ابنِ أساسًا عمليًا لأمن شركتك

يبدأ الأساس الأمني المفيد من أثر المخاطر على العمل. حدد المعلومات والخدمات التي تعتمد عليها الشركة، ثم ناقش كيف يمكن فقدها أو إساءة استخدامها أو تعطيلها. شراء أداة لا يحدد وحده من يدير الوصول، أو يفحص التنبيه، أو يعيد التشغيل. المطلوب مجموعة قرارات حماية محدودة تُراجع وتُسند إلى مسؤولين واضحين.

حدد ما يعتمد عليه العمل

احصر العمليات الحرجة وما يدعمها من أنظمة وأشخاص وبيانات. أدرج البريد وإدارة الهوية والخدمات التي يديرها مورد خارجي، ولا تكتفِ بأجهزة المكتب. اسأل صاحب كل عملية عن أثر توقفها والسجلات التي يحتاج حمايتها. افصل التعرض العاجل عن التحسينات اللاحقة. يقدم دليل NIST للشركات الصغيرة مدخلًا لتنظيم المخاطر؛ استخدامه لا يمنح شهادة ولا يجعل قائمة واحدة مناسبة للجميع.

اختر أولويات قابلة للتنفيذ

راجع الحسابات الإدارية، والتحقق متعدد العوامل، والبرامج المدعومة، والإعدادات، والنسخ التي اختُبرت استعادتها. يتحدد الترتيب وفق التعرض والأثر الفعليين. قد يستحق حساب إداري مهمل ومتاح من الإنترنت معالجة قبل تعديل صياغة سياسة. تأكد من عدم إغلاق وصول المسؤول عن الاستعادة. لكل إجراء مسؤول وموعد وطريقة تحقق؛ إرسال رسالة إلى المورد ليس دليلًا على إتمامه.

اطلب أدلة محددة

توضح مراجعة الصلاحيات من شملتهم وما الذي تغير. ويشمل فحص النسخ نتيجة تجربة استعادة. وتحدد الملاحظة الأمنية النطاق والشروط والمخاطر وطريقة التصحيح. يحتاج التقييم التقني تصريحًا وحدودًا مكتوبة للأنظمة والتوقيت والأساليب والتصعيد. هذا الدليل لا يخول اختبار أنظمة الغير. ميّز بين خطر قبلته الإدارة وخطر انخفض بعد إصلاح تم التحقق منه.

راجع الأساس مع تغير العمل

حدث الخطة عند تغيير نظام أو مغادرة موظف أو وقوع حادث، وبوتيرة دورية متفق عليها. تابع الإجراءات المتأخرة وافحص التصحيحات المهمة بصورة مستقلة متى أمكن. جدار الحماية طبقة ضمن حماية الهوية والتطبيق والبيانات والاستعادة؛ لا يصحح صلاحية خاطئة داخل معاملة. تابع إدارة الوصول والجاهزية للحوادث والاستعادة، ثم ناقش النطاق الدفاعي المصرح به عبر خدمات تقنية المعلومات.