أكثر. الأفضل دائماً أن تعرض قائمة متابعة شفافة تُثبت أن الثغرات تظهر وأنكم ترتبونها حسب خطورتها وتغلقونها.

تعديل: كتبت من الهاتف، أرجو المعذرة عن الأخطاء الإملائية.

طيب، هل يقبل مدقق ISO التقارير المأخوذة من أدوات فحص مجانية ومفتوحة المصدر كوثائق رسمية، أم لا بد من تقارير مرخّصة من برامج أمن سيبراني مؤسسية باهظة الثمن؟

ماركة الأداة لا تهم المدقق، بل يهمه المنهجية. افحصوا فوراً كل عناوين IP الخارجية لديكم بأداة مجانية، وانقلوا الثغرات الظاهرة إلى جدول إلكتروني، وأسندوها للمبرمجين المسؤولين، وحددوا تواريخ إغلاقها. إذا أظهرتم هذه الدورة على مدى شهرين ستتجاوزون التدقيق بسهولة.

عادةً يحاول المستشارون تخويفكم ليدفعوكم لشراء برامج فحص باهظة الثمن. لكن المعيار لا يطلب منكم الكمال، بل آلية رقابة محددة. حتى سكربت أتمتة بسيط تكتبونه بأنفسكم وسجلات تذاكر منتظمة، إذا وُضعت في إطار منطقي، تجتاز التدقيق.

سأجرب ذلك.

دعونا نفرق بين المفاهيم، فهناك خلط بينها. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

صحيح نظرياً، لكنه لا يسير هكذا عملياً. الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

بالتوفيق.

نادرًا ما تجد مقالاً يشرح الأمر بهذه الوضوح.

أتفق، بل أود التأكيد على هذه النقطة. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

بالتوفيق.

هناك فخ هنا، لا أريد المرور عليه دون ذكره. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

هناك ثلاثة أمور يجب مراعاتها أثناء القيام بذلك. الخطأ المرتكب من جانب إدارة الثغرات قابل للإصلاح عادةً، لكنه مكلف.

بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

أنصح بعدم العجلة. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

تم الحفظ.

كنت أفكر في نفس الشيء. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع. لو كنت مكانك، لسلك هذا المسار.

أخذت ملاحظة، شكرًا لك.