ما الذي تطلبه ضوابط NCA ECC فعليًا من نسخة ServiceNow
الضوابط الأساسية للأمن السيبراني في المملكة العربية السعودية إلزامية للجهات الحكومية وللبنية التحتية الوطنية الحساسة. ومعظم الإطار لا علاقة له بمنصتك. أما أربع مجموعات من الضوابط فتمسّها مباشرة، وتصميمها مسبقًا أرخص من تعديلها لاحقًا.
إن كنت تشغّل ServiceNow داخل جهة حكومية سعودية، أو داخل مؤسسة مصنفة ضمن البنية التحتية الوطنية الحساسة، فإن الضوابط الأساسية للأمن السيبراني (ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA) تنطبق عليك. وهي إلزامية، وتخضع للتدقيق، ومعظم الإرشادات المكتوبة عنها موجّه إلى فرق الشبكات والبنية التحتية لا إلى منصة سير العمل.
وهذا يترك فرق المنصة أمام مشكلة عملية. ECC إطار واسع. ومعظمه — تجزئة الشبكات، والأمن المادي، ومعايير التشفير — لا علاقة له بنسختك. أما مجموعات قليلة من الضوابط فتمسّها مباشرة، وهذه تستحق أن تُصمَّم لها المنصة مسبقًا بدلًا من اكتشافها أثناء التقييم.
هذا وصف للمواضع التي تتقاطع فيها نسخة ServiceNow مع الإطار. وهو ليس رأيًا في الامتثال، وليس بديلًا عن المقيِّم لديك.
أين تقع المنصة فعليًا ضمن النطاق
أربعة مجالات، مرتبة تقريبًا بحسب كثرة ظهورها.
إدارة الهوية والوصول
يتوقع ECC أن يُمنح الوصول على أساس أقل قدر من الصلاحيات، وأن يُراجَع دوريًا، وأن يُسحب سريعًا حين تنتفي الحاجة إليه. وفي نسخة ServiceNow يتحول ذلك إلى أسئلة يستطيع المدقق طرحها مباشرة:
- من يملك دور
admin، ومن وافق على كل منحة؟ - متى جرت آخر مراجعة للوصول، وما الدليل على أنها جرت؟
- ماذا يحدث لأدوار المستخدم حين يغادر، وبأي سرعة؟
تستطيع المنصة الإجابة عن الأسئلة الثلاثة جيدًا، لكن بشرط أن يُمنح الوصول عبر طلب له جهة موافقة، لا بتعديل مدير النظام سجل المستخدم مباشرة. الفرق كبير جدًا وقت التقييم: الدور الممنوح عبر طلب يترك سجلًا مؤرخًا بجهة موافقة مسماة، أما الدور الممنوح مباشرة فيترك قيدًا في سجل التدقيق يقول إن مديرًا ما فعل شيئًا.
قرار التصميم: هل إسناد الأدوار طلب، أم إجراء إداري؟ اجعله طلبًا، فتصبح مراجعة الوصول تقريرًا. واتركه إجراءً إداريًا، فتصبح كل مراجعة إعادة بناء يدوية.
إدارة التغيير
يتوقع ECC أن تكون التغييرات مصرَّحًا بها ومختبَرة وموثّقة، مع فصل بين من يطلب التغيير ومن يوافق عليه. وهذه هي مجموعة الضوابط التي تكون فيها ServiceNow الأقوى، لأن إدارة التغيير قدرة أساسية فيها وليست إضافة ملصقة.
والجزء الذي تخطئ فيه الفرق هو فرض الفصل في التهيئة بدلًا من الاكتفاء بذكره في وثيقة سياسة. إذا كانت المنصة تسمح لطالب التغيير بالموافقة على تغييره — حتى لنوع تغيير يُعدّ منخفض المخاطر — فالضابط موجود على الورق وليس في النظام. والمدققون يختبرون النظام.
قرار التصميم: أي أنواع التغيير يجوز أن تتجاوز الموافقة، وهل يمكن لطالب التغيير أن يكون هو الموافق؟ افرض الجواب بالأدوار وقواعد الموافقة، لا بوثيقة إجراءات.
تسجيل الأحداث والحوادث
يتوقع ECC أن تُسجَّل الأحداث ذات الصلة بالأمن، وأن تُحفَظ، وأن تُراقَب. وفي النسخة يشمل ذلك الإجراءات الإدارية، ومحاولات المصادقة الفاشلة، وتغييرات الأدوار، وتغييرات التهيئة على الجداول ذات الصلة بالأمن.
وعادةً يحتاج أمران إلى انتباه. الأول الاحتفاظ: فالقيم الافتراضية لمدة الاحتفاظ بالسجلات في المنصة مضبوطة لاستكشاف الأعطال التشغيلية، لا لمدة احتفاظ تفرضها متطلبات الامتثال، وقلّما يتطابق الرقمان. الثاني المراقبة: فالسجلات التي تُحفَظ ولا تُراجَع تستوفي حرف ضابط التسجيل ولا تحقق شيئًا من غايته.
قرار التصميم: ما مدة الاحتفاظ بكل نوع من السجلات، ومن يقرؤها؟ كلا الجوابين مكانه وثيقة التصميم، لأن تغيير مدة الاحتفاظ بعد وقوع الأمر لا يستعيد بيانات تخلصت منها بالفعل.
وصول الأطراف الثالثة والموردين
يولي ECC اهتمامًا كبيرًا للوصول الممنوح لجهات خارج المؤسسة — ومنها شريك التنفيذ لديك. توقّع أن تُسأل كيف يُمنح وصول المورد، وكيف يُحدَّد بمدة، وكيف يُراقَب، وكيف يُسحب.
يستحق هذا أن يُحسم قبل بدء التنفيذ لا أثناءه. الشريك الذي يعمل عبر حسابات فردية
مسماة بتاريخ انتهاء محدد وبأقل قدر من الصلاحيات يقدّم إجابة نظيفة. أما الشريك الذي
يتشارك حساب تكامل عامًا بدور admin دائم فيقدّم ملاحظة تدقيق.
قرار التصميم: كيف يعمل وصول الشريك، وما الدليل على أنه سُحب؟ إن لم يستطع شريكك الإجابة عن هذا بوضوح، فتلك معلومة عن الشريك.
تصنيف البيانات هو القرار الذي يصبح مكلفًا
إلى جانب ECC، تغطي معايير مكتب إدارة البيانات الوطنية (NDMO) تصنيف البيانات والاحتفاظ بها ونقلها عبر الحدود، ويضيف نظام حماية البيانات الشخصية (PDPL) متطلبات الموافقة والاحتفاظ على البيانات الشخصية.
التصنيف هو ما ينبغي حسمه مبكرًا، لأنه ينتشر. فحين تعرف أي البيانات في نسختك مصنّفة بأي مستوى، تعرف أي الجداول تحتاج إلى وصول مقيَّد، وأي الحقول لا يجوز أن تغادر المملكة، وأي التكاملات تحتاج إلى مراجعة. وبعد أن تُبنى سير العمل وتُدمج التكاملات، فإن إعادة النظر في التصنيف تعني إعادة النظر في كل ذلك.
وهنا أيضًا يقع سؤال الذكاء الاصطناعي. إن كان سير عمل يستخدم نموذجًا لغويًا مستضافًا، فإن بعض محتوى السجلات يغادر النسخة للوصول إليه. وحيث لا يجوز نقل فئة من البيانات خارج المملكة، لا يجوز أن تمر تلك الفئة عبر نموذج مستضاف، ولا يغيّر أي إعداد هذه الحقيقة. إنه قيد معماري، وفهمه وقت التصميم أفضل بكثير من اكتشافه أثناء التقييم. وقد كتبنا بشكل منفصل عما يعنيه ذلك للوكلاء عمليًا.
ما لا يعنيه كل هذا
من المهم أن نكون دقيقين في حدود ما تسهم به المنصة.
النسخة المهيّأة ليست مؤسسة معتمَدة. الامتثال لـ ECC يُقيَّم على مستوى الجهة ويشمل الكثير مما لا صلة له بـ ServiceNow. ربط تهيئة المنصة بمجموعات الضوابط يدعم التقييم، لكنه لا يشكّل تقييمًا.
لا أحد يستطيع أن يبيعك الامتثال لـ ECC كمنتج. ما يمكن تسليمه هو منصة مصممة وفق مجموعات الضوابط ذات الصلة، مع تسليم الربط كتابةً حتى يرى مقيِّمك ما أُنجز ولماذا. وحيث يتطلب ضابط ما تدقيقًا معتمدًا، فذلك التدقيق عليك.
أي مورد يزعم أن تنفيذه يجعلك ممتثلًا لـ ECC يصف شيئًا غير موجود.
قائمة تحقق قصيرة قبل التقييم
إن كنت تستعد لتقييم على نسخة قائمة، فهذه الأسئلة الخمسة تكشف معظم الفجوات:
- هل تستطيع استخراج قائمة مؤرخة بمن يملك
admin، ومن وافق على كل منهم؟ - هل يستطيع طالب التغيير أن يوافق على تغييره، لأي نوع من التغييرات؟
- ما مدة الاحتفاظ بالسجلات لديك، وهل تطابق التزام الامتثال لا تفضيلك في التخزين؟
- ما حسابات الشركاء النشطة الآن، وما تاريخ انتهاء كل منها؟
- هل تصنيف بياناتك مسجّل في المنصة، أم في جدول بيانات في مكان آخر؟
النسخ التي تجتاز التقييم جيدًا نادرًا ما تكون تلك التي هيّأت أكبر عدد من الضوابط. إنها تلك التي حسم فيها أحدهم هذه الأمور الخمسة عن قصد، ودوّن قراراته، وبنى وفقها.