موردنا قال إن توجيه NIS2 يشملنا، ما هو بالضبط وهل هو إلزامي في إسبانيا؟

الموضوع بيمشي كالتالي بالضبط: 1) المُصنّع الرئيسي الكبير بيخضع لقانون NIS2 مباشرة. 2) القانون بيقول للمُصنّع ده "أي ثغرة عند الموردين بتوعك تعتبر ثغرتك أنت، فتش عليهم وراقبهم". 3) فالمُصنّع عشان يخلي مسؤوليته بيحاول يخليك تمضي على النموذج ده. يعني التأثير عليك مش جاي من القانون مباشرة، جاي من العقد.

البنود التقنية في نموذج العميل بتكون قياسية في الغالب: إلزامية استخدام VPN و MFA عند الوصول عن بُعد للسيرفرات اللي عليها ملفات تصميمات CAD/CAM، وحماية أجهزة الموظفين بنظام أمان نقطة نهاية (Endpoint Security) مُحدّث، ونسخ احتياطي أوفلاين أسبوعياً. لو أثبتت بالوثائق إنك مطبق الـ 4 خطوات دول، هتعدي من الفحص بكل سهولة.

فيه شركات كتير بتشوف بند "إعفاء الشركات اللي أقل من 50 موظف" في القانون وترتاح، بس في الواقع ده مجرد وهم. لما تلاقي عمالقة صناعة السيارات حاطين العقد قدامك وبيقولولك "لو ممضيتش مش هنشتري منك قطع غيار"، ساعتها الإعفاء القانوني ده مبيبقاش ليه أي قيمة تجارية.

إحنا فريق أتمتة صناعية من 25 شخص في برشلونة. الشهر اللي فات عميل ألماني مماثل بعتلنا إقرار أمني من 40 بند بخصوص NIS2. دفعنا 3.800 يورو لخبير مستقل عشان يظبط لنا السجلات الداخلية وإعدادات الجدار الناري (Firewall)، وسدينا النواقص واعتمدنا النموذج.

هل العميل طالب مجرد إقرار تقييم ذاتي يوقعه المفوض عن الشركة، ولا شارط تقرير فحص اختراق أو تدقيق أمني من شركة أمن سيبراني خارجية معتمدة؟ الفرق ده بيغيّر التكلفة التشغيلية تماماً.

يقدّم المعهد الوطني للأمن السيبراني في إسبانيا (INCIBE) أدلة إرشادية وأدوات تقييم ذاتي للشركات العاملة ضمن سلاسل التوريد. سيكون من المفيد الاطلاع على الحد الأدنى من التدابير الأمنية الواردة في أدلة INCIBE المخصصة للشركات الصغيرة والمتوسطة قبل الرد على عميلكم.

لستم ضمن الفئة المعرضة لعقوبات مباشرة بموجب القانون، لكن لتجنب خسارة العميل، لا بد من تطبيق الحد الأدنى من التدابير الواردة في كراسة الشروط.

لما سمعنا بالموضوع أول مرة حسيناه مجرد روتين وبيروقراطية تافهة من الاتحاد الأوروبي. بس لما راجعنا أنظمتنا بطلب من العميل، اكتشفنا إن السيرفر الداخلي للشركة مكشوف تماماً لبرة ومن غير أي حماية، وباسوردات موظفين قدام لسه شغالة ومفتوحة. يعني صحيح الموضوع مفروض ومقرف، بس في الحقيقة أنت كده بتحمي شركتك من مصيبة.

تصحيح: كنت أذكر الرقم خطأً، كان أقل قليلاً.

أنا أيضًا متحمس لمعرفة ذلك.

أتفق، بل أود التأكيد على هذه النقطة. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

أحسنت في فتح هذا العنوان. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

مثبت بالتجربة.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

وكيف حللتم هذه النقطة؟ القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

هناك فخ هنا، لا أريد المرور عليه دون ذكره. الخطأ المرتكب من جانب ما هو NIS2 قابل للإصلاح عادةً، لكنه مكلف.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

هناك جانب قياس لهذا الأمر أيضًا. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

هذا كل شيء، أرجو المعذرة إذا أطالت.

هناك خطأ شائع جداً يقع فيه الكثيرون أثناء فعل هذا. بصراحة فعل الجميع لشيء ما لا يعني أنه صحيح.

دعني أتركها كملاحظة، قد تكون مفيدة.

أكثر نقطة يتم إغفالها في موضوع ما هو NIS2 هي: كل من يستعجل في ما هو NIS2 يتعثر في نفس النقطة.

صححوا لي إن أخطأت.

أعتقد أن الحديث بهذه القطعية في جانب ما هو NIS2 صعب. محاولة فعل هذا بمفردك هي أغلى الطرق.

معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.