اعتبارات التدقيق
الحاجة إلى التدقيق
يتم منح شهادة الامتثال لمعيار تامين المعلومات الوطنية (NIA) بعد أن تخضع الجهة لتدقيق رسمي من قبل مدقق معتمد، مما يسمح للوكالة الوطنية للأمن السيبراني بتحديد ما إذا كانت الجهة متوافقة مع متطلبات الامتثال لمعيار تامين المعلومات الوطنية (NIA).
ما هو تدقيق الامتثال لمعيار تامين المعلومات الوطنية (NIA)
تدقيق الامتثال لمعيار تامين المعلومات الوطنية (NIA) هو عملية الحصول على الأدلة المناسبة والكافية حول نظام إدارة أمن المعلومات (ISMS) الذي أنشأته الجهة لنطاق محدد. يتم تقييم الأدلة بموضوعية بناءً على عملية دقيقة، لتحديد مطابقة النطاق مع متطلبات معيار تامين المعلومات الوطنية (NIA). يتم تنفيذ التدقيق لأغراض شهادة الامتثال لمعيار تأمين المعلومات الوطنية (NIA) وفقاً للمتطلبات المحددة بواسطة معيار تدقيق الإطار الوطني للامتثال لأمن المعلومات (NISCF) والتوجيهات الفنية (TDs) وإجراءات التشغيل القياسية (SOPs) التي طورتها الوكالة الوطنية للأمن السيبراني.
معيار تدقيق الإطار الوطني للامتثال لأمن المعلومات (NISCF)
يُستخدم معيار تدقيق الإطار الوطني للامتثال لأمن المعلومات (NISCF) لتحديد متطلبات المؤسسات التي تسعى للحصول على اعتماد التدقيق للإطار الوطني للامتثال لأمن المعلومات (NISCF) ومزودي خدمات التدقيق المعتمدين، وكذلك لتنفيذ التدقيق الخاص بالامتثال لمعيار تأمين المعلومات الوطنية (NIA). يعمل هذا المستند أيضاً كدليل للمتقدمين للحصول على شهادة الامتثال لمعيار تأمين المعلومات الوطنية (NIA) (المشار إليهم أيضاً بالمدقق عليهم) لمساعدتهم في فهم عملية التدقيق التي سيخضعون لها.
تلتزم الوكالة الوطنية للأمن السيبراني بتطوير معيار تدقيق الإطار الوطني للامتثال لأمن المعلومات (NISCF) بشكل مستمر لدعم الخاضعين للتدقيق في رحلة الحصول على شهادة الامتثال لمعيار تأمين المعلومات الوطنية (NIA). لتحقيق هذا الهدف، يتم مراجعة وتحديث معيار تدقيق الإطار الوطني للامتثال لأمن المعلومات (NISCF) بشكل دوري.
الأهداف الرئيسية لنشر الإصدار الأخير (الإصدار 3.0) هي:
- اختصار الجداول الزمنية لضمان إتمام عمليات التدقيق بسرعة وسلاسة؛
- تقليل الجهود المطلوبة من كل من المدقق والمدقق عليه من خلال تبسيط إجراءات التدقيق؛
- توضيح مراحل وأنشطة التدقيق؛ و
- زيادة عدد مزودي خدمات التدقيق المعتمدين لمعيار تأمين المعلومات الوطنية (NIA).
بالإضافة إلى معيار تدقيق الإطار الوطني للامتثال لأمن المعلومات (NISCF)، قامت الوكالة الوطنية للأمن السيبراني بنشر العديد من المستندات الدعمة التي تهدف الى توفير قدر أكبر من الوضوح للمجالات الرئيسية في التدقيق. تتضمن هذه المستندات أربعة إجراءات تشغيل قياسية (موجهة بشكل أساسي لدعم عمل المدققين المعتمدين) وخمسة توجيهات فنية (توفر وضوحاً فيما يتعلق بالمجالات المحددة للتدقيق لكل من المدققين المعتمدين والمدقق عليهم).
التوجيهات الفنية
توفر التوجيهات الفنية قواعد فنية محددة يجب اتباعها وتوصيات يجب مراعاتها من قبل مزودي خدمات التدقيق المعتمدين ومقدمي طلبات للحصول على شهادة الامتثال لمعيار تأمين المعلومات الوطنية (NIA) أو المدقق عليهم. القائمة الحالية للتوجيهات الفنية تشمل:
- التوجيه الفني لشهادة الامتثال لمعيار تأمين المعلومات الوطنية (NIA) حول الجدول الزمني للتدقيق: يوفر قواعد وتوصيات محددة لمزودي خدمات التدقيق المعتمدين والمدقق عليهم فيما يتعلق بالجداول الزمنية للأنشطة الرئيسية للتدقيق، لضمان تنفيذ التدقيق ضمن جداول زمنية معقولة؛
- التوجيه الفني لشهادة الامتثال لمعيار تأمين المعلومات الوطنية (NIA) حول أهداف ونطاق التدقيق: يوفر وضوحاً لمزودي خدمات التدقيق المعتمدين والمدقق عليهم فيما يتعلق بالأهداف والنطاقات المختلفة للتدقيق أثناء دورة حياة شهادة الامتثال لمعيار تأمين المعلومات الوطنية (NIA) (التدقيق أولي، صيانة، توسيع النطاق، تعليق وإعادة الشهادة)؛
التوجيه الفني لشهادة الامتثال لمعيار تأمين المعلومات الوطنية (NIA) حول فترة التدقيق: يوفر تفاصيل تتعلق بمتطلبات فترة التدقيق للتدقيقات المختلفة خلال دورة حياة شهادة الامتثال لمعيار تأمين المعلومات الوطنية (NIA).
تم تقصير فترة التدقيق (الفترة التي سيتم التحقق فيها من مطابقة النطاق لضوابط معيار تأمين المعلومات الوطنية) لتقليل الجهود المطلوبة من كل من المدققين والمدقق عليهم، مع الاستمرار في التحقق من فعالية تشغيل ضوابط الامتثال لمعيار تأمين المعلومات الوطنية (NIA) على مدى فترة زمنية مهمة؛
- التوجيه الفني لشهادة الامتثال لمعيار تأمين المعلومات الوطنية (NIA) حول خطة عمل التصحيح: يوفر تعليمات محددة لمزودي خدمات التدقيق المعتمدين والمدقق عليهم بشأن تطوير خطة عمل تصحيح مقبولة، في حالة تحديد عدم الامتثال أثناء التدقيق؛ و
- التوجيه الفني لشهادة الامتثال لمعيار تأمين المعلومات الوطنية (NIA) حول استخدام تقارير التدقيق للشهادات المماثلة ان وجدت: يوفر تفاصيل لمزودي خدمات التدقيق المعتمدين والمدقق عليهم بشأن الاستفادة من/الاعتماد على تقارير أخرى (شهادة ISO/IEC 270001، SOC2 وغيرها) خلال تدقيق الامتثال لمعيار تأمين المعلومات الوطنية (NIA) لتقليل جهود التدقيق.