تصدر شهادة SACS-210 (CCC) بعد مرحلتين: يراجع المدقق تقرير الأدلة أولاً، ثم يعاين التطبيق بنفسه في جلسة أونلاين مباشرة. وفي أي من المرحلتين قد يسجّل المدقق ملاحظات تؤخّر إصدار الشهادة أو تستلزم إعادة التدقيق.
من خلال أكثر من 300 شهادة أنجزها فريق سراج، تتكرر الأسباب نفسها تقريباً في كل مرة. وفي هذا المقال نعرض أشهر عشرة أسباب، والضابط المرتبط بكل سبب في المعيار، وكيف تتجنبه قبل التدقيق.
1. استخدام بريد عام أو نطاق بريد غير محمي
يشترط المعيار أن تستخدم الشركة نطاق بريد خاصاً بها (TPC-1.23)، ولا يقبل استخدام Gmail أو Hotmail للعمل. كما يجب إعداد SPF وDKIM وDMARC على النطاق (TPC-1.20).
الخطأ الشائع أن تملك الشركة نطاقاً خاصاً، لكن سجل DMARC غير موجود أو سجل DKIM غير مفعّل، أو أن بعض الموظفين ما زالوا يراسلون من بريد شخصي.
كيف تتجنبه: افحص سجلات النطاق قبل التدقيق بأداة مثل MXToolbox، وتأكد أن جميع الموظفين يستخدمون بريد الشركة فقط.
2. المصادقة متعددة العوامل مفعّلة على بعض الحسابات فقط
يشترط الضابط TPC-1.12 تفعيل MFA على البريد عبر الويب والجوال، والخدمات السحابية، والوصول عن بُعد، والحسابات ذات الصلاحيات العالية. والمدقق قد يطلب رؤية الإعداد على مستوى المؤسسة، لا على حسابك فقط.
غالباً ما ننسى حساب المسؤول الأساسي (Admin)، أو حساباً قديماً لم يعد مستخدماً، أو حساباً أُنشئ لموظف جديد بعد التفعيل.
كيف تتجنبه: فعّل MFA بسياسة عامة على مستوى المؤسسة، مثل Security Defaults أو Conditional Access في Microsoft 365، بدلاً من تفعيلها حساباً حساباً.
3. حسابات مشتركة أو حسابات لموظفين غادروا
يشترط المعيار حساباً مستقلاً لكل مستخدم (TPC-1.10)، وإجراءً موثّقاً لإلغاء صلاحيات الموظف عند ترك العمل (TPC-1.4)، ومراجعة الحسابات سنوياً على الأقل (TPC-1.14).
وجود حساب مثل info@ يستخدمه أكثر من موظف بكلمة مرور واحدة، أو حساب نشط لموظف غادر الشركة منذ أشهر، من أكثر الملاحظات شيوعاً.
كيف تتجنبه: راجع قائمة المستخدمين قبل التدقيق، وعطّل حسابات من غادروا، وحوّل الحسابات المشتركة إلى صناديق بريد مشتركة يدخلها كل موظف بحسابه.
4. جهاز واحد غير ممتثل
قد تكون معظم الأجهزة سليمة، ويكفي جهاز واحد لتسجيل ملاحظة: مضاد فيروسات انتهى ترخيصه (TPC-1.29)، أو جدار حماية معطّل (TPC-1.27)، أو جهاز جديد أُضيف بعد إعداد الأجهزة الأخرى ولم يُطبَّق عليه شيء.
كيف تتجنبه: اعتمد على قائمة الجرد (TPC-1.8) وافحص كل جهاز فيها، لا عيّنة منها. ويُفضَّل إدارة الأجهزة من لوحة مركزية مثل Microsoft Intune أو ManageEngine Endpoint Central لتطبيق الإعدادات على الجميع تلقائياً.
5. أقراص الأجهزة غير مشفّرة
يشترط الضابط TPC-1.18 تشفير البيانات أثناء التخزين والنقل. وأجهزة Windows Home تحديداً لا تدعم BitLocker بالكامل، وهذا يفاجئ كثيراً من الشركات وقت التدقيق.
كيف تتجنبه: تأكد أن الأجهزة تعمل بنسخة Windows Pro أو أعلى، وأن BitLocker مفعّل على كل جهاز، واحتفظ بمفاتيح الاسترداد في مكان آمن.
6. وحدات USB والماكرو غير مقيّدة
ضابطان يُنسيان كثيراً: تقييد وسائط التخزين الخارجية (TPC-1.19)، والحظر التلقائي لوحدات الماكرو في ملفات Office القادمة من الإنترنت أو البريد (TPC-1.24).
كيف تتجنبه: طبّق الإعدادين بسياسة مركزية (Group Policy أو Intune) حتى يشملا كل الأجهزة، ووثّق الإعداد في تقرير الأدلة.
7. سياسات منسوخة أو ناقصة
يطلب المعيار سياسة استخدام مقبول (TPC-1.2)، وسياسات تغطي ثمانية مجالات محددة (TPC-1.3)، وإجراءات تعيين الموظفين وإنهاء خدماتهم (TPC-1.4).
المشكلة ليست في غياب السياسات غالباً، بل في سياسات منسوخة من الإنترنت تحمل اسم شركة أخرى، أو تصف أنظمة لا تستخدمها الشركة، أو تنقصها أحد المجالات الثمانية مثل استمرارية الأعمال أو الإتلاف الآمن.
كيف تتجنبه: اكتب السياسات بما يطابق واقع شركتك، واعتمدها رسمياً، ووزّعها على الموظفين بشكل موثّق.
8. جرد أصول لا يطابق الواقع
قائمة الأجهزة المقدّمة للمدقق (TPC-1.8) يجب أن تطابق الأجهزة الفعلية. وجود جهاز في الجلسة المباشرة غير موجود في القائمة، أو العكس، يثير تساؤلات عن دقة باقي التقرير.
كيف تتجنبه: حدّث قائمة الجرد قبل التدقيق مباشرة، وأضف فيها اسم الجهاز ومستخدمه ونظام التشغيل.
9. أدلة غير واضحة أو قديمة
تقرير الأدلة هو أول ما يراه المدقق. لقطة شاشة مقصوصة لا تُظهر الإعداد كاملاً، أو لا يظهر فيها اسم الجهاز، أو مأخوذة من الشهادة السابقة عند التجديد، كلها أسباب لطلب أدلة إضافية وتأخير الإصدار.
كيف تتجنبه: خذ لقطات جديدة لكل ضابط، تُظهر الإعداد كاملاً واسم الجهاز أو الحساب، ورتّبها في التقرير حسب ترقيم الضوابط.
10. ضعف الاستعداد للجلسة المباشرة
في الجلسة الأونلاين قد يطلب المدقق مشاركة الشاشة وإظهار إعدادات معيّنة على الأجهزة والحسابات مباشرة. وإذا لم يعرف الموظف المسؤول مكان الإعداد، أو تغيّر الإعداد بعد إعداد التقرير، تتحول الجلسة إلى ملاحظات.
كيف تتجنبه: نفّذ تدقيقاً داخلياً تجريبياً قبل الجلسة، واجعل شخصاً يعرف الأنظمة جيداً يحضرها، ولا تغيّر أي إعداد بين التقرير والجلسة.
الخلاصة
أغلب أسباب الرفض لا تتعلق بضعف أمني كبير، بل بتفاصيل صغيرة: حساب منسي، أو جهاز واحد، أو لقطة شاشة غير واضحة. والشركات التي تجتاز التدقيق من المرة الأولى هي التي تراجع نفسها بصدق قبل أن يراجعها المدقق.
لمعرفة المطلوب في كل ضابط بالتفصيل، اقرأ شرح ضوابط SACS-210 الـ33.
كيف تساعدك سراج؟
نجهّز شركتك للتدقيق بالكامل: نراجع الضوابط من TPC-1.1 إلى TPC-1.33 على كل جهاز وحساب، ونعالج الناقص، ونجهّز تقرير الأدلة، ونحضر الجلسة المباشرة معك. لذلك تبلغ نسبة النجاح من أول مرة لدى عملائنا 98%.
- شهادة أولى: متطلبات الأمن السيبراني لموردي أرامكو الجدد.
- تجديد: تجديد شهادة SACS-210.
اطلب الشهادة الآن ويصلك استبيان SACS-210 على بريدك فوراً.
