ما المقصود بإدارة التوافق؟

تم إنشاء برنامج قوي لإدارة التوافق من توقعات واضحة وطرق متكررة للعمل والحماية اليومية والأشخاص والأدوات التي تحافظ على كل شيء على المسار الصحيح.

توضح النهج ما يجب على المؤسسة فعله وما يبدو أنها متوافقة. فهي تترجم الالتزامات إلى توقعات واضحة يمكن للأشخاص اتباعها.

تتضمن مجالات النهج الشائعة ما يلي:

• قواعد معالجة البيانات والوصول إليها.
• توقعات السجلات والاستبقاء والدليل لعمليات التدقيق.
• مسارات إعداد التقارير والتصعيد عند حدوث خطأ ما.

العمليات هي الإجراءات الروتينية خطوة بخطوة التي تتبعها الفرق لتلبية المتطلبات باستمرار - دورات المراجعة، والموافقات، والاختبار، ومتابعة المشكلات.

تتضمن أمثلة عمليات التوافق ما يلي:

• يتم تضمين المراجعات العادية لتأكيد المتطلبات في مهام سير عمل الأعمال.
• المراقبة المستمرة لحالة التحكم، وليس فقط عمليات الفحص السنوية.
• مهام سير عمل الإجراءات التصحيحية عند العثور على فجوات.

تعمل المعايير وإطارات العمل كالمجموعات المرجعية التي تقوم بقياسها. قد تأتي من اللوائح أو معايير الصناعة أو المتطلبات الداخلية.

تتمثل إحدى الطرق العملية لتنظيم المعايير في معاملتها كقوالب متطلبات يمكن تجميعها وتعقبها. على سبيل المثال، التقييم عبارة عن مجموعة من عناصر التحكم من قانون أو معيار أو نهج معين.

عناصر التحكم هي عمليات التحقق والممارسات العملية التي تظهر تلبية أحد المتطلبات—وتربطها بتكوين النظام والعملية التنظيمية والمسؤولية المعينة.

تتضمن فئات التحكم المفيدة ما يلي:

• عناصر التحكم المدارة لموفر الخدمة، والتي تتم معالجتها بواسطة موفر السحابة
• عناصر التحكم المدارة من قبل المؤسسة، والتي تتم معالجتها بواسطة فرقك
• عناصر التحكم المشتركة، حيث يتم تقسيم المسؤولية

تعمل إدارة التوافق بشكل أفضل عندما تكون الملكية صريحة. تتضمن مجموعتا الدور اللتين يتضمن أي برنامج ناجح الرقابة على القيادة والملكية اليومية للتوافق.

الإشراف على اللوحة والقيادة

تتحمل القيادة مسؤولية تعيين التوقعات، واعتماد بيانات النهج، وتعيين السلطة، وتخصيص الوظيفة، وتلقي تقارير منتظمة حول نشاط التوافق ونتائجه.

ما غالبا ما تتضمنه الرقابة:

• مسح توقعات التوافق والموافقة على النهج.
• مالك مسمى (مسؤول التوافق أو لجنة) له سلطة التصرف.
• تقارير منتظمة حول التدقيقات والمشاكل والإجراءات التصحيحية.

مسؤول التوافق

هذا الدور مسؤول عن النهج والإجراءات والتدريب والمراجعة للتوافق وتعقب المشاكل الناشئة والاستجابة للشكاوى والإبلاغ عن النتائج وضمان الإجراء التصحيحي.

تقسيم مسؤولية بسيط تتضمنه المقاييس:

• يحتفظ مالكو عناصر التحكم بعناصر تحكم ودليل توفير معين.
• تقوم فرق التوافق بتعيين البنية، وتشغيل التقييمات، وتعقب الثغرات، ودعم عمليات التدقيق.
• تقدم مراجعات القيادة، إزالة الحظر، الموافقة على الأولويات.

يمكن أن تعمل جداول البيانات على نطاق صغير، ولكن معظم المؤسسات تستخدم أدوات للحفاظ على المتطلبات وعناصر التحكم والدليل والملكية في مكان—واحد خاصة عبر عدة سحب ووحدات عمل.

ما يجب البحث عنه في برنامج إدارة التوافق

تتضمن الإمكانات العملية التي تساعد على تقليل التكرار والاحتفاظ بالعمل الحالي ما يلي:

• التقييمات، وهي قوائم اختيار قابلة لإعادة الاستخدام للمتطلبات وعناصر التحكم.
• تعيين عنصر التحكم، مع عنصر تحكم واحد مرتبط بمعايير متعددة لتقليل تكرار العمل.
• المراقبة التي توفر رؤية في حالة التحكم مع مرور الوقت.
• إدارة الدليل الذي يحتوي على مكان واحد لتخزين المصطنع والملاحظات والحالة.
• سير العمل والمهام للواجبات وتواريخ الاستحقاق وتعقب التقدم.
• تسجيل النقاط، الذي يوفر طريقة عرض مستندة إلى المخاطر للمساعدة في عمل تحسين التركيز.

إنشاء خطة

أثناء إنشاء إدارة التوافق في مؤسستك، ابحث عن إجابات للأسئلة التالية:

• هل لدينا سياسات مكتوبة تتطابق مع التزاماتنا؟
• هل تم توثيق العمليات الأساسية؟
• هل تم تعيين عناصر التحكم إلى المعايير حتى لا تكرر الفرق نفس العمل؟
• هل يمكننا تقديم الدليل بسرعة عند إجراء عمليات التدقيق أو التحقيق؟
• هل أدوار الملكية وإعداد التقارير واضحة؟

توجد إدارة توافق الأمان حيث تتداخل التزامات التوافق والعمل الأمني. في الواقع، يعني ذلك حماية البيانات والأنظمة بطرق تفي بالقواعد التي تحاسب عليها—ثم إظهار الإثبات من خلال الخطوط الأساسية والمراقبة والسجلات.

تتضمن معظم اللوائح والمعايير توقعات الأمان. غالبا ما تغطي المتطلبات الشائعة ما يلي:

• معالجة البيانات: مسح القواعد الخاصة بكيفية تجميع البيانات الحساسة ومعالجتها.
• التخزين الآمن والوصول: التشفير والوصول المتحكم به لتقليل التعرض غير المصرح به.
• إعداد التقارير والتدقيق: عمليات التحقق العادية ودعم التدقيق وإعلامات الاختراق عند الحاجة.

قد تحتاج إلى تعيين عناصر التحكم إلى إطارات عمل متعددة في الوقت نفسه.

تتضمن ثلاثة معايير شائعة ما يلي:

• القانون العام لحماية البيانات (GDPR): إطار عمل قانوني للاتحاد الأوروبي يركز على خصوصية البيانات الشخصية وحمايتها؛ يتعلق التوافق بمتابعة توافق القانون العام لحماية البيانات (GDPR) ودعم تحكم أقوى في المعلومات الشخصية.
• قانون نقل التأمين الصحي ومسؤوليته (HIPAA): قوانين الرعاية الصحية وقواعدها في الولايات المتحدة التي تحدد متطلبات استخدام المعلومات الصحية المحمية (PHI) والكشف عنها وحمايتها، بما في ذلك ضمانات قاعدة الأمان ل PHI الإلكتروني.
• معايير أمان صناعة بطاقات الدفع (PCI DSS): معيار أمان معلومات عمومي للمؤسسات التي تقوم بتخزين بيانات حامل البطاقة أو معالجتها أو إرسالها، تم تصميمها لتقليل الاحتيال من خلال التحكم بشكل أقوى في بيانات بطاقة الائتمان.

1. ابدأ بخط أساسي للأمان. استخدم خطاً أساسياً محدداً للأنظمة الأساسية حتى تعرف الفرق ما تعتبره مؤسستك تكويناً جيداً. مراقبة الإعدادات التي تنحرف عن القيم المحددة وتسد الثغرات.

2. ضع عناصر تحكم قوية في الوصول والتشفير في مكانها. تطبيق الوصول المتحكم به والتشفير لتقليل التعرض غير المصرح به للبيانات الحساسة

3. قم بتشغيل التقييمات والتدقيقات العادية. قم بإجراء عمليات تدقيق وتقييمات دورية للعثور على الثغرات وتأكيد استمرار تطابق عناصر التحكم مع المتطلبات.

4. تدريب الأشخاص على معالجة البيانات. يعتمد التوافق الأمني على القرارات اليومية، لذا فإن التدريب والإرشادات الواضحة أمران مهمان.

5. الاحتفاظ بالوثائق جاهزة للمراجعات. الاحتفاظ بالسجلات التي تدعم التدقيق مراجعات التوافق التنظيمي، حتى تتمكن من الاستجابة بسرعة عند مطالبتك بذلك.

6. استخدم المراقبة وسير العمل للبقاء محدثا. استخدم الأدوات والعمليات التي تدعم المراقبة المستمرة والتعقب والإجراءات التصحيحية بدلا من الاعتماد فقط على المراجعات في الوقت المناسب.

يساعد التنفيذ التلقائي والتوافق المستمر الفرق على الحفاظ على المتطلبات وعناصر التحكم والدليل محدثة مع تغير البيئة. بدلا من التعامل مع التوافق كحدث دوري، يعامله هذا النهج على أنه دفق ثابت من عمليات الفحص والتحديثات الصغيرة التي يسهل إدارتها ويسهل التحقق منها.

تجعل العديد من الورديات التنفيذ التلقائي أكثر عملية—وضرورية—أكثر مما كان عليه في السابق:

• نمو Multicloud وSaaS: تنتقل البيانات وأحمال العمل عبر المزيد من الخدمات والموردين، مما يزيد من عدد الأماكن التي يجب تطبيق عناصر التحكم فيها وتعقبها.
• القوانين سريعة التغيير: تتطور المتطلبات، وما كان جيدا في العام الماضي يمكن أن يكون قديما هذا العام، خاصة بالنسبة لتوقعات الخصوصية والأمان.
• الملكية الموزعة: غالبا ما يجلس مالكو عناصر التحكم في فرق مختلفة (أمان السحابة، تكنولوجيا المعلومات، الهندسة، القانون، الموارد البشرية)، لذا فإن التنسيق وجمع الدلائل المتناسقة يعد أكثر أهمية.

عندما تنظر إلى التنفيذ التلقائي والتوافق المستمر، ركز على الإمكانات التي تقلل الجهد اليدوي دون فقدان المسؤولية.

ابدأ بالتقييمات القياسية التي تستخدم مجموعات تحكم قابلة لإعادة الاستخدام. يدعم هذا التناسق عبر الفرق ويسهل مقارنة النتائج مع مرور الوقت.

• التقييمات القياسية: استخدم نفس بنية التقييم لكل دورة بحيث يسهل اكتشاف التقدم (والتراجعات).
• مجموعات التحكم القابلة لإعادة الاستخدام: إعادة استخدام مجموعة أساسية من عناصر التحكم بدلا من إعادة كتابة عمليات التحقق لكل متطلبات جديدة.

يعمل تعيين التحكم الشائع على تقليل التكرار عبر إطارات العمل عن طريق ربط عنصر تحكم واحد بمتطلبات متعددة.

فيما يلي الشكل الذي يبدو عليه هذا في التطبيق:

1. قد تفي ممارسة التحكم بالوصول واحدة (على سبيل المثال، “الوصول المقيد إلى البيانات” الحساسة) بأجزاء من معايير متعددة.
2. يمكن إعادة استخدام الدليل الذي يتم جمعه لعنصر التحكم هذا عند الإبلاغ عن إطارات عمل مختلفة، بدلا من إعادة إنشاء نفس الإثبات في أماكن متعددة.
3. تتدفق التحديثات إلى عنصر التحكم (أو وثائقه) عبر كل إطار عمل يعتمد عليه.

تركز المراقبة المستمرة على حالة التحكم ووضع التوافق—سواء كانت عناصر التحكم في مكانها، وما إذا كانت لا تزال تعمل كما هو متوقع، وما إذا تم تغيير أي شيء يحتاج إلى متابعة.

فيما يلي تعقب فرق إشارات المراقبة الشائعة:

• حالة التحكم: قد تتضمن هذه التمرير أو الفشل أو لم يتم تقييمها بعد.
• تغيير المؤشرات: يمكن أن تؤدي تغييرات التكوين أو تحديثات النهج أو الأنظمة الجديدة إلى إنشاء عمليات تحقق جديدة للتشغيل.
• أنماط الاستثناء: يمكن أن تشير الاستثناءات المتكررة إلى عناصر التحكم التي تحتاج إلى إعادة تصميم أو ملكية أقوى.

تميل الدلائل إلى الانتشار عبر علب الوارد ومحركات الأقراص المشتركة ومؤشرات ترابط التذاكر ما لم تخطط لذلك. تحافظ إدارة الدليل المركزي على المصطنع في مكان واحد وتربطها بالتحكم الصحيح والمالك ودورة المراجعة.

مهمة سير العمل والتهام هنا لأنها تحول الأشياء التي يجب إصلاحها إلى عمل قابل للتعقب:

• سير العمل: مسار متناسق لمراجعات وموافقات وتسجيلات الخروج.
• المهام: مسح الواجبات وتواريخ الاستحقاق وتعقب التقدم المرتبط بالتحكم أو التقييم.
• جاهزية الدليل: طريقة سريعة للإجابة، “ما هي الإثباتات المتوفرة لدينا؟” هل “هو حالي؟”

تساعد نماذج النقاط والنضوج المستندة إلى المخاطر الفرق على تحديد ما يجب إصلاحه أولا. الهدف من ذلك هو عدم معالجة كل تباعد ثانوي في الوقت نفسه، بل التركيز على المعالجة على المشاكل التي تتسبب في حدوث أكبر قدر من التعرض.

يساعد ذلك في تحديد أولويات المعالجة من خلال:

• العمل حسب التأثير: ضع الثغرات ذات الخطورة الأعلى في أعلى قائمة الانتظار.
• تحسين التعقب مع مرور الوقت: يوفر مستوى الدرجة أو الاستحقاق طريقة عرض واضحة قبل وبعد إكمال عمل المعالجة.
• دعم القرارات المتناسقة: عندما تستخدم الفرق نفس نموذج الدرجة أو الاستحقاق، يكون ترتيب الأولويات أقل ذاتية ويسهل توضيحه.

بمجرد البدء في أتمتة التقييمات والمراقبة وجمع الدلائل، تتمثل الخطوة التالية في تحديد ما ستتعقبه وكيفية الإبلاغ عن التقدم—حتى يتمكن القادة من رؤية اتجاهات المخاطر وتحديد أولويات الإصلاحات وإظهار النتائج مع مرور الوقت.

حتى البرامج المدارة بشكل جيد يمكن أن تتوقف عند ضرب المتطلبات، وانتشرت الأنظمة عبر البيئات، و تصبح الملكية غير واضحة. عادة ما تأتي الإصلاحات لتقليل تكرار العمل، وتشديد عادات الدليل، وتعيين أدوات حماية واضحة للأدوات الجديدة.

المشكلة: يتعقب Teams نفس المتطلبات في أماكن متعددة، ويعيد كتابة عناصر تحكم مماثلة للوائح المختلفة، ويقضي بعض الوقت في تسوية قوائم الاختيار المتراكب.

كيفية تجنبها: استخدم تعيين التحكم الشائع عبر اللوائح.

يتمثل أحد النهج العملية في تعيين عنصر تحكم واحد إلى إطارات عمل متعددة حتى لا تكرر نفس العمل في كل مرة تضيف فيها معيارا جديدا.

• إنشاء مكتبة عناصر تحكم مشتركة. احتفظ بمجموعة أساسية من عناصر التحكم التي تظهر عبر العديد من المتطلبات (التحكم في الوصول والتسجيل والتشفير والاستبقاء والاستجابة للحوادث).
• الخريطة مرة واحدة، وغالبا ما تتم إعادة استخدامها. ربط كل عنصر تحكم بكل قانون/معيار يتوقعه، ثم الإشارة إلى هذا التعيين أثناء المراجعات والتدقيقات.
• تحديث عنصر التحكم، وليس كل قائمة اختيار. عند تغيير عنصر التحكم، اسمح لهذا التحديث المفرد بالتدفق عبر المتطلبات المعينة بدلا من تحرير نسخ متعددة.

الفحص السريع: إذا كان فريقان يحتفظان بعناصر تحكم واحدة منفصلة "باستخدام صياغة مختلفة، فأنت تدفع ضريبة" التكرار.

المشكلة: يتم نشر الدليل عبر الدردشات ومؤشرات ترابط البريد الإلكتروني وتعليقات التذاكر ومحركات الأقراص المشتركة. عند وصول طلب تدقيق، يتزاحم الأشخاص للعثور على المصطنع وإعادة إنشاء السياق.

كيفية تجنبها: قم بتركيز المصطنع وتعيين مالكي عناصر التحكم.

تعمل ميزة "الدليل المركزي" بشكل أفضل عندما يكون لكل عنصر تحكم مالك مسمى يعرف كيف “يبدو الدليل” الجيد ومكان تواجده.

• منزل واحد للدليل. تخزين المصطنع والملاحظات وتحديثات الحالة في مكان واحد مرتبط بعنصر التحكم. (تدعم العديد من الأدوات إرفاق الدليل وحالة التعقب ضمن إجراءات التحسين.)
• مسح الملكية. تعيين مالك عنصر تحكم مسؤول عن الحفاظ على تحديث المصطنع والاستجابة لطلبات الدليل.
• تعريف "أدنى دليل قابل للبقاء." لكل عنصر تحكم، قم بتوثيق ما تحتاج إلى إظهاره:
  • ما هو عنصر التحكم،
  • من يملكه،
  • كيفية التحقق من ذلك،
  • ما هي الإثباتات التي يتم جمعها، و
  • كم مرة يتم تحديثها.
• استخدام سير العمل المهام. تعقب الطلبات وتواريخ الاستحقاق وخطوات المراجعة حتى لا تعتمد مجموعة الدلائل على الذاكرة.

عادة واحدة بسيطة تساعد على: إذا لم يكن من السهل العثور على الدليل بعد شهرين، فلن يتم تخزينه في المكان الصحيح.

المشكلة: تأتي الأنظمة الأساسية السحابية المختلفة مع إعدادات افتراضية وأنماط تسجيل وإعدادات أمان مختلفة. يتم انحراف عناصر التحكم مع مرور الوقت مع تحديث الخدمات وإجراء الفرق تغييرات محلية.

كيفية تجنب ذلك: تعيين نهج قياسي- كرمز وأساسات الوضع.

يتمثل أحد النهج الثابتة في توحيد التوقعات في طبقتين: النهج كرمز للقواعد المتناسقة، وأساسات الوضع للحد الأدنى لحالة التكوين التي تتوقعها في كل مكان.

• النهج-التعليمات البرمجية لقابلية التكرار. تعريف المتطلبات الأساسية (مثل التشفير ومتطلبات الهوية والتسجيل والاستبقاء) في نموذج يمكن تطبيقه بشكل متناسق عبر البيئات.
• الخطوط الأساسية للأوضاع الوضوح. حافظ على مجموعة أساسية من إعدادات الأمان وتعقب عندما تنحرف الأنظمة بعيدا عنها.
• المراقبة المستمرة حالة التحكم. تعقب ما إذا كانت عناصر التحكم تمر أو تفشل مع مرور الوقت، وليس فقط أثناء المراجعات المجدولة.
• لا يزال تعيين التحكم الشائع يهم. استخدم عناصر التحكم المشتركة حيثما أمكن، حتى عندما تختلف الأنظمة الأساسية.

مراقبة الانحراف: إذا تم توثيق خط أساسي ولكن لم تتم مراقبته، فسيصبح تالفاً بسرعة.

المشكلة: يعتمد الأشخاص تطبيقات—جديدة وأدوات—الذكاء الاصطناعي الجديدة بشكل أسرع مما يمكن لعمليات الإدارة مراجعتها. يؤدي ذلك إلى زيادة فرصة مشاركة البيانات الحساسة في أماكن لم يتم فحصها.

كيفية تجنبها: استخدم الأدوات والتسميات والمراقبة والقوالب المحدثة المعتمدة.

يجب وضع ضوابط واضحة تتناسب مع طريقة عمل الناس في الواقع - خاصة مع انتشار أدوات الذكاء الاصطناعي.

• تعريف الأدوات المعتمدة. انشر قائمة قصيرة من التطبيقات وأدوات الذكاء الاصطناعي المعتمدة، بالإضافة إلى مسار لطلب تطبيقات جديدة.
• تسمية البيانات الحساسة. قم بتطبيق أوصاف الحساسية ليتمكن الأشخاص من معرفة ما يتطلب عناية إضافية وبالتالي يمكن أن تعمل عناصر التحكم على الوصف.
• مراقبة مخاطر الاتصال. إضافة مراقبة تركز على أنماط المشاركة الخطرة (على سبيل المثال، نسخ المحتوى الحساس إلى أدوات غير معتمدة أو إرساله إلى وجهات غير مصرح بها).
• اعتماد القوالب التي تتوافق مع اللوائح المتطورة (بما في ذلك الذكاء الاصطناعي). استخدم القوالب وقوائم الاختيار التي تعكس المتطلبات الجديدة عند تغيير قواعد الذكاء الاصطناعي وتحديثها على وتيرة بدلا من انتظار المراجعة السنوية التالية.

الانقسام العملي الذي يحافظ على قوة الدفع هو:

• حظر الأدوات ذات الخطورة العالية التي لا تحتاج إلى عمل.
• السماح أدوات ذات خطورة أقل فقط للعمل غير الحساس وإضافة أدوات حماية لتقليل مخاطر تسرب البيانات.
• توحيد على خيارات على مستوى المؤسسة للعمل الذي يتضمن بيانات حساسة.

لقد رأيت كيفية عمل برنامج قوي لإدارة التوافق: قم بتعيين نهج واضحة وتعيين الملكية وتقييم المخاطر وإغلاق الثغرات ومراقبة عناصر التحكم والإبلاغ عن التقدم بطريقة يمكن للقادة العمل عليها. عندما تضع هذه القطع معا، فإنك تقضي وقتا أقل في تعقب الدليل والمزيد من الوقت لتحسين كيفية إنجاز العمل.

إذا كنت تبدأ من جديد—أو تقوم بتشديد برنامج—موجود، فيمكنك الاحتفاظ بالأشياء القابلة للإدارة من خلال:

• اختيار تقييم واحد يتطابق مع احتياجات المدى القريب (قانون أو معيار أو متطلبات داخلية تقوم بتعقبها بالفعل).
• استخدام قائمة إجراءات التحسين كتراكم العمل، ثم قم بتعيين ملاك لتنفيذ العمل واختباره.
• مراجعة الدرجة واحتياجات “الانتباه“ بشكل منتظم لمتابعة التركيز على العمل ذي التأثير الأعلى.
• تسجيل تحديثات الحالة والدليل أثناء الانتقال حتى لا تكون تقارير التدقيق مشوشة في اللحظة الأخيرة.

تم تصميم إدارة التوافق في Microsoft Purview لمساعدتك على تقييم التوافق وإدارته عبر بيئة متعددة مواقع الويب ودعم الرحلة—الكاملة التي تقوم فيها بجرد مخاطر حماية البيانات لتنفيذ عناصر التحكم والبقاء على اطلاع دائم باللوائح والشهادات وإعداد التقارير إلى المراجعين.

احصل على المساعدة في تنظيم المتطلبات في التقييمات وتحويل الثغرات إلى إجراءات تحسين معينة وتعقب التقدم بنتيجة مستندة إلى المخاطر ودعم الإبلاغ إلى المراجعين—جميعا في مكان واحد.