التقييمات الأمنية

معظم البيئات لم تُصمم لتكون غير آمنة، لكنها تنجرف مع الوقت. حساب سحابي ينمو على مدى ثلاث سنوات، وصلاحيات تتراكم، وقاعدة جدار ناري أُضيفت لمشروع واحد ولم تُزل، ومكتبة لم تُحدَّث. لا أحد يملك صورة حالية للمشهد كاملاً، واختبار الاختراق وحده لا يُظهر ما هو هش ولم يُكسر بعد.

في الحسابات السحابية على AWS أو Azure أو Google Cloud، وفي إعدادات Microsoft 365 والهوية، وفي تقسيم الشبكة، وفي شيفرة التطبيقات ومكتباتها، وفي الفجوة بين السياسة المكتوبة وما يُطبق فعلاً. ويظهر كثيراً قبل تدقيقات الشهادات، وبعد تغيير مزوّد خدمة، وحين يطرح استبيان عميل أسئلة لا يستطيع أحد الإجابة عنها بثقة.

نختار نوع التقييم الذي يناسب السؤال: مراجعة إعدادات سحابية وفق أفضل ممارسات المزوّد، أو مراجعة بنية نظام قبل بنائه أو توسيعه، أو مراجعة شيفرة تركّز على الأمان، أو تقييم فجوات الضوابط وفق إطار مثل ISO 27001 أو إطار NIST للأمن السيبراني. والمخرجات دائماً بالشكل نفسه: ما هو موجود، وما هو ناقص، ولماذا يهم، وماذا تفعل.

التقييمات في معظمها قراءة فقط. نحتاج إلى الوثائق، وصلاحية قراءة على لوحات التحكم أو المستودعات المعنية، ووقتاً مع من يشغّلون الأنظمة. ويستغرق العمل الميداني من أسبوع إلى ثلاثة أسابيع حسب النطاق. ونراجع المسودة مع فريقك قبل اعتمادها حتى لا يغيب السياق عن النتائج.

تقرير تسلّمه لمدقق، وخطة تسلّمها لمهندس.

• نتائج مع درجة الخطورة والدليل والضابط أو الإعداد الذي يعالج كلاً منها
• ربط بالإطار أو المعيار الذي يهمك
• خطة تحسين مرتبة حسب الأولوية مع تقدير للجهد

تستبدل الافتراضات بجرد حقيقي للضوابط والفجوات. تذهب الميزانية إلى التغييرات التي تقلل المخاطر أكثر، ويتوقف الاستعداد للتدقيق عن كونه سباقاً مع الوقت، وتُجاب استبيانات العملاء من الأدلة.