ابدأ تجهيز الأدلة بتحديد السؤال الذي يحتاج فريق التقييم إلى إجابته. ما الإجراء الذي تريدون فحصه؟ وفي أي نظام أو إدارة؟ وخلال أي فترة؟ عندما تتفق الفرق على هذه التفاصيل، يصبح جمع المستندات والسجلات عملاً محدداً يمكن إسناده ومتابعته. هذا الدليل يساعد فرق العمل في المملكة على تنظيم التحضير وجلسة تسليم الأدلة.
اتفق على المرجع والنطاق قبل طلب الملفات
تعرض الهيئة الوطنية للأمن السيبراني الضوابط الأساسية للأمن السيبراني بإصدار ECC 2-2024 في صفحتها الرسمية. سجّل الإصدار المرجعي مع فريق التقييم، ثم اربط به قائمة البنود التي سيشملها العمل. الهيئة الوطنية للأمن السيبراني: الضوابط الأساسية للأمن السيبراني
اكتب أسماء الأنظمة والإدارات والبيئات والفترة المشمولة. إذا كان الدليل يخص فرعاً واحداً أو بيئة تجريبية، فوضّح ذلك بجانب الملف. اطلب من المسؤول عن التقييم حسم الأسئلة المفتوحة حول النطاق قبل توزيع طلبات الأدلة. بهذه الطريقة يعرف كل فريق ما المطلوب منه، ولا تُستخدم سجلات تخص نطاقاً مختلفاً دون توضيح.
أنشئ سجلاً واحداً للأدلة
يمكن البدء بجدول بسيط متاح للمشاركين المصرّح لهم. استخدم الحقول التالية لتنظيم التحضير؛ فهي صيغة عمل مقترحة وليست نموذجاً رسمياً صادراً عن الهيئة.
| الحقل المقترح | ما الذي تسجّله؟ |
|---|---|
| مرجع البند وسؤال التقييم | البند المتفق عليه والسؤال المحدد الذي يحتاج إلى دليل |
| صاحب الدليل | الفريق أو الدور المسؤول عن توفيره وشرح محتواه |
| وصف الدليل وموقعه | اسم واضح ورابط إلى النسخة التي ستُراجع |
| النطاق والفترة | النظام أو الإدارة والبيئة والمدة التي يغطيها |
| المصدر والإصدار | طريقة استخراج الدليل وتاريخه وإصدار المستند، بحسب نوعه |
| حدود الدليل | ما لا يغطيه، أو ما يحتاج إلى تفسير إضافي |
| حالة الطلب | متاح، يحتاج استكمالاً، أو غير متاح، مع الإجراء التالي |
اجعل حالة جمع الملف منفصلة عن نتيجة تقييمه. عبارة «متاح» تعني أن الدليل وصل إلى الفريق؛ أما الحكم على كفايته فيحتاج إلى مراجعته في سياق السؤال والنطاق المتفق عليهما.
حدّد ما يحتاج إلى مستند وما يحتاج إلى شرح أو اختبار
يصف NIST في دليل تقييم الضوابط ثلاث طرق لجمع أدلة التقييم: فحص المواد، والمقابلة، والاختبار. ويمكن اختيار الطرق المناسبة بحسب هدف التقييم. هذا مرجع عام لأساليب التقييم، ولا يحدد طريقة تطبيق ECC داخل جهة بعينها. NIST SP 800-53A Rev. 5، القسم 2.4.2
عند التحضير، اكتب بجانب كل سؤال كيف يمكن مناقشته: مستند يشرح الإجراء، أو سجل يوضح تنفيذه، أو شخص يستطيع تفسيره، أو فحص متفق عليه للسلوك الفعلي. لا تطلب هذه العناصر كلها لكل بند تلقائياً؛ ناقش مع الفريق ما يلزم للإجابة عن السؤال المحدد.
جرّب السجل على مثال صغير
مثال توضيحي للتخطيط، وليس نتيجة تقييم أو حالة عميل. افترض أن الفريق يريد مراجعة كيفية إلغاء وصول مستخدم عند انتهاء حاجته إلى خدمة داخلية. يمكن تجهيز المجموعة التالية للنقاش، بعد الاتفاق على النطاق:
- وصف للإجراء ومن يطلب الإلغاء ومن ينفّذه.
- سجل طلب من الفترة المختارة، بعد إخفاء البيانات التي لا يحتاجها التقييم.
- مرجع يوضح ما نُفّذ وفي أي نظام ومتى.
- اسم الدور القادر على شرح الاستثناءات أو الخطوات غير الظاهرة في السجل.
اسأل المراجع عما إذا كانت هذه المجموعة تجيب عن السؤال، وما الذي يحتاج إلى استكمال. قد تخص العينة تطبيقاً واحداً فقط؛ سجّل ذلك بدلاً من تعميمها على بقية الأنظمة. ثم عدّل طريقة الطلب قبل توسيع جمع الأدلة إلى بنود أخرى.
جهّز مشاركة يمكن تتبّعها
عيّن مسؤولاً عن النسخة التي ستُسلّم، وحدّد من يستطيع الوصول إليها. إذا احتجت إلى إخفاء بيانات من نسخة المراجعة، دوّن ما أُخفي واحتفظ بمرجع يمكن لصاحب الدليل الرجوع إليه. اتفق على قناة المشاركة وطريقة تحديث الملفات حتى يستطيع المشاركون معرفة النسخة المستخدمة في النقاش.
قبل الجلسة، افتح الروابط من حساب المراجع المصرّح له، وتحقق من وضوح أسماء الملفات وإمكانية قراءة محتواها. جهّز قائمة قصيرة بالملفات التي تحتاج إلى شرح، وادعُ أصحاب الأدوار المعنية إلى الجزء المناسب من الجلسة.
سجّل النواقص مع إجراء تالٍ واضح
عندما لا يتوفر دليل، اكتب ما ينقص ومن سيتابعه ومتى سيُراجع الطلب مجدداً. وإذا لم يقع حدث معين خلال الفترة المختارة، سجّل ذلك وناقش مع فريق التقييم ما يمكن فحصه بدلاً منه. لا تنشئ سجلاً يوحي بتنفيذ نشاط لم يقع.
اختم جلسة التحضير بقائمة متفق عليها: الأدلة الجاهزة، والأسئلة التي تحتاج إلى توضيح، والطلبات المفتوحة وأصحابها. يبقى اكتمال هذه القائمة نتيجة لتنظيم العمل، ولا يثبت بمفرده نتيجة تقييم الضوابط.
لربط التحضير بالنقاش الأوسع حول الأدلة والقرارات، اطّلع على المرونة السيبرانية ودليل من الانكشاف إلى الأدلة. ولمناقشة متابعة الملاحظات، اطّلع على المعالجة.