ضوابط الأمن

ضوابط الأمن أو التدابير الأمنية هي وسائل حماية أو تدابير مضادة تُستخدم لتجنب أو كشف أو إحباط أو تقليل المخاطر الأمنية التي قد تهدد الممتلكات المادية أو المعلومات أو أنظمة الحاسوب أو غيرها من الأصول. وفي مجال أمن المعلومات تهدف هذه الضوابط إلى حماية سرية المعلومات وسلامتها وتوافرها.

قد يُشار إلى مجموعات الضوابط باسم «أطر عمل» أو «معايير»، إذ تساعد الأطر المؤسسات على إدارة الضوابط عبر أنواع متعددة من الأصول بمنهجية متسقة.

وتُستخدم الضوابط لتقليل احتمال وقوع الحوادث الأمنية أو الحد من آثارها، وللمساهمة في الوفاء بمسؤوليات المؤسسة عبر إدارة مخاطر متسقة تتعلق بالأنظمة والأصول والبيانات والشبكات والبنى التحتية المادية.

 أنواع ضوابط الأمن 
يمكن تصنيف الضوابط الأمنية وفق معايير متعددة، ومن ذلك تصنيفها بحسب كيفية عملها وتوقيتها وموقعها بالنسبة إلى واقعة الاختراق، ويُشار إلى هذا أحيانًا باسم «أنواع الضوابط».

 الضوابط الوقائية (Preventive): تُصمَّم لمنع وقوع الحادث أصلًا، مثل منع غير المصرح لهم من الدخول، أو ضبط الدخول الفيزيائي إلى غرف الخوادم، أو فرض قيود تمنع الوصول غير المصرح به.
 الضوابط الكاشفة (Detective): تهدف إلى اكتشاف الحادث أو توصيفه وتسجيله، مثل عزل سلوك مشبوه على الشبكة أو استخدام أدوات المراقبة لاكتشاف النشاط غير الاعتيادي.
 الضوابط التعويضية (Compensating): تُستخدم لتخفيف الضرر المستمر أثناء حادث نشط، مثل إيقاف نظام عند اكتشاف برمجيات خبيثة.
 بعد وقوع الحادث، تُستخدم الضوابط التصحيحية (Corrective) لاستعادة الأثر ومعالجة الضرر وإرجاع العمل إلى وضعه الطبيعي بأكبر قدر من الكفاءة الممكنة.

كما يمكن تصنيف الضوابط بحسب طبيعة تنفيذها (ويُسمّى ذلك أحيانًا «فئات الضوابط»)، بما يساعد على بناء دفاع متعدد الطبقات يجمع بين جوانب فيزيائية وإدارية وتقنية وتشريعية.

 الضوابط الفيزيائية: تشمل عناصر ملموسة مثل الأسوار والأبواب والأقفال وكاميرات المراقبة وأنظمة مكافحة الحريق.
 الضوابط الإجرائية/الإدارية: مثل عمليات الاستجابة للحوادث، والإشراف الإداري، والتوعية الأمنية والتدريب.
 الضوابط التقنية/المنطقية: مثل استيثاق المستخدم، وضوابط الوصول المنطقية، وبرمجيات مكافحة الفيروسات، والجدران النارية.
 ضوابط الامتثال القانونية والتنظيمية: مثل قوانين الخصوصية والسياسات واللوائح وبنود الامتثال (مثل HIPAA وGDPR) التي توجه المؤسسات في معالجة البيانات وحمايتها.

 فعالية الضوابط ودورة حياتها 
تشمل الضوابط الأمنية ضوابط تقنية (مثل إدارة الوصول) وضوابط إدارية (مثل السياسات والإجراءات)، ويُنظر إلى اختبار فعالية هذه الضوابط والتحقق منها بوصفه نشاطًا أساسيًا لتحسين الموقف الأمني وتقليل المخاطر التشغيلية.

تُفيد عمليات الاختبار والتحقق في التأكد من أن الضمانات القائمة تحمي السرية والسلامة والتوافر، وتوفر رؤية أوضح عن الوضع الأمني للخدمة، وتدعم خطط المعالجة التي تُعطى أولوية بناءً على مواطن الضعف أو فشل الضوابط.

وتذكر أدلة التقييم عادة خطواتٍ مثل توثيق تنفيذ الضوابط، ومراقبة الضوابط والتحقق منها عبر اختبارات يدوية أو آلية (مثل مراجعة السجلات والمسح عن الثغرات واختبارات الاختراق)، ثم إعداد تقارير بالنتائج والمؤشرات والاتجاهات.

وتُعد الضوابط جزءًا من «استراتيجية معالجة المخاطر» التي تأتي بعد تقييم المخاطر، كما يُنظر إلى تصميمها وبنائها وتشغيلها وتعديلها بوصفه جزءًا من دورة حياة أمنية مستمرة.

 الغرض داخل المؤسسات 
تُستخدم مجموعات الضوابط المعيارية داخل المؤسسات لتوحيد مستوى الحماية وتقليل التباين بين الوحدات المختلفة، وقد تشير سياسات تقنية معلومات جامعية—على سبيل المثال—إلى أن «استخدام مجموعة من الضوابط المعيارية» يساعد على ضمان حماية مناطق المؤسسة المختلفة من التهديدات.

وتعرض بعض السياسات الضوابط ضمن فئات تشغيلية مثل «ضوابط الحواسيب» و«حماية البيانات» و«حماية الشبكات» و«استيثاق المستخدم»، مع أمثلة عملية تشمل حماية البريد، والكشف والاستجابة على نقاط النهاية، وإدارة الترقيع، والتشفير الكامل للأقراص، ومراقبة التدفقات الشبكية والتسجيل، وتطبيق أساليب مثل المصادقة الثنائية.

 معايير أمن المعلومات وأطر الضوابط 

تقدم معايير سلسلة ISO/IEC 27000 ممارسات وأطرًا لإدارة ضوابط أمن المعلومات وتساعد على تنظيم تحليل الضوابط وتصميمها وإدارتها ضمن نظام إدارة أمن معلومات.

ويُشار في سياقات مهنية إلى أن ISO/IEC 27001:2022 (الصادر في أكتوبر 2022) يعيد تنظيم ضوابط الملحق (Annex A) ضمن أربع مجموعات (تنظيمية، بشرية، فيزيائية، وتقنية) ويحدد عددًا من الضوابط في هذا الملحق، مع فترة انتقال للشهادات السابقة ضمن إطار زمني محدد.

 المنظمة الدولية للتقييس (ISO) 

تتضمن ISO/IEC 27001 في إصدارها الأحدث تقسيمًا للضوابط إلى مجموعات تشغيلية وتجمعها كذلك ضمن «قدرات تشغيلية» تُستخدم لتسهيل المواءمة بين الضوابط وعمليات المؤسسة وإدارة المخاطر.

وتشير النسخة السابقة ISO/IEC 27001:2013 إلى تقسيم ضوابط الملحق (Annex A) إلى مجموعات تغطي السياسات والتنظيم والموارد البشرية وإدارة الأصول والتحكم بالوصول والتشفير والأمن الفيزيائي والأمن التشغيلي والاتصالات والاقتناء والتطوير وإدارة الموردين وإدارة الحوادث واستمرارية الأعمال والامتثال.

 معايير الحكومة الفدرالية الأمريكية لأمن المعلومات 
تنطبق معايير معالجة المعلومات الفدرالية (FIPS) على الوكالات الحكومية الأمريكية، بينما تُدار بعض أنظمة الأمن القومي—تحت إشراف لجنة أنظمة الأمن القومي—خارج هذا الإطار.

يحدد «FIPS 200» (الحد الأدنى لمتطلبات أمن المعلومات والأنظمة) متطلبات أمنية دنيا لبيئات معلومات فدرالية، ويشير إلى اختيار الضوابط على أساس المخاطر، وتُعرض كتالوجات الضوابط ضمن منشورات متخصصة مثل المعهد الوطني للمعايير والتقنية.

 إطار عمل الأمن السيبراني NIST 
يُعرض إطار عمل NIST للأمن السيبراني بوصفه إطار نضج مقسّم إلى وظائف أساسية ويشمل عناصر «النواة» (Core) التي تتضمن ضوابط وإرشادات واسعة الاستخدام في المؤسسات الأمريكية والجهات الحكومية.

 NIST SP 800-53 
تقدم NIST SP 800-53 كتالوجًا لضوابط أمنية موزعة ضمن عائلات، مع تطورات عبر المراجعات شملت إضافة ضوابط لإدارة البرامج وإدخال عائلات لضوابط الخصوصية وتوسعة التغطية لتشمل جوانب خصوصية البيانات ضمن أطر NIST ذات الصلة.

 مجموعات ضوابط تجارية 
 COBIT 5 
COBIT إطار ضوابط مملوك تنشره جمعية ISACA، ويُستخدم في حوكمة تقنية معلومات المؤسسة وإدارتها عبر عمليات معرفية وتشغيلية متعددة.

 ضوابط CIS (CIS 18) 
تُعرف «ضوابط CIS» بأنها مجموعة ممارسات أمن سيبراني مُرتبة حسب الأولوية لحماية الأنظمة والبيانات، وتقسم إلى 18 ضبطًا رئيسيًا، وتُصنف كذلك ضمن «مجموعات تنفيذ» (Implementation Groups) لتسهيل ترتيب الأولويات بحسب قدرات المؤسسة ونضجها.

 الاتصالات 

في مجال الاتصالات تُعرّف الضوابط الأمنية ضمن وثائق معمارية الأمن بوصفها «خدمات أمنية» في إطار نموذج OSI، وتتضمن آليات مثل الاستيثاق والتحكم بالوصول وسرية البيانات لحماية الاتصالات الشبكية.

 المسؤولية عن البيانات (قانونية/تنظيمية/امتثال) 
يُستخدم مفهوم «مسؤولية البيانات» لوصف تقاطع مخاطر الأمن مع القوانين التي تحدد معيار العناية الواجبة (standard of care)، كما تظهر قواعد بيانات وأدلة لمساعدة مديري المخاطر في تتبع التزامات الإخطار عن خروقات البيانات ومتطلبات الامتثال عبر الولايات أو الدول.

ومن الأمثلة: مخطط Perkins Coie لإخطارات خروقات الأمن، وقوائم NCSL لقوانين إخطار خروقات البيانات على مستوى الولايات الأمريكية، ومنصات بحث تجارية تربط الأطر (مثل NIST) بقواعد قانونية متعددة المستويات.

 أطر ضبط الأعمال 
هناك نطاق واسع من الأطر والمعايير التي تتناول ضوابط الأعمال داخليًا وبين المؤسسات، بما في ذلك معايير تقارير الضبط (مثل SSAE وISAE) ومعايير قطاعية وتنظيمية مثل معيار أمن بيانات قطاع بطاقات الدفع وغيرها.

 انظر أيضًا 
 التحكم بالوصول
 أمن الطيران
 الدفاع في العمق
 أمن المعلومات
 الأمن الفيزيائي
 مخاطر
 الأمن
 هندسة الأمن
 إدارة الأمن
 الخدمات الأمنية

 المراجع 

 وصلات خارجية 




تصنيف:أمن
تصنيف:أمن الإنترنت
تصنيف:أمن البيانات
تصنيف:أمن شبكات الحاسوب
تصنيف:حوكمة المعلومات
تصنيف:علم الحاسوب