تقييم الجاهزية للهجمات الإلكترونية

إلى أي مدى يصل الهجوم قبل أن توقفه.

أين تقع مؤسستك على هذا المقياس؟

كيف يُنجز العمل

1. 01 أسبوعان إلى ثلاثة داخل مؤسستك، نقرأ مستنداتك، ونتحدث إلى فريقك، ونجلس إلى لوحات التحكم لديك.
2. 02 نأخذ تنبيهات حقيقية من الأشهر الستة الأخيرة، واحداً في الفئة القياسية واثنين في الفئة الرائدة، ونتتبع ما حدث، من لحظة صدور كل منها حتى إغلاقه.
3. 03 كل ثغرة تأخذ تقييماً وسبباً واسم الشخص الذي عليه إصلاحها. ثم نراجع القائمة مع هؤلاء الأشخاص.
4. 04 وبعد نحو 90 يوماً نعود حضورياً لنرى ما الذي تغيّر.

خمس لحظات يدفع فيها ثمنه بنفسه.

1. قبل تفتيش الجهة الرقابية أو التدقيق.
2. بعد هجوم على جهة مماثلة لك أو على منافس.
3. قبل تجديد عقد المراقبة الخارجية أو مزود الخدمات الأمنية المُدارة.
4. قبل التقدم لتأمين سيبراني أو تجديده.
5. قبل اتخاذ قرار بشأن عقد استجابة للهجمات مع أي جهة. وهو أيضاً الطريقة التي تختار بها مختبرات فُلْك عملاء عقودها.

فئتان. وكلتاهما كاملة.

تشمل الفئتان كل جزء تعتمد عليه النتيجة. استعراض السيناريوهات. ومراجعة ضوابط الكشف والاستجابة لديك. وتنبيه حقيقي يُتتبع من بدايته إلى نهايته. ومراجعة جاهزية الاستجابة. وسبب جذري واحد ومسؤول واحد لكل ثغرة. والتقرير الكامل، وجلسة عرض النتائج، والمتابعة الحضورية بعد نحو تسعين يوماً. وتغطي الفئة الرائدة خمسة سيناريوهات هجوم بدلاً من ثلاثة. وتتعمق أكثر في قواعد الكشف لديك وفي خدمة مزودك الأمني، وتتتبع تنبيهاً ثانياً، وتضيف إحاطة لرئيسك التنفيذي أو مجلس إدارتك. وأي فئة تناسبك يُحسم في المكالمة.

مسؤول النظام لديك هو من يسجّل الدخول. ولا نغيّر شيئاً.

تجري مراجعة الضوابط جنباً إلى جنب مع أحد موظفيك ممن يملك صلاحيات المسؤول. هو من يسجّل الدخول، ويشغّل المستشار لوحة التحكم تحت إشرافه لفحص الإعدادات المهمة. لا تُنشأ لنا أي حسابات. ولا يُغيَّر شيء، ولا تُثبَّت أدوات، ولا تخرج نسخ من بيانات الإنتاج من بيئتك. وتُحفظ لقطات شاشة للإعدادات كأدلة. ويستطيع موظفوك إنهاء الجلسة في أي وقت.

ما الذي يصل إلى مكتبك.

• بطاقة التقييم كل سيناريو مقيَّم من حيث هل سيُرى، وهل سيُكشف، وهل سيُتصرف حياله، إضافة إلى جاهزية استجابتك وضوابطك الرئيسية، ولكل منها الدليل الذي يستند إليه التقييم.
• الملاحظات كل ثغرة مع تقييمها وسببها الجذري والبند الذي تمسّه من إطارك.
• قائمة الإصلاحات مرتبة حسب الأولوية، وكل إصلاح يسمّي من ينفذه (فريقك، أو مزودك الأمني، أو مورّد)، مع المسؤول والموعد المؤكدين في جلسة عرض النتائج. في التقرير وفي جدول بيانات.
• الملخص التنفيذي صفحتان للرئيس التنفيذي أو مجلس الإدارة، فيهما مستوى الجاهزية والإصلاحات الأولى.
• مستوى جاهزية فُلْك مختوم على التقرير، مع ما يجب إصلاحه للوصول إلى المستوى التالي. ويسري لاثني عشر شهراً. وهو مستوى مُقيَّم، لا شهادة.

ويغلق الأوراق الرسمية أيضاً.

تُربط كل ملاحظة بالإطار الذي تُفحص عليه. ويذهب التقرير إلى جهتك الرقابية أو مدققك كما هو.

• كل مؤسسة في عُمان. المرسوم السلطاني 64/2020 وواجب إبلاغ مركز الدفاع السيبراني.
• البنوك وشركات التمويل والتأجير ومزودو خدمات الدفع وشركات الصرافة. إطار الأمن السيبراني والمرونة الصادر عن البنك المركزي العماني.
• شركات المساهمة العامة، ومنها معظم شركات التأمين. إرشادات أمن المعلومات لشركات المساهمة العامة، التعميم E/1/2022.
• مديرو مطالبات التأمين الصحي. لوائح إدارة المطالبات الصادرة عن هيئة الخدمات المالية.
• أي مؤسسة تحتفظ ببيانات شخصية. قانون حماية البيانات الشخصية ولائحته التنفيذية، ومنها الإبلاغ عن الاختراق خلال 72 ساعة.
• شركات خدمات الطاقة والمقاولون الصناعيون. المعيار IEC 62443 والبنود الأمنية في عقد المشغّل.
• الملحق A من المعيار ISO/IEC 27001:2022، للمؤسسات الحاصلة على الشهادة أو الساعية إليها.

هذا مفيد. لكنه ليس الغاية.

ما الذي لا يفعله التقييم.

• لا يصلح الثغرات. فقائمة الإصلاحات تذهب إلى فريقك أو مزودك الأمني أو مورّديك.
• لا يكتب خطتك أو إجراءاتك، ولا يجري تمارين. فذلك من عمل العقد.
• ليس تدقيقاً كاملاً للإعدادات، ولا يراجع كل قاعدة وكل مصدر سجلات.
• ليس اختبار اختراق، ولا محاكاة هجوم، ولا فريقاً أحمر.
• ليس جمعاً جنائياً للأدلة، ولا صيداً للتهديدات، ولا تقييماً لاختراق قائم. وإذا ظهرت علامات اختراق جارٍ، يتوقف التقييم. وتُبلَّغ فوراً.
• ليس استشارة قانونية، ولا اعتماداً من جهة رقابية، ولا شهادة، ولا إقراراً.

اعرف كيف، في مكالمة.

خمس وأربعون دقيقة مع المؤسس. أخبره بما تشغّله، ومن سيستجيب اليوم، وما الذي يقلقك أكثر. وتخرج منها وأنت تعرف أين تقف وما الذي تصلحه أولاً.

للمسؤول عن الكشف والاستجابة في مؤسستك.

المؤسسات التي تكمل التقييم قد يُعرض عليها عقد الاستجابة للهجمات الإلكترونية.