زبون كبير طالب مننا شهادة امتثال للأمن السيبراني — إيش الفرق بينها وبين ISO 27001، وأي وحدة نجهز؟

السنة اللي فاتت صرفنا 85.000 AED عشان نطلع تقرير امتثال مستقل لمشروع مالي مشابه في دبي. التدقيق أخذ 3.5 شهور وفحصوا 64 ضابط تقني بالتفصيل مع الأدلة. كان عندنا ISO بس المجموعة المالية ما قبلت فيها لحالها بسبب القوانين.

نصيحة لا تندفعون مع الاستشاريين اللي طلبوا 120 ألف AED. يمكن الزبون بس يبغى تعبون قائمة تحقق (checklist) قياسية وتجيبون خطاط معتمد من مدقق. بصراحة لا توقعون أي عرض قبل ما تسألون عن النطاق المحديد بالظبط.

ملاحظة: كتبت هذا بناءً على تجربتي الشخصية، قد لا ينطبق على الجميع.

أول شيء اطلبوا من الزبون كراسة شروط أمن الموردين (third-party security policy). إذا كان المرجع فيها قوانين البنك المركزي المحلي أو معايير الهيئة الوطنية للأمن السيبراني، فالـ ISO 27001 ما راح تفيدكم، ولازم تدخلون تدقيق تقني قطاعي مباشرة.

شركات الاستشارات تحب هالخبطة في المصطلحات. يستغلون تشتت الشركات ويحاولون يبيعون أغلى باقة. حتى مسؤول المشتريات عند الزبون غالباً ما يعرف الفرق، بس يرسل النص اللي جابته له إدارة المخاطر.

المؤسسات المالية في أبوظبي تطلب من معالجي البيانات من أطراف خارجية امتثال كامل لقوانين حماية البيانات المحلية واللوائح المالية. طبيعي يطلبون إقرار مطابقة يتضمن أدلة تدقيق على مستوى النظام، بدل ISO 27001 اللي تعطيك إطار إداري بس.

شهادة ISO المعلقة للأسف شكلها مو حلو أبداً. لو تحقق منها الزبون ممكن يفقد الثقة. برأيي اسألوهم بوضوح وخذوا جواب صريح، وعلى أساسه وجهوا الميزانية.

ملاحظة: كتبت هذا بناءً على تجربتي الشخصية، قد لا ينطبق على الجميع.

هل البيانات اللي بتعالجونها تحتوي على هويات أفراد أو معاملات مالية؟ إذا كانت مجرد بيانات حملات مجهولة الهوية، هل جربتم تتفاوضون على تقليل نطاق التدقيق بناءً على هالشيء؟

تقارير امتثال الأمن السيبراني غالباً تشترط حفظ البيانات داخل الإمارات (data residency)، تشفير قوي في النقل والتخزين، وحفظ سجلات الدخول التفصيلية لسنة على الأقل. هل البنية التحتية عندكم في السحابة تدعم هالمعايير؟

أنا أيضًا متحمس لمعرفة ذلك. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

فعل الجميع لشيء ما لا يعني أنه صحيح.

أنا أيضًا أوافق على هذا الرأي. فعل الجميع لشيء ما لا يعني أنه صحيح.

هناك ثلاثة أمور يجب مراعاتها أثناء القيام بذلك. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

إذا كنت ستسلك هذا المسار، فحل هذه المشكلة من البداية. إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

لو كنت مكانك، لسلك هذا المسار.

عانيت من نفس المشكلة قبل عامين. فعل الجميع لشيء ما لا يعني أنه صحيح.

الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة. هذا كل شيء، أرجو المعذرة إذا أطالت.

أكتب هذا حتى لا تكرروا نفس الخطأ. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

دعني أتركها كملاحظة، قد تكون مفيدة.

هناك فخ هنا، لا أريد المرور عليه دون ذكره. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

أتمنى أن يفيدك هذا.

أرجو المعذرة، لكن هذا لا ينطبق في كل الحالات. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

هناك خطأ شائع جداً يقع فيه الكثيرون أثناء فعل هذا وكل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.. ثم يعني هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

سأجرب ذلك. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.