في مكان ما بين تجربة ناجحة وعقد موقع، يرسل فريق أمن المعلومات لدى المشتري في الإمارات جدولا. فيه مئتا سؤال أو أربعمئة، وموعد نهائي. ويصل إلى المورد الصغير مفاجأة، فيقع على من هو أقل انشغالا، ويبقى نصف مكتمل شهرا بينما يبرد البيع.
ولا ينبغي أن يكون مفاجأة. الأسئلة متوقعة، ومعظم الإجابات حقائق عن طريقة عملكم الحالية، والمورد الذي تكون إجاباته جاهزة يبدو الخيار الأكثر أمانا قبل أن يقرأ أحد كلمة.
لماذا يصل الآن، ولماذا يوقف كل شيء
أثناء التجربة يعمل المنتج غالبا على بيانات تجريبية، أو في بيئة معزولة، أو لعدد قليل من المستخدمين، ولا يشارك فريق الأمن. وفي اللحظة التي يتحول فيها الحديث إلى الإنتاج، ببيانات حقيقية وموظفين حقيقيين، يصبح القرار قرارهم، ولن يوافقوا على ما لم يقيموه. هذه هي الخطوة التي تلي الصمت بعد تجربة ناجحة، وهي عادة الأطول.
والاستبيان ليس إجراء شكليا عندهم، بل الطريقة التي يقررون بها أي المخاطر يقبلون، ويوثقون أنهم سألوا. والإجابة الناقصة لا تمرر، بل تعود بسؤال متابعة، وكل جولة متابعة تكلف أسبوعا.
ويزيد الأمر صعوبة أن الجدول يصل غالبا بالإنجليزية، بمصطلحات لم يعتد عليها فريق صغير يعمل بالعربية. خصصوا وقتا لفهم ما يسأل عنه كل سؤال فعلا قبل الإجابة، فكثير من الإجابات الخاطئة سببها سوء فهم السؤال لا غياب الضابط.
كيف يبدو عادة
معظم الاستبيانات مبنية على إطار معروف مع أسئلة يضيفها المشتري. ومن القواعد الشائعة مصفوفة ضوابط السحابة واستبيانها CAIQ من تحالف أمن السحابة، التي تحول قائمة طويلة من ضوابط الأمن إلى أسئلة بنعم أو لا مع مساحة للشرح. والمشترون الكبار يستخدمون قوالبهم الخاصة أيضا، وتكون غالبا أطول وأقل ترتيبا.
والقطاعات المنظمة تضيف طبقتها. في القطاع الصحي في أبوظبي، ينطبق معيار ADHICS من دائرة الصحة على أي جهة تخزن المعلومات الصحية من الإمارة أو تعالجها أو تتعامل معها، ويضم 692 ضابطا في 11 مجالا. والمورد الذي يتعامل مع تلك البيانات داخل نطاقه، مهما كان حجم الشركة.
ولا تنتظروا أن يكون استبيان المشتري هو أول مرة تنظرون فيها إلى هذه الأسئلة. قراءة إطار مثل CAIQ مرة واحدة بهدوء تكشف ما تفعلونه جيدا دون أن تكتبوه، وما لا تفعلونه أصلا، وهذه قائمة عمل مفيدة حتى لو لم يصل أي استبيان.
من يجيب عنه في شركتكم
لا المبيعات، ولا من كان متفرغا. الإجابات تلزم الشركة: «نعم» الخاطئة تصبح وعدا تعاقديا، و«لا» المتسرعة قد تنهي الصفقة. يجب أن يجيب مالك تقني واحد، ويقرأ المؤسس كل سطر قبل أن يعود.
وفي الشركة الصغيرة يكون هذا المالك غالبا من بنى المنتج ولا وقت لديه. هذا قيد حقيقي، وسبب وجيه لإعداد الإجابات مرة واحدة بإتقان بدل إعادة بنائها لكل مشتر. وحين لا يستطيع أحد في الفريق تولي الأمر، يستطيع مدير تقني بدوام جزئي ذلك خلال الأسابيع التي يحتاجها.
واحتفظوا بسجل لما أجبتم به ولمن. مشتريان في المجموعة نفسها سيقارنان ملاحظاتهما، والمورد الذي تختلف إجاباته بينهما دون سبب يخسر الثقة التي حاولت المراجعتان بناءها. الإجابات الأساسية، ونسخة مؤرخة من كل تقديم، والأسئلة التي عادت، هي الملف كله.
وحددوا موعدا لإعادة الجدول وأبلغوا به الراعي. الاستبيان الذي يعود في الموعد المتفق عليه يطمئن فريق الأمن قبل أن يقرأ الإجابات، والذي يتأخر دون كلمة يثير سؤالا عن كل ما في داخله.
أين تعيش البيانات: السؤال الذي ينهي المحادثات
كل استبيان يسأل أين تخزن البيانات وأين تعالج وأين تنسخ احتياطيا، ولبعض المشترين يحسم الجواب كل شيء. وللبيانات الصحية ليس الأمر تفضيلا: إرشادات ADHICS تنص على أنه لا يجوز تخزين المعلومات الصحية المتعلقة بخدمات تقدم في الدولة أو تطويرها أو نقلها خارجها، بموجب القانون الاتحادي رقم 2 لسنة 2019 بشأن استخدام تقنية المعلومات والاتصالات في المجالات الصحية.
فاعرفوا جوابكم بدقة: في أي منطقة تعمل استضافتكم، وإلى أين تذهب النسخ الاحتياطية، وأين تعالج كل خدمة تعتمدون عليها البيانات. النسخ الاحتياطية والأدوات الخارجية هي حيث تتوقف عبارة «داخل الإمارات» عن الصحة عادة، كما يشرح مقال الاستضافة في الإمارات. وإن كان الجواب الصادق «خارجها» فقولوه، وقولوا ما الذي ستغيرونه لهذا المشتري، بدل أن يكتشف ذلك عند مراجعة العقد.
من يصل إليها
قسم الوصول يسأل من في شركتكم يرى بيانات الإنتاج، وكيف يدخل، وماذا يحدث حين يغادر أحد. والمشترون يريدون أن يسمعوا: أشخاص بأسمائهم فقط، وتحقق متعدد العوامل في كل مكان، ومراجعة للصلاحيات بجدول، وإلغاؤها يوم المغادرة.
الفرق الصغيرة تتشارك غالبا حساب إدارة واحدا للسهولة، وهذا الجواب الذي يسقط المراجعة، ويصلح في ساعات. أصلحوه قبل الاستبيان لا أثناء كتابته، ليكون الجواب صحيحا حين تقدمونه. وتوقعوا أسئلة عن السجلات أيضا: هل يسجل الوصول إلى بيانات الإنتاج، وكم يحتفظ بالسجل، ومن يراجعه.
الأطراف الخارجية داخل منتجكم
كل خدمة يعتمد عليها منتجكم جزء من مخاطر المشتري: مزود الاستضافة، ومزود البريد، وأداة تتبع الأخطاء، والتحليلات، ولأي منتج ذكاء اصطناعي مزود النموذج الذي يستقبل البيانات. وسيطلب الاستبيان قائمة بهؤلاء المعالجين الفرعيين، وما يستقبله كل منهم، وأين.
ولمنتجات الذكاء الاصطناعي هذا القسم هو ما يفاجئ المؤسسين. إن كان نص العميل يرسل إلى نموذج مستضاف في الخارج فهذا نقل بيانات على المشتري أن يوافق عليه، وله شروط بموجب قانون حماية البيانات الإماراتي. احتفظوا بقائمة محدثة، سطر لكل مزود: ماذا يفعل، وأي بيانات يرى، وأين يعمل. وهي أيضا القائمة التي يجب أن يعمل بها موظفوكم، وهذه مسألة سياسة داخل شركتكم بقدر ما هي سؤال المشتري.
ولا تنسوا الأدوات الصغيرة. نموذج على الموقع يرسل إلى خدمة بريد، وجدول مشترك لمتابعة العملاء، وأداة ترجمة يلصق فيها أحدهم نصا: كلها معالجون فرعيون في نظر المشتري إن لمست بياناته. القائمة الكاملة أقصر مما تتوقعون، لكنها يجب أن تكون كاملة.
ماذا يحدث حين يقع خلل
يسأل المشترون كيف تكتشفون الاختراق، ومن تبلغون، وبأي سرعة. لا يتوقعون من مورد صغير مركز عمليات أمنية، بل يتحققون من وجود خطة مكتوبة، وشخص مسمى، والتزام بإبلاغهم خلال مدة محددة.
اكتبوا الخطة في صفحة واحدة: كيف تلاحظ الحوادث، ومن يقرر أنها حادثة، ومن يبلغ العميل، وخلال كم ساعة، وما الذي يكتب بعدها. واختبروها مرة قبل أن يختبرها مشتر: اختاروا يوما وتخيلوا أن حاسوبا له وصول إلى الإنتاج سرق، ومروا على الخطة مع الفريق. الثغرات تظهر في الدقائق العشر الأولى.
واعرفوا مسبقا ما الذي ستقولونه للمشتري حين يقع خلل لا يخصه، كتعطل عند مزود الاستضافة أو خطأ في تحديث. المشترون يقدرون المورد الذي يبلغهم بما حدث وما فعله، أكثر من الذي يصمت على أمل ألا يلاحظ أحد.
الإجابات التي لا تملكونها
لكل مورد صغير ثغرات: لا شهادة ISO 27001، ولا اختبار اختراق هذا العام، ولا اختبار رسمي للتعافي من الكوارث. وأسوأ رد أن تجيبوا «نعم» وتأملوا. فرق الأمن تتحقق، وادعاء واحد يتبين خطؤه يجعل كل إجابة أخرى بلا قيمة عندهم.
أجيبوا «لا»، ثم اشرحوا ما تفعلونه بدلا من ذلك ومتى تسد الثغرة. «لا شهادة، والضوابط متوافقة مع CAIQ، واختبار اختراق خارجي مجدول للربع الأول» جواب يستطيع المراجع العمل به. وكثير من المشترين يقبلون خطة معالجة بتواريخ، خاصة لعقد أول بحجم يقع ضمن حد موافقة أدنى.
واكتبوا تاريخا لكل خطة معالجة والتزموا به. المشتري الذي قبل وعدا باختبار اختراق في الربع الأول سيسأل عنه في الربع الثاني، والمورد الذي نفذ ما وعد به يدخل التجديد في موقع أقوى بكثير من الذي وعد ونسي.
ابنوا الملف مرة واحدة
الخطوة العملية أن تكتبوا إجاباتكم على إطار معروف مرة واحدة، وتبقوها محدثة، وترسلوها قبل أن تسألوا. واستبيان CAIQ هيكل مناسب لأن قوالب كثيرة من المشترين مبنية عليه، وتحالف أمن السحابة يسمح للشركات بنشر تقييم ذاتي في سجل STAR في مستواه الأول، فيجد المشتري ما يقرؤه قبل أن يرسل جدوله.
ومعه: مخطط للبنية يبين مسار البيانات، وقائمة المعالجين الفرعيين، وخطة الحوادث، وسياسة الوصول. أربع وثائق واستبيان، تراجع كل ستة أشهر أو كلما تغير ما يلمسه المنتج من بيانات أو مكان عمله. وهو بالضبط ما سيبحث عنه الفحص التقني لدى المشتري. وحين يحتاج المساعد أو النظام نفسه إلى إعادة بناء ليجتاز المراجعة، تبني توثيق لخدمات وحلول الذكاء الاصطناعي مساعدين مخصصين باستضافة داخل الإمارات ومسار بيانات موثق من البداية.
أسئلة شائعة
هل نحتاج شهادة ISO 27001 للبيع للشركات الكبيرة في الإمارات؟
ليس دائما، وإن كانت تختصر المراجعات. كثير من المشترين يقبلون استبيانا مكتملا وخطة معالجة واضحة وعقدا أول أصغر. وبعض المشترين المنظمين يشترطون الشهادة أو معيارا قطاعيا محددا، فاسألوا مبكرا.
كم تستغرق مراجعة الأمن عادة؟
أسابيع حين تبنى الإجابات من الصفر، وأياما حين يكون الملف جاهزا. معظم التأخير جولات متابعة على إجابات غامضة، فالإجابة المحددة الصادقة هي الطريق الأسرع.
منتجنا يستخدم نموذجا مستضافا خارج الإمارات. هل هذا يلغي الصفقة؟
للبيانات الصحية غالبا نعم، لأن المعلومات الصحية من خدمات الدولة لا يجوز أن تغادرها. ولغيرها يعتمد على المشتري وعلى شروط حماية البيانات. اعرفوا مناطق النماذج المتاحة لكم قبل أن يأتي السؤال.
هل نعيد استخدام الإجابات نفسها لكل مشتر؟
في معظمها نعم. احتفظوا بمجموعة أساسية مربوطة بإطار معروف، وكيفوها لكل مشتر. الحقائق الأساسية عن الاستضافة والوصول والمعالجين الفرعيين والحوادث لا تتغير من استبيان لآخر.
هل يجيب المؤسس عنه بنفسه؟
يقرأ المؤسس كل إجابة ويعتمدها، لأن الإجابات تصبح التزامات. ويكتبها المالك التقني. أما المبيعات فلا تجيب عنه أصلا.