الممارسة 03
الحوكمة والمخاطر والامتثال (GRC)
برنامج أمن، وسجل مخاطر، والدليل الذي سيطلبه مدقق أو عميل.
لماذا يهم
جهة رقابية أو عميل أو مدقق يطلب دليلاً، والبرنامج موجود على الورق في معظمه.
يفشل عمل الامتثال حين يكون ملفاً لا يستخدمه أحد. نبني الحوكمة وعملية المخاطر وأدلة الضوابط بحيث تخدم الوثائق نفسها المراجعة والناس الذين يديرون الشركة.
العمل هو التطبيق والجاهزية للتدقيق وفق الأطر المذكورة في هذه الصفحة. إذا لزم إصدار شهادة، فتصدرها جهة اعتماد معتمدة. نحن لا نصدر الشهادة.
حيث يكون الاختبار التقني أسرع طريق لمعرفة إن كان الضابط حقيقياً، تقوم ممارسة التقييم بذلك الاختبار. لا تسبق الأوراق الوقائع.
لمن هذا
قيادات تستعد لتدقيق، أو استبيان أمن من عميل صار مشروعاً، أو النسخة الأولى من برنامج يجب أن يبقى.
المخاطر التي يعالجها
- موعد تدقيق أو جهة رقابية دون الأدلة اللازمة لتلبيته
- سياسات موجودة على الورق لكنها لا تُتبع
- قرارات مخاطر بلا مالكين مسمّين
ما يدخل في النطاق
- مدير أمن معلومات افتراضي (vCISO)
- تقييم المخاطر السيبرانية
- تقييم الفجوات والجاهزية للتدقيق
- إعداد السياسات والإجراءات
- مخاطر الأطراف الثالثة
- استمرارية الأعمال والتخطيط للتعافي
- تدقيق داخلي لنظام إدارة أمن المعلومات
- الامتثال لمعيار PCI DSS
أطر دولية
- ISO/IEC 27001
- ISO/IEC 27701
- ISO 22301
- PCI DSS
- SOC 2
- NIST CSF
- CIS Controls
- GDPR
التزامات مصرية
- إطار الأمن السيبراني للبنك المركزي المصري
- قانون حماية البيانات الشخصية رقم 151 لسنة 2020
- متطلبات الهيئة العامة للرقابة المالية
- متطلبات الجهاز القومي لتنظيم الاتصالات
أطر سعودية
- الضوابط الأساسية للأمن السيبراني (NCA ECC)
- ضوابط الأمن السيبراني السحابية (NCA CCC)
- إطار ساما للأمن السيبراني (SAMA CSF)
- نظام حماية البيانات الشخصية السعودي (PDPL)
شهادات يحملها أفراد من فريقنا
هذه الشهادات يحملها أفراد من فريقنا. ليست اعتمادات للشركة.
- OSCP
- OSEP
- OSWE
- OSCE
- CEH
- ECSA
- LPT
- eWAPTx
- CRTP
- CRTE
- CRTO
- CISA
- CISM
- CRISC
- ISO 27001 Lead Auditor
الأمن السيبراني للبنوك والحكومة والقطاعات
البنوك والمدفوعات والتقنية المالية
ضوابط ودليل لبيئات البنوك والمدفوعات، بما فيها إطار الأمن السيبراني للبنك المركزي المصري وPCI DSS وإطار ساما حيث ينطبق الالتزام.
التقنية والبرمجيات كخدمة
برنامج أمن يجتاز مراجعة العميل من غير أن يغرق فريقاً صغيراً. ISO 27001 هو الإطار المعتاد، ويُذكر SOC 2 حين يطلبه العميل.
الحكومة والقطاع العام
حوكمة ومراقبة وتدريب للجهات العامة. تُذكر الضوابط الأساسية للأمن السيبراني حيث ينطبق الالتزام.
الرعاية الصحية
أنظمة تحتفظ ببيانات شخصية، ومنها قانون حماية البيانات الشخصية المصري حيث ينطبق الالتزام.
النفط والغاز والطاقة
اختبار ومراقبة لبيئات التشغيل، بما فيها OT/ICS حين تكون في النطاق.
التأمين والتمويل غير المصرفي
حوكمة واختبار حيث تنطبق متطلبات الهيئة العامة للرقابة المالية، إلى جانب التطبيقات التي تشغّلها هذه الجهات.
التجزئة والتجارة الإلكترونية
متاجر وواجهات دفع أمام العميل، ومنها PCI DSS حيث تكون بيانات البطاقات في النطاق.
المنهجية
كيف يسير
- 01
الالتزام
أي إطار، وأي عميل، وأي موعد، وأي أنظمة داخل النطاق فعلاً.
- 02
الفجوة
ما هو موجود، وما هو ورق فقط، وما هو ناقص.
- 03
البناء
سياسات وقرارات مخاطر والضوابط التي تغلق الفجوات التي تهم.
- 04
الإظهار
حزم أدلة، وشخص في الغرفة بينما المراجعة جارية.
ماذا تتسلم
برنامج وسجل مخاطر وأدلة تخدم المراجعة والناس الذين يديرون الشركة معاً.
- تقييم فجوات مقابل الإطار داخل النطاق
- سياسات ومعايير مكتوبة بحيث يستطيع الموظفون اتباعها
- سجل مخاطر بمالكين وقرارات معالجة
- جمع أدلة ودعم أثناء المراجعة
- خطة معالجة بتواريخ وأسماء
بعد الارتباط
خطة معالجة ودعم أثناء التدقيق
تتسلم خطة معالجة بتواريخ وأسماء. وحيث يكون الاختبار التقني أسرع طريق لإثبات أن الضابط حقيقي، تقوم به ممارسة التقييم، ونبقى معكم بينما المراجعة جارية.
كيف نقف خلف العمل
التزامات تنطبق على هذه الممارسة.
نطاق مكتوب
تُتفق الأنظمة وقواعد الارتباط ومعنى الإنجاز قبل أن يبدأ الاختبار أو المراقبة.
دليل لا كثرة
تسمّي النتائج النظام والحالة والأثر على العمل. القائمة الطويلة بلا ترتيب ليست نتيجة.
لا مفاجأة في الإنتاج
يُجدول عمل التقييم والدفاع بحيث تبقى العمليات قائمة. النتائج الحساسة لها قناة مباشرة، لا مفاجأة في ملف نهائي.
تسليم لا إلقاء
الإحاطات وإعادة الاختبار والدعم المستمر جزء من الارتباط. التقرير ليس نهاية الحديث.
أسئلة
الأسئلة الشائعة
مع أي أطر تعملون؟
الأطر هي القوائم الدولية والمصرية والسعودية في هذه الصفحة. نُعد التطبيق والجاهزية للتدقيق. الشهادة تصدرها جهة اعتماد معتمدة.
هل تقدمون قوالب فقط؟
لا. تُكتب السياسات والمعايير بحيث يستطيع موظفوكم اتباعها، وتُفحص الضوابط مقابل الوقائع.
هل تدعموننا أثناء التدقيق؟
نعم. نُعدّ حزم الأدلة ويمكن أن نكون في الغرفة بينما المراجعة جارية.
تحدّث إلى خبرائنا الأمنيين
ناقش الحوكمة والمخاطر والامتثال مع متخصص.
يكفي موجز قصير: البيئة، والموعد، وهل تحتاج إلى اختبار أو برنامج ضوابط أو تغطية للفريق.