لا تشترِ أدوات الامتثال قبل أن تكتب السياسات

سيناريو مألوف: تحتاج الشركة إلى SOC 2 أو ISO 27001، فيبحث أحدهم في المتطلبات، وتكون أول عملية شراء أداة: منصة امتثال، أو حزمة حماية للأجهزة الطرفية، أو SIEM، أو مولّد سياسات. بعد أشهر يكون إعداد الأداة نصف مكتمل، وتُتجاهل تنبيهاتها، ويطرح المدقق أسئلة لا تستطيع الأداة الإجابة عنها. لم تكن الأداة هي المشكلة. المشكلة كانت في الترتيب.

الأدوات تنفذ القرارات

كل ضابط يحتاج إلى عدد من القرارات قبل أن تفيد أي أداة: ما الذي يقع ضمن النطاق، ومن يملكه، وكم مرة يُنفَّذ، وما المقصود بـ«الجودة الجيدة»، وما الذي يحدث عند الفشل. هذه القرارات هي سياستك وإجراءاتك. إذا اشتريت ماسحًا للثغرات دون هذه القرارات حصلت على آلاف النتائج التي لا يتحمل أحد مسؤوليتها؛ وإذا اشتريت SIEM دونها حصلت على سجلات لا يقرؤها أحد.

الأطر تتفق

لا يشترط أي إطار سائد منتجًا بعينه. يطلب ISO 27001 سياسات ومعالجة للمخاطر وضوابط تعمل فعليًا. ويسأل SOC 2 عما إذا كانت الضوابط مصممة وتعمل بفعالية. ويبدأ PCI DSS كل متطلب من متطلباته الاثني عشر بسياسات وإجراءات موثقة وأدوار محددة. وجميعها تفترض أن التفكير يأتي أولًا.

ترتيب أفضل

1. النطاق والمخاطر: ما الذي نحميه، ومن أي شيء، وأي الأطر تنطبق؟ يوضح تحليل الفجوات ما يضيفه الإطار التالي إلى ما لديك.
2. حدد كل ضابط: المالك، والتكرار، والمعيار، والدليل. دوّنه بإيجاز؛ فهذه مجموعة سياساتك (انظر مجموعة سياسات واحدة لأطر متعددة).
3. نفّذه يدويًا أولًا حيثما أمكن. فمراجعة وصول ربع سنوية في جدول بيانات تعلّمك ما الذي تحتاج الأداة إلى فعله.
4. ثم اشترِ أدوات تؤتمت قرارات اتخذتها بالفعل، وقيّمها وفق تلك القرارات.

عندما تأتي الأدوات أولًا، ومتى يكون ذلك مقبولًا

هناك استثناءات. فحماية الأجهزة الطرفية والمصادقة متعددة العوامل (MFA) والنسخ الاحتياطي تستحق النشر فورًا لأن قيمتها لا تعتمد على الضبط الدقيق. كما يمكن لمنصات الامتثال التي تساعدك على كتابة السياسات وتتبع الضوابط أن تسرّع الخطوة الثانية، بشرط أن تتعامل مع قوالبها وعمليات الربط فيها على أنها مسودات لا إجابات نهائية (وقد كتبنا عن جداول المطابقة التي لا يمكنك التحقق منها).

كيف يبدو تحديد القرارات أولًا

خذ إدارة الثغرات مثالًا، فهي الضابط الذي يُشترى غالبًا كمنتج. قبل اختيار ماسح، حدد:

• النطاق: الأصول التي يتم فحصها (الداخلية والخارجية والسحابية والحاويات) وكيف ستعرف أن قائمة الأصول مكتملة.
• التكرار: يشترط PCI DSS فحوصات داخلية كل ثلاثة أشهر وبعد التغييرات الجوهرية؛ وتطلب CIS Controls فحوصات آلية للأصول الداخلية والخارجية؛ وقد تحتاج مخاطرك الخاصة إلى أكثر من ذلك.
• الشدة والمواعيد النهائية: كيف تُصنَّف النتائج، وكم بسرعة يجب إصلاح كل مستوى شدة.
• الملكية: من يفرز النتائج، ومن يصلحها، ومن يقبل المخاطر عندما لا يمكن إصلاح شيء ما.
• الدليل: ما التقرير الذي يثبت أن الضابط نُفّذ وأن النتائج عولجت.

مع توثيق هذه الإجابات الخمس، يصبح تقييم الأداة أمرًا بسيطًا: هل تغطي النطاق، وتعمل بالتكرار المطلوب، وتصنّف الشدة وفق معاييرك، وتنتج الدليل؟ ومن دونها تبدو كل عروض المنتجات مبهرة، ولا يجيب أي منها عن متطلبات تدقيقك. وينطبق التمرين نفسه على التسجيل وحماية الأجهزة الطرفية وإدارة الوصول. تُظهر صفحات المواضيع لدينا ما تتطلبه كل الأطر لكل ضابط، وهي قائمة تحقق جيدة لهذه القرارات، ويُعد موضوع إدارة الثغرات نقطة بداية مناسبة.

أبرز النقاط

• الأدوات تنفذ القرارات؛ اشترها بعد تحديد النطاق والمالكين والتكرار والدليل.
• لا يشترط أي إطار سائد منتجًا محددًا.
• نفّذ الضابط يدويًا أولًا إن أمكن، ثم أتمته.

الاختبار

قبل الشراء، اسأل: أي ضابط تنفذ هذه الأداة، ومن يملك هذا الضابط، وما الدليل الذي ستنتجه؟ فإذا لم يستطع أحد الإجابة، فالشراء مبكر.

الأسئلة

ما الذي يجب أن يأتي أولًا: السياسات أم الأدوات؟

القرارات أولًا: النطاق، والمخاطر، وكيف ستعمل المؤسسة كل ضابط (من المسؤول، وكم مرة، وبأي معيار). وإذا دُوّنت هذه القرارات فهي سياساتك وإجراءاتك؛ ثم تأتي الأدوات لتنفيذها.

هل يشترط المدققون أدوات بعينها؟

لا يشترط أي إطار سائد منتجًا بعينه. يبحث المدققون عن ضوابط تعمل وتنتج أدلة، بغض النظر عن طريقة تنفيذها.

هل تستحق منصة أتمتة الامتثال عناء شرائها؟

قد تستحق ذلك، بعد أن تعرف الضوابط التي تنفذها ومن يملكها. فالمنصات جيدة في التذكيرات وجمع الأدلة والتتبع؛ لكنها لا تستطيع تحديد نطاقك أو مستوى تقبّلك للمخاطر نيابة عنك.