أطر الامتثال: من الشهادة إلى أمان فعلي

الفرق بين الامتثال والأمان

الامتثال يسأل: هل لديك سياسة كلمات مرور؟ والأمان يسأل: هل الحسابات محمية فعلا؟ فقد توجد السياسة على الورق ويستعمل الجميع كلمة المرور نفسها. والشهادة تلتقط الأولى ولا تلتقط الثانية إن كان التدقيق شكليا.

والعكس صحيح أيضا: منشأة منضبطة أمنيا قد تفشل في التدقيق لأنها لا توثق ما تفعله. والتوثيق هنا ليس بيروقراطية بل إثبات أن الضابط منهجي لا اعتمادا على شخص.

كيف تقرأ متطلبا

1. ما الخطر الذي يعالجه هذا المتطلب فعلا؟
2. ما الضابط القائم عندنا الذي يعالجه بالفعل؟
3. ما الفجوة بين ما لدينا وما يطلب؟
4. ما الدليل الذي يثبت أن الضابط يعمل باستمرار لا مرة واحدة؟

وهذا الترتيب يمنع الخطأ الشائع: بناء ضوابط جديدة لإرضاء بند بينما يوجد ضابط أقوى قائم لم يوثق.

الأدلة

• الأدلة المولدة آليا أقوى من لقطات الشاشة اليدوية.
• سجل التغييرات والموافقات دليل طبيعي على الضبط.
• تقارير الفحص الدوري ونتائج الإصلاح دليل على استمرارية العملية.
• محاضر مراجعة الصلاحيات دليل على الحوكمة.
• وجمعها تلقائيا على مدار السنة أرخص بكثير من حملة قبل التدقيق.

الفخ الشائع

أن يتحول الامتثال إلى مشروع سنوي يجمع فيه الفريق أوراقا ثم يعود كل شيء كما كان. وهذا يستهلك جهدا كبيرا ولا يحسن الأمان. والعلاج أن تدمج الضوابط في العمل اليومي بحيث تنتج الأدلة تلقائيا من التشغيل الطبيعي.

ابدأ من المخاطر

أيا كان الإطار المطبق، فالأساس واحد: اعرف أصولك، وحدد مخاطرك، وطبق ضوابط متناسبة، وراقب فاعليتها، وحسن. والمنشأة التي تفعل هذا تجد أغلب متطلبات أي إطار مغطاة أصلا.

أسئلة شائعة

أي إطار نتبع؟

يتحدد بقطاعك ومتطلبات عملائك والجهات المنظمة لك. وكثير من الأطر تتقاطع في أغلب ضوابطها، فالعمل على أحدها يغطي جزءا كبيرا من غيره.

كم يستغرق الاستعداد؟

يعتمد على نضجك الحالي أكثر من الإطار نفسه. والمنشأة التي تطبق الأساسيات فعلا تحتاج توثيقا وتنظيما، والتي تبدأ من الصفر تحتاج بناء ضوابط أولا.

هل الشهادة تعني أننا آمنون؟

تعني أن ضوابط محددة كانت موجودة وقت التدقيق. والأمان حالة مستمرة تتغير مع كل تغيير في أنظمتك، ولهذا تبقى المراقبة والفحص الدوري ضرورية بعد الشهادة كما قبلها.