Full transcript
0:04حسناً ، لقد اتخذنا
0:06قرار البدء بمعيار 27001
0:08بناءً على عدة متطلبات
0:10، أليس كذلك ؟ سواء من
0:12جانب ليس فقط حماية
0:14المعلومات والبنية
0:16التحتية للمؤسسة ،
0:17ولكن أيضاً بسبب
0:19السياقات الحالية في
0:21السوق ، أليس كذلك ؟
0:22خاصة في مجال
0:23التكنولوجيا ، حيث
0:25بدأوا يطلبون المزيد
0:27من الضوابط ، ليس فقط
0:28على مستوى الأمن ، بل
0:30أيضاً على المستوى
0:32التنظيمي ، وهو ما
0:33يقدمه لك معيار 27001 إلى
0:35حد ما ، أليس كذلك ؟
0:37نظام فيما يتعلق
0:39بالضوابط التقنية ،
0:40ولكنه يشمل أيضاً
0:42ضوابط المؤسسة بشكل
0:44عرضي . قررنا اختيار
0:48هذا النطاق ، ربما
0:50كاستراتيجية ، للحصول
0:52على نطاق أكثر تحديداً
0:54، ولكن ليكون عملية
0:56جوهرية للشركة . ولهذا
1:00السبب قررنا المضي
1:02قدماً في ذلك النطاق .
1:03حسناً ، الجدول الزمني
1:05قد تمدد بالفعل . في
1:08البداية ، كنا نعتقد
1:10أننا سنحصل على
1:12الشهادة في غضون عام
1:14تقريباً ، ثم أدركنا
1:15الواقع بأن الأمر ليس
1:17كذلك ، لأننا لم نرغب
1:19في الامتثال لورقة
1:21فحسب ، بل أردنا أن
1:23تكون تلك الضوابط
1:25فعالة ، ومنفذة بشكل
1:27جيد ، وذات معنى حقيقي
1:29داخل المؤسسة ، وأن
1:30نتمكن من إثبات ذلك
1:32ليس فقط بالأوراق بل
1:34بالأفعال أيضاً . وقد
1:41تمدد الأمر لأكثر من
1:43عام قليلاً ، لأنه في
1:45لحظة تنفيذ الضوابط
1:47بدأت تظهر مواضيع
1:48ومشكلات مختلفة كان
1:50يجب معالجتها
1:51ومراجعتها وإعادة
1:53صياغتها مع مراعاة
1:55وجهات نظر متعددة . لذا
1:59، بهذا المعنى ، أعتقد
2:01أنه كانت هناك توقعات
2:03بعام واحد ، لكن الأمر
2:05انتهى به بأن يكون
2:07أطول قليلاً ، بعد أن
2:09أصبح السياق التنظيمي
2:11أكثر نضجاً . شيء لم أكن
2:13أتوقعه هو أن المعيار
2:14نفسه يتطور بمرور
2:16الوقت ، أليس كذلك ؟
2:18المعيار لا يقتصر على
2:19إصدار واحد ، بل يتم
2:21تحديثه بمرور الوقت
2:22إلى إصدارات مختلفة ،
2:24كما يتم إصدار تعديلات
2:26تُضاف إلى الضوابط
2:27الموجودة بالفعل . وشيء
2:30آخر لم أكن أتوقعه
2:32ربما هو الجانب البيئي
2:34، لأنه لا يطلبون
2:35ضوابط تقنية وتنظيمية
2:37فحسب ، بل يبدأون أيضاً
2:40في تنظيم الأثر البيئي
2:42، وهو ما قد يكون أكبر
2:44أو أصغر بناءً على نوع
2:46الصناعة التي تعمل بها
2:48، أليس كذلك ؟ إذًا ، من
2:50هذه الناحية ، هذه نقطة
2:52جيدة ربما لا يتم
2:53الحديث عنها كثيرًا ،
2:55ولكن عند حلول موعد
2:57التدقيق ، يبدأون
2:58أيضًا بالمطالبة بما
3:00يتعلق بالتأثيرات
3:01البيئية للمنظمة .
3:03الرقابة التي تتطلب
3:04أكبر قدر من الجهد ،
3:06ربما ، هي جانب الحوكمة
3:08بالكامل ، لأن الأمر لا
3:10يتعلق بتطبيق تحكم
3:11تقني في نظام ما ، بل
3:13بالقدرة على تنظيم
3:15نظام إداري ، كما كنا
3:17نتحدث ، يجب أن يكون
3:18عرضيًا ، ومنظمًا ،
3:20ويجب أن تكون جميع
3:21الأطراف المعنية على
3:23دراية به وأن تقبله .
3:25لذا ، من هذا المنطلق ،
3:27ربما كل ما يتعلق
3:29بالحوكمة هو أحد أكثر
3:31النقاط تحديًا ، ولكنه
3:33أيضًا الأكثر إثارة
3:35للاهتمام ، لأنك تحتاج
3:37إلى أن يكون الدعم من
3:38المنظمة بأكملها . هنا ،
3:41لا يتم العمل فقط على
3:42ضوابط تقنية ، بل يتم
3:44العمل أيضًا على ثقافة
3:46، وهو ما يستغرق ربما
3:48وقتًا أطول للتنظيم ،
3:50لكنه في النهاية ما
3:52يحقق أكبر أثر ، لأنه
3:53بمجرد أن تدعمك
3:55الثقافة والمنظمة ،
3:57يمكنك وضع تلك الضوابط
3:59موضع التنفيذ فعليًا .
4:01حسنًا ، كان هذا تحديًا
4:02مثيرًا للاهتمام
4:04للغاية لأننا كنا نقوم
4:05بشيء آخر ، أليس كذلك ؟
4:07في مجال الجودة
4:08والعمليات . أعتقد أن
4:11أكثر ما ساعدنا هو
4:12امتلاك خلفية سابقة في
4:14العمليات ، لأن جزءًا
4:16كبيرًا من الحصول على
4:18الاعتماد هو وجود
4:19تعريف جيد لكل عملية
4:21من العمليات
4:22التنظيمية وتلك التي
4:24تتطلبها المعايير .
4:28إذًا ، أعتقد أن الأمر
4:30يتعلق بذلك ، ناهيك عن
4:32رغبة الفريق في التطور
4:34، وفي حل المشكلات . ومن
4:38هذا المنظور أيضًا ،
4:40كان دعم المنظمة
4:41حاضرًا ، حيث لم نكن
4:43وحدنا ، بل بدأت العديد
4:45من الفرق التقنية في
4:47المشاركة والإجابة
4:48على جميع أسئلتنا .
4:51لأننا حينها بدأنا
4:52بالذهاب إلى كل قسم
4:54لنرى كيف كان وضعهم .
4:56لذا ، أعتقد أن أكثر ما
4:58ساعد كان ذلك بالتحديد
5:00. أن تبدأ الثقافة في
5:01التشكّل من الصفر ،
5:03أليس كذلك ؟ تدريجيًا ،
5:05وبفضل رغبة الفريق
5:06أيضًا في أخذ المشروع
5:08على محمل الجد . لذلك ،
5:10أعتقد أن بإمكان أي
5:12شخص المساهمة من هذه
5:13الناحية . سواء كنت من
5:15أي مجال ، فبما أن
5:17الأمر أصبح محورياً
5:18كما كنا نتحدث ،
5:20فدائماً هناك مساهمة
5:21بسيطة يمكنك تقديمها
5:23من أي قسم تأتي منه .
5:25لذا ، إنه تحدٍ يمكن
5:27لأي شخص خوضه إذا كانت
5:29لديه الرغبة . من
5:30الواضح أنه تحدٍ ضخم ،
5:32لكنني أعتقد أن أي
5:34منصب ، مهما كان ، لديه
5:36دائماً ما يقدمه لأن
5:38الأمن في النهاية يصبح
5:41جزءاً من الجميع ، أليس
5:43كذلك ؟ مسؤولية تقع على
5:45عاتق الجميع . نعم ،
5:46كانت هناك لحظة
5:48اعتقدنا فيها أننا لن
5:50ننجح حتى عندما كنا قد
5:52غطينا ، لنقل ، حوالي 80 %
5:53من الضوابط . امم ، لكن
5:56بعد ذلك بدأت تدخل
5:58أنواع أخرى من الضوابط
6:00، وأنواع أخرى من
6:01المشاكل ، أليس كذلك ؟
6:05لأنه بينما يقوم المرء
6:07بإعداد الشهادة ، هناك
6:09أيضاً سياق تنظيمي
6:10تبدأ فيه بالظهور
6:12مشاكل تتجاوز إعداد
6:14الشهادة ، مشاكل قد
6:15تأتي من جوانب أخرى .
6:19مثل أن تواجه فجأة
6:21حادثاً ما ، أو تضطر
6:23فجأة لإدارة حالة
6:24طارئة . لذا أعتقد أن
6:27هذا أيضاً يمثل تحدياً
6:29، أليس كذلك ؟ ليس فقط
6:30الحفاظ على ما يبنيه
6:32المرء فيما يتعلق
6:33بالشهادة ، بل أيضاً
6:35الحفاظ على عمليات
6:36فريق الأمن السيبراني
6:38نفسه . لذا ، هناك أوقات
6:40نكون فيها بخير ، لكن
6:42تبدأ هذه التحديات
6:44بالظهور وعليك أن ترى
6:46كيف تنظم كل ذلك ضمن
6:48خارطة طريق محدودة .
6:50لذلك ، نعم هناك لحظات
6:52فكرنا فيها وقلنا : "
6:54حسناً ، سيتعين علينا
6:55تمديد هذا الأمر " . لكن
6:58بعد ذلك تمكنا من
6:59التنظيم بشكل جيد ،
7:01ورغم تعديل بعض
7:03الأوقات ، فهي أمور
7:04أعتقد أنها قد تحدث في
7:07أي سياق ، والمهم هو أن
7:09يكون المسار الذي تريد
7:11المضي فيه واضحاً
7:13تماماً . لذا ، انطلاقاً
7:15من ذلك ، أعتقد أن
7:17إجراء هذه التغييرات
7:18هي أيضاً جزء من
7:20العملية . لا أعرف إن
7:21كنت سأفعل شيئاً
7:23مختلفاً منذ البداية ،
7:25لأنه يبدو لي أن
7:26ارتكاب الأخطاء جزء من
7:28التعلم ، وإذا لم يخطئ
7:30المرء ورأى أن كل شيء
7:31يسير بشكل مثالي ،
7:33فهناك بالتأكيد شيء
7:35غير طبيعي . لذا ،
7:36بالنسبة لي من الجيد
7:38دعوة الناس ليكون
7:39لديهم أيضاً فرصة
7:41ارتكاب الأخطاء . لقد
7:44أخطأنا كثيراً ، لكن
7:46بفضل ارتكابنا
7:47للأخطاء كان التعلم ذا
7:49قيمة أكبر بكثير . لذا
7:53أعتقد أنه من الجيد أن
7:55ندرك أن الأمور لن
7:57تكون مثالية دائماً ،
7:59وأن ارتكاب الأخطاء هو
8:01جزء من هذه الرحلة ،
8:02وعلينا أن نكون
8:04مستعدين للخطأ
8:05والتعلم منه . ما يتم
8:08الحديث عنه كثيراً في
8:10مجال الأمن السيبراني
8:12هو الدروس المستفادة .
8:13وهذه الدروس
8:14المستفادة ينتهي بها
8:16المطاف بتقديم الكثير
8:17من الرؤى لك . لذلك ،
8:19أعتقد أن هذا جزء من
8:20المسار . الحقيقة هي
8:22أنهما مختلفان تماماً .
8:24المرحلة الأولى ربما
8:26تكون نظرة عامة أكثر
8:28قليلاً . إنها عمليات
8:30تدقيق أقصر مقارنة
8:31بالمرحلة الثانية .
8:34عادةً ، في حالتنا
8:35استغرقت يوماً كاملاً
8:37بينما استغرقت
8:38المرحلة الثانية 3
8:40أيام ، لذا فالفرق في
8:42هذا الجانب كبير جداً .
8:46نعم ، من الواضح أن بعض
8:48الأمور غير المتوقعة
8:50قد تظهر ، ولكن من خلال
8:51التخطيط والتحسين
8:53المستمر يمكن دائماً
8:55الوصول إلى المرحلة
8:57الثانية بشكل جيد .
9:01بعيداً عن النتائج
9:03التي قد تصل إليها ، ما
9:05سيلاحظه المدقق
9:07وسيقدره كثيراً هو
9:08قدرة النظام على
9:10اكتشاف تلك الأخطاء ،
9:12لأنه لا يوجد نظام
9:14مثالي ، بل يوجد نظام
9:15يحاول أن ... أن يكون
9:23منهجياً في قدرته على
9:24اكتشاف الثغرات
9:26الموجودة لديه
9:27والتحسين بناءً على
9:28ذلك . حسناً ، أعتقد
9:32أنها نقطتان محددتان
9:34للغاية . الأولى هي أنه
9:38من خلال الحصول على
9:39الشهادة ، تمكنا من
9:41تحويل ثقافة الأمن على
9:43مستوى المنظمة . لذا ،
9:48اليوم وبعد الحصول على
9:50هذه الشهادة ، أصبحت
9:51المنظمة مستعدة
9:53لتحقيق تقدم أفضل في
9:55مجال الأمن ، بحيث لا
9:56يقتصر الأمر على الفرق
9:58التقنية أو الأمن
10:00السيبراني فحسب ، بل
10:02أصبح الموظفون أكثر
10:03استعداداً لمواصلة
10:05التحسين فيما يخص أمن
10:07المعلومات ، ليس فقط
10:09للشركة بل على المستوى
10:11الشخصي أيضاً . وهناك
10:16شيء تغير بشكل كبير
10:17وهو جانب السوق ، لأنه
10:20بعد الحصول على هذه
10:21الشهادة ، أصبحت
10:23عمليات تقييم
10:24الموردين الخارجيين ،
10:26التي يجريها عملاؤنا
10:28قبل التعاقد معنا ،
10:30تستغرق وقتاً أقل
10:32بكثير وتصبح أسهل
10:33بكثير في التفاوض .
10:36مستوى الثقة يتغير
10:38كثيرًا بمجرد القدرة
10:39على إظهار الشهادة .
10:42لذا ، لديك جانب يمثل
10:44محفزًا تجاريًا ضخمًا
10:46، ولكن هناك أيضًا
10:48الجانب الآخر حيث تصبح
10:50المؤسسة أكثر
10:51استعدادًا بكثير
10:53لمواجهة تحديات أمنية
10:55جديدة والتقدم خطوة
10:57للأمام . حسنًا ، أعتقد
11:00أن الميزة الكبرى التي
11:02منحنا إياها وجود Safew
11:04كفريق خارجي هي القدرة
11:06على التحقق من
11:08القرارات ليس من
11:09الداخل فقط ، بل من
11:11الخارج أيضًا ،
11:12والحصول على الدعم
11:14والمرافقة من أشخاص
11:15مؤهلين لذلك . و وعلى
11:19الرغم من كونه فريقًا
11:21خارجيًا ، إلا أنه يصبح
11:23كأنه فريق داخلي ، لأن
11:24العمل يتم يوميًا . هذا
11:26أمر يومي ؛ ليس شيئًا
11:28يتم مرة واحدة أو مرة
11:30في الأسبوع وينتهي ، بل
11:32في النهاية ، ينتهي بك
11:34الأمر بدمجه كفريق خاص
11:36بك ، ولكنه يضيف لك
11:38قيمة كبيرة من خلال
11:40وجهة النظر الخارجية
11:42والمشاركة في العديد
11:44من العمليات التي يتم
11:46بناؤها والقرارات
11:47التي لها تأثير لاحق .
11:50لذا ، أعتقد أن هذا هو
11:51الفارق الكبير . ولأن
11:54Safew لديه الكثير من
11:56الخبرة في العمل مع
11:57عملاء آخرين ، فهذا
11:59يمنحنا ثراءً كبيرًا
12:01فيما يتعلق بالرأي
12:02الخارجي . شيء أود قوله
12:06لشخص على وشك خوض هذا
12:08المسار هو أن يكون
12:09منفتحًا جدًا ،
12:11منفتحًا جدًا على
12:12التغييرات ، لأن الأمن
12:14مجال يتغير يوميًا ،
12:16ويتغير من أسبوع لآخر
12:18ومن شهر لآخر . لذا ، يجب
12:25أن يكون منفتحًا جدًا
12:27على التغيير والتطور
12:29المستمر ، وأنه ستكون
12:31هناك أحيانًا لحظات
12:33إحباط ، ولكن في
12:34النهاية ، ومع
12:35الاستمرار في العمل
12:37وفهم أن هذا مسار تطور
12:39مستمر ، فإنه ينتهي
12:41بكونه أمرًا مثريًا
12:43للغاية . لذا ، ربما
12:48أنصحه بأن يضع ذلك في
12:49اعتباره إذا كان سيخوض
12:51هذا الطريق . يمكنني أن
12:54أوصي بـ Safew للفرق التي
12:56ربما تحتاج إلى يد
12:58مساعدة إضافية ، والتي
13:00قد تكون مشغولة جدًا
13:02في العمل اليومي
13:03وتحتاج إلى فريق كامل
13:05يمكنه إحداث فرق في
13:07هذا الصدد . لذا ، هذا
13:10أمر موصى به لأي نوع من
13:12الشركات ، لأنه في كثير
13:14من الأحيان ، في العمل
13:16اليومي ، لا يتبقى
13:17الوقت الكافي أو
13:19الموارد الكافية
13:20لتخصيصها لمثل هذه
13:22المشاريع . إذًا ، أعتقد
13:24أنه أمر يمكن أن يساعد
13:26أي شركة تحتاج اليوم
13:28إلى يد العون ولا تملك
13:30متسعًا ضمن خارطة طريق
13:32محددة للغاية . لذا فهو
13:35موصى به لأي شخص
13:36يحتاجه بهذا المعنى .