عندك ISO 27001. كم من ISO 42001 تملكه فعلاً؟
الجواب الذي ستسمعه يتبع من يسعّر. شركة تبيع برنامجاً كاملاً تقول: لا شيء تقريباً. وأخرى تبيع إضافة تقول: كل شيء تقريباً. والجواب الأمين أنك بنيت الآلة ولا تملك المحتوى، والنصفان يسهل فرزهما متى عرفت أين يمر الخط.
· 8 دقائق قراءة · بقلم فريق البحث والتحرير في Faceela
يصل السؤال في صيغة واحدة تقريباً. عميل طلب ISO/IEC 42001، وأنت تحمل ISO/IEC 27001 أصلاً، وأحدهم في الاجتماع يقول: أليس معظم هذا هو نفسه؟ ثم يصل عرضان بفارق أسبوعين. الأول يسعّر برنامجاً كاملاً كأن الشهادة التي تحملها غير موجودة. والثاني يسعّر إضافة: ثلاثة أشهر، معظمها توثيق.
كلاهما يصف المعيار نفسه. واختلافهما أن كل واحد يجيب على نصف السؤال دون أن يقول أي نصف.
الفرز الأمين هو هذا: أنت بنيت الآلة، ولا تملك من المحتوى شيئاً يُذكر. الآلة هي الجزء الغالي البطيء في بناء أي نظام إدارة، ولهذا الوفر حقيقي. والمحتوى هو حيث تسكن المخاطرة، ولهذا الوفر أقل مما يوحي به عرض الإضافة. وما يلي طريقة لفرز نظام إدارتك القائم إلى هاتين الكومتين — على افتراض أنك تعرف أصلاً ما الذي يطلبه المعيار، لأن سؤال إعادة الاستخدام لا معنى له قبل سؤال النطاق.
لماذا ينتقل أي شيء أصلاً
المعياران مبنيان على هيكل واحد. تمنح ISO معايير نظم الإدارة لديها بنية عليا مشتركة: البنود نفسها، بالترتيب نفسه، بالمعاني نفسها — سياق المنشأة، القيادة، التخطيط، الدعم، التشغيل، تقييم الأداء، التحسين. ISO 9001 عليها. وISO/IEC 27001 عليها. وISO/IEC 42001 عليها.
وهذا ليس ترتيباً تسويقياً. هو السبب في أن برنامج تدقيق داخلي واحداً يغطي ثلاثة معايير، وأن مراجعة إدارة واحدة تغلقها كلها في اجتماع واحد، وأن عملية ضبط وثائق واحدة تحمل كل مستند مضبوط في الشركة. والمنشأة التي أكملت دورة ISO/IEC 27001 كاملة — اعتماد، ثم زيارة متابعة، ثم عدم مطابقة واحدة على الأقل رُفعت وأُغلقت — اكتسبت عادة تشغيلية استغرقت سنة أو أكثر، ولا يلزمها اكتسابها مرتين.
والفخ أن الهيكل المشترك هو الجزء الظاهر. اقرأ المعيارين جنباً إلى جنب وستتفق العناوين اتفاقاً يجعل الفروق تبدو شكلية. وهي ليست شكلية. هي تحت العناوين لا فيها.
الآلة التي تحتفظ بها
هذه أشياء بنيتها مرة وتوسّعها ولا تعيد بناءها. وإذا سعّرها عرض على أنها عمل جديد فهو يسعّر نظام إدارة ثانياً — وهو الإخفاق الغالي في هذه العملية كلها: النظامان ينحرفان، ويظهر الشق بينهما، ويجده المدقق في الساعة الأولى.
ضبط الوثائق والسجلات. الإصدارات والاعتماد والاحتفاظ والتوزيع وسجل المستندات المضبوطة. لا يعنيه موضوع المستند. المستندات الجديدة تنضم إليه.
برنامج التدقيق الداخلي. الجدول، وقاعدة استقلال المدقق، وتصنيف الملاحظات، ومسار الإجراء التصحيحي، ودليل الإغلاق. توسّع نطاق البرنامج وتدرّب المدققين على موضوع جديد. أما البرنامج نفسه فلا يُمس.
مراجعة الإدارة. الاجتماع قائم، وجدول أعماله مشتق من المعيار، ويخرج بمحضر فيه قرارات، ويتكرر بوتيرة يدافع عنها أحد. إضافة الذكاء الاصطناعي بنداً ثابتاً تغيير في جدول الأعمال لا في الحوكمة.
الإجراء التصحيحي والتحسين المستمر. الآلية التي تحوّل ملاحظة إلى إجراء إلى حلقة مغلقة بدليل. متطابقة.
سجلات الكفاءة والتوعية. الإطار — دور، كفاءة مطلوبة، دليل عليها، سجل تدريب — ينتقل كاملاً. أما الكفاءات نفسها فلا، وذلك هو القسم التالي.
بنية السياسات. كيف تُعتمد سياسة، ومن يوقّعها، وكيف تصل الناس، وكيف تُثبت أنهم قرأوها. السياسات الجديدة تدخل في المكان الجاهز.
إدارة الموردين، بوصفها عملية. لديك سجل وخطوة تقييم وبنود عقدية ووتيرة مراجعة. وهذا أثمن ما تملكه داخلاً، لأن أكبر حجم عمل جديد في ISO/IEC 42001 عند أغلب المنشآت هو عمل الموردين، وأنت لا تبدأه من الصفر.
هذا، مكتوباً، هو معظم الكتلة الظاهرة من أي نظام إدارة. ولهذا فعرض الإضافة ليس كذباً: هو إجابة على سؤال كم من البنية أحتفظ به؟ والجواب: كلها تقريباً.
المحتوى الذي لا تملكه
وهذا النصف الآخر، وهو الذي يقرر إن كانت الشهادة ستنجو من أول زيارة متابعة.
عملية المخاطر لديك تقيّم موضوعاً آخر
هذه هي الكبرى، وليست فجوة توثيق. هي سؤال مختلف يُطرح على أشخاص مختلفين.
تقييم مخاطر ISO/IEC 27001 يسأل: ماذا قد يصيب المنشأة؟ سرية المعلومات وسلامتها وتوافرها، والأثر عليك حين يسقط أحدها. كل مشارك، وكل عمود في السجل، وكل مقياس تقدير، وكل قرار معالجة — موجّه في ذلك الاتجاه. عملية جيدة، ومصوَّبة إلى الداخل.
وISO/IEC 42001 يطلب تقييم الأثر على الناس المتأثرين بالنظام. لا ما يكلفك خطأ النموذج، بل ما يحدث للمتقدم الذي استُبعد، وللعميل الذي صُنّفت مطالبته منخفضة الأولوية، وللموظف الذي وُلّد جدول ورديّاته، وللمورد الذي سُعِّر حدّه الائتماني. السؤال له موضوع آخر، ومتى تغيّر الموضوع تغيّر من يجب أن يكون في الغرفة. ورشة مخاطر أمنية يملؤها الأمن وتقنية المعلومات ومالك عملية. وتقييم أثر لا يحضره أحد يستطيع أن يتكلم باسم الفئة المتأثرة يُخرج نتيجة اسمها مخاطرة منخفضة لا اسم فيها، وتلك أشيع ملاحظة في هذا الباب.
تحتفظ بميكانيكا السجل: كيف تُسجَّل مخاطرة وتُقدَّر وتُعالَج وتُقبل وتُراجع. ولا تحتفظ بالسجل.
نظام الذكاء الاصطناعي ليس أصلاً بالمعنى الذي يفهمه جردك
سجل أصول المعلومات لديك يعرف الأنظمة ومخازن البيانات وملاكها. ونظام الذكاء الاصطناعي تركيبة من غرض ومجموعة بيانات ونموذج ومجموعة قرارات مأذون له باتخاذها — والنموذج الواحد إذا خدم غرضين فهو مدخلان، لأن تقييم الأثر وتصميم الإشراف والفئة المتأثرة تختلف كلها باختلاف الغرض.
فالجرد جديد فعلاً، وهو ينحرف للسبب ذاته الذي يبعد رقم المخزون عن الرف: الأحداث التي تُبقيه صادقاً ليست أحداثاً يُلزَم أحد بتسجيلها. قرّر أي حدث يوجب قيداً — اعتماد شراء، أو إصدار، أو مصدر بيانات جديد، أو غرض جديد لنموذج قائم — وسمِّ المسؤول عن القيد. أما جرد يُعاد بناؤه في الأسبوعين السابقين للتدقيق فتواريخ إنشائه متجمعة تجمّعاً يراه المدقق من آخر الغرفة.
ضبط التغيير لديك يحكم التغييرات الخطأ
إدارة التغيير في ISO/IEC 27001 محكمة تجاه التغييرات التي تجريها أنت. والتغيير الأهم هنا هو الذي يجريه مورّدك دون أن يسألك.
مزوّد يحدّث النموذج خلف واجهة برمجية. شفرتك لم تتغير، وملاحظات الإصدار عندك فارغة، ولجنة التغيير لم تجتمع، وسلوك تحققت منه في ربع سنة صار غيره في الربع التالي. ولا شيء في عملية تغيير تقليدية يلتقط ذلك، لأن لا شيء فيها يُستثار بفعل طرف خارجي. الضابط هنا واجب إشعار تعاقدي، وشخص مسمى عندك ملزم بالتصرف حين يصل الإشعار. وإن كان العقد موقّعاً فمكانه التجديد، وذلك إصلاح أبطأ مما يبدو.
الإشراف البشري مواصفة لا سطر سياسة
على الأرجح لديك لغة سياسات عن المراجعة والاعتماد. وما يريده المعيار يكون لكل نظام على حدة: أي شخص، بأي صلاحية، يرى أي دليل، عند أي نقطة، وبسلطة فعل ماذا، ومع تسجيل ماذا حين يفعل.
الشق الأمني من ذلك قد تستطيع إثباته أصلاً، وإن عجزت فهو الانهيار الاستدلالي نفسه الذي يصيب سجل تدقيق جوابه الوحيد admin: مراجعة منسوبة إلى حساب مشترك ليست منسوبة إلى أحد، ومراجعة غير منسوبة لم تقع بحسب أي تدقيق. أما الباقي فتصميم جديد لكل نظام، ولا يُكتب مركزياً لأن الجواب يختلف باختلاف النظام في الجرد.
مصدر البيانات مشكلة سجلات لم تحلّها
من أين جاءت بيانات التدريب أو الضبط الدقيق، وعلى أي أساس تحتفظ بها، وما الذي أذن به عقد مصدرها، وهل يغطي ذلك الإذن الاستخدام الذي استخدمته فعلاً.
ISO/IEC 27001 يخبرك أين البيانات وكيف تُحمى. ولا يخبرك إن كنت مخوّلاً باستخدامها للغرض الذي استخدمتها له. وتلك واقعة يجب التقاطها مع دخول البيانات، لأن إعادة بنائها لاحقاً تتراوح بين المكلف والمستحيل — وهي النقطة البنيوية ذاتها التي تجعل إقرار ضريبة الشركات محاسبة لا تنقيباً.
اختبار الفرز
إن أردت سؤالاً واحداً تمرّره على نظام إدارتك القائم فهو هذا.
هل يصف هذا المستند كيف تحكم، أم ما تحكمه؟
كيف ينتقل كاملاً تقريباً. وما لا ينتقل تقريباً.
إجراء التدقيق الداخلي كيف: احتفظ به. وسجل المخاطر ما: أعد بناءه. وضبط الوثائق كيف: احتفظ به. وجرد الأصول ما: أعد بناءه على وحدة قيد أخرى. وعملية تقييم الموردين كيف: احتفظ بها. وتقييمات الموردين ما: أعدها، بأسئلة عن تغيّر النموذج وحقوق بيانات التدريب وواجبات الإبلاغ عن الحوادث لم يسألها استبيانك الأمني قط.
مرّر هذا الاختبار على قائمة ما عُرض عليك دفع ثمنه، وسيكف العرضان عن التناقض. الذي يسعّر برنامجاً كاملاً عدّ ما عدّاً صحيحاً وتجاهل كيف. والذي يسعّر إضافة فعل العكس. والرقم الحقيقي بينهما، ويتبع كم نظاماً سينجو من رسم نطاقك — ولهذا يأتي التسعير الأمين لعمل حوكمة الذكاء الاصطناعي بعد رسم النطاق لا قبله.
نظام إدارة واحد، ويُدقَّق معاً
وينتج عن ذلك أمران عمليان، كلاهما يوفّر مالاً.
ابنِه نظام إدارة واحداً متكاملاً لا نظامين. إطار سياسات واحد، وبرنامج تدقيق واحد، ومراجعة إدارة واحدة، وسجل مستندات واحد، وسجل موردين واحد بأعمدة إضافية. وإغراء إقامة نظام منفصل للذكاء الاصطناعي يبلغ أشده حين تتولى العمل جهة استشارية منفصلة، ويستحق المقاومة لسبب لا علاقة له بالأناقة: النظامان يحتاجان طاقمين لإبقائهما حيّين، والثاني هو الذي يتوقف صيانته بهدوء دائماً.
ثم اسأل جهة الاعتماد عن تدقيق مشترك. فحين تحمل الجهة نفسها النطاقين، يمكن أخذ عيّنة البنود المشتركة مرة لا مرتين، ويمكن محاذاة زيارات المتابعة على تقويم واحد بدل تقويمين. وهذه مسألة جدولة لا مسألة معايير، فيتفاوت الجواب بين الجهات — لكن اسأله قبل التعيين لا بعده. ومكانه القائمة نفسها التي فيها كل ما يجب على المنشأة إعادته كل سنة، لأن شهادة تنسى صيانتها أسوأ من شهادة لم تشترها: تنتهي علناً، أمام العميل الذي طلبها.
الخلاصة
تملك الآلة: ضبط الوثائق، والتدقيق الداخلي، ومراجعة الإدارة، والإجراء التصحيحي، وسجلات الكفاءة، وبنية السياسات، وعملية الموردين. وهذا هو الجزء البطيء الغالي من أي نظام إدارة، ولا يُبنى مرتين.
ولا تملك المحتوى: تقييم أثر مصوَّب نحو الناس المتأثرين لا نحو خسائرك، وجرداً وحدة قيده غرض لا نظام، وضبط تغيير يستثيره إصدار عند غيرك، وإشرافاً موصَّفاً لكل نظام، وسجلات مصدر لبيانات ربما حصلت عليها قبل سنوات.
فمن يقول لك إن ISO/IEC 27001 يحذف نصف العمل فقد عدّ المستندات. ومن يقول إنه لا يحذف شيئاً يعرض عليك نظام إدارة ثانياً، وحقه أن يُرفض فوراً. والفرق بين الجوابين ليس موقفاً تفاوضياً — هو تمرين نطاق، وهو صغير بما يكفي لشرائه وحده قبل الالتزام بما هو أكبر، على النحو الذي تضع به الطريقة التي ننشرها التشخيص قبل التسعير لا داخله.