إدارة الأمن — تطبيق ISO 27001 وGDPR على بنيتي التحتية
طريقة منهجية لتحديد مخاطر الأمن المهمة، وما يجب فعله حيالها، وكيفية إثبات ذلك، مطبّقة على الخادم الذي يقف خلف هذا الموقع.
الحاجة
قول «إنه آمن» لا يُثبت شيئًا. تعتمد المؤسسات معيار ISO 27001 لتقرّر ما تفعله إزاء مخاطر الأمن وتوثّقه وتُثبته، وأردت أن أمارسه على شيء حقيقي.
الفكرة
أن أعامل خادمي كما أعامل خادم عميل: أحدّد النطاق، وأحلّل المخاطر، وأختار الضوابط، وأدقّق، ثم أنشر النواقص بدل إخفائها.
ما الذي بنيته
- نطاق محدّد، وجرد لما يجب حمايته.
- تحليل للمخاطر وفق EBIOS RM، المنهجية الوطنية الفرنسية.
- مراجعة الضوابط الـ93 في ISO 27001 (إصدار 2022) واحدًا تلو الآخر، بما فيها 35 ضابطًا مستبعدًا، لكلٍّ منها مبرّر مكتوب.
- سياسة أمنية، وإجراءات تشغيلية، وسجل معالجة وفق GDPR لبيانات الزوار التي يعالجها هذا الموقع.
- تدقيق داخلي لـ 17 ضابطًا، مع تدوين النواقص كاملة.
- أدلة حيّة: بعض المتطلبات تُقاس تلقائيًا كل ساعة، ولا يُكتفى بالتصريح بها.
النتيجة
- 93ضابطًا رُوجع واحدًا تلو الآخر
- 35مستبعدًا، لكلٍّ منها مبرّر مكتوب
- 17ضابطًا دُقّق داخليًا
- 14 · 2 · 1مطابق · جزئي · ثغرة
من أصل 93 ضابطًا: 12 مطبّقة، و30 جزئية، و16 قيد الإنجاز، و35 غير منطبقة (أُعيد التحقق من الأعداد في 12 سبتمبر 2026). المقتطفات العامة منشورة على الإنترنت، أما تحليل المخاطر الكامل وبيان قابلية التطبيق فيُعرضان خلال المقابلات.
بالصور
ما الذي تعلّمته
استبعاد ضابط بمبرّر متين يكشف بقدر ما يكشفه تطبيقه. ونظام الأمن الذي لا يعدّد إلا نجاحاته ليس نظامًا، بل كتيّب دعائي.
التفاصيل التقنية التقنيات والبنية والقرارات، للقرّاء التقنيين
التقنيات المستخدمة
- ISO/IEC 27001:2022
- EBIOS RM
- GDPR
- Ubuntu
- nginx
- systemd
- Cloudflare
- Litestream + restic
كيف يعمل
- النطاق: الجهاز الافتراضي للإنتاج، والتطبيق، وقاعدة البيانات، وبيانات الزيارات، وصلاحيات الإدارة. وخارج النطاق صراحةً: جهاز العمل الشخصي وحسابات الأطراف الأخرى.
- EBIOS RM في خمس ورش عمل؛ مع قبول المخاطر المتبقية كتابيًا. ولم تُنشر الورشتان 4 و5 عن قصد.
- بيان قابلية التطبيق: 12 مطبّقة، و30 جزئية، و16 قيد الإنجاز، و35 غير منطبقة، ومعظمها ضوابط بشرية ومادية نُقلت إلى مزوّد الخدمة السحابية.
- GDPR: سجل أنشطة المعالجة (المادة 30)، واختبار الموازنة للمصلحة المشروعة، وإشعار المعلومات (المادة 13)، وإجراء حقوق أصحاب البيانات (المواد 15–21)، وإجراء الإخطار بالخروقات (المادة 33)، وتحليلا تقييم الأثر ومسؤول حماية البيانات (المادتان 35 و37).
- التدقيق الداخلي: 17 ضابطًا، منها 14 مطابقة، و2 جزئيان، وثغرة هيكلية واحدة مدوّنة بالكامل؛ مع نشر سجل الحوادث.
- تُخلّي عن ميزة تجميع آلي لمعلومات OSINT لعدم وجود أساس قانوني متين بموجب المادة 14 من GDPR.
- النواقص المعروفة: لم تُختبر استمرارية الأعمال منذ إزالة جهاز النسخ الاحتياطي؛ ولا يوجد فحص مستمر للثغرات.
ما لا يزال ناقصًا
- دون شهادة رسمية، إذ لا يمكن للأفراد الحصول عليها
- استمرارية الأعمال غير مختبرة
- لا فحص مستمر للثغرات