قوائم الأفضل
عادةً ما تحمل وظيفة الامتثال في دول الخليج أكثر من جهة تنظيمية في الوقت نفسه. فالبنك السعودي يخضع لساما، ولأجزاء من بيئته للهيئة الوطنية للأمن السيبراني. وقد تحمل الجهة الإماراتية معيار ضمان المعلومات إلى جانب قواعد قطاعية. وتقريبًا يُطلب من الجميع أيضًا ISO 27001 أو SOC 2 من قبل العملاء. وهذا الدليل عن اختيار برنامج الحوكمة والمخاطر والامتثال حين تكون هذه هي طبيعة المشكلة.
ابدأ من التداخل لا من عدد الأطر
الميل الغريزي هو عدّ الأطر واختيار المنصة صاحبة العدد الأكبر. وهذا مقياس خاطئ، لأن القيمة ليست في عدد مجموعات الضوابط الموجودة بل في ما إذا كان الدليل المجموع لأحدها يُحتسب للبقية.
الضوابط الأكثر تداخلًا بين ساما، والضوابط الأساسية للأمن السيبراني السعودية، ومعيار ضمان المعلومات الإماراتي، و ISO 27001 و SOC 2 هي التي تولّد أكبر قدر من العمل: مراجعات الصلاحيات، واختبار النسخ الاحتياطي والاستعادة، وإدارة الثغرات، وسجلات الحوادث، وضمان المورّدين، والتوعية والتدريب. فإذا جُمعت مرة واحدة ورُبطت عبر الأطر، كلّف الإطار الثاني جزءًا يسيرًا من الأول. وإن لم تُربط، كان كل إطار برنامجًا جديدًا.
وسؤال العرض التوضيحي الذي يختبر ذلك: أرفق مراجعة صلاحيات واحدة بضابط واحد، ثم أرِني كل ضابط آخر في كل إطار آخر يستوفيه هذا الدليل الآن.
تحقق من أن مجموعات الضوابط الإقليمية حقيقية
عدة منصات تُباع في المنطقة تدعم الأطر الإقليمية بوصفها إطارًا مخصصًا: هيكلًا فارغًا تملؤه بنفسك. وهذه ميزة مشروعة، لكنها ليست مجموعة ضوابط مُصانة. والفارق يظهر عندما تنشر الجهة التنظيمية مراجعة جديدة، لأن إعادة الترميز في الإطار المخصص مسؤوليتك أنت.
اسأل ثلاثة أسئلة. هل يأتي الإطار الإقليمي بضوابطه ومراجعها الرسمية. ومن يحدّثه حين تراجع الجهة التنظيمية المعيار. وماذا حدث في المرة الأخيرة التي راجعت فيها إحداها. والسؤال الثالث هو الأكثر إفادة.
إقامة البيانات، بسؤال دقيق
كثيرًا ما تُطرح أسئلة إقامة البيانات في الخليج بصياغة فضفاضة وتُجاب بالمثل. اسأل بدقة: أين قاعدة البيانات الأساسية، وأين تُحفظ النسخ الاحتياطية، ومن أين يصل إليها الدعم الفني، وإلى أين ترسل أي ميزة ذكاء اصطناعي المحتوى. والأخير هو الجواب الذي يفاجئ الناس بصورة متزايدة، لأن ميزة تلخّص سياسة قد ترسل تلك السياسة خارج المنطقة.
واحصل على الجواب كتابةً، لأنها مسألة تعاقدية لا تقنية، وهي السؤال الذي يُرجَّح أن تطرحه الجهة التنظيمية عليك أنت لا على المورّد.
اختبار القائمة المختصرة العملي
أيًا كانت المنصة، فإن ثلاثة أسئلة يُجاب عنها من بياناتها دون إعداد مسبق تخبرك بمعظم ما تحتاج معرفته: أي الضوابط بلا أدلة، وأي الأدلة انتهت صلاحيتها، ومن يدين لك بالعناصر الناقصة. والمنصة العاجزة عن الإجابة نقلت جدول بياناتك بدلًا من أن تستبدله.
أين تقف Venvera
تحمل Venvera إطار ساما، والضوابط الأساسية للأمن السيبراني السعودية، ومعيار ضمان المعلومات الإماراتي كمجموعات ضوابط مُصانة بمراجعها الحقيقية، إلى جانب ISO 27001 و SOC 2 و PCI DSS و NIST CSF وغيرها من الأطر التي تُسأل عنها الجهة الخليجية عادةً، وتربط الأدلة بينها. وتعمل الواجهة بالعربية بتخطيط من اليمين إلى اليسار إلى جانب الإنجليزية. وتُستضاف البيانات في أمستردام، وهي حقيقة تتعلق بإقامة البيانات ينبغي وزنها مقابل متطلبك الخاص لا ادعاءً عمّن يستهدفه المنتج.
وبصراحة: إذا كان متطلبك الاستضافة داخل المنطقة، فهذا قيد حقيقي ينبغي اختباره، والأسعار منشورة لا مطلوبة بعرض سعر، فيمكنك المقارنة دون محادثة مبيعات.
