يفرضون علينا «وحدة الاستجابة للحوادث السيبرانية» — هل شركة من 20 شخص فعلاً تحتاجها؟

لا ترفض البند في العقد على طول. وصّل للفريق الأمني عند الطرف الثاني هالجواب: إحنا ننفذ قدرة الاستجابة للحوادث عبر مزوّد خدمات أمني خارجي بنموذج هجين. التنسيق الداخلي يتولاه مدير الأنظمة عندنا، والاستجابة من المستوى الثاني يقوم بها الشريك الخارجي. عادة هالجواب ياخذ موافقة مباشرة.

واجهنا نفس الموقف بالضبط السنة الماضية في دبي أثناء تدقيق تكامل مع أحد البنوك. وقعنا اتفاقية retainer للاستجابة للحوادث عند الطلب مع مزود أمان محلي مقابل 18.000 AED سنوياً. أرفقنا عقدهم مع مخطط التصعيد اللي جهزناه في نموذج التدقيق، واعتمدوا التدقيق على طول بدون أي أسئلة إضافية.

الشيء الأساسي اللي بيدققوا عليه مش بنية الـ SIEM التحتية عندكم، بل كيف بيتم التواصل والتصعيد لحظة اكتشاف الحادثة. حددوا اتفاقية مستوى الخدمة SLA للاستجابة بحد أقصى ساعتين للحوادث الحرجة، وحفظ السجلات logs بشكل آمن في بيئة منفصلة، مع بروتوكول إخطار كتابي للمسؤول عن البيانات في حال حدوث تسريب. لو هذا الإجراء موجود في النموذج بيتقفل التدقيق الفني.

تعديل: صححت بعض الأخطاء الإملائية.

هل مسودة العقد تشترط وجود شهادة دولية مثل ISO 27001 أو ما شابه، ولا المطلوب مجرد إقرار في النموذج بوجود الوحدة؟ وهل سيكون عندكم وصول مباشر لقاعدة بيانات العميل، ولا النظام بيتواصل بس عبر API معزول؟

أقسام المشتريات بالشركات الكبيرة ينسخون ويلصقون النماذج الجاهزة وخلاص. حطوا فريقكم المكون من شخصين كمنسقين داخليين، ووقعوا عقد دعم خارجي رخيص عند الطلب ويكفي تماماً، ما حد متوقع منكم غرفة SOC كاملة.

قبل سنتين وكان عددنا 15 موظف، فرض علينا عميل شبه حكومي نفس هذا الشرط تماماً. بالبداية انصدمنا وبدأنا نحسب تكلفة توظيف اثنين مختصين بالأمان بالفريق، وكانت التكلفة السنوية بتدمر ميزانيتنا. بعدها تكلمنا مع مدقق نعرفه وقدمنا عقد مع مزود خدمة خارجي وقبلوه مباشرة من أول مرة. ضيعنا نومنا وقلقنا على الفاضي.

انتبهوا وأنتم تختارون عقد المزود الخارجي؛ بعض الشركات بس ترسل تقرير فحص تلقائي مرة بالشهر وتسميه استجابة للحوادث. لو مدقق العميل طلب تفاصيل وسأل 'لو صار هجوم فدية الساعة 3 الفجر مين اللي بيتدخل؟' وقتها العقد الشكلي هذا بينكشف. اختاروا مزود تقدرون تتواصلون معاه تليفونياً فعلاً.

طلب فريق أمان 24/7 من شركة فيها عشرين موظف مثل اللي يشترط على بقالة تجيب سيارة مصفحة لنقل الأموال. مسؤولي المشتريات بالشركات الكبيرة أحياناً يتخيلون إن ميزانية الأمان عندهم متوفرة عند المورد الصغير. قدموا لهم عقد خارجي ومشوا الموضوع.

نعم، الوضع في موضوع وحدة الاستجابة للحوادث السيبرانية هو بالضبط هكذا. إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

هذا كل شيء، أرجو المعذرة إذا أطالت.

مررت بهذا الطريق، دعني أشرح. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

دعني أتركها كملاحظة، قد تكون مفيدة.

دعونا نفرق بين المفاهيم، فهناك خلط بينها وعندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

مثبت بالتجربة.

هل يمكنك توضيح هذا أكثر؟ إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

صححوا لي إن أخطأت.

الطريق الذي يبدو رخيصاً غالباً ما يكلف غالياً لاحقاً. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

لدي سؤال، ولا أريد الخروج عن صلب الموضوع. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

بالتوفيق.

عشنا تقريباً نفس التجربة العام الماضي. محاولة فعل هذا بمفردك هي أغلى الطرق.

بالتوفيق.

سأجرب ذلك.

هناك نقطة لم أفهمها. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.