جهة حكومية تطالبنا بالامتثال لمخطط ENS — ما هو وكيف يتم توثيقه في إسبانيا؟

إذا لم يكن المستوى مذكورًا في الكراسة، اطلبوا توضيحًا رسميًا (aclaración) فورًا عبر منصة المناقصات. إن قالوا إنه المستوى الأساسي، فلن تدفعوا سنتًا واحدًا لمدقق خارجي؛ فقط املأوا قائمة التحقق القياسية على منصة CCN وسجّلوا نظامكم. لا تضيعوا وقتًا وأرسلوا السؤال مباشرة.

تقدمنا العام الماضي لمناقصة عامة في فالنسيا بقيمة 110.000 EUR. طلبوا منا ENS Medio. كانت بنيتنا التحتية وفق ISO 27001 جاهزة، لكن استغرقنا 3 أشهر كاملة لسد الثغرات واجتياز التدقيق. دفعنا 8.500 EUR للجهة المعتمدة من أجل التدقيق، و4.000 EUR للدعم الاستشاري.

الفارق الأكبر تقنيًا عن ISO هو أدلة CCN-STIC. يجب استخدام خوارزميات تشفير بيانات معتمدة حصريًا من المركز الوطني للتشفير في إسبانيا، ودمج آلية الإبلاغ عن الحوادث مع المنصة الحكومية، وفرض المصادقة الثنائية على جميع مسؤولي النظام.

إياكم والوقوع في وهم "لدينا شهادة ISO وسنضعها في الملف وستقبلها الإدارة". في المناقصات الحكومية، يتم استبعاد العروض التي لا تقدم شهادة أو إقرار ENS مباشرة في الفحص الإداري، ولن يفتحوا العرض الفني أصلًا.

خارطة الطريق التي يجب اتباعها هي: 1) توضيح فئة ENS كتابيًا مع الجهة صاحبة المناقصة. 2) تنزيل أدلة سلسلة CCN-STIC 800 وإجراء تحليل الفجوات مقارنةً بنظام ISO الحالي لديكم. 3) إذا كان المستوى أساسيًا، أعدوا إقرارًا داخليًا؛ وإذا كان متوسطًا، اطلبوا عروض أسعار عاجلة من الجهات المعتمدة من ENAC.

البيروقراطية الإسبانية في هذا الموضوع صارمة جدا للأسف. بصراحة نحن أيضا في عمل مماثل مع بلدية تداركنا الأمر في اللحظة الأخيرة بإقرار المستوى الأساسي، وإلا ما كنا لنلحق بالتدقيق الخارجي في الوقت المناسب.

تجدر الإشارة إلى أنه تم تحديث متطلبات ENS لمزودي الخدمات السحابية بموجب المرسوم الملكي الصادر في 2022. التحقق من أن مزود السحابة الذي يستضيف بنيتكم التحتية حاصل على شهادة ENS سيسهل عملية التدقيق لديكم بشكل كبير.

تشتت النقاش، دعني ألخصه. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. الخطأ المرتكب من جانب مخطط الأمن الوطني قابل للإصلاح عادةً، لكنه مكلف.

أتمنى أن يفيدك هذا.

أوافق.

هناك ثلاثة أمور يجب مراعاتها أثناء القيام بذلك. الخطأ المرتكب من جانب مخطط الأمن الوطني قابل للإصلاح عادةً، لكنه مكلف.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أتابع الموضوع. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

سأجرب ذلك. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أخذت ملاحظة، شكرًا لك.

نادرًا ما تجد مقالاً يشرح الأمر بهذه الوضوح لكن عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

قضيت وقتًا طويلاً في هذا المجال. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

لهذا النهج ثمن، لكنه لا يُناقش. الخطأ المرتكب من جانب مخطط الأمن الوطني قابل للإصلاح عادةً، لكنه مكلف.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا. بالتوفيق.

سؤالي قد يبدو مبتدئاً بعض الشيء، آسف على ذلك. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.