دورة تدريبية في إدارة المخاطر الخاصة بالأنظمة التقنية والمعلوماتية

نظرة عامة

لكل نظام معلومات، سواء كان تطبيقا لمسيرات الرواتب أو بوابة عملاء مستضافة سحابيا، مجموعته الخاصة من التهديدات ونقاط الضعف والتبعات على الأعمال. تسير دورة إدارة المخاطر الخاصة بالأنظمة التقنية والمعلوماتية على النهج الخاص بالنظام الواحد كما تصفه إرشادات NIST لنظم تقنية المعلومات. يأخذ المشاركون نظاما نموذجيا واحدا عبر الدورة الكاملة: توصيف حدوده وبياناته وواجهاته، وحصر مصادر التهديد، واكتشاف الثغرات من خلال الفحص ومراجعة الإعدادات، وتقدير الاحتمالية والأثر، واختيار الضوابط التقنية والتشغيلية والإدارية، وموازنة كلفتها مقابل ما تخفضه من خطر، ثم كتابة تقرير تقييم المخاطر وخطة العمل التي يوقعها مالك النظام وصاحب صلاحية الاعتماد. تقدم هذه الدورة بواسطة أجايل للتدريب.

الفئة المستهدفة

• مالكو نظم المعلومات ومديرو التطبيقات المسؤولون عن مخاطر أنظمتهم
• مسؤولو ومحللو أمن المعلومات
• مديرو الخوادم والشبكات المسؤولون عن الإعدادات والتحديثات
• مدققو تقنية المعلومات ومقيمو الأمن
• قادة تطوير البرمجيات وDevSecOps

الإدارات والقطاعات المستهدفة

تناسب الدورة الجهات التي يلزمها تقييم نظم المعلومات واعتمادها قبل التشغيل وأثناءه.

• أمن المعلومات وتدقيق تقنية المعلومات وهندسة البرمجيات
• البنية التحتية والتطبيقات
• تقنية المعلومات الحكومية والمصارف وخدمات الدفع
• المستشفيات والمعلوماتية الصحية وشركات الاتصالات ومزودو الخدمات السحابية
• المرافق التي تشغل أنظمة SCADA إلى جانب نظمها المعلوماتية

أهداف التعلم

بنهاية هذه الدورة، سيكون المشاركون قادرين على:

• تحليل حدود نظام المعلومات وعتاده وبرمجياته ومسارات بياناته ومستخدميه.
• بناء قوائم مصادر التهديد والثغرات بالاستناد إلى نتائج الفحص وبيانات CVE وخطوط الأساس للإعدادات.
• تقييم الاحتمالية والأثر على السرية والسلامة والإتاحة واستخراج مصفوفة لمستويات الخطر.
• ترتيب أولويات الضوابط التقنية والتشغيلية والإدارية وتسويغها بتحليل الكلفة والعائد.
• تطبيق أنشطة الخطر الأمني في كل مرحلة من مراحل دورة حياة تطوير النظام.
• بناء تقرير تقييم المخاطر للنظام وخطة إجراءات ومعالم زمنية للخطر المتبقي.

جدول الدورة

اليوم 1: مخاطر نظام المعلومات عبر دورة حياة التطوير

• لماذا يحتاج كل نظام معلومات إلى تقييم مخاطر خاص به
• الأدوار: مالك النظام، وصاحب صلاحية الاعتماد، ومسؤول الأمن، والمقيم
• أنشطة الخطر في مراحل البدء والتطوير والتنفيذ والتشغيل والإحلال
• التصنيف الأمني وفق حساسية بيانات النظام
• التعريف بنظام الحالة وتحديد نطاق التقييم وتوزيع الأدوار

اليوم 2: توصيف النظام والتهديدات والثغرات

• توثيق الحدود والواجهات ومسارات البيانات
• مصادر التهديد البشرية والطبيعية والبيئية
• فحص الثغرات ونتائج اختبارات الاختراق والبحث في قاعدة CVE
• خطوط الأساس للإعدادات الأمنية وفجوات التحصين
• مراجعة الضوابط القائمة والمخطط لها لتكوين أزواج التهديد والثغرة

اليوم 3: الاحتمالية والأثر وتحديد مستوى الخطر

• تقدير الاحتمالية من قدرة مصدر التهديد وقوة الضوابط
• الأثر على السرية والسلامة والإتاحة
• بناء مصفوفة مستوى الخطر وقراءتها
• المنهج النوعي مقابل المنهج الكمي
• توثيق النتائج لمالكي النظم في سجل مخاطر مرتب حسب الأولوية

اليوم 4: انتقاء الضوابط وتسويغها

• الضوابط التقنية: التحكم في الوصول والتشفير والتسجيل وتحديثات الترقيع
• الضوابط التشغيلية والإدارية
• القبول أو التجنب أو الحد أو النقل: اختيار خيار لكل خطر
• تحليل الكلفة والعائد لوسائل الحماية المقترحة
• احتساب الخطر المتبقي وقبوله مع توصيات الضوابط لنظام الحالة

اليوم 5: التقرير والاعتماد والمراقبة المستمرة

• كتابة تقرير تقييم المخاطر
• خطط الإجراءات والمعالم الزمنية للملاحظات المفتوحة
• العرض على صاحب صلاحية الاعتماد مع العروض النهائية لتقارير الحالة
• المراقبة المستمرة ومحفزات إعادة التقييم
• نماذج أسئلة المقابلات للمقيمين

التمارين التطبيقية

يعمل المشاركون في فرق تقييم صغيرة على تطبيق ويب لإدارة السجلات وينفذون الأنشطة المقترحة التالية.

• نشاط مقترح: تعبئة ورقة عمل توصيف النظام من مخططات البنية ومقابلة مع مالك النظام.
• نشاط مقترح: تكوين أزواج التهديد والثغرة من الفهارس ونماذج مخرجات الفحص ومراجعة الإعدادات.
• نشاط مقترح: تقدير كل زوج على مصفوفة الاحتمالية والأثر ومستوى الخطر.
• نشاط مقترح: إكمال ورقة اختيار الضوابط وتحليل الكلفة والعائد وصياغة التقرير وخطة الإجراءات.

الأسئلة الشائعة

هل تغطي الدورة إدارة مخاطر المؤسسة؟

لا. تبقى الدورة على مستوى نظام المعلومات الواحد ولا تتناول مخاطر المؤسسة أو المخاطر التشغيلية بوجه عام.

هل أحتاج إلى خبرة عملية في أدوات الفحص؟

لا. يقرأ المشاركون نماذج مخرجات الفحص ومراجعة الإعدادات ويفسرونها، ولا يشترط تشغيل أدوات الفحص.

ما الوثائق التي سأعدها؟

وصف النظام، وقائمة التهديدات والثغرات، ومصفوفة الخطر، وتوصيات الضوابط، وتقرير تقييم المخاطر مرفقا بخطة إجراءات.

الخاتمة

يغادر المشاركون وقد أعدوا الوثائق التي يسلمها مقيم الأمن فعليا لنظام المعلومات: وصف النظام، وقائمة التهديدات والثغرات، ومصفوفة الخطر، وتوصيات الضوابط، وتقريرا مرفقا بخطة إجراءات، جاهزة للتطبيق في إدارة المخاطر الخاصة بالأنظمة التقنية والمعلوماتية داخل مؤسساتهم.