يجب إدارة الأمن والامتثال في مركز البيانات كنظام حوكمة واحد بدلاً من أنشطة منفصلة للأمن المادي والسيبراني والتشغيل. قد يمتلك الموقع نظام دخول قوياً، ومع ذلك تبقى الحوكمة ضعيفة إذا كانت المسؤوليات غير واضحة أو الأدلة ناقصة أو الاستثناءات مفتوحة أو متطلبات أمن المعلومات غير مرتبطة بالتشغيل.
ابدأ بالحوكمة
تحدد الحوكمة من يملك أهداف الأمن ومن يعتمد المخاطر ومن يشغل الضوابط ومن يتحقق من فعاليتها. يحدد ISO/IEC 27001:2022 متطلبات إنشاء وتنفيذ وصيانة والتحسين المستمر لنظام إدارة أمن المعلومات ISMS، ويوفر منهجه القائم على المخاطر أساساً جيداً لتنسيق المسؤوليات.
اربط أمن المعلومات بأمن المنشأة
يوفر ISO/IEC 27002:2022 إرشادات لضوابط أمن المعلومات، بينما يتناول ISO/IEC 22237-6:2024 الأمن المادي لمرافق مراكز البيانات. البرنامج الناضج يربط المجالين. فالدخول الإداري إلى خادم BMS والوصول الفيزيائي لغرفة التحكم والوصول إلى تطبيق Access Control قد تؤثر جميعها على الخدمة نفسها.
حدد نطاق الالتزامات
يجب أن تحتفظ المؤسسة بقائمة مضبوطة للالتزامات المطبقة، مثل القوانين ومتطلبات الجهات التنظيمية والعقود والتزامات العملاء والسياسات الداخلية ومتطلبات الشهادات والمعايير والمواصفات الفنية.
ويربط كل التزام بمسؤول وضوابط توفر دليل الامتثال.
حدد هدف الضابط قبل التقنية
الكاميرا أو قارئ البطاقة أو Firewall أو Log Server ليست هدفاً بحد ذاتها. يجب أولاً تحديد الخطر المطلوب إدارته ثم اختيار الضوابط الوقائية والكشفية والتصحيحية وضوابط الاستعادة المناسبة.
حدد مالكاً لكل ضابط
يجب أن يكون لكل ضابط مهم مسؤول عن تشغيله وحفظ أدلته. تشمل الأمثلة اعتماد الزوار ومراجعة الصلاحيات والاستجابة لإنذارات الأمن ومراجعة الحسابات ذات الصلاحيات العالية والاحتفاظ بـCCTV والنسخ الاحتياطية وإدارة الثغرات وتصعيد الحوادث.
أدر الاستثناءات رسمياً
لا ينبغي أن تتحول Bypass المؤقتة أو المعدات غير المدعومة أو التحديثات المتأخرة أو الوصول الطارئ إلى أوضاع دائمة غير مرئية. يجب أن يسجل الاستثناء السبب والمخاطر والضوابط التعويضية والمسؤول وتاريخ الانتهاء وخطة الإعادة.
صمم العملية لتنتج أدلة
يصبح إثبات الامتثال أسهل عندما تولد الضوابط الأدلة تلقائياً. تشمل الأدلة طلبات الدخول المعتمدة ومراجعات الصلاحيات وسجلات الإنذارات وAudit Logs والتدريب واعتمادات التغيير واختبارات النسخ الاحتياطي وتقارير الفحص والحوادث.
المراجعة الإدارية والتحسين المستمر
يجب مراجعة الحوادث ونتائج التدقيق والمخاطر المفتوحة وفشل الضوابط والاستثناءات المتكررة وأداء الموردين وتغير الالتزامات بصورة دورية. ويجب أن تتحول النتائج إلى إجراءات متابعة واضحة.
ضوابط عملية للحوكمة
- الاحتفاظ بسجل للالتزامات الأمنية والامتثال.
- ربط الالتزامات بمالكي الضوابط والأدلة.
- إعادة تقييم المخاطر عند تغير المنشأة أو الخدمات.
- ضبط الاستثناءات بتاريخ انتهاء.
- مراجعة الصلاحيات المادية والمنطقية الحساسة دورياً.
- متابعة نتائج التدقيق والإجراءات التصحيحية حتى الإغلاق.
- رفع مؤشرات أمن وامتثال ذات معنى للإدارة.
الخلاصة
يصبح أمن مركز البيانات مستداماً عندما تربط الحوكمة المخاطر والضوابط والمسؤوليات والأدلة. الهدف ليس جمع الشهادات أو شراء منتجات أمن منفصلة، بل إنشاء نظام إدارة متكرر يثبت أن المخاطر المهمة تم تحديدها والتحكم بها ومراقبتها وتحسينها.
المراجع وقراءات إضافية
- ISO/IEC 27001:2022 والتعديل 1:2024، متطلبات نظام إدارة أمن المعلومات.
- ISO/IEC 27002:2022، ضوابط أمن المعلومات.
- ISO/IEC 22237-6:2024، أنظمة أمن مرافق مراكز البيانات.
