مجال بحثي · GRC بوصفها تخصصًا هندسيًا وكيلي

هندسة GRC الوكيلية: الامتثال بوصفه بيانات، والوكلاء ضمن حواجز حماية

تصدر الأطر التنظيمية في شكل وثائق، وتنشأ عمليات الربط يدويًا، وتُنفَّذ المتطلبات نفسها مرارًا. ويدرس Vami Research كيف تصبح GRC تخصصًا هندسيًا: بأطر في صورة بيانات OSCAL قابلة للقراءة آليًا، ورسم بياني مشترك لأنظمة الإدارة، ووكلاء ذكاء اصطناعي يتولّون العمل الروتيني وفق قواعد موافقة محددة – مع ذكر المصدر ومسار قابل للتدقيق.

OSCAL
الأطر بوصفها شيفرة
الرسم البياني لـ GRC
نظام الإدارة المتكامل
مستويات الاستقلالية ⁦L0–L3⁩
⁦ISO/IEC 42001⁩
مركز الثقة

حدّدوا موعد محادثة أولية إلى المنشورات

دراسات معمّقة: 15
أوراق بيضاء: 1
حلول: 2

السياق

من امتثال ملفات PDF إلى منظومة ضوابط قابلة للاستعلام

لا تطلب ⁦NIS2⁩ وDORA وCRA وAI Act إجراءات منفردة متفرقة، بل هياكل دائمة للحوكمة والمخاطر والتوجيه. غير أن لكل إطار تنظيمي صيغته ونظام ترقيمه الخاص، ومع كل إصدار جديد يبدأ عمل الربط من جديد. ومن يبني نظام ISMS وحماية البيانات وحوكمة الذكاء الاصطناعي واستمرارية الأعمال بالتوازي، يصف العمليات ويجمع أدلة الإثبات ويجيب عن أسئلة التدقيق مرارًا.

اللبنات متوفرة. فـ OSCAL يحوّل الضوابط إلى بيانات قابلة للعنونة، ويتضمن منذ الإصدار ⁦1.2.0⁩ الصادر في ديسمبر 2025 نموذجًا مستقلًا لعمليات الربط بين الأطر. ويتيح BSI منذ 29 سبتمبر 2025 مكتبة أحدث التقنيات الخاصة به على أساس OSCAL. ويمنح الهيكل الموحّد (Harmonized Structure) معايير ⁦ISO/IEC 27001⁩ و⁦27701⁩ و⁦42001⁩ و⁦ISO 22301⁩ البنود العشرة نفسها – وهي الأساس لنظام إدارة متكامل. ويبقى قيد واحد: لا يوجد لـ ⁦ISO 27001⁩ كتالوج OSCAL رسمي قابل للتوزيع الحر بسبب حقوق النشر.

وتصبح GRC وكيليةً حين يتولّى وكلاء الذكاء الاصطناعي العمل الروتيني على هذا الأساس – بشكل قابل للتتبع ووفق قواعد الموافقة. ففي VamiGRC، نظام الإدارة المتكامل الوكيلي من VamiSec، يجيب VamiAI عن الأسئلة من واقع نظام IMS مع ذكر المصدر؛ وتحدد مستويات الاستقلالية من ⁦L0⁩ إلى ⁦L3⁩ ما يتطلب موافقة. أما Vamiset، القابلة للاستخدام بشكل مستقل ودون وظيفة ذكاء اصطناعي حاليًا، فترصد الأصول في السحابة والشيفرة والموارد البشرية بصلاحيات قراءة، وتفحصها مقابل الضوابط. ويُظهر مركز الثقة (Trust Center) لدى VamiSec عبارة «Powered by» التي تُعرّف VamiGRC بوصفه المنصة.

أسئلة بحثية

أسئلة مفتوحة من الممارسة العملية

01
كيف يتحول ملف PDF لإطار تنظيمي إلى مجموعة ضوابط قابلة للتدقيق والإدارة بالإصدارات؟
نهجنا
عبر OSCAL: كتالوجات بمعرّفات ثابتة ونص حرفي، وملفات تعريف (Profiles) للاختيار والتكييف، وعمليات ربط بأنواع علاقات مُعلَّلة. وبذلك تصبح تغييرات الإصدارات مقارنات (Diffs) بدلًا من بدايات جديدة. وفي VamiGRC يدمج Framework Composer عدة معايير في مجموعة ضوابط واحدة، وتُضاف الأطر الخاصة عبر الاستيراد – وصولًا إلى بيان قابلية التطبيق.
02
ما مقدار الاستقلالية الذي يجوز منحه لوكلاء الذكاء الاصطناعي في عمليات الحوكمة والمخاطر والامتثال؟
نهجنا
بالقدر الذي تحتمله المهمة، ولا يجري ذلك أبدًا دون أن يُلحَظ. ففي VamiGRC تُنفَّذ كل عملية كتابة على مستوى استقلالية محدد من ⁦L0⁩ إلى ⁦L3⁩: يدويًا، أو بمساعدة الذكاء الاصطناعي، أو بتنفيذ الذكاء الاصطناعي مع موافقة إلزامية، أو باستقلالية كاملة وتدقيق كامل. وتحددون لكل مهمة المستوى الذي تُنفَّذ عليه، مثلًا مراجعات الإدارة يدويًا والمراقبة المستمرة (Continuous Monitoring) باستقلالية كاملة. والمستويات مستوحاة من OWASP APTS ومكيَّفة لـ GRC.
03
كيف تبقى إجابات مساعد الذكاء الاصطناعي في سياق GRC قابلة للتحقق؟
نهجنا
بأن تشير كل إجابة إلى مصدر، وأن يوافق عليها إنسان قبل تمريرها. فـ VamiAI يجيب عن الأسئلة من واقع نظام IMS مع ذكر المصدر، ويُعدّ مسودات الإبلاغ وفق ⁦NIS2⁩ وDSGVO وDORA وCRA وAI Act، ويراجعها فريقكم ويقدّمها. وفي استبيانات العملاء يقترح الذكاء الاصطناعي إجابات من قاعدة معرفة مُدارة بالإصدارات؛ وتحتفظ كل إجابة بسجل التدقيق الخاص بها مع المسؤول والمصدر والتوقيت.
04
كيف تصبح حوكمة الذكاء الاصطناعي جزءًا من نظام الإدارة بدلًا من مشروع موازٍ؟
نهجنا
عبر جرد للذكاء الاصطناعي مع تصنيف للمخاطر لكل حالة استخدام، ونظام AIMS وفق ⁦ISO/IEC 42001⁩ يتبع البنية الأساسية نفسها التي يتبعها ⁦ISO/IEC 27001⁩: سجل أصول واحد، ومنهجية مخاطر واحدة، وعمليات تدقيق مشتركة. ويُكمل NIST AI RMF منظور المخاطر، ويُكمل ⁦ISO/IEC 27090⁩ التهديدات التقنية الخاصة بالذكاء الاصطناعي. ومنذ 2 أغسطس 2026 تسري كذلك التزامات الشفافية في لائحة الذكاء الاصطناعي.

الاستنتاجات

ما نخلص إليه

01
الأطر بوصفها بيانات تجعل الامتثال المتعدد عملية على البيانات
يجعل OSCAL كل ضابط كائنًا قابلًا للعنونة بمعرّف ثابت ونص حرفي. ومنذ الإصدار ⁦1.2.0⁩ أصبح الربط بين الأطر جزءًا من المعيار، بأنواع علاقات مُعلَّلة. ويمكن تقييم تغييرات الإصدارات بوصفها مقارنات (Diff)، وتستند عمليات التدقيق إلى مراجع قابلة للإثبات – شريطة أن تُغلِّف منصةٌ ما تعقيدَ المعيار.
المرجع: OSCAL — الأطر بوصفها شيفرة
02
⁦Grundschutz++⁩ يأتي بوصفه كتالوج OSCAL – ويُراد للفحص أن يصبح قابلًا للأتمتة
عرض BSI المنهجية بوصفها معيار BSI ⁦300-1⁩، وفق خطة المعالم الرئيسية، في 27 أكتوبر 2026 خلال ⁦it-sa⁩. ويجمع كتالوج التطبيق ⁦Grundschutz++⁩ 1,000 متطلب في 20 ممارسة، ويتوفر بصيغة OSCAL. وبحسب BSI، يمكن تقديم طلبات الحصول على شهادة ⁦ISO 27001⁩ على أساس ⁦Grundschutz++⁩ اعتبارًا من 1 يناير 2027.
المرجع: ⁦Grundschutz++⁩
03
أمن الذكاء الاصطناعي وفق ⁦ISO/IEC 27090⁩ لا يحتاج إلى نظام إدارة ثانٍ
⁦ISO/IEC 27090⁩ دليل إرشادي لا يتضمن متطلبات قابلة لمنح الشهادة. وتدخل أنواع الاختراق التسعة فيه بوصفها كتالوجًا للتهديدات في تقييم المخاطر ضمن نظام ISMS، وتدخل التدابير المضادة في بيان قابلية التطبيق. وتشملها أيضًا عمليات التدقيق الداخلي ومراجعة الإدارة وتدقيق الشهادة؛ أما الشهادة فتظل تُمنح وفق ⁦ISO/IEC 27001⁩.
المرجع: ISO 27001 × ISO 27090
04
الذكاء الاصطناعي لا يسرّع الاستبيانات الأمنية إلا بمكتبة إجابات ومراجعة
تتعرف الأدوات المدعومة بالذكاء الاصطناعي على الأسئلة المتشابهة دلاليًا، وتقترح مسودات إجابات من مكتبة مُنتقاة بعناية. ولا يصبح ذلك متينًا إلا بالحوكمة: إجابات مُراجَعة مع مالك محدد وفترة صلاحية، وعملية موافقة، وسجل تدقيق لكل إجابة، ومطابقة منتظمة مع الحالة الفعلية للضوابط.
المرجع: استبيانات الأمن

المنهجية

كيف نعمل

نتعامل مع الامتثال بوصفه مهمة هندسية: المتطلبات بوصفها بيانات، والعلاقات بوصفها رسمًا بيانيًا، والأتمتة بموافقات محددة فقط – وكل إفادة قابلة للإرجاع إلى مصدر.

الأطر بوصفها شيفرة

إدارة الأطر التنظيمية بوصفها كتالوجات وملفات تعريف OSCAL، وتعليل عمليات الربط بين الأطر، وتقييم تغييرات الإصدارات بوصفها مقارنات (Diff).

نظام الإدارة المتكامل

أنظمة ISMS وPIMS وAIMS وCSMS وBCMS بمقياس مخاطر مشترك، وضبط واحد للوثائق، وبرنامج تدقيق مشترك بدلًا من أنظمة متوازية.

وكلاء ضمن حواجز حماية

تحديد مستويات الاستقلالية لكل مهمة، وفرض الموافقات قبل الخطوات ذات العواقب، وعدم السماح بالإجابات إلا مع ذكر المصدر.

أدلة إثبات مستمرة

رصد الأصول في السحابة والشيفرة والموارد البشرية بصلاحيات قراءة، وفحصها مقابل الضوابط عند الحاجة أو وفق جدول زمني، مثلًا باستخدام Vamiset وقواعد YAML خاصة، دون وظيفة ذكاء اصطناعي.

مركز الثقة والاستبيانات

إتاحة أدلة الإثبات عبر الخدمة الذاتية مع وصول متدرج، والإجابة عن استبيانات العملاء من مكتبة إجابات مُدارة بالإصدارات مع مراجعة.

حوكمة الذكاء الاصطناعي

جرد الذكاء الاصطناعي، وتصنيف المخاطر لكل حالة استخدام، ونظام AIMS وفق ⁦ISO/IEC 42001⁩، مع استكمالها بـ NIST AI RMF والتزامات الشفافية في لائحة الذكاء الاصطناعي.

هكذا تبدؤون

1النمذجةربط الأطر التنظيمية والمتطلبات التعاقدية والعمليات والأصول والمورّدين وحالات استخدام الذكاء الاصطناعي والمخاطر في رسم بياني واحد؛ وتنفيذ المتطلبات مرة واحدة وربطها مرات متعددة.
2الأتمتةتسليم العمل الروتيني إلى الوكلاء، كلٌّ على مستوى محدد: تحليلات الفجوات ومسودات الأدلة مع موافقة إلزامية، والمراقبة المستمرة (Continuous Monitoring) باستقلالية كاملة ومع التدقيق.
3الإثباتربط أدلة الإثبات بالضوابط، وتغذية عمليات التدقيق ومراجعات الإدارة منها، وإثبات الوضع للأطراف الخارجية عبر مركز ثقة (Trust Center).

المنشورات