الحوكمة، CI/CD، الموردون، وسلسلة توريد البرمجيات
تعكس قائمة المراجعة هذه كيفية مراجعة متطلبات سلسلة التوريد في NIS2 فعلياً من قبل المدققين والسلطات الرقابية. تركز على الحوكمة والتطبيق التقني والأدلة، لا على البيانات السياساتية رفيعة المستوى.
استخدم قائمة المراجعة هذه لتقييم الاستعداد قبل التدقيق أو لتوجيه إعداد الأدلة خلال الرقابة.
1. النطاق وتحديد الموردين
تركيز المدقق
هل تم تحديد جميع الموردين ذوي الصلة وإدراجهم في النطاق؟
قائمة المراجعة
- ⬜ جرد الموردين موجود ومُحدَّث
- ⬜ يشمل الجرد:
- موردو البرمجيات
- منصات CI/CD
- مزودو السحابة والبنية التحتية
- خدمات ICT المُستعان بمصادر خارجية
- ⬜ الموردون مرتبطون بالخدمات أو الأنظمة المدعومة
- ⬜ نطاق سلسلة التوريد موثق رسمياً
إشارات التحذير الشائعة
- مزودو CI/CD مستثنون من نطاق الموردين
- قوائم موردين غير مكتملة أو قديمة
2. الأهمية الحرجية للموردين وتصنيف المخاطر
تركيز المدقق
هل يتم تقييم مخاطر سلسلة التوريد بصورة متناسبة؟
قائمة المراجعة
- ⬜ الموردون مُصنَّفون حسب الأهمية الحرجية
- ⬜ معايير التصنيف تشمل:
- الأثر على الخدمات الأساسية
- مستوى الوصول المتميز
- حساسية البيانات
- قابلية الاستبدال
- ⬜ تقييمات المخاطر موثقة وقابلة للتكرار
- ⬜ الموردون الحرجيون محددون بوضوح
إشارات التحذير الشائعة
- غياب التمييز بين الموردين الحرجيين وغير الحرجيين
- تقييمات المخاطر تُجرى بصورة غير رسمية
3. حوكمة الموردين والملكية
تركيز المدقق
من المسؤول عن مخاطر الموردين؟
قائمة المراجعة
- ⬜ لكل مورد مالك داخلي محدد بوضوح
- ⬜ أدوار حوكمة الموردين محددة
- ⬜ مراجعات دورية للموردين تُجرى
- ⬜ المخاطر المرتبطة بالموردين تُصعَّد بالشكل المناسب
إشارات التحذير الشائعة
- ملكية الموردين غير واضحة أو ضمنية
- لا يوجد دليل على رقابة مستمرة للموردين
4. ضوابط المشتريات والعقود
تركيز المدقق
هل متطلبات الأمن السيبراني قابلة للتطبيق؟
قائمة المراجعة
- ⬜ متطلبات الأمن السيبراني مدمجة في المشتريات
- ⬜ العقود تشمل:
- الالتزامات الأمنية
- متطلبات الإشعار بالحوادث
- بنود التعاون
- ⬜ البنود الأمنية مطبّقة باتساق على الموردين الحرجيين
- ⬜ استثناءات العقود موثقة ومُسوَّغة
إشارات التحذير الشائعة
- متطلبات الأمن مطبّقة بصورة غير متسقة
- لا قابلية للتتبع بين العقود وتقييمات المخاطر
5. ضوابط CI/CD لسلسلة التوريد
تركيز المدقق
كيف يتم تطبيق مخاطر سلسلة التوريد تقنياً؟
قائمة المراجعة
- ⬜ CI/CD Pipelines إلزامية لتغييرات الإنتاج
- ⬜ الوصول إلى منصات CI/CD مقيّد (RBAC، MFA)
- ⬜ تعديلات الـ Pipeline مضبوطة ومسجَّلة
- ⬜ فصل المهام مفروض عبر الموافقات
- ⬜ التكاملات من أطراف ثالثة في CI/CD خاضعة للحوكمة
إشارات التحذير الشائعة
- عمليات نشر يدوية أو خارج النطاق
- حسابات خدمة CI/CD ذات امتيازات مفرطة
6. التبعيات وضوابط سلامة البرمجيات
تركيز المدقق
كيف تثقون بما تنشرونه؟
قائمة المراجعة
- ⬜ جرد التبعيات موجود للتطبيقات الحرجية
- ⬜ فحص التبعيات (SCA) يُنفَّذ
- ⬜ الثغرات الحرجية تُطلق عمليات معالجة أو اتخاذ قرار
- ⬜ ملفات SBOM متاحة للأنظمة الحرجية (حيثما انطبق)
- ⬜ سلامة الأداة ومصدرها مضمونتان
إشارات التحذير الشائعة
- غياب الرؤية في التبعيات
- عدم القدرة على تتبع الأدوات المنشورة
7. إدارة الوصول من أطراف ثالثة
تركيز المدقق
هل للموردين وصول خاضع للتحكم؟
قائمة المراجعة
- ⬜ حسابات الأطراف الثالثة وحسابات الخدمة مُجرَّدة
- ⬜ الوصول يتبع مبادئ الحد الأدنى من الامتيازات
- ⬜ الوصول المتميز موافَق عليه ومسجَّل
- ⬜ مراجعات الوصول الدورية تُجرى
- ⬜ إجراءات إلغاء الوصول موجودة
إشارات التحذير الشائعة
- حسابات موردين طويلة الأمد دون مراجعة
- بيانات اعتماد مشتركة أو غير موثقة
8. المراقبة والكشف
تركيز المدقق
هل يمكنكم اكتشاف الأحداث المرتبطة بسلسلة التوريد؟
قائمة المراجعة
- ⬜ نشاط CI/CD Pipeline مُراقَب
- ⬜ تنبيهات ثغرات التبعيات مُراقَبة
- ⬜ الشذوذات المرتبطة بالموردين قابلة للكشف
- ⬜ للتنبيهات مسارات تصعيد محددة
إشارات التحذير الشائعة
- السجلات موجودة لكن لا يُراجَعها أحد
- لا تنبيه لمشكلات CI/CD أو التبعيات
9. الاستجابة للحوادث والتنسيق مع الموردين
تركيز المدقق
هل أنتم مستعدون لحوادث الموردين؟
قائمة المراجعة
- ⬜ خطط الاستجابة للحوادث تشمل سيناريوهات الموردين
- ⬜ مسارات التصعيد والإشعار للموردين محددة
- ⬜ القدرة على إلغاء وصول الموردين بسرعة
- ⬜ محاكاة الحوادث أو اختباراتها مُنفَّذة
- ⬜ مراجعات ما بعد الحادثة موثقة
إشارات التحذير الشائعة
- التعامل مع حوادث الموردين بصورة ارتجالية
- غياب عملية تنسيق موثقة
10. الاحتفاظ بالأدلة وقابلية التدقيق
تركيز المدقق
هل يمكن إنتاج الأدلة عند الطلب؟
قائمة المراجعة
- ⬜ فترات الاحتفاظ بالأدلة محددة
- ⬜ سجلات CI/CD والسجلات الأمنية محفوظة
- ⬜ وثائق الموردين مؤرشفة
- ⬜ يمكن استرداد الأدلة التاريخية
إشارات التحذير الشائعة
- فترات احتفاظ قصيرة
- الأدلة مبعثرة عبر الأنظمة
أسئلة التقييم النهائية للمدقق
قبل إغلاق التدقيق، يطرح المشرفون عادةً على أنفسهم:
- هل مخاطر سلسلة التوريد مفهومة بوضوح؟
- هل الضوابط مطبّقة تقنياً لا مجرد موثّقة؟
- هل الأدلة موثوقة وكاملة وقابلة للاسترداد؟
- هل CI/CD يُعامَل كجزء من البيئة الخاضعة للتنظيم؟
إذا أمكن الإجابة على هذه الأسئلة بثقة، يُعدّ الاستعداد لسلسلة التوريد وفق NIS2 مُرضياً في العادة.
الخاتمة
يُقيَّم امتثال سلسلة التوريد لـ NIS2 من خلال الأدلة والتطبيق والمساءلة. تعكس قائمة المراجعة هذه كيفية تقييم المدققين للنضج على أرض الواقع وتساعد المنظمات على تحديد الثغرات قبل وقوع الرقابة.
محتوى ذو صلة
- حزمة أدلة سلسلة توريد NIS2
- التعمق في أمن سلسلة التوريد وفق NIS2
- بنية أمن NIS2 — شرح تفصيلي
- قائمة مراجعة حوكمة الموردين وضوابط CI/CD
- كيف يراجع المدققون CI/CD Pipelines فعلياً
