الممارسة 03

الحوكمة والمخاطر والامتثال (GRC)

برنامج أمن، وسجل مخاطر، والدليل الذي سيطلبه مدقق أو عميل.

لماذا يهم

جهة رقابية أو عميل أو مدقق يطلب دليلاً، والبرنامج موجود على الورق في معظمه.

يفشل عمل الامتثال حين يكون ملفاً لا يستخدمه أحد. نبني الحوكمة وعملية المخاطر وأدلة الضوابط بحيث تخدم الوثائق نفسها المراجعة والناس الذين يديرون الشركة.

العمل هو التطبيق والجاهزية للتدقيق وفق الأطر المذكورة في هذه الصفحة. إذا لزم إصدار شهادة، فتصدرها جهة اعتماد معتمدة. نحن لا نصدر الشهادة.

حيث يكون الاختبار التقني أسرع طريق لمعرفة إن كان الضابط حقيقياً، تقوم ممارسة التقييم بذلك الاختبار. لا تسبق الأوراق الوقائع.

لمن هذا

قيادات تستعد لتدقيق، أو استبيان أمن من عميل صار مشروعاً، أو النسخة الأولى من برنامج يجب أن يبقى.

المخاطر التي يعالجها

  • موعد تدقيق أو جهة رقابية دون الأدلة اللازمة لتلبيته
  • سياسات موجودة على الورق لكنها لا تُتبع
  • قرارات مخاطر بلا مالكين مسمّين

ما يدخل في النطاق

  • مدير أمن معلومات افتراضي (vCISO)
  • تقييم المخاطر السيبرانية
  • تقييم الفجوات والجاهزية للتدقيق
  • إعداد السياسات والإجراءات
  • مخاطر الأطراف الثالثة
  • استمرارية الأعمال والتخطيط للتعافي
  • تدقيق داخلي لنظام إدارة أمن المعلومات
  • الامتثال لمعيار PCI DSS

أطر دولية

التزامات مصرية

أطر سعودية

شهادات يحملها أفراد من فريقنا

هذه الشهادات يحملها أفراد من فريقنا. ليست اعتمادات للشركة.

  • OSCP
  • OSEP
  • OSWE
  • OSCE
  • CEH
  • ECSA
  • LPT
  • eWAPTx
  • CRTP
  • CRTE
  • CRTO
  • CISA
  • CISM
  • CRISC
  • ISO 27001 Lead Auditor

الأمن السيبراني للبنوك والحكومة والقطاعات

المنهجية

كيف يسير

  1. 01

    الالتزام

    أي إطار، وأي عميل، وأي موعد، وأي أنظمة داخل النطاق فعلاً.

  2. 02

    الفجوة

    ما هو موجود، وما هو ورق فقط، وما هو ناقص.

  3. 03

    البناء

    سياسات وقرارات مخاطر والضوابط التي تغلق الفجوات التي تهم.

  4. 04

    الإظهار

    حزم أدلة، وشخص في الغرفة بينما المراجعة جارية.

ماذا تتسلم

برنامج وسجل مخاطر وأدلة تخدم المراجعة والناس الذين يديرون الشركة معاً.

  • تقييم فجوات مقابل الإطار داخل النطاق
  • سياسات ومعايير مكتوبة بحيث يستطيع الموظفون اتباعها
  • سجل مخاطر بمالكين وقرارات معالجة
  • جمع أدلة ودعم أثناء المراجعة
  • خطة معالجة بتواريخ وأسماء

بعد الارتباط

خطة معالجة ودعم أثناء التدقيق

تتسلم خطة معالجة بتواريخ وأسماء. وحيث يكون الاختبار التقني أسرع طريق لإثبات أن الضابط حقيقي، تقوم به ممارسة التقييم، ونبقى معكم بينما المراجعة جارية.

كيف نقف خلف العمل

التزامات تنطبق على هذه الممارسة.

  • نطاق مكتوب

    تُتفق الأنظمة وقواعد الارتباط ومعنى الإنجاز قبل أن يبدأ الاختبار أو المراقبة.

  • دليل لا كثرة

    تسمّي النتائج النظام والحالة والأثر على العمل. القائمة الطويلة بلا ترتيب ليست نتيجة.

  • لا مفاجأة في الإنتاج

    يُجدول عمل التقييم والدفاع بحيث تبقى العمليات قائمة. النتائج الحساسة لها قناة مباشرة، لا مفاجأة في ملف نهائي.

  • تسليم لا إلقاء

    الإحاطات وإعادة الاختبار والدعم المستمر جزء من الارتباط. التقرير ليس نهاية الحديث.

أسئلة

الأسئلة الشائعة

مع أي أطر تعملون؟

الأطر هي القوائم الدولية والمصرية والسعودية في هذه الصفحة. نُعد التطبيق والجاهزية للتدقيق. الشهادة تصدرها جهة اعتماد معتمدة.

هل تقدمون قوالب فقط؟

لا. تُكتب السياسات والمعايير بحيث يستطيع موظفوكم اتباعها، وتُفحص الضوابط مقابل الوقائع.

هل تدعموننا أثناء التدقيق؟

نعم. نُعدّ حزم الأدلة ويمكن أن نكون في الغرفة بينما المراجعة جارية.

تحدّث إلى خبرائنا الأمنيين

ناقش الحوكمة والمخاطر والامتثال مع متخصص.

يكفي موجز قصير: البيئة، والموعد، وهل تحتاج إلى اختبار أو برنامج ضوابط أو تغطية للفريق.