البحرين، السعودية
حوّل متطلبات الأمن إلى سياسات وضوابط وأدلة تصمد أمام التدقيق
لرؤساء أمن المعلومات ومديري تقنية المعلومات ومسؤولي الامتثال في البحرين والمملكة العربية السعودية ممن يحتاجون إلى استراتيجية أمنية، أو مجموعة سياسات قابلة للتطبيق، أو مسار موثوق نحو ISO/IEC 27001 أو إطار وطني. كما ندعم استراتيجية تقنية المعلومات وتنفيذ المشاريع وقرارات الشراء.
كيف يمكننا المساعدة
- التخطيط
- استراتيجية الأمن وتقنية المعلومات، مع خارطة طريق مرتبة حسب المخاطر والجهد
- الحوكمة
- سياسات ومعايير وعمليات وأطر يستطيع فريقك اتباعها
- الامتثال
- تقييم الفجوات ودعم التطبيق لـ ISO 27001 والضوابط الأساسية للأمن السيبراني (NCA ECC) وقانون حماية البيانات الشخصية (PDPL)
- القرار
- تقييم المخاطر ومراجعة الأطراف الخارجية ودراسات الجدوى والمناقصات
المشكلات التي يُطلب منا حلها
لا تنطبق كل مشكلة على كل مؤسسة. وإذا بدت لك إحداها مألوفة، فالعمود الأخير يرشدك إلى الخدمة التي تعالجها.
| الموضوع | ما قد يترتب عليها | كيف يمكننا المساعدة |
|---|---|---|
| إنفاق على الأمن دون خطة | ما قد يترتب عليها: أدوات تُشترى استجابةً لآخر حادثة أو تدقيق، بينما تبقى المخاطر الأكبر قائمة ويصعب تبرير الميزانيات. | كيف يمكننا المساعدة: تطوير استراتيجية الأمن السيبراني وسياساته، والتدقيق وتقييم المخاطر |
| سياسات موجودة على الورق فقط | ما قد يترتب عليها: وثائق منسوخة من نماذج جاهزة لا يلتزم بها أحد، وهو ما يلاحظه المدققون سريعاً عند طلب الأدلة. | كيف يمكننا المساعدة: تطوير سياسات ومعايير أمن المعلومات، وتطوير عمليات الأمن السيبراني |
| جهة تنظيمية أو عميل يشترط الآن تطبيق إطار عمل | ما قد يترتب عليها: موعد نهائي للوفاء بمتطلبات ISO/IEC 27001 أو الضوابط الأساسية للأمن السيبراني (NCA ECC) أو قانون حماية البيانات الشخصية (PDPL)، دون رؤية واضحة للفجوة أو للعمل المطلوب. | كيف يمكننا المساعدة: الامتثال لأطر الأمن السيبراني الوطنية والعالمية، والامتثال لأطر خصوصية البيانات وحمايتها (SDAIA NDMO وPDPL) |
| موردون لديهم صلاحية الوصول إلى بياناتك أو أنظمتك | ما قد يترتب عليها: يصبح الاختراق لدى المورد حادثة تخصك، وقد لا تمنحك العقود الحق في التحقق من ضوابطه. | كيف يمكننا المساعدة: إدارة مخاطر الأطراف الخارجية (التقييمات والتدقيق) |
| مدفوعات بالبطاقات تُعالج دون ضوابط واضحة | ما قد يترتب عليها: بيانات دفع مكشوفة عبر بوابات الدفع أو عمليات التكامل أو إجراءات الموظفين، وأسئلة صعبة من البنوك المستحوذة أو الشركاء. | كيف يمكننا المساعدة: الامتثال لأنظمة الدفع (مجمّعو المدفوعات، بوابات الدفع، أمن بيانات الدفع) |
| مشاريع ومشتريات تقنية تحيد عن مسارها | ما قد يترتب عليها: مشاريع تتجاوز ميزانياتها وجداولها، وموردون يُختارون بناءً على العروض التقديمية لا على متطلبات متفق عليها مسبقاً. | كيف يمكننا المساعدة: تطوير استراتيجية تقنية المعلومات، وإدارة المشاريع والاستشارات، ودعم المشتريات، وإعداد كراسات طلب العروض (RFT) |
خدماتنا مصنّفة بحسب المشكلات التي تعالجها
أربع عشرة خدمة في أربع مجموعات. توضح كل خدمة المشكلة التي تعالجها، وما يتضمنه العمل عادةً، وما تحصل عليه في النهاية.
استراتيجية الأمن والحوكمة
حدّد أين ينبغي توجيه الجهود الأمنية، ودوّن ذلك بصيغة يستطيع الموظفون اتباعها والمدققون اختبارها.
تطوير استراتيجية الأمن السيبراني وسياساته
- المشكلة
- العمل الأمني تحركه الحوادث وملاحظات التدقيق بدلاً من توجه متفق عليه.
- ما يتضمنه العمل
- مقابلات مع القيادة وفريق تقنية المعلومات، ومراجعة المخاطر والضوابط والالتزامات الحالية، والاتفاق على الأولويات للسنة إلى السنوات الثلاث القادمة.
- ما تحصل عليه
- استراتيجية أمنية وخارطة طريق بمبادرات مرتبة حسب خفض المخاطر والجهد، وسياسة أمنية عليا لاعتمادها من الإدارة.
تطوير سياسات ومعايير أمن المعلومات
- المشكلة
- السياسات غير موجودة، أو قديمة، أو منسوخة من نماذج لا تتوافق مع طريقة عملك.
- ما يتضمنه العمل
- مراجعة الوثائق الحالية مقارنةً بالتزاماتك وممارساتك الفعلية، ثم صياغة السياسات (ما يجب أن يحدث) والمعايير (الإعدادات والقواعد المحددة) بالتعاون مع من سيتولون مسؤوليتها.
- ما تحصل عليه
- مجموعة من السياسات والمعايير مربوطة بالإطار الذي تتبعه، مع مسؤولين محددين ودورة مراجعة.
تطوير عمليات الأمن السيبراني
- المشكلة
- مهام مثل مراجعة الصلاحيات أو تطبيق التحديثات الأمنية أو التعامل مع الحوادث تعتمد على أفراد بدلاً من عملية محددة.
- ما يتضمنه العمل
- توصيف كيفية أداء العمل حالياً، ثم تصميم إجراءات بأدوار واعتمادات وسجلات ونقاط تسليم واضحة.
- ما تحصل عليه
- إجراءات وسجلات موثقة تُنتج الأدلة التي سيطلبها المدقق.
تطوير إطار الأمن السيبراني
- المشكلة
- تحتاج إلى هيكل واحد يربط السياسات والضوابط والمسؤوليات معاً عبر متطلبات متعددة.
- ما يتضمنه العمل
- تحديد أدوار الحوكمة ولجانها، ومجموعة ضوابط مستمدة من المعايير والأنظمة المنطبقة، وآلية مراقبة الامتثال ورفع التقارير بشأنه.
- ما تحصل عليه
- إطار للأمن السيبراني خاص بمؤسستك، مع مواءمة للضوابط وهيكل للحوكمة وتقارير إلى الإدارة.
الامتثال والتدقيق والمخاطر
اعرف موقعك مقارنةً بمعيار أو نظام، وسُدّ الفجوات، وتحقق من المخاطر التي تنتقل إليك من الآخرين.
الامتثال لأطر الأمن السيبراني الوطنية والعالمية (ISO 27001 وPCI DSS وISO 22301 وNCA ECC)
- المشكلة
- يتعين عليك استيفاء معيار للأمن أو لاستمرارية الأعمال، أو إثبات التقدم نحو استيفائه.
- ما يتضمنه العمل
- تأكيد النطاق، وتقييم الفجوات مقابل المعيار المختار، ووضع خطة معالجة، والدعم في السياسات والضوابط والأدلة قبل التدقيق الخارجي.
- ما تحصل عليه
- تقرير فجوات، وخطة معالجة مرتبة حسب الأولوية، ووثائق جاهزة للتدقيق متى شمل النطاق دعم التطبيق.
الامتثال لأطر خصوصية البيانات وحمايتها (SDAIA NDMO وPDPL)
- المشكلة
- تعالج بيانات شخصية ولست متأكداً مما إذا كانت ممارساتك تستوفي قواعد حماية البيانات المنطبقة عليك.
- ما يتضمنه العمل
- حصر البيانات الشخصية وتدفقاتها، ومراجعة الأسس القانونية والإشعارات وعمليات النقل والاحتفاظ، ووضع ضوابط وإجراءات الخصوصية.
- ما تحصل عليه
- سجل حصر للبيانات، وتقرير فجوات، والسياسات والإجراءات اللازمة لسد الفجوات.
الامتثال لأنظمة الدفع (مجمّعو المدفوعات، بوابات الدفع، أمن بيانات الدفع)
- المشكلة
- تخزّن بيانات الدفع أو تعالجها أو تنقلها، أو تقدم خدمات الدفع للآخرين.
- ما يتضمنه العمل
- تحديد الأنظمة التي تتعامل مع بيانات الدفع، ثم تقييم الضوابط التي تحميها مقابل المتطلبات الأمنية المنطبقة على دورك.
- ما تحصل عليه
- تقرير بالنتائج يحدد الضوابط التي تحتاج إلى معالجة وخطة لمعالجتها.
إدارة مخاطر الأطراف الخارجية (التقييمات والتدقيق)
- المشكلة
- يستطيع الموردون والشركاء الوصول إلى بياناتك أو أنظمتك، لكن رؤيتك محدودة لكيفية حمايتهم لها.
- ما يتضمنه العمل
- تصنيف الموردين حسب الصلاحيات والبيانات المتاحة لهم، واستبيانات أمنية ومراجعة الأدلة، وتدقيق الموردين الأعلى خطورة متى سمحت عقودك بذلك.
- ما تحصل عليه
- سجل لمخاطر الموردين، ونتائج تقييم لكل مورد تمت مراجعته، ومتطلبات تعاقدية ورقابية موصى بها.
التدقيق وتقييم المخاطر
- المشكلة
- تحتاج إلى رأي مستقل حول مخاطرك الأمنية، أو حول ما إذا كانت الضوابط تعمل كما هو موثق.
- ما يتضمنه العمل
- تحديد الأصول والتهديدات، وتقدير الاحتمالية والأثر، واختبار ضوابط مختارة مقابل الأدلة من خلال المقابلات والوثائق ومراجعة الأنظمة.
- ما تحصل عليه
- سجل للمخاطر وتقرير تدقيق أو تقييم بنتائج مرتبة حسب المخاطر مع المعالجة الموصى بها.
استراتيجية تقنية المعلومات وعملياتها والتنفيذ
واءِم التقنية مع أهداف الأعمال، واجعل عمليات تقنية المعلومات قابلة للتكرار، ونفّذ المشاريع وفق الخطة.
تطوير استراتيجية تقنية المعلومات
- المشكلة
- تُتخذ قرارات الاستثمار التقني طلباً بطلب، دون رؤية لما ينبغي أن تكون عليه تقنية المعلومات خلال السنوات القادمة.
- ما يتضمنه العمل
- مراجعة أهداف الأعمال، والوضع الحالي للتطبيقات والبنية التحتية، والمهارات والتكاليف، والاتفاق على القدرات المستهدفة.
- ما تحصل عليه
- استراتيجية لتقنية المعلومات وخارطة طريق بمبادرات متسلسلة واعتماديات وتقدير مبدئي للجهد.
تطوير عمليات تقنية المعلومات
- المشكلة
- يُتعامل مع الحوادث والتغييرات والطلبات بشكل مختلف في كل مرة، ومستويات الخدمة غير واضحة.
- ما يتضمنه العمل
- تقييم الممارسات الحالية لإدارة خدمات تقنية المعلومات، وتصميم عمليات مثل إدارة الحوادث والمشكلات والتغييرات والطلبات، بالاستناد إلى الممارسات المعترف بها في إدارة الخدمات.
- ما تحصل عليه
- عمليات موثقة بأدوار ومسارات عمل ومؤشرات قياس يستطيع فريقك تشغيلها وتحسينها.
إدارة المشاريع والاستشارات
- المشكلة
- مشروع تقني يفتقر إلى خطة أو مسؤول أو تقارير موثوقة عن حالته.
- ما يتضمنه العمل
- تخطيط النطاق والجدول الزمني والمخاطر والاعتماديات، والتنسيق بين الموردين والفرق الداخلية، ورفع تقارير التقدم إلى رعاة المشروع.
- ما تحصل عليه
- مشروع مُدار بخطة محدّثة، وسجل للمخاطر والمشكلات، وتقارير دورية عن الحالة.
المشتريات والمناقصات
قرّر ما تشتريه بناءً على متطلبات وأدلة متفق عليها، وأدِر عملية اختيار يمكن الدفاع عنها.
دعم المشتريات (تقييم الخدمات والمنتجات، وتحليل دراسات الجدوى)
- المشكلة
- يتعين عليك الاختيار بين منتجات أو مزودين وتبرير التكلفة أمام الإدارة.
- ما يتضمنه العمل
- تحديد المتطلبات، ومقارنة الخيارات بها، ومراجعة العروض والعروض التوضيحية، وتقدير التكاليف والفوائد.
- ما تحصل عليه
- تقرير تقييم مع توصية، ودراسة جدوى للخيار المفضل.
إعداد كراسات طلب العروض (RFT)
- المشكلة
- تحتاج إلى طرح منافسة في السوق، وتريد عروضاً يمكنك مقارنتها بإنصاف.
- ما يتضمنه العمل
- كتابة المتطلبات الوظيفية والفنية والأمنية، وصيغة الرد، ومعايير تقييم مرجّحة يُتفق عليها قبل وصول العروض.
- ما تحصل عليه
- كراسة طلب عروض متكاملة ونموذج للتقييم، مع الدعم أثناء تقييم العروض عند الحاجة.
فحص ذاتي لحوكمة الأمن
أربعة عشر أساساً لبرنامج فعّال لحوكمة الأمن. حدّد ما هو مطبّق لديك بالفعل: لا يُحفظ أو يُرسل أي شيء تختاره.
تقييم الفجوات أم التطبيق أم تدقيق منح الشهادة؟
كثيراً ما يُخلط بين هذه الثلاثة، وهي ليست بدائل لبعضها. باتخاذ ISO/IEC 27001 مثالاً، إليك الغرض من كلٍّ منها.
| الموضوع | تقييم الفجوات | التطبيق | تدقيق منح الشهادة |
|---|---|---|---|
| السؤال الذي يجيب عنه | تقييم الفجوات: ما مدى بُعدنا عن المعيار، وما الذي ينقصنا؟ | التطبيق: كيف نبني ما ينقصنا؟ | تدقيق منح الشهادة: هل يستوفي نظام الإدارة لدينا المعيار، في رأي مدقق مستقل؟ |
| من ينفذه | تقييم الفجوات: فريق داخلي أو مستشار مثل فيرتيوثينكو | التطبيق: فرقك، بدعم من مستشار | تدقيق منح الشهادة: جهة مستقلة لمنح الشهادات، يجب ألا تكون قد شاركت في بناء النظام الذي تدققه |
| ما الذي يفحصه | تقييم الفجوات: متطلبات نظام الإدارة في المعيار والضوابط المرجعية في الملحق A (عددها 93 في إصدار 2022، مجمّعة ضمن محاور تنظيمية وبشرية ومادية وتقنية) | التطبيق: النطاق، وتقييم المخاطر ومعالجتها، وبيان قابلية التطبيق، والسياسات، والإجراءات، والضوابط التقنية، والتدقيق الداخلي، ومراجعة الإدارة | تدقيق منح الشهادة: المعلومات الموثقة أولاً، ثم مدى عمل النظام كما هو موصوف، وعادةً ما يتم ذلك في تدقيق من مرحلتين |
| ما تحصل عليه | تقييم الفجوات: تقرير فجوات وخطة معالجة مرتبة حسب الأولوية | التطبيق: سياسات وإجراءات وسجلات قائمة، وضوابط مطبّقة | تدقيق منح الشهادة: نتائج التدقيق، وفي حال النجاح، شهادة تظل سارية من خلال تدقيقات المتابعة اللاحقة |
| متى تختاره | تقييم الفجوات: قبل الالتزام بميزانية أو موعد للحصول على الشهادة أو أمام جهة تنظيمية | التطبيق: بعد الاتفاق على الفجوات والأولويات | تدقيق منح الشهادة: عندما يكون النظام قد عمل مدة كافية لإنتاج الأدلة، بما في ذلك تدقيق داخلي ومراجعة من الإدارة |
نقدم تقييم الفجوات ودعم التطبيق. ولا نصدر شهادات؛ إذ تتولى منح الشهادة جهة معتمدة لمنح الشهادات تعيّنها أنت.
كيف يسير العمل في المشروع
- 01
الاستكشاف
نتعرف على أهدافك والتزاماتك ومواعيدك النهائية، ومن يجب إشراكه.
- 02
الاتفاق على النطاق
نتفق على المعيار أو المسألة المطروحة، والنطاق التنظيمي، والأشخاص الذين ستُجرى معهم المقابلات، وما ستحصل عليه.
- 03
التقييم
مقابلات ومراجعة للوثائق وفحص عينات من الأدلة، مقابل الإطار أو المتطلبات المتفق عليها.
- 04
التنفيذ
تقرير وخارطة طريق، تليهما السياسات أو العمليات أو الضوابط أو وثائق المناقصة المتفق عليها ضمن النطاق.
- 05
التسليم والمراجعة
استعراض النتائج مع المسؤولين، ونقل المعرفة، ومراجعات متابعة متى تم الاتفاق عليها.
الأنظمة والمعايير الأكثر استفساراً عنها
تعتمد المتطلبات المنطبقة على قطاعك ودورك ومكان عملك. هذه هي النقاط التي نصادفها أكثر من غيرها، وينبغي أن يؤكد مستشارك القانوني مدى انطباقها عليك.
| الموضوع | ما يعنيه للحوكمة | ما يجب التحقق منه |
|---|---|---|
| قانون حماية البيانات الشخصية في البحرين (PDPL)، القانون رقم 30 لسنة 2018 | ما يعنيه للحوكمة: يضع قواعد معالجة البيانات الشخصية، بما في ذلك الحصول على تصريح مسبق لمعالجة البيانات البيومترية والجينية وربط الملفات والمراقبة بالكاميرات (CCTV)، وحقوق صاحب البيانات، وإبلاغ الهيئة بحالات الخرق خلال 72 ساعة من اكتشافها. وتشمل العقوبات غرامات تصل إلى 20,000 دينار بحريني. | ما يجب التحقق منه: ما إذا كانت سياساتك وسجلاتك وإجراءات التعامل مع الحوادث لديك تغطي هذه الالتزامات، وما إذا كنت بحاجة إلى مراقب حماية بيانات خارجي. |
| الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA) في السعودية | ما يعنيه للحوكمة: الضوابط الأساسية للأمن السيبراني: 4 مكونات أساسية، و28 مكوناً فرعياً، و108 ضوابط أساسية، و92 ضابطاً فرعياً، تغطي الحوكمة والتعزيز والصمود والأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية. | ما يجب التحقق منه: ما إذا كنت ضمن النطاق (الجهات الحكومية والجهات التابعة لها، وجهات القطاع الخاص المالكة أو المشغّلة للبنى التحتية الوطنية الحساسة)، وكيف ستثبت الامتثال من خلال التقييم الذاتي أو أداة التقييم الخاصة بالهيئة الوطنية للأمن السيبراني أو الزيارات الميدانية. |
| ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA) في السعودية | ما يعنيه للحوكمة: تُعد ضوابط الأمن السيبراني للحوسبة السحابية امتداداً للضوابط الأساسية للأمن السيبراني، وتتضمن ضوابط لمقدمي خدمات الحوسبة السحابية وللجهات المستفيدة منها. | ما يجب التحقق منه: ما إذا كنت مقدماً للخدمة أو مستخدماً للسحابة أو كليهما، وأي الضوابط تنطبق على هذا الدور. |
| ISO/IEC 27001:2022 | ما يعنيه للحوكمة: معيار دولي لنظام إدارة أمن المعلومات (ISMS). وهو اختياري ما لم تشترطه جهة تنظيمية أو عميل أو عقد، وتمنح الشهادة جهة مستقلة لمنح الشهادات. | ما يجب التحقق منه: أي أجزاء المؤسسة ينبغي أن تشملها الشهادة، وما إذا كان العميل أو المناقصة يشترط الحصول على الشهادة أم مجرد التوافق مع المعيار. |
تساعدك خدماتنا على العمل نحو استيفاء هذه المتطلبات؛ لكنها وحدها لا تجعل المؤسسة ممتثلة أو حاصلة على الشهادة. لمزيد من التفاصيل، اطّلع على خدماتنا للامتثال لقانون حماية البيانات الشخصية في البحرين، وخدمات مراقب حماية البيانات الخارجي (DPG)، والامتثال للضوابط الأساسية للأمن السيبراني، أو على جميع خدمات الامتثال.
الأسئلة الشائعة
الاستراتيجية والاستشارات والحوكمة وإدارة المخاطر والامتثال: الأسئلة الشائعة
لم تجد ما تبحث عنه؟ تواصل مع فريقنا.
لا. تصدر الشهادة عن جهة معتمدة لمنح الشهادات تعيّنها أنت، وينبغي أن تكون مستقلة عمّن ساعدك في بناء النظام. نحن نساعدك على الاستعداد من خلال تقييم الفجوات ودعم التطبيق والجاهزية للتدقيق.
ابدأ بتقييم الفجوات ما لم تكن تعرفها مسبقاً. فهو يوضح لك ما هو موجود وما ينقصك وحجم العمل المتبقي تقريباً، لتتمكن من تحديد ميزانية وموعد واقعيين قبل الالتزام بهما.
نبدأ من هياكل مجرّبة، لكننا نكيّف كل سياسة مع طريقة عمل مؤسستك الفعلية ونتفق عليها مع من سيتولون مسؤوليتها. فالسياسة التي لا يتبعها أحد تولّد ملاحظات التدقيق بدلاً من أن تمنعها.
عادةً لا. فمعايير مثل ISO/IEC 27001 والضوابط الأساسية للأمن السيبراني (NCA ECC) تتداخل بدرجة كبيرة، لذلك نربط المتطلبات بمجموعة ضوابط واحدة ونوضح المواضع التي يتطلب فيها كل إطار شيئاً إضافياً.
عدد المواقع ووحدات الأعمال والأنظمة ضمن النطاق، وحجم الوثائق الموجودة مسبقاً، ومدى سرعة توفر الأشخاص للمقابلات، ومدى سرعة اتخاذ القرارات. ونقدم تقديراً بمجرد الاتفاق على النطاق.
راعٍ يملك صلاحية اتخاذ القرار، ونقطة اتصال رئيسية، والوصول إلى السياسات والسجلات الحالية، ووقت من مسؤولي العمليات لإجراء المقابلات. وفي مراجعات الأطراف الخارجية، نحتاج أيضاً إلى قائمة مورديك والعقود ذات الصلة.
أخبرنا بما تحتاج إلى تحقيقه
شاركنا المعيار أو النظام أو القرار الذي تعمل على تحقيقه، وأي موعد نهائي. وسيتواصل معك أحد أعضاء فريقنا لترتيب محادثة أولية والاتفاق على نقطة الانطلاق المناسبة.