الأدلة والرؤى
كيف تستعد لتقييم إطار ساما للأمن السيبراني؟
ابدأ بنطاق واضح ومسؤولين معروفين وأدلة يمكن الرجوع إليها. استخدم هذا الدليل لتنظيم التحضير ومناقشة ما سيشمله التقييم، وليس لإسناد درجة نضج إلى الجهة بصورة ذاتية.
ناقش نطاق التقييمحدد الغرض والنطاق
اكتب الهدف من المراجعة والأنظمة والفرق المشمولة. ناقش مدى انطباق المتطلبات مع المسؤولين المختصين، وحدد القيود والاستثناءات قبل جمع الملفات. يرتبط إطار ساما بتقييم نضج الأمن السيبراني وفعالية الضوابط لدى الجهات المشمولة به.
أنشئ سجلًا للأدلة
يمكن أن يتضمن سجل التحضير: الموضوع، والمسؤول، ووصف الدليل، ومكان حفظه، وتاريخه، والأسئلة المفتوحة. هذا تنظيم مقترح للتحضير، وليس نموذجًا صادرًا عن ساما أو قائمة مكتملة بمتطلبات الإطار.
راجع الصلة والحداثة
لكل دليل، اسأل: ما الموضوع الذي يوضحه؟ ما الفترة أو النظام الذي يغطيه؟ من يستطيع شرحه؟ سجّل المعلومات الناقصة بدلًا من افتراض اكتمالها، واتفق على طريقة مشاركة الملفات الحساسة.
اتفق على الخطوة التالية
ناقش نطاق المراجعة، وطريقة توثيق الملاحظات، والمسؤولين عن المتابعة. استخدم صفحة تقييم الجاهزية وفق SAMA CSF لبدء مناقشة الخدمة، وسجل التحضير لتنظيم أسئلتك الداخلية.
المصدر المرجعي: SAMA — Cyber Security Framework
سجل التحضير للأدلة
نموذج مقترح للتخطيط، وليس نموذجًا رسميًا أو نتيجة تقييم.
أسئلة قبل طلب عرض لتقييم SAMA CSF
ابدأ بتحديد القرار الذي تحتاج الجهة إلى اتخاذه بعد التقييم، ثم اطلب عرضًا يوضح النطاق والأدلة والمخرجات. عند مقارنة العروض، استخدم قائمة واحدة بالأنظمة والإدارات والفترة المشمولة حتى تكون المقارنة مفيدة.
إذا كان النقاش يتناول مستوى النضج، فاطلب توضيح كيفية الاستدلال عليه والأدلة التي تدعمه وما بقي غير محسوم. اجعل حالة جمع الأدلة منفصلة عن نتيجة تقييمها؛ وجود ملف لا يجيب وحده عن جميع أسئلة التقييم.
لتحديد التكلفة والجدول المقترحين، ناقش حدود النطاق، وتوافر الأدلة، ومشاركة المسؤولين، وما إذا كانت المعالجة أو إعادة التقييم مشمولة. اطلب فصل هذه الأعمال في العرض عندما تختلف مسؤولياتها أو مخرجاتها.
- ما الأنظمة والإدارات والفترة التي سيغطيها التقييم؟
- من يملك كل دليل، ومن يستطيع شرح ما يثبته وحدوده؟
- كيف ستُعرض الملاحظات والأسئلة التي لم تتوافر أدلة كافية للإجابة عنها؟
- ما الأعمال المشمولة في العرض، وما الذي يحتاج إلى اتفاق منفصل؟