الحوكمة والأطر: NIST CSF 2.0 والضوابط الوطنية

طريقان إلى نفس الفكرة

قبل أن تبدأ

الفكرة الجوهرية

1NIST CSF 2.0: ست وظائف

الإطار الأشهر عالميًا، صدر إصداره الثاني في فبراير 2024، وأهم ما تغيّر إضافة الحوكمة في المركز، وتوسيع نطاقه ليشمل كل المؤسسات لا البنية التحتية الحرجة فقط. لكل وظيفة سؤال تحضر عنه:

2ISO 27001 والضوابط الوطنية ECC

ISO/IEC 27001 معيار دولي لنظام إدارة أمن المعلومات، تحصل عليه المؤسسة بشهادة بعد تدقيق خارجي، ويطلبه العملاء الكبار غالبًا. وفي السعودية أصدرت الهيئة الوطنية للأمن السيبراني الضوابط الأساسية للأمن السيبراني، وإصدارها الحالي ECC-2:2024، بخمسة مكونات رئيسية: الحوكمة، والتعزيز (الدفاع)، والصمود، والأطراف الخارجية والحوسبة السحابية، وأنظمة التحكم الصناعي.

3إدارة المخاطر وسجلها

إدارة المخاطر ثلاث خطوات تتكرر: حدّد المخاطر، وقيّمها باحتمالها وأثرها، وعالجها بأحد أربعة: تخفيف بضابط، أو نقل بالتأمين، أو تجنّب بإيقاف النشاط، أو قبول موثّق يوقّعه صاحب الصلاحية. كل هذا يُكتب في سجل المخاطر.

هذا تمرين المرحلة السادسة مصغّرًا. أضف خطرًا من شركة تعرفها وشغّل.

register = [
    # risk, likelihood 1-3, impact 1-3, owner, CSF function of the control
    ("No MFA on the VPN",           3, 3, "IT manager",  "Protect"),
    ("Backups never test-restored", 2, 3, "Ops lead",    "Recover"),
    ("No asset inventory",          2, 2, "CIO",         "Identify"),
    ("Logs kept only 7 days",       2, 2, "SOC lead",    "Detect"),
    ("Old printer on guest Wi-Fi",  1, 1, "Office admin", "Protect"),
]

def treatment(score):
    return "mitigate now" if score >= 6 else "plan a fix" if score >= 3 else "accept, documented"

for risk, l, i, owner, fn in sorted(register, key=lambda r: r[1] * r[2], reverse=True):
    print(f"{l * i}  {risk:30} {owner:13} {fn:9} -> {treatment(l * i)}")

مثال محلول

المسألة: شركة ناشئة بعشرين موظفًا تسألك: «من أين نبدأ بالأمن؟». أجب بلغة CSF في خمس نقاط.

الحل: الحوكمة: عيّن مسؤولًا واحدًا عن الأمن، واكتب سياسة من صفحة. التعرّف: جرد بالأجهزة والحسابات السحابية والبيانات الحساسة. الحماية: MFA على البريد والسحابة، ومدير كلمات مرور، وتحديث تلقائي. الاكتشاف: فعّل تنبيهات الدخول المشبوه في البريد والسحابة. الاستجابة والتعافي: صفحة واحدة «ماذا نفعل لو» ونسخة احتياطية مختبرة. هذا يغطي أكثر المخاطر شيوعًا بتكلفة قليلة.

خرافة مقابل حقيقة

أين تقابله في العمل

اختبر فهمك

بطاقات مراجعة سريعة

تحقق من فهمك