خلال تقييم TPRM لمورّد برمجيات يتولى معالجة مدفوعات الرعاية الصحية، طلب المقيّمون أدلة تدعم رد الاستبيان الذي يؤكد وجود برنامج سنوي لاختبار الاختراق. وكان رد المورّد قد أكد: إجراء اختبارات اختراق سنوية من قِبل جهة خارجية، وإصلاح الملاحظات وفق SLA محددة، ومراجعة النتائج من قِبل لجنة الأمن. غير أن طلبات الأدلة كشفت صورة مختلفة. فقد كان أحدث تقرير لاختبار الاختراق مؤرخًا قبل أربعة عشر شهرًا، أي خارج الوتيرة السنوية المعلنة. وأظهرت وثيقة تتبع الإصلاح ثلاثًا وأربعين ملاحظة مفتوحة، تجاوزت إحدى وثلاثون منها موعد SLA دون استكمال إصلاحها. وأظهرت محاضر اجتماعات لجنة الأمن أن آخر اجتماع عُقد قبل ستة أشهر، وأن نتائج اختبار الاختراق كانت بندًا على جدول الأعمال أُرجئ إلى الاجتماع التالي الذي لم يُعقد بعد. كان كل عنصر في رد الاستبيان دقيقًا بوصفه وصفًا للبرنامج كما هو قائم في السياسات. لكن لم يعكس أيٌّ منه الحالة التشغيلية الراهنة للبرنامج. كان برنامج اختبار الاختراق حقيقيًا. لكن تنفيذه وقت التقييم لم يكن متسقًا مع المتطلبات المعلنة للبرنامج.
ما الفجوة بين الضوابط والتطبيق حقًا؟
فجوة الضابط مقابل التنفيذ هي الفرق بين ما صُمم الضابط الأمني للقيام به (كما هو محدد في السياسات ووثائق البرامج والإجراءات) وما يقوم به فعليًا على أرض الواقع (كما يظهر في سجلات التنفيذ وبيانات الملاحظات والمقاييس التشغيلية). فالضوابط الموجودة على مستوى السياسات تصف الوضع الأمني المقصود. أما الضوابط المنفذة والعاملة فتصف الوضع الأمني الفعلي. والفجوة بينهما هي الفرق بين وثائق الامتثال والواقع الأمني التشغيلي.
من السهل نسبيًا إثبات وجود الضوابط وتوثيقها. إذ يمكن لأي مؤسسة أن تضع سياسة لأمن المعلومات، وبرنامجًا لاختبار الاختراق، وعملية لإدارة الثغرات، وإجراءً لمراجعة صلاحيات الوصول في غضون أيام. وتصف هذه السياسات بدقة الضوابط التي تعتزم المؤسسة تشغيلها. أما ما إذا كانت هذه الضوابط تعمل فعلًا (هل تُجرى اختبارات الاختراق في مواعيدها، وهل تُصلح الثغرات ضمن SLA، وهل تُفضي مراجعات الوصول إلى قرارات حقيقية) فهذا سؤال مختلف يتطلب أدلة تشغيلية لا توثيق سياسات.
مشكلة الاستبيان بوصفه توثيقًا للسياسات هي الآلية التي تستمر من خلالها الفجوات بين الضوابط والتطبيق دون اكتشاف في برامج TPRM. فالاستبيانات التي تسأل «هل لديكم برنامج لاختبار الاختراق» تطرح سؤالًا عن وجود سياسة. والإجابة الدقيقة، «نعم، لدينا برنامج يشترط اختبارات سنوية ومعالجة وفق SLA وإشرافًا من لجنة»، تصف السياسة بدقة. لكنها لا تصف حالة التطبيق. وبرنامج TPRM الذي يقبل ردود الاستبيانات دليلًا على تطبيق الضوابط قد قبل توثيق السياسات دليلًا تشغيليًا، والفجوة بين الاثنين غير مرئية للتقييم.
- قبول وجود السياسة دليلًا على التنفيذ: معاملة ردود الاستبيان التي تصف تصميم البرنامج على أنها دليل على التنفيذ التشغيلي
- تجاوزات SLA لا تظهر من خلال الاستبيان، والتأخر في الإصلاح لا ينعكس في ردود الاستبيان التي تؤكد وجود SLA للإصلاح
- إخفاقات الوتيرة التي لا يمكن اكتشافها من وصف السياسات: تقييمات متأخرة ومراجعات مؤجلة توصف وصفًا صحيحًا بأنها برامج قائمة، لا وصفًا خاطئًا بأنها جارية
- وصف حوكمة اللجان بصيغة الحاضر: وصف إشراف لجنة الأمن بأنه قائم حتى عندما لم تجتمع اللجنة مؤخرًا
- طلبات أدلة تميّز السياسات عن التنفيذ: خطوة التدقيق التي تتخطاها معظم التقييمات القائمة على الاستبيانات
لماذا يهم هذا
تكتسب فجوات تنفيذ الضوابط أهمية في TPRM لأن الحد من المخاطر الذي يوفره الضابط الأمني يعتمد كليًا على حالته التشغيلية، لا على حالته في السياسات. فبرنامج اختبار اختراق لم يُنتج أي اختبار منذ أربعة عشر شهرًا لا يكشف أي ثغرة من خلال ذلك البرنامج. وثلاث وأربعون ملاحظة مفتوحة تأخر إصلاحها عن اتفاقيات مستوى الخدمة تمثل ثغرات معروفة موجودة في بيئة المورّد ولم تُصلح. سياسة البرنامج قائمة. أما الحد من المخاطر الذي يحققه البرنامج فغائب.
يتعرض العميل مباشرةً لمخاطر فجوات تنفيذ الضوابط: فالوضع الأمني الفعلي للمورّد أضعف مما يوحي به وضع البرنامج الذي أكده الاستبيان. وتصنيف مخاطر TPRM القائم على ردود استبيان تؤكد وجود البرنامج معايَر على الوضع الأمني المقصود. أما الوضع الأمني الفعلي (اختبار الاختراق المتأخر، والملاحظات غير المُصلحة، واللجنة المعطلة) فهو الذي يحدد تعرض العميل الفعلي للمخاطر. فالتصنيف يبالغ في تقدير أمن المورّد.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو عدم طلب أدلة تميّز السياسات عن التنفيذ. فمعظم تقييمات TPRM تتضمن طلبات أدلة، إذ يُطلب من المورّدين تقديم وثائق داعمة لردود مختارة في الاستبيان. وتكمن الفجوة فيما يُقبل دليلًا. فوثيقة سياسة برنامج اختبار الاختراق أو قائمة معايير الاختبار تؤكد تصميم البرنامج. أما أحدث تقرير اختبار وجدول تتبع الإصلاح فيؤكدان الحالة التشغيلية. وقبول الأول دليلًا على الثاني هو الفجوة بعينها.
- قبول توثيق السياسات دليلًا على التنفيذ
- طلبات أدلة لا تتضمن مقاييس تشغيلية: أداء SLA، والالتزام بالوتيرة، وعمر النتائج
- لا مراجعة للأدلة بشأن حالة التنفيذ، بل يُكتفى بمراجعة توثيق السياسات
- صياغة الاستبيان بطريقة تتيح ردودًا دقيقة على مستوى السياسات وغير دقيقة على مستوى التنفيذ
- عدم متابعة فجوات الأدلة: قبول الأدلة الناقصة أو المبهمة دون اعتراض
كيف تبدو الممارسة الجيدة
تميّز برامج TPRM الناضجة بين أدلة السياسات وأدلة التنفيذ عند تصميم طلبات الأدلة، فتطلب المخرجات التي تعكس الحالة التشغيلية بدلًا من توثيق السياسات، وتطلب تحديدًا المقاييس التي تكشف الالتزام بالوتيرة وأداء SLA وجودة تنفيذ البرنامج.
- طلبات أدلة تحدد مخرجات التنفيذ: أحدث تقرير اختبار، والعمر الحالي للملاحظات، ونسبة أداء SLA للإصلاح
- التحقق من الوتيرة: مقارنة تواريخ آخر تنفيذ للبرامج بالوتيرة المعلنة
- مقاييس أداء SLA: النسبة المئوية للملاحظات التي أُصلحت ضمن SLA بدلًا من تأكيد وجود SLA
- محاضر اجتماعات هيئات الحوكمة، للتأكد من أن لجان الإشراف تجتمع وفق الوتيرة المعلنة
- تتبع أعمار الملاحظات: أقدم الملاحظات المفتوحة مؤشرًا على جودة التنفيذ
الأدوات
منصات GRC: ServiceNow GRC وMetricStream وRSA Archer
توفر منصات GRC التي تتتبع مقاييس تنفيذ الضوابط إلى جانب توثيق الضوابط رؤيةً للحالة التشغيلية لا يستطيع توثيق السياسات توفيرها. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورّدون يستخدمون منصة GRC تتتبع مقاييس التنفيذ (عمر الملاحظات، وأداء SLA للإصلاح، والالتزام بوتيرة التقييم) يمثل سؤالًا محددًا لرصد الحالة التشغيلية.
الامتثال المؤتمت: Drata، وVanta، وSecureframe
تجمع منصات الامتثال المؤتمتة أدلة التنفيذ بشكل مستمر: فهي ترصد إجراء اختبارات الاختراق، وتتتبع أداء SLA لإصلاح الثغرات، وتنبّه عندما تفقد الضوابط فعاليتها التشغيلية. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورّدون يستخدمون رصدًا مؤتمتًا للامتثال من شأنه اكتشاف إخفاقات التنفيذ الموصوفة في السيناريو الافتتاحي والتنبيه إليها يمثل سؤالًا محددًا عن قدرات الاكتشاف.
تحديات الحوكمة
يتمثل تحدي الحوكمة في فجوات تنفيذ الضوابط في مشكلة تصميم طلبات الأدلة. فطلب الأدلة أمر بسيط. أما معرفة الأدلة التي تميّز السياسات عن التنفيذ، وعدم قبول توثيق السياسات دليلًا على التنفيذ، فيتطلب فهم الفرق بينهما وتصميم طلبات أدلة تُظهر مقاييس التنفيذ تحديدًا.
- صمّم طلبات الأدلة لتستهدف مخرجات التنفيذ: التواريخ والمقاييس والسجلات التشغيلية بدلًا من وثائق السياسات
- اطلب آخر تنفيذ لجميع الضوابط الدورية: أحدث تقرير اختبار، وأحدث مخرجات مراجعة
- اطلب بيانات أداء SLA (النسبة المئوية للالتزام)، لا تأكيد وجود SLA
- تتبّع وتيرة تنفيذ البرنامج: متى نُفّذ كل ضابط دوري آخر مرة
- اعترض على الأدلة المبهمة: اعتبر عبارة «الأدلة متاحة عند الطلب» ردًا غير مستوفٍ
إذا كنت فريقًا صغيرًا
بالنسبة لعلاقاتك الثلاث الأعلى مخاطرة مع المورّدين، غيّر طلبات الأدلة الخاصة بثلاثة ضوابط شائعة من توثيق السياسات إلى مخرجات التنفيذ. فبدلًا من «توثيق برنامج اختبار الاختراق»، اطلب «أحدث تقرير لاختبار الاختراق وقائمة الملاحظات المفتوحة الحالية مع أعمارها». وبدلًا من «سياسة إدارة الثغرات»، اطلب «العدد الحالي للثغرات المفتوحة حسب الفئة العمرية ونسبة أداء SLA للربع الأخير». وبدلًا من «ميثاق لجنة الأمن»، اطلب «محاضر آخر ثلاثة اجتماعات للجنة». وستكشف إعادة تصميم الأدلة الثلاث هذه فورًا ما إذا كان تنفيذ الضوابط يطابق توثيقها.
- اطلب أحدث تقرير اختبار وقائمة الملاحظات المفتوحة الحالية، لا توثيق السياسات
- اطلب مقاييس أداء SLA، لا سياسة SLA
- اطلب محاضر الاجتماعات، لا ميثاق اللجنة
- تتبّع وتيرة التنفيذ لجميع الضوابط الدورية
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«بالنسبة لبرنامج اختبار الاختراق لديكم، يُرجى تقديم: تاريخ أحدث اختبار اختراق خارجي، وعدد الملاحظات الناتجة عن ذلك الاختبار، والعدد الحالي للملاحظات المفتوحة مع عمر أقدم ملاحظة مفتوحة.»
«بالنسبة لبرنامج إدارة الثغرات لديكم، يُرجى تقديم نسبة أداء SLA للإصلاح خلال الربع الأخير، وتحديدًا: ما النسبة المئوية للثغرات التي أُصلحت ضمن الإطار الزمني المحدد في SLA لديكم؟»
ما تتوقعه دليلًا
- تاريخ آخر اختبار اختراق والعدد الحالي للملاحظات المفتوحة مع عمر أقدم ملاحظة
- معدل أداء SLA في المعالجة: نسبة الامتثال، لا سياسة SLA
- تاريخ آخر اجتماع للجنة الأمن
- توزيع أعمار الملاحظات: المدة التي ظلت فيها الملاحظات المفتوحة مفتوحة
ينبغي سؤال المورّد الذي يؤكد رده على الاستبيان وجود برنامج سنوي لاختبار الاختراق عن تاريخ أحدث اختبار. فأربعة عشر شهرًا تقع خارج الوتيرة السنوية. البرنامج حقيقي. لكن التنفيذ غير محدَّث. وكلاهما قابل للتقييم. اسأل عن التاريخ.
كيف تُثبت ذلك
- سجلات أدلة التنفيذ للضوابط الرئيسية لدى المورّدين
- سجلات التحقق من الوتيرة: تواريخ آخر تنفيذ
- طلبات بيانات أداء SLA ونتائجها
- توثيق إعادة تصميم الأدلة
الخلاصة الرئيسية
البرنامج الموجود على الورق والبرنامج المطبَّق فعليًا وضعان أمنيان مختلفان. يصف الاستبيان البرنامج الورقي بدقة. أما الأدلة فتكشف البرنامج العامل فعليًا. فمرور أربعة عشر شهرًا منذ آخر اختبار اختراق يعني برنامجًا لم يختبر البيئة منذ أربعة عشر شهرًا. وإحدى وثلاثون ملاحظة تجاوزت SLA الخاصة بإصلاحها هي إحدى وثلاثون ثغرة معروفة لم تُصلح. ولجنة أمن لم تجتمع منذ ستة أشهر هي هيئة حوكمة لم تؤدِّ وظيفتها الإشرافية. وكل هذه الحقائق تتوافق مع رد دقيق على الاستبيان يؤكد وجود البرنامج. فالاستبيان يصف التصميم، والأدلة تصف التشغيل. اطلب الأدلة التي تكشف التشغيل.