عميل كبير يطلب تدقيقاً أمنياً قبل توقيع العقد — هل توجد قائمة تحقق نراجعها؟

أكثر ما يزعج مدققي الشركات الكبرى هو الادعاء والتمويه. إذا ذكرت وجود طبقة أمان لا تملكها بالفعل وعجزت عن تقديم دليل حين يطلبونه، فستنتهي الصفقة فوراً. قولك: 'تتم هذه العملية يدوياً حالياً ومن المخطط أتمتتها خلال 6 أشهر' يمنحك مصداقية وثقة أكبر بكثير من تقديم معلومات غير دقيقة.

استفد من نموذج المسؤولية المشتركة لمزود الخدمة السحابية لصالحك. في الأسئلة المتعلقة بأمان الخوادم المادية، وشهادات مراكز البيانات، وتكرار العتاد والنسخ الاحتياطي للأجهزة، يمكنك الإجابة مباشرة بالإحالة إلى الوثائق الأمنية الجاهزة الخاصة بمزود السحابة. ما لا يقل عن ثلاثين بالمئة من الأسئلة يمكن تغطيتها بهذه الطريقة.

من لوحة التحكم المركزية، فعّلوا فوراً نهاية هذا الأسبوع إلزامية استخدام مدير كلمات المرور وMFA على جميع حسابات الشركة التي يستخدمها فريقكم. لقطات الشاشة من اللوحة التي تثبت إتمامكم لهذه الخطوة ستكون أقوى دليل لقسم المصادقة في الاستبيان.

علقنا العام الماضي في استبيان مشابه وتأخر العقد 3 أشهر. دفعنا 3.500 sterlin وأجرينا اختبار اختراق عاجل وحصلنا على ملخص تنفيذي نظيف من صفحة واحدة. بمجرد أن أرفقنا ذلك التقرير، وافق فريق الأمان مباشرة على نصف الأسئلة التقنية في الاستبيان.

يرجى الانتباه إلى أن الشركة المؤسسية ستطلب منكم بصفتكم معالج بيانات اتفاقية معالجة بيانات (DPA). يُوصى بمراجعة بنود مكان تخزين البيانات، وهوية المقاولين من الباطن، وحق التدقيق بالتعاون مع مستشاركم القانوني.

قد لا تنطبق عليك جميع الأسئلة الـ 180. الشركات الكبيرة ترسل نفس النموذج العام لجميع الموردين. الأسئلة التي تقع خارج نطاق تطبيقكم (مثل أمن المكاتب أو أنظمة الدخول بالبطاقات) اكتب أمامها بوضوح 'غير قابل للتطبيق (N/A)' واذكر السبب باختصار، ولا تلزم نفسك بأمور لا داعي لها.

لا تقلق، هذه الاستبيانات أصبحت روتيناً في عملية البيع... إذا طلبت اجتماعاً لمدة 30 دقيقة مع مسؤول الأمان لدى العميل وأوضحت له بصراحة أنكم فريق صغير ومرن ولكنكم تتخذون الإجراءات الأساسية اللازمة لحماية بياناتهم، فستنتهي العملية بشكل أسرع بكثير.

تصحيح: كنت أذكر الرقم خطأً، كان أقل قليلاً.

الطريق الذي يبدو رخيصاً غالباً ما يكلف غالياً لاحقاً. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية. أتمنى أن يفيدك هذا.

نادرًا ما تجد مقالاً يشرح الأمر بهذه الوضوح. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

بعد تجربة ذلك، تغيرت نظرتي للأمور. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى. مثبت بالتجربة.

لدي سؤال، ولا أريد الخروج عن صلب الموضوع. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

بالتوفيق.

يجب إجراء تمييز هنا. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة. مثبت بالتجربة.

هناك خطأ شائع جداً يقع فيه الكثيرون أثناء فعل هذا. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء. هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أنا أيضًا أوافق على هذا الرأي. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

دعوني ألخص ما قيل حتى الآن. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر. بالتوفيق.

هناك نقطة لم أفهمها. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

لو كنت مكانك، لسلك هذا المسار.

أوافق. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

صححوا لي إن أخطأت.