أمن المعلومات وإدارة مخاطر تقنية المعلومات

تحليل مخاطر تقنية المعلومات وإدارة المخاطر أمن المعلومات وإدارة مخاطر تقنية المعلومات7٢1 تقييم المخاطر وبمجرد أن يتم وضع إطار المخاطر، يمكننا أن نُصمم نموذجاً لتقييم المخاطر اعتماداً على نموذج التهديد الذي صُمم سابقاً. إزالة الغموض عن تقييم المخاطر وتحليل المخاطر على نش(يحت المخاط علي . ويس(عنصر تقييم المخاطر في نموذج معنى عبارة نموذج تقييم المخاطر: نموذج التهديد الذي ناقشناه سابقاً. والتهديدات تشمل الوسطاء (٢يوضح الشكل المُحفزي على تحديد �ل التحليل يقت�للتهدي المشكلات المحتملة. 2-14 الشكل يحاول (على س بواس(اق قاعدة بيانات المس�اخ

الفصل الرابع ع أمن المعلومات وإدارة مخاطر تقنية المعلومات7٢٢ . وخلال تحليل التهديد، لا ننظر إلى الأثر المحتمل لمثل هذا التهديد. (الاعتماد تلك (نشاط وعلى وجه التحديد، نحن لا نقلق بشأن ما قد يفعله قرصان الحاسب بمثل تلك المعلومات. ويمك تحديده كن أن يكتب على النحو التالي:يمُ المخاطر = الضرر الناتج عن تهديد محدد أو ، بمعن(المخاط التهديد ولأن التهديد بذاته يتكون من وس النحو التالي: (المخاطر = الضرر (الوسيط، النشاط، الأصل . ويمكننا استخدام هذا الشكل لتحديد المخاطر وكتابتها (وهذا موضح في الشكل على ش للأطراف المعنية. ورجوعاً لمثال تهديد قرصان الحاسب الذي سرق بيانات اعتماد المستخدم، نستطيع كتابة المخاطر المرتبطة بهذا المثال على النحو التالي: ( بيانات اعتماد (أصل( قد يسرق (نش (: قرصان حاسخطر . وهذا قد يؤدي إلى (ويستخدم تلك البيانات للوصول إلى المواقع الإلكترونية للبنوك (نشاط .(دعوى قضائية والتي تستنزف الأموال وكذلك وقت الإدارة (ضرر ( بيانات اعتماد (أصل( قد يسرق (نش (: قرصان حاس٢خطر . وهذا قد يؤدي إلى (ويستخدم تلك البيانات للوصول إلى المواقع الإلكترونية للبنوك (نشاط . (السمعة السيئة والتي قد تضر أعمالنا على المدى القصير (ضرر وبعبارة أخرى فإن التهديد نفس يسبب أشكالاً متعددة من الضرر.

تحليل مخاطر تقنية المعلومات وإدارة المخاطر أمن المعلومات وإدارة مخاطر تقنية المعلومات7٢3 ): نموذج تقييم المخاطر3-14 الشكل أن مجموعة صغيرة من الأصول والوسطاء (ويوضح نموذج تقييم المخاطر في الش ق واثنين من الأصول (أصول معلوماتية وأصول (من الوس قد تؤدي إلى أربعة تهديدات محتملة. وإذا أضفنا اثنين من الأضرار إلى هذا المزيج (الأجهزة يصبح لدين((الخس العال والأضرار التي قد تؤدي إلى عش(أن تك . لكن (المحتملة (هذا إذا ضربنا أعداد الوس معظم المنظمات يمكنها التعامل في أي وقت من الأوقات مع هو سبب أهمية إطار المخاطر - لاستبعاد المخاطر غير المحتملة. وبمجرد تحدي الأضرار المتوقع واس احتمالية الضرر في مقدار الضرر. أعلاه، نقدر الأضرار ٢. وللخط٪(تقدير احتمالية الهجوم في الس 10 �النقدي الحالة على النحو التالي: الخطر = احتمالية الضرر وم أولويات المخاطر ضمن إطار المخاطر.

الفصل الرابع ع أمن المعلومات وإدارة مخاطر تقنية المعلومات7٢4 نماذج إدارة المخاطر الأخرى نموذجاً عاماً جداً لإدارة مخاطر تقنية المعلومات. ومن (يع التابع لمعهد (OCTAVE نماذج إدارة مخاطر أمن المعلومات الأكثر انتش�ب التابع لمنظمة المعايير الدولية. وهناك (ISO 27002، ونموذج(هندس العديد من الشركات الاستش ولاستكمال هذه الفكرة نعرض في هذا القسم لمحة موجزة عن اثنين من هذه المعايير. سلسلة ، أو (International Standards Organization الدولي�قام (٢7 (أي المعايير التي تبدأ بالرقم(ISO 27000، بتخصيص سلسلة المعاي(اختصاراً السلسلة ، تضمنت هذه ٢01٢لش . وهذه المعايير (ISO 27006 وتنته(س تغطي الموضوعات التالية: : المعي(ISO 27001( .(اختصاراً : المعي(ISO 27002( .(المحددة في معيار .(ISMS: معيار يقدم توجيهات لتنفيذ نظام إدارة أمن المعلومات(ISO 27003( .(ISMS: معيار يقدم القياس والمؤشرات لنظام إدارة أمن المعلومات(ISO 27004( : معيار لإدارة مخاطر أمن المعلومات(ISO 27005( ت التي تقدم�: المعي(ISO 27006( شهادة نظام إدارة أمن المعلومات

تحليل مخاطر تقنية المعلومات وإدارة المخاطر أمن المعلومات وإدارة مخاطر تقنية المعلومات7٢5 على تبن(وين خط:(وجمي ل مرحل�. خ(اس السياس التنفيذ. أما في مرحلة الفحص، فيتم قياس أداء العملية ومقارنتها بما يقابلها من المواصفات المخطط لها، ومن ثم عرضها على الإدارة للمراجعة. وفي مرحلة الاس ة التالية. المراجعة لتحسين السياسات والإجراءات في مرحلة التخطيط من الدرو (ISO 27001 ومعيار(وقد تكون لاحظت أوجه الش ، وتتفق (ISO مع مرحلة التخطيط في معيار(حيث تتفق مرحلة التقييم في معيار مرحلة الاس . (ISO مع مرحلتي الفحص والاستجابة من معيار(المراقبة من معيار فيوثق مجموعة من التقنيات الأمنية والتي تتفق مع الضوابط (أما معيار إدارة الأصول، (التي ناقشناها في هذا الكتاب. وهذه الضوابط مقسمة للأقسام التالية (5 إدارة العملي(4 الأمن ا(3 أم(٢( إدارة حوادث أمن (7 حيازة نظم المعلومات وتطويرها وصيانتها، (التحك (. 14( الامتثال(٩ إدارة استمرارية الأعمال، ((٨المعلومات، ( أن عملية إدارة مخاطر أمن المعلومات تتكون من س(ويح قبول (4 معالجة المخاطر،(3 تقييم المخاطر،(2 إنش(خطوات متتابعة تحسين عملية (7 مراقبة المخاطر ومراجعتها،(6 تنفيذ خطة علاج المخاطر،(المخاطر، إدارة المخاط تتفق مع مراحل نموذج ديمنج الأربع كما هو (ISO 27005، ف(27001 .(موضح في الجدول ( ناقشنا باختصار في هذا الكتاب موضوع إدارة استمرارية الأعمال. ويرجع ذلك إلى معظم خريجي الجامعات الجدد 14( يكون لديهم مسؤولية محدودة جداً عن استمرارية الأعمال. ولقد اخترنا أن نحافظ على تركيزنا على موضوعات أمن المعلومات الأكثر ملاءمة لخريجي الجامعات ولفترة

الفصل الرابع ع أمن المعلومات وإدارة مخاطر تقنية المعلومات7٢6 من حيث(NIST ومعي(ISO ترى فهناك تداخ�وك صلتها بأمن المعلومات. الجدول عملية إدارة مخاطر أمن المعلومات لمعيار مراحل عملية إدارة مخاطر أمن المعلوماتمراحل عملية إدارة نظام أمن المعلومات إدارة الأصولالتخطيط تقييم المخاطر تطوير خطة علاج المخاطر قبول المخاطر تنفيذ خطة علاج المخاطرالتنفيذ المراقبة المستمرة للمخاطر ومراجعتهاالفحص تحسين وتطوير عملية إدارة مخاطر أمن المعلوماتالاستجابة نموذج معهد هندس(تس . وهذا المعهد (SEI المش(Software Engineering Institute( الممول اتحادياً أخذ على عاتقه على مر الس المهم بها لتحسين عملية تطوير البرمجيات. وفي السنوات الأخيرة، أخذ المعهد القيادة في مجال أمن لتقارير الأخطاء الصادرة من موردي البرمجيات �المعلومات والحفاظ على المس لإدارة أمن (الرئيس Operationally Critical Threat, Asset, هي اختصار لعبارة(المعلومات. و والحاسي والت(Vulnerability Evaluation .(والتهديدات

تحليل مخاطر تقنية المعلومات وإدارة المخاطر أمن المعلومات وإدارة مخاطر تقنية المعلومات7٢7 الوارد أدن(ووص (. 15الإلكتروني لمعهد هندسة البرمجيات . وهذه ( موظف أو أكثر300 للمنظمات الكبيرة(وقد تم تطوير منهجية المنظمات في الغالب تملك بنية تحتية لتقنية المعلومات، كما تملك القدرة على إدارة عمليات ث مراحل لفحص � على ث (أم الموضوع للمنظمة. والمراحل الثلاث هي: مرحلة : تحديد الثغ٢مرحل خطراً على المنظمة. ذلك مرحلة لدعم رسالة المنظمة وأولوياتها. سلس(وتتضمن منهجية 3ل فريق تحليل متعدد التخصصات يتضمن�اء من الخارج أو من خ�خ المنظمة. وهذه المنهجية تس وتكون هذه الأنش ن تُس الميدانية وأوراق العمل التي يمكن أ المشكلات والنقاشات المركزة. و(وكما لاحظ .(المعلومات الأخرى والتي ناقشناها سابقاً :(ضوابط تقنية المعلومات العامة للامتثال لقانون إلى الآن ناقش اس 15( http://www.cert.org/octave/octavemethod.html (accessed 12/28/2012(

الفصل الرابع ع أمن المعلومات وإدارة مخاطر تقنية المعلومات7٨٢ الح تظهر في حالات المخاطر العالية جداً. وأحد تلك الحالات إعداد التقارير المالية في الشركات المطروحة للتداول العام. وهذا السياق أصبح دافعاً كبيراً لتوظيف خريجي أمن المعلومات الج ، وقسم30٢، وقس(SOX أو اختصاراً(المعلومات مثل قانون والضواب عامة عن هذا السياق في هذا الجزء. قانون في الس الأس « �على أس . ولذا طور المحللون مقاييس لتبرير تلك الأسعار المرتفعة مثل مقياس (dot-com boom( . وق(dollars per eyeball( من أن أس ل ذلك الوقت مليار دولار دون تحقيق أي أرباح، والكثير من الشركات بلغ تقييم ثمنها �خ بمائة مرة م�أك الناس يتساءلون عن هذه التقييمات العالية وأصبحت الشركات تحت ضغوط لتبرير أسعار أس أو لإخفاء التكاليف (شركة (لإظهار مبيعات لم تحدث في الواقع (شركة . والعديد من هؤلاء المديرين التنفيذيين حقق مصالح شخصية من ذلك التزوير. (Enron وعندم المالية اعتماداً في المقام الأول على موظفي المحاسبة واعتمدوا على حجة أنهم وقّعوا البيانات . وقد ادعى هؤلاء القادة بأن عمليات الشركات معقدة جداً بحيث يس �والمراجع بالنسبة لهم معرفة جميع جوانب البيانات المالية. ومع ذلك، كان خبراء الإدارة والجمهور، على قناعة بأن هؤلاء القادة يعرفون بالضبط ما كانوا يفعلون وكانت ادعاءاتهم �والمشرع بالجهل محاولة لمجرد استغلال الثغرات القانونية وتجنب العقوبات.

تحليل مخاطر تقنية المعلومات وإدارة المخاطر أمن المعلومات وإدارة مخاطر تقنية المعلومات7٩٢ وهذه المحاكمات سلطت الضوء على نقطتين من التفاصيل الهامة لسوق الأوراق المالية. النقطة الأولى هي أن اس الأس الأسهم في الولايات المتحدة لتحقيق النمو المطلوب ولمساعدة الأشخاص على التقاعد بأمان. بالتلاعب (MCI-Worldcom وشركة (فعندما قامت الشركات الكبرى مثل شركة بقوائمه مريكي تقريباً. النقطة الثانية هي أن قادة الشركات كان بإمكانهم القيام بالمزيد من عامل أ المخالفات في شركاتهم من خلال التوجيهات الش يمكن استخدامه أثناء المحاكمات. وتح وسمُي هذا القانون باسم اثنين من . ٢00٢ في عام (Sarbanes-Oxleyي�س . (Michael G. Oxley والنائب(رعاته الأساس نمط التصويت على الدعم التشريعي الكبير في الوقت الذي أصدر فيه هذا القانون �ويش صوت من4٢3حي صوتاً من٩٩كما حصل على ساربينز أوكسلي - أحكام هامة: والقسم (30٢من وجهة نظر قانونية، هناك تأثير واحد رئيسي على القانون. فالقس وضعا أحكاماً جنائية جديدة تجعل المديرين التنفيذيين والمديرين الماليين في الشركات (٩06( المطروحة للتداول العام مس الرس يعن صحة المعلومات المالية الواردة في الأوراق الرسمية. وقبل صدور قانون ساربينز أوكس ، كان يج(Sarbanes-Oxley( للبيانات غير الصحيحة حتى يمكن اعتبار ذلك جريمة جنائية. وللاطلاع نرفق أدناه الأحكام ذات الصلة من هذا القانون.

الفصل الرابع ع 730 مستند . مسؤولية الشركات عن التقارير المالية. 30٢قسم التنظيم((أ ( رق1٩34 م(د15 أو(أ13( وأن المس الأش ن بما يلي: إطار هذا القانو أن يقوم المسؤول عن التوقيع بمراجعة التقرير.(1( اعتماداً على معرفة المسؤول، ألا يتضمن التقرير أي تصريحات غير صحيحة لواقعة مادية(٢( أو تجاهل لواقعة مادية تكون ضرورية لإصدار التصريحات، في ضوء الظروف التي قُدمت فيها ن تلك التصريحات مضللة. تلك التصريحات، وألا تكو اعتماداً على معرفة المسؤول، أن تكون التصريحات المالية، وغيرها من المعلومات المالية (3( ال العمليات لمحرر الأوراق التجارية وفقاً للفترات الزمنية المعروضة في التقرير. المسؤولون عن التوقيع:(4( مسؤولون عن تأسيس وحفظ الضوابط الداخلية((أ يقومون بتصميم تلك الضوابط الداخلية لضمان أن المعلومات الجوهرية المتعلقة بمُحرر ((ب الأوراق التجارية وش الآخرين في تلك الكيانات، لاسيما خلال الفترة التي يجري فيها اعداد التقارير. يوماً قبل ٩0ل� يقوم((ج صدور التقرير. أن يقدموا في التقرير اس((د لها اعتباراً من ذلك التاريخ. …

تحليل مخاطر تقنية المعلومات وإدارة المخاطر 731 مستند . مسؤولية الشركات عن التقارير المالية. ٩06قسم ... عقوبات جنائية:((ج’ ’ من هذ القس( و(ب( مَن يقدم أي تصريح كما هو منصوص عليه في الفقرتين (أ(1( ’ ’ التقرير الدوري المصاحب للتصريح لا ينسجم مع جميع الشروط المنصوص عليها في هذا القسم يُعاقب بغرامة لا تزيد على من هذا القسم مع علمه ( و(ب( مَن يقدم عمداً أي تصريح كما هو منصوص عليه في الفقرتين (أ (٢ (’ ’ بأن التقرير الدوري المصاحب للتصريح لا ينس .’ ’ سنة، أو بكليهما معاً. ٢0يُعاقب بغرامة لا تزيد على مستند قسم التنظيم((أ رقم1٩34 من قانون الأوراق المالية لعام(د15 أو(أوالمطلوبة بموجب المادة لاحتواء تقرير رقابة داخلي يقوم بما يلي:((78m, 78o (d توضيح مس(1( لإعداد التقارير المالية تتضمن تقييم لفاعلية إجراءات وهيكلة الرقابة الداخلية لمحرر الأوراق التجارية وذلك لإعداد (٢( التقارير المالية، كما في تقرير نهاية السنة المالية لمحرر الأوراق التجارية. تقييم الرقابة الداخلية واعداد تقارير بذلك: فيما يتعلق بتقييم الرقابة الداخلية التي تتطلبها ((ب ، يجب على كل ش(الفق مراجعي الحسابات لمحرر الأوراق التجارية، أن تشهد، وتقدم تقريراً، عن التقييم المقدم من قبل إدارة مح هذه لمعايير ارتباطات الش الشهادة موضوع ارتباط منفصل.

الفصل الرابع ع أمن المعلومات وإدارة مخاطر تقنية المعلومات73٢ ي يعرض مفهوم � من قانون سوم ، كانت يالتحقق المعتمد على المعايير للرقابة الداخلية. وقبل إجازة قانون س شركات التدقيق المحاسبي تستخدم الإجراءات الخاصة بها للتحقق من أن عمليات الشركات قوية لمنع الاحتيال. لكن أحداث فقاعة الدوت كوم كش يمكن إقناعها من خلال الرس ي أن يعتمد التحقق من �التقارير المش الإج ي، كما تم تظليل الجزء الذي له علاقة � من قانون ساربينز أوكس وقد تم عرض قس بهدف هذا الكتاب بالخط العريض. على الشركات التحقق من أن ضوابطها الداخلية ٢003والنتيجة النهائية هي أنه منذ عام وفيما تبقى من ي. ونستعرض فيما ييتتوافق مع المعايير التي وضعها قانون ساربينز أوكس هذا القسم نظرة عامة ذات مستوى عالي على المعايير والإجراءات المرتبطة بهذا القانون. مجلس المراقبة المحاسبية للشركات العامة ي إلى إنش�أدى إصدار قانون س أو اختص(Public Company Accounting Oversight Boardكات العام�لل (:16( نص من الموقع الإلكتروني لهذه المنظمةي. وفيما ي(PCAOB( هي منظمة غير ربحية أنشأها(مجلس المراقبة المحاس شراف على (مراجعة حسإالمجل ، والذي أدى إلى ٢00٢ي لعام �. ويتطلب قانون س(بهدف حماية المس ، أن يخضع مدققو حسابات الشركات العامة في الولايات المتحدة لإشراف (إنشاء خارج التنظيم. ويتم تعيين خمس ذلك الرئيس، بشكل متناوب لمدة خمس سنوات، وذلك من قبل لجنة سوق المال الأمريكية بعد التش(Securities and Exchange Commission( (16( http://pcaobus.org

تحليل مخاطر تقنية المعلومات وإدارة المخاطر 733 ووزير(الاحتياطي الاتحادي . وتُشرف لجنة س (الخزان لوائح المجلس ومعاييره � بما في ذلك الموافقة ع(PCAOB س� ع(SEC( من خلال(PCAOB تمويل أنشطة مجلسيوميزانيته. كما أس الرسوم السنوية المقررة على الشركات العامة بما يتناسب مع قيمتها المالية، والرسوم المقررة على الوسطاء والتجار على أساس صافي رؤوس أموالهم. (. والمعايير 17( معايير لجميع جوانب التدقيق المحاس(وقد أصدر مجلس « :(ذات الأهمية الكبرى لنا هي معاي »-(المُدمجة مع تدقي ي، ومن المرجح � الارتباطات العامة لقانون س(المادية أن تك تقدم (AS 12( ير�ي فإن معاي�المحاس إرشادات لتقنية المعلومات. الاتجاه العام للتدقيق وفقاً لقانون س( من معيار٢1ويحدد القس على النحو التالي:يأوكس . يجب أن يس٢1 المالي القوائ صولاً إلى الحس يركز المُدقق على ضوابط مس ذات الأهمية وتأكيداتها ذات العلاقة. وإلى ملحق ٩٢ المراجعين الماليين إلى الفقرة رقم (ويوجه القسم رقم وذلك للتعامل مع آثار التكنولوجيا على عملية التدقيق المالي:(AS 12 من معيار((ب 36 Auditing من معي( والملحق (ب٩٢ المدقق ا�وع 17( http://pcaobus.org/Standards/Auditing/Pages/default.aspx

الفصل الرابع ع 734 ، وه(Standard No. 12 تأثير تقنية المعلومات على الرقابة الداخلية المتعلقة بالتقارير المالية ومخاطر التقييم من ( إلى ملحق (بسي المدقق المالي بش( من معيار٩٢ويوجه قس المعيار: . على المدقق المالي فهم كيف تؤثر التكنولوجيا على تدفق الصفقات التجارية للشركة ٩٢ .((انظر الملحق ب :ي يتضمن ما ي(AS 12( من معيار(وأخيراً فإن الملحق (ب : نقاط هامة بخصوص الأنظمة والضوابط اليدوية والآلية(الملحق (ب ... المُدقق أن يكون مدركاً للمخاطر المرتبطة بالرقاب �ع :يالمالية والناتجة عن تقنية المعلومات. ومن الأمثلة على هذه المخاطر ما ي •الاعتماد على الأنظمة أو البرامج التي تعالج البيانات بشكل غير دقيق، أو التي تعالج بيانات غير دقيقة، أو كليهما. •الوص غير ملائمة للبيانات بما في ذلك تس غير دقيقة (مخاطر معينة قد تنش .(مشتركة •إمكاني اللازمة لأداء الواجبات المنوطة بهم، مما يؤدي إلى تعطيل فصل المسؤوليات. •تغييرات غير مصرح بها لبيانات في الملفات الرئيسية. •تغييرات غير مصرح بها على الأنظمة أو البرامج. •فشل إجراء التغييرات اللازمة على الأنظمة أو البرامج.

تحليل مخاطر تقنية المعلومات وإدارة المخاطر أمن المعلومات وإدارة مخاطر تقنية المعلومات 735 • التدخل اليدوي غير الملائم • إمكانية فقد البيانات أو عدم القدرة على الوصول للبيانات كما هو مطلوب. المبادئ التوجيهية المذكورة أعلاه والمرتبطة ( 4 - 14 ولتس بالتدقيق على تقنية المعلومات وكيفية انتقال معايير التدقيق من قسم إلى آخر. ): المبادئ التوجيهية للتدقيق والتابعة لقانون (ساربينز أوكسلي) والمؤثرة في تقنية 4 - 14 الشكل المعلومات الرقابة الداخلية: ي؟ المصطلح � لجميع الأنش ئي اله م التقارير المالية � المس : ي كما ي ( AS 5 ( من معيار ( في ملحق (أ ( PCAOB مجلس الرقابة الداخلية على التقارير المالية عملية مصممة بواس التنفيذي للشركة والمس طبق من مجلس إدارة الشرك ُ ت و « � ل ً بش وتشمل السياسات والإجراءات التي: ( GAAP ( » ً المحاسبة المقبولة عموما تتعل ( 1 ( المعاملات وترتيب الأصول في الشركة بدقة وإنصاف

الفصل الرابع ع 736 تقديم تأكيد مقبول بأن يتم تسجيل المعاملات عند الضرورة للسماح بإعداد القوائم(٢( المالية وفقاً للمبادئ المحاس الإدارة ومدُيري الشركة. تقدي(3( التوقيت المناس يكون لها تأثير جوهري في البيانات المالية. وتُعد الرقابة الداخلية على التقارير المالية مجموعة فرعية من أنش ، يمكن تعريف أنشطة الرقابة بأنها الإجراءات يفي الشركة. وفي مجال قانون ساربينز أوكس والأس المحفوف تكنولوجي المستخدمة لتقليل أثر التهديدات. الضوابط العامة لتقنية المعلومات: الجزء الأكبر من أنشطة مراجعة الرقابة الداخلية يتم تنفيذه بواسطة مدققي الحسابات والمحاس . وتقليدياً، تُس(AS 12 من معي(تقيي الأنشطة بالضوابط العامة لتقنية المعلومات. ولا يبدو أن الإصدارات الحالية لمعايير التدقيق المحاس ، (AS 5، والذي حل محل معيار(« :(٨مدرج في الفقرة رقم قد (بع يكون لها تأثير متزايد في تحقيق الأهداف العامة لمعايير الرقابة. على سبيل المثال، الضوابط العام 18( http://pcaobus.org/standards/auditing/pages/auditing_standard_2.aspx