تدقيقات أمن تقنية المعلومات بمعيار مرجعي واضح

تفحص تدقيقات الامتثال ما إذا كان نظام إدارة ما يستوفي متطلبات محدّدة – مثل التدقيقات الداخلية وفق ISO/IEC 27001 (البند 9.2) أو تدقيقات منح الشهادة والمراقبة من قِبل جهات معتمدة. أما تدقيقات الأمن التقنية فتعمل على مستوى أعمق: إذ تقيس الوضع الفعلي لأنظمة محدّدة – الإعدادات والصلاحيات ومجموعات القواعد – مقابل معيار مرجعي تقني مثل CIS Benchmark أو وحدة من IT-Grundschutz. ويكمّل المنظوران بعضهما: فتدقيق الامتثال يُثبت عملية فعّالة، والتدقيق التقني يُثبت درجة التحصين الفعلية. لذلك لا تقول الشهادة وحدها الكثير عن جودة إعدادات الأنظمة المنفردة – والعكس صحيح.

عمليًا ترسّخت صيغ مركّزة. يفحص تدقيق أمن Active Directory هياكل الصلاحيات والتفويض، والحسابات والمجموعات المميّزة، وعلاقات الثقة، وتحصين وحدات التحكم بالمجال – فبوصفه نظام الهوية المركزي يُعدّ AD هدفًا مفضّلًا للهجمات. ويقيّم تدقيق إعدادات M365/السحابة إعدادات المستأجر، وسياسات الهوية والوصول، والتسجيل، والمشاركات الخارجية مقابل كتالوجات مثل CIS Microsoft 365 Foundations Benchmark. وتفحص مراجعة قواعد جدار الحماية قاعدة القواعد بحثًا عن أذونات واسعة جدًا وقواعد مهجورة ومكرّرة، وكذلك عملية إدارة التغيير؛ وتقيّم مراجعة البنية بصورة شاملة تقسيم الشبكة ومفاهيم المناطق ومسارات الوصول الإداري.

CIS Benchmarks الصادرة عن Center for Internet Security هي مواصفات إعدادات قائمة على التوافق ومحايدة تجاه الشركات المصنِّعة – أكثر من 100 دليل لأكثر من 25 عائلة منتجات، من أنظمة التشغيل مرورًا بالمنصات السحابية وحتى مكوّنات الشبكة. وتذكر كل توصية القيمة الآمنة المستهدفة مع خطوات الفحص والتنفيذ؛ ومعظم الـ Benchmarks مقسّمة إلى ملفين: المستوى 1 لتأمين أساسي بتأثيرات تشغيلية طفيفة، والمستوى 2 لحاجة الحماية المرتفعة. وإلى جانب ذلك تُعدّ الشركات المصنِّعة خطوط أساس خاصة بها: إذ تنشر Microsoft خطوط أساس أمنية محدّثة باستمرار لـ Windows وWindows Server ومنتجات أخرى، يمكن مقارنتها بسياسات المجموعة القائمة عبر Security Compliance Toolkit. وبالنسبة للتدقيقات: يجب ذكر المعيار المرجعي والإصدار والملف صراحةً في التقرير – وإلا فلن تكون النتائج قابلة لإعادة الإنتاج.

يتضمّن IT-Grundschutz-Kompendium الصادر عن BSI (إصدار 2023) ‏111 وحدة في عشر طبقات، ويصوغ لكل وحدة متطلبات أساسية وقياسية ومتطلبات لحاجة الحماية المرتفعة. وللتدقيقات التقنية أهمية خاصة للوحدات القريبة من الأنظمة مثل APP.2.2 Active Directory Domain Services – التي أُعيد تحريرها بالكامل لإصدار 2023 – أو NET.3.2 Firewall. ومقارنةً بمواصفات الإعدادات المفصّلة في CIS Benchmarks فإن وحدات Grundschutz أكثر تجريدًا، لكنها تغطّي في المقابل الجوانب التنظيمية والتشغيلية أيضًا، ويمكن ربطها مباشرةً بنظام ISMS وفق معايير BSI أو ISO/IEC 27001. ويطوّر BSI حاليًا IT-Grundschutz إلى منظومة قواعد رقمية موجّهة بالكامل نحو العمليات، يمكن تقييم قواعدها آليًا أيضًا؛ ووفق بيانات BSI يبقى الـ Kompendium قابلًا للتطبيق خلال الفترة الانتقالية الممتدة لعدة سنوات.

منهجيًا تستند تدقيقات الأمن إلى ISO 19011، الدليل الإرشادي لتدقيق أنظمة الإدارة: أهداف ومعايير تدقيق محدّدة، وبرنامج تدقيق مخطّط، ونتائج قائمة على الأدلة. والمسار النمطي: تحديد النطاق (الأنظمة، والمعيار المرجعي، وحاجة الحماية)، وجمع البيانات عبر تصدير الإعدادات، والوصول القرائي بالأدوات، والمقابلات، ومراجعة الوثائق، ثم المقارنة بالمعيار المرجعي وتقييم كل انحراف في سياقه – فليس كل انحراف خطرًا إذا كانت ضوابط تعويضية فعّالة. ويفصل التقرير ملخصًا للإدارة يتضمّن الصورة الإجمالية وأبرز المخاطر عن الجزء التقني، الذي تُوثَّق فيه كل نتيجة مع الدليل وتقييم المخاطر وتوصية ملموسة. والحاسم هو ترتيب الأولويات حسب المخاطر الفعلية بدلًا من مجرد درجة استيفاء قائمة التحقق.

لا توجد دورية فحص ملزمة عمومًا للتدقيقات التقنية – وينبغي تحديد الدورية على أساس المخاطر. وقد أثبتت الممارسة جدوى فحص الأنظمة الحرجة مثل Active Directory وجدران الحماية المركزية ومستأجري السحابة سنويًا، وإضافيًا بعد التغييرات الجوهرية (عمليات الترحيل، والمنصات الجديدة، واندماج الشركات). وعلى مستوى الامتثال تشترط ISO/IEC 27001 تدقيقات داخلية على فترات مخطّطة (البند 9.2)؛ وتسري الشهادات في دورة مدتها ثلاث سنوات مع تدقيقات مراقبة سنوية. ولأن CIS Benchmarks وخطوط الأساس من الشركات المصنِّعة تُحدَّث باستمرار، ولأن الإعدادات تنحرف أثناء التشغيل، تكمّل مؤسسات كثيرة التدقيقات الدورية بمراقبة مستمرة للإعدادات مدعومة بالأدوات.