جاهزية قبل الاختبار، ومعالجة بعده
نعد السياسات والأدلة والخطط التي تطلبها المراجعة الأمنية، ونساعدك في تكليف مزود مؤهل بالاختبار، ونتابع كل ملاحظة حتى إعادة الاختبار.
ما يبقى في يدك عند انتهاء العمل
لدى كثير من المنشآت جدار حماية ومكافح فيروسات ومنتج للنسخ الاحتياطي. لكن ما ينقصها غالبًا أقل ظهورًا: مراجعة صلاحيات لا تترك سجلًا، ونسخة احتياطية لم يجرب أحد استعادتها، وسياسة ما زالت تصف أداة لم يشترها أحد. ينتهي كل تعاقد بوثائق تغلق هذه الفجوات، أيًا كانت الخدمة.
بيان النطاق
ما يشمله العمل وما يستثنيه، ولماذا. يُتفق عليه كتابة قبل بدء أي عمل آخر، ويبقى لك إن توقفت عنده.
السجل الناتج عن العمل
ضوابط أو موردون أو ملاحظات أو بيانات شخصية، بحسب الخدمة. لكل سطر حالة ومسؤول.
الوثائق
سياسات وخطط وإجراءات، لكل منها مسؤول وتاريخ مراجعة، تُعد وفق مسار الاعتماد لديك.
خريطة الأدلة
لكل ضابط، السجل الذي يثبت تطبيقه ومكان حفظه، لتكون إجابتك عن سؤال المراجع ملفًا تستطيع فتحه.
خطة العمل
الفجوات مرتبة، مع المسؤولين والتواريخ، ومكتوبة بحيث يستطيع مورد آخر تنفيذها.
تسع خدمات، تُشترى كل منها على حدة
يشمل التعاقد الأول خدمتين في كثير من الأحيان، وتأتي الجاهزية لضوابط ECC ومعها عمل على السياسات.
الجاهزية لضوابط NCA ECC
تحديد الوضع مقابل ECC-2:2024 ضابطًا ضابطًا، مع الأدلة التي تستند إليها كل إجابة.
اقرأ المزيدمتطلبات سعوديةالجاهزية لنظام PDPL
ما تحتفظ به من بيانات شخصية، ولماذا تحتفظ بها، والسجلات التي تتوقع SDAIA الاطلاع عليها.
اقرأ المزيدالاختبار من جانب المشتريالتكليف باختبار الاختراق
النطاق، ومقارنة المزودين، وقراءة التقرير من جانبك، ومتابعة كل معالجة حتى إعادة الاختبار.
اقرأ المزيدالحوكمةالسياسات الأمنية والحوكمة
مجموعة سياسات تناسب حجم منشأتك، وترتبط كل سياسة بالسجل الذي يثبت تطبيقها.
اقرأ المزيدالقدرة على الصمودتخطيط الاستجابة للحوادث والتمارين المكتبية
من يقرر ماذا في الساعات الأولى، يُكتب ثم تتدرب عليه قيادتك في الغرفة نفسها.
اقرأ المزيدالحوكمةأمن الأطراف الثالثة والموردين
تصنيف الموردين بحسب ما يصلون إليه، وفحص أدلتهم من حيث النطاق والتاريخ.
اقرأ المزيدمع ITF Digitalاستشارات التطوير الآمن
متطلبات أمنية ونقاط مراجعة لفرق تطوير البرمجيات وللشركات التي تشتريها.
اقرأ المزيدمع ITF ConsultISO 27001
يبني ITF Consult نظام الإدارة. ويكتب Cyber الوثائق الأمنية التي تقع ضمنه.
اقرأ المزيدمع ITF Trainingبرامج التوعية الأمنية
من يتعلم ماذا، وعبر أي قنوات، وبأي تكرار. نصممها هنا، ويقدمها ITF Training.
اقرأ المزيدنعرف ما يحتاجه منفذ الاختبار منك
درسنا كيف تُنفذ الهجمات، ونستخدم هذه المعرفة من جانبك: في النطاق قبل الاختبار، وفي التقرير بعده. يظهر ذلك في تفاصيل صغيرة. كل منها يكلف مالًا إن ظهر أثناء الاختبار، لذلك نبحث عنه قبل بدء الاختبار أو بعد وصول التقرير.
- نطاق يذكر بوابة العملاء وينسى واجهة API التي يعتمد عليها تطبيق الهاتف
- فترة اختبار تبدأ قبل إنشاء حسابات الاختبار
- ملاحظة حرجة على خادم مختبر معزول، تُرتب أعلى من ملاحظة متوسطة على صفحة تستقبل المدفوعات
- ملف صادر من أداة فحص أُضيف إليه غلاف جديد، ويُباع على أنه اختبار يدوي
كيف يسير التعاقد
النطاق أولًا، وقراءة وثائقك قبل أي مقابلة، ولا يُسلّم شيء يعجز مورد آخر عن متابعة العمل به.
- 01
المكالمة
ما الدافع، ومن طلب العمل، وبحلول أي موعد.
- 02
النطاق
الاتفاق كتابة على الكيانات والأنظمة والمواقع والاستثناءات.
تستلمبيان النطاق.
- 03
القراءة
وثائقك وعقودك واستبياناتك القائمة، قبل أي مقابلة.
تستلمفهرس وثائق.
- 04
السجل
ضوابط أو موردون أو بيانات أو ملاحظات، لكل منها حالة ومسؤول.
تستلمالسجل.
- 05
الوثائق
سياسات وخطط وإجراءات تُعد وفق مسار الاعتماد لديك.
تستلممجموعة الوثائق.
- 06
الخطة
الفجوات مرتبة، مع المسؤولين والتواريخ، تُراجع مع الإدارة.
تستلمخطة العمل.
قبل الحجز
هل تنفذون اختبار الاختراق؟
ينفذه مزود مؤهل تتعاقد معه مباشرة، فتصل ملاحظاته إليك مباشرة. نكتب النطاق، ونساعدك في مقارنة المزودين، ونقرأ التقرير معك، ونتابع كل معالجة حتى يعيد المزود اختبارها.
لماذا لا تتولى شركة الاختبار العمل كله؟
يمكنك ذلك. لكن الشركة التي تبيع الاختبار هي التي تكتب نطاقه، وتصنف ملاحظاتها، وتقرر معنى اكتمال المعالجة. فصل المستشار عن منفذ الاختبار يبقي كلًا منهما موضع مساءلة.
هل تساعدوننا إن كنا خارج المملكة؟
نعم، في كل ما عدا الجاهزية لضوابط NCA ECC ونظام PDPL، فهما التزامان سعوديان. يُقدم العمل عن بعد وباللغة الإنجليزية. وإذا كُلّف مزود باختبار، فيجب أن يكون مرخصًا أو مقبولًا حيث تعمل.
هل الجاهزية لضوابط ECC هي نفسها ISO 27001؟
لا. ISO 27001 نظام إدارة قابل للحصول على شهادة، ويتولى ITF Consult هذا العمل. أما ECC فهي مجموعة ضوابط وطنية لا تصدر عنها شهادة. ويمكن لمجموعة أدلة واحدة أن تلبي الاثنين.
ما الذي يحدد التكلفة؟
عدد الكيانات والمواقع والأنظمة ضمن النطاق، وحجم ما هو موثق بالفعل، وعدد الأشخاص المطلوب مقابلتهم، وما إذا كان النطاق يشمل الموردين والخدمات السحابية.
جزء من نظام واحد
كل قطاع يحفظ سجلاته وفق المعيار نفسه، فيعمل القطاع الثاني الذي تحتاجه بالطريقة التي عمل بها الأول.
ابدأ بنطاق مكتوب
أخبرنا بما دفعك إلى هذا العمل ومن طلبه. أول ما تستلمه نطاق مكتوب، ويبقى لك سواء أكملت أم لا.