عندما تقرر شركتك الحصول على شهادة SACS-210 (CCC) لأول مرة، أو تجديدها، يأتي السؤال الأول دائماً: ما الذي نحتاج إلى تجهيزه؟
في هذا المقال قائمة تحقق عملية بكل ما تحتاجه: المعلومات الأساسية عن الشركة، والتجهيزات التقنية، والسياسات المكتوبة، وتقرير الأدلة. ويمكنك استخدامها لتعرف أين تقف شركتك قبل أن تبدأ.
أولاً: معلومات أساسية عن شركتك
قبل أي عمل تقني، يحتاج من يجهّز شهادتك إلى صورة واضحة عن الشركة. هذه هي المعلومات التي نطلبها في استبيان SACS-210:
- نطاق البريد الرئيسي للشركة، مثل company.com.
- رقم المورد لدى أرامكو (Vendor ID) إن وُجد، وطبيعة العقد أو الخدمات المقدّمة.
- الشهادة السابقة: هل لديكم شهادة وفق SACS-002؟ ومتى تنتهي أو انتهت؟
- عدد المستخدمين في الشركة كلها، وليس فقط العاملين على مشاريع أرامكو.
- عدد الأجهزة: أجهزة الكمبيوتر المحمولة والمكتبية، والخوادم إن وُجدت.
- عدد المواقع، وهل يوجد أي موقع خارج المملكة.
- مزوّد البريد الحالي: Microsoft 365 أو Google Workspace أو Zoho أو غيرها.
هذه المعلومات تحدد حجم العمل ومدته، وعلى أساسها يُعدّ عرض السعر.
ثانياً: التجهيزات التقنية المطلوبة
هذه أهم المتطلبات التقنية في المعيار، مع رقم الضابط المرتبط بكل منها:
البريد الإلكتروني
- نطاق بريد خاص بالشركة، وعدم استخدام Gmail أو Hotmail للعمل (TPC-1.23).
- سجلات SPF وDKIM وDMARC على النطاق (TPC-1.20).
- فحص البريد الوارد ضد الرسائل المزعجة، وفحص المرفقات (TPC-1.21 وTPC-1.22).
الحسابات والوصول
- نظام مركزي لإدارة المستخدمين، مثل Microsoft Entra ID أو Google Workspace (TPC-1.9).
- حساب مستقل لكل موظف، دون حسابات مشتركة (TPC-1.10).
- سياسة كلمات مرور: من 8 إلى 64 حرفاً، بأحرف كبيرة وصغيرة وأرقام ورموز (TPC-1.11).
- المصادقة متعددة العوامل على البريد والخدمات السحابية والوصول عن بُعد وحسابات المسؤولين (TPC-1.12).
الأجهزة
- مضاد فيروسات محدّث وترخيص ساري على كل جهاز (TPC-1.29).
- جدار الحماية مفعّل على كل جهاز (TPC-1.27).
- تشفير الأقراص، مثل BitLocker (TPC-1.18).
- تقييد وحدات USB ووسائط التخزين الخارجية (TPC-1.19).
- الحظر التلقائي لوحدات الماكرو في ملفات Office القادمة من الخارج (TPC-1.24).
- نظام لتحديث البرامج وأنظمة التشغيل (TPC-1.30)، ولا أجهزة بأنظمة غير مدعومة مثل Windows 7.
- مزامنة الوقت مع مصدر معتمد مثل NTP (TPC-1.25).
- تفعيل سجلات الأحداث وحمايتها من التعديل (TPC-1.26 وTPC-1.31).
المواقع والتطبيقات على الإنترنت
- إذا كان لدى الشركة تطبيق أو موقع متاح على الإنترنت، فيلزم حمايته بجدار حماية تطبيقات الويب WAF (TPC-1.28).
ثالثاً: السياسات والإجراءات المكتوبة
يطلب المعيار وثائق معتمدة ومعمّمة على الموظفين، وليس مجرد ملفات محفوظة:
- سياسة الاستخدام المقبول (TPC-1.2).
- سياسة إدارة الأصول.
- سياسة إدارة الوصول.
- سياسة الأمن المادي.
- سياسة الإتلاف الآمن للوسائط ومسح البيانات.
- سياسة تصنيف البيانات والتعامل معها.
- سياسة إدارة الحوادث والاستجابة لها.
- سياسة إدارة الثغرات والتحديثات.
- خطة استمرارية الأعمال والتعافي من الكوارث.
- إجراء تعيين الموظفين، ويشمل التحقق من الخلفية (TPC-1.4).
- إجراء إنهاء خدمات الموظفين، ويشمل استرجاع الأجهزة وإلغاء الصلاحيات (TPC-1.4).
البنود من 2 إلى 9 هي المجالات الثمانية التي يشترطها الضابط TPC-1.3.
رابعاً: سجلات ووثائق داعمة
إلى جانب السياسات، يحتاج المدقق إلى وثائق تثبت أن الشركة تطبّقها فعلاً:
- قائمة جرد الأصول: كل جهاز باسمه ومستخدمه ونظام تشغيله (TPC-1.8).
- قائمة الحسابات ذات الصلاحيات العالية في جميع الأنظمة.
- سجل مراجعة الحسابات والصلاحيات مرة سنوياً على الأقل (TPC-1.14).
- إجراء الإبلاغ عن الحوادث لأرامكو خلال 24 ساعة (TPC-1.32).
خامساً: تقرير الأدلة
بعد تجهيز كل ما سبق، يُعدّ تقرير الأدلة: لقطات شاشة توثّق تطبيق كل ضابط من TPC-1.1 إلى TPC-1.33، مرتّبة حسب ترقيم المعيار. يراجع المدقق التقرير، ثم يعاين التطبيق في جلسة أونلاين مباشرة قبل إصدار الشهادة.
وللتعرّف على الأخطاء التي تؤخّر الشهادة في هذه المرحلة، اقرأ أشهر أسباب رفض شهادة SACS-210 في التدقيق.
هل تحتاج إلى كل هذا قبل أن تتواصل معنا؟
لا. معظم الشركات لا تملك كل هذه البنود عند البداية، وهذا طبيعي. يكفي أن تعرف المعلومات الأساسية في القسم الأول، ونتولى نحن الباقي:
- نراجع وضعك الحالي من خلال الاستبيان.
- نجهّز الناقص من البريد والأجهزة والحسابات.
- نكتب السياسات بما يناسب شركتك.
- نجهّز تقرير الأدلة ونحضر جلسة التدقيق معك.
وإذا لم تعرف إجابة أي سؤال في الاستبيان، يمكنك اختيار «لا أعلم»، ونكمل الصورة معك.
لشرح كل ضابط بالتفصيل، اقرأ شرح ضوابط SACS-210 الـ33.
اطلب الاستبيان الآن ويصلك على بريدك فوراً.
