طلبوا منا ضوابط الأمن السيبراني الأساسية قبل العقد — ما هي بالضبط وما الذي ينبغي علينا تطبيقه فعليًا؟

استلمنا نفس النموذج في مشروع لوجستي مشابه بالرياض. كان النموذج يحتوي 40 بندًا، نصفها لا يناسب فرقًا من 10 أفراد مثلنا. أرفقنا لقطات شاشة لـ MFA والنسخ الاحتياطي، والباقي وضعنا له تواريخ وخطاب التزام وقبلوه، لا داعي للقلق.

أكثر نقطة يتوقفون عندها في الجانب التقني هي فتح منافذ SSH و RDP للخارج. أغلق الوصول المباشر لسيرفراتك عبر الـ IP العام وضعه خلف VPN بسيط أو تقييد IP على الأقل. إذا أظهرت هذه الخطوة وسجلات MFA النشطة في التقرير ستتجاوز المدقق التقني بسهولة.

الشركات الكبيرة تعرف أنك لا تملك مركز أمن سيبراني ضخم. ما يبحثون عنه فعليًا هو التأكد من عدم استخدام بيئتك كمنصة قفز للهجوم على سيرفراتهم. إذا وثقت أنك ستفصل منطقيًا بين شبكتك وخط التكامل المخصص للعميل فستنخفض درجة المخاطرة عندهم فورًا.

السنة اللي فاتت صرفنا حوالي 18.000 SAR عشان نخلص قائمة موردين مشابهة. راحت 6.000 SAR منها على تراخيص مدير كلمة السر الهوية المركزي، والباقي راح لمعمارية النسخ الاحتياطي المعزول التلقائي على السحابة. غطينا 19 بند من أصل 28 بند في النموذج فوراً، و9 بنود المتبقية خلصناها في التدقيق اللي بعد 3 شهور.

للأسف معظم استبيانات الموردين ماشية بنظام نسخ ولصق. مسؤول المشتريات عند الطرف الثاني ما يفهم بالعمق التقني للبنود، كل اللي يهمه إن الخانات تكون متعبية وموقع عليها. بس لو صار تسريب لا قدر الله، التعهدات دي بتتحول لكارت قانوني ضدهم؛ عشان كده أي شيء ما سويتوه لا تقولوا عنه "تم".

قبل ما تبدأوا تعبئة النموذج اطلبوا اجتماع لمدة 15 دقيقة مع مسؤول أمن المعلومات عندهم. قولوا له "إحنا من الفئة المتوسطة والصغيرة، الضوابط التقنية الأساسية جاهزة عندنا، ونبقى نوزع بنود السياسات المؤسسية على الجدول الزمني للمشروع". تسعين بالمية منهم بيتفهموا الموضوع وبيوافقوا على خطة العمل.

بالنسبة لبند تدريب الموظفين على التوعية بالأمن السيبراني، هل لازم بالضرورة ناخذ شهادة مدفوعة من جهة معتمدة، ولا يكفي كإثبات عرض تقديمي أساسي نجهزه داخل الشركة مع كشف توقيعات؟

عقد بقيمة 450.000 SAR ممتاز جداً، لا تشيلوا هم أبداً. الشركات الكبيرة بتجدد الأوراق دي كل سنة كإجراء روتيني. الموضوع يبان يخوف في الأول، بس لما تظبطوا الأساسيات بيبقى الباقي مجرد إجراءات شكلية.

عند النظر إلى العملية ككل، تتغير الصورة. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

لدي سؤال، ولا أريد الخروج عن صلب الموضوع. الخطأ المرتكب من جانب ضوابط الأمن السيبراني الأساسية قابل للإصلاح عادةً، لكنه مكلف.

القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

نادرًا ما تجد مقالاً يشرح الأمر بهذه الوضوح.

شكرًا جزيلًا، كان مفيدًا جدًا.

لم أكن أعلم بهذا.

أحسنت، بارك الله في جهدك.

يجب أن نسير بالترتيب. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

دعني أتركها كملاحظة، قد تكون مفيدة.

أتفق جزئياً، وأختلف جزئياً. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة. هذا كل شيء، أرجو المعذرة إذا أطالت.

أنا مشروع صغير، دعوني أشرح من منظوري. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

فعل الجميع لشيء ما لا يعني أنه صحيح. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

نادرًا ما تجد مقالاً يشرح الأمر بهذه الوضوح. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.