أطر عمل الأمن السيبراني: ISO 27001 & NIST CSF

مجموعة من البطاقات التعليمية بالأسلوب القاموسي (المصطلح والتعريف) لتغطية مفاهيم المحاضرة الخامسة في الأمن السيبراني، بما يتضمن معيار ISO 27001، وإطار NIST CSF، والركائز الثلاث لأمن المعلومات.

معيار ISO 27001

معيار دولي يحدد متطلبات إنشاء وتطبيق وصيانة وتحسين نظام إدارة أمن المعلومات (ISMS) داخل المؤسسة.

نظام إدارة أمن المعلومات (ISMS)

مجموعة السياسات والإجراءات والمبادئ التوجيهية والموارد التي تديرها المؤسسة لحماية معلوماتها ومخاطرها وتقييمها ومعالجتها بطريقة منهجية ومستمرة.

السرية (Confidentiality)

إحدى ركائز CIA، وتعني ضمان ألا تكون المعلومات متاحة أو مكشوفة لأفراد أو عمليات غير مصرح لها.

السلامة (Integrity)

إحدى ركائز CIA، وتعني الحفاظ على دقة واكتمال المعلومات وطرق معالجتها وألا تتغير أو تتلف إلا بطريقة مصرح بها.

التوافر (Availability)

إحدى ركائز CIA، وتعني ضمان أن المستخدمين المصرح لهم يمكنهم الوصول إلى المعلومات والأصول المرتبطة بها عند الحاجة.

ثالوث CIA (CIA Triad)

الركائز الثلاث الأساسية لأمن المعلومات التي يهدف معيار ISO 27001 إلى إدارة المخاطر لحمايتها، وهي: السرية، السلامة، والتوافر.

سياق المنظمة (Context of the Organization - البند 4)

بند يتضمن فهم البيئة الداخلية والخارجية للمؤسسة، وتحديد الأطراف المعنية ونطاق نظام ISMS والأصول الحساسة.

القيادة (Leadership - البند 5)

بند يعبر عن التزام الإدارة العليا بتنمية وتوجيه نظام ISMS ووضع السياسات وتوفير الموارد اللازمة وتحديد الأدوار والمسؤوليات.

التخطيط (Planning - البند 6)

جوهر إدارة المخاطر في ISO 27001؛ يشمل تحديد المخاطر والفرص وتقييمها (الاحتمال × التأثير) ووضع خطة معالجة بالضوابط أو القبول أو التجنب أو النقل.

الدعم (Support - البند 7)

بند يركز على توفير الموارد البشرية والبنية التحتية، والوعي والتدريب، والتوثيق، وقنوات الاتصال الفعالة لدعم نظام ISMS.

العمليات (Operation - البند 8)

مرحلة تنفيذ الخطط والعمليات المحددة لضمان سير العمليات اليومية بطريقة آمنة وإدارة التغيير والحوادث الأمنية وتنفيذ الضوابط فعلياً.

تقييم الأداء (Performance Evaluation - البند 9)

مراقبة وقياس وتحليل وتقييم نظام ISMS عبر التدقيق الداخلي المنتظم ومراجعات الإدارة ومراقبة فعالية الضوابط الأمنية.

التحسين (Improvement - البند 10)

التحسين المستمر لنظام ISMS بناءً على نتائج تقييم الأداء والتدقيق وتحديد أوجه القصور واتخاذ إجراءات تصحيحية.

دورة PDCA

دورة مستمرة تمثل روح معيار ISO 27001 وتتكون من أربع خطوات: خطط (Plan - البنود 4-6)، نفذ (Do - البنود 7-8)، تحقق (Check - البند 9)، حَسّن (Act - البند 10).

إطار NIST CSF

إطار عمل مرن وطوعي لإدارة وتقليل مخاطر الأمن السيبراني، صادر عن المعهد الوطني للمعايير والتكنولوجيا (NIST).

الطبقات الأساسية (Core - NIST CSF)

المكون الأول لإطار NIST CSF، وتتكون من الأنشطة والنتائج المرجعية الأمنية المقسمة على خمس وظائف متراصة ومستمرة.

مستويات التنفيذ (Tiers - NIST CSF)

المكون الثاني لإطار NIST CSF، ويصف مستويات نضج المؤسسة في عرض وإدارة المخاطر بدءاً من الجزئي (Partial) إلى التكيفي (Adaptive).

ملفات التعريف (Profiles - NIST CSF)

المكون الثالث لإطار NIST CSF، وتُستخدم لمواءمة الوظائف مع متطلبات الأعمال والمخاطر والموارد لتحديد الوضع الحالي والمستهدف وأولويات التحسين.

وظيفة التعريف (Identify - NIST CSF)

تطوير فهم تنظيمي للمخاطر التي تواجه الأنظمة والأصول والبيانات، وتتضمن إدارة الأصول وتقييم المخاطر وتحديد الاستراتيجية والحوكمة.

وظيفة الحماية (Protect - NIST CSF)

تطوير وتنفيذ الضمانات المناسبة لضمان تقديم الخدمات الحيوية مثل التحكم في الوصول والتشفير والتدريب التوعوي.

وظيفة الكشف (Detect - NIST CSF)

تطوير وتطبيق أنشطة لتحديد وقوع حدث أمن سيبراني في أقرب وقت ممكن عبر المراقبة المستمرة واكتشاف الشذوذ.

وظيفة الاستجابة (Respond - NIST CSF)

تطوير وتطبيق أنشطة للعمل واتخاذ الإجراءات المناسبة عند اكتشاف حدث أمن سيبراني للحد من التأثير.

وظيفة التعافي (Recover - NIST CSF)

تطوير وتنفيذ أنشطة لاستعادة القدرات والخدمات التي تأثرت بحادث أمني وإعادة التشغيل الطبيعي.