يحول تقييم المخاطر قائمة طويلة من التهديدات المحتملة إلى قرارات ذات أولوية. وفي مراكز البيانات يجب أن يشمل المساحات المادية وأنظمة التحكم وأنظمة المعلومات والعمليات والأشخاص والاعتماد على الأطراف الخارجية لأن الفشل في أي منها قد يؤثر على التوافر أو السرية أو التكامل أو السلامة.
حدد الأصول والخدمات الحرجة
ابدأ بالخدمات المطلوب حمايتها ثم حدد الأصول التي تدعمها، مثل قاعات البيانات والكهرباء والمولدات وUPS والتبريد وBMS/EPMS/DCIM وأنظمة الأمن وغرف الشبكات والتوثيق والحسابات الإدارية وفرق التشغيل.
حدد التهديدات
قد تشمل الدخول غير المصرح به والسرقة والتخريب وإساءة استخدام البطاقات والتهديد الداخلي واختراق أنظمة التحكم وفقد المراقبة ومخاطر الموردين والحريق والمياه والتعطيل المتعمد.
حدد نقاط الضعف
يصبح التهديد خطراً عندما تسمح نقطة ضعف بالتأثير على الأصل. تشمل الأمثلة الصلاحيات الزائدة والأبواب غير المراقبة والبرامج غير المدعومة والحسابات الإدارية المشتركة وضعف فصل الشبكات وغياب السجلات وضعف وصول الموردين واعتماد الأمن على خادم واحد.
قيّم الضوابط الحالية
يجب أن يعترف التقييم بالضوابط الموجودة ويقيّم جودة تصميمها وفعاليتها. لا ينبغي منح سياسة مكتوبة الوزن نفسه لضابط تم اختباره وله أدلة حديثة.
قدّر الاحتمالية والأثر
يمكن استخدام طرق نوعية أو كمية بشرط ثبات قواعد التقييم. يجب أن يشمل الأثر انقطاع الخدمة والسلامة وأثر العملاء والمتطلبات التنظيمية والخسائر المالية والسمعة.
حدد المخاطر المتبقية
Residual Risk هي المخاطر المتبقية بعد احتساب الضوابط الحالية. تقرر الإدارة قبولها أو خفضها أو تجنبها أو نقلها وفق معايير محددة.
صمم المعالجة على شكل طبقات
غالباً تجمع المعالجة الجيدة بين الضوابط الوقائية والكشفية وضوابط الاستعادة. حماية غرفة تحكم حرجة قد تشمل تقييد الدخول وCCTV وإنذارات الأبواب ومراجعة الصلاحيات والاستجابة للحوادث وطاقة احتياطية لنظام الأمن.
راجع التقييم عند تغير البيئة
- توسعة كبيرة للمنشأة.
- متطلبات جديدة من عميل أو جهة تنظيمية.
- إضافة Remote Access.
- تغيير BMS أو DCIM أو منصة الأمن.
- حادث أو Near Miss مهم.
- مورد جديد أو خدمة خارجية.
- تغير في التهديدات أو الثغرات المعروفة.
الخلاصة
يجب أن يقود تقييم المخاطر الاستثمار الأمني وأولويات الضوابط. البرنامج القوي لا يعامل كل تهديد ممكن بالدرجة نفسها، بل يحدد السيناريوهات المؤثرة فعلياً ويقيس قوة الضوابط الحالية ويوجه الموارد نحو أعلى المخاطر المتبقية.
المراجع وقراءات إضافية
- ISO/IEC 27001:2022 والتعديل 1:2024.
- ISO/IEC 27002:2022.
- ISO/IEC 22237-6:2024.
