تقييم الأمن السيبراني
تقييم مخاطر وفجوات الأمن السيبراني للشركات السعودية
لست متأكدًا أين تكمن مخاطرك السيبرانية الحقيقية؟ تراجع ويفز تيليكوم (Waves Telecom) موظفيك وإجراءاتك وتقنياتك، وتقيس موقعك مقابل الضوابط الأساسية للأمن السيبراني (NCA ECC) ونظام حماية البيانات الشخصية (PDPL) ومعيار أرامكو SACS-210 حيثما تنطبق، ثم تقدم لك قائمة إصلاحات مرتبة حسب الأولوية وخارطة طريق يمكنك فعلًا رصد ميزانيتها.
- مراجعة الأفراد والإجراءات والتقنية
- قياس مقابل NCA ECC وPDPL وSACS-210
- خارطة طريق مرتبة حسب الأولوية مع خيارات للميزانية
10 سنواتفي الأمن السيبراني
150+شركة اجتازت تدقيقات الأمن السيبراني للموردين بمساعدتنا
شريك ذهبيSophos و Fortinet
لماذا تبدأ بتقييم المخاطر؟
تشتري معظم الشركات الأمن منتجًا تلو الآخر: جدار ناري بعد ذعر من فيروس، وMFA بعد أن يطلبه أحد العملاء، وأداة نسخ احتياطي بعد تعطل قرص. وبعد سنوات لا يستطيع أحد أن يجزم بأن الصورة الكاملة آمنة، ولا أين يجب إنفاق الريال التالي.
يجيب تقييم مخاطر الأمن السيبراني عن ثلاثة أسئلة بسيطة: أين نحن مكشوفون اليوم؟ وأي الفجوات أهم لأعمالنا وعملائنا؟ وما الذي يجب إصلاحه أولًا، وما الذي يتطلبه ذلك؟
وهو أيضًا أسرع طريقة للاستعداد لتدقيق الموردين أو استبيان أحد العملاء أو مراجعة NCA ECC. فبدلًا من التخمين، ترى كل فجوة ومستوى خطورتها والجهد اللازم لسدها.
- صورة واضحة لمستواك الأمني الحالي
- فجوات مرتبة حسب المخاطر الفعلية على الأعمال، لا حسب دعاية الموردين
- خطة يمكن لإدارتك اعتمادها وتمويلها
ما الذي نراجعه في بيئتك
ينظر مهندسونا إلى طريقة عمل شركتك فعليًا، لا إلى الأوراق فقط. نتحدث مع فريق تقنية المعلومات والإدارة وعدد من المستخدمين، ونفحص الإعدادات، ونستعرض الإجراءات الرئيسية. وتغطي المراجعة المجالات التي يتسلل منها المهاجمون عادةً وتتعثر فيها التدقيقات عادةً:
- الجدار الناري والشبكة: القواعد، والوصول عن بُعد، وVPN، وتقسيم الشبكة، والبرامج الثابتة (Firmware)
- الأجهزة الطرفية والخوادم: تغطية برامج مكافحة الفيروسات أو EDR، وصلاحيات المسؤول، والأنظمة غير المدعومة مثل Windows 10
- البريد الإلكتروني: التصفية، وSPF وDKIM وDMARC، ومدى التعرض للتصيّد
- الهويات وMFA: حسابات المستخدمين، والحسابات المميّزة، وحسابات الموظفين المغادرين، وتفعيل MFA على البريد والسحابة والوصول عن بُعد
- التحديثات: سرعة وصول التحديثات إلى Windows والخوادم والجدران النارية وتطبيقات الجهات الخارجية
- النسخ الاحتياطي: ما الذي يُنسخ احتياطيًا، وأين تُحفظ النسخ، وهل تُختبر عمليات الاستعادة
- السجلات: ما السجلات التي تُجمع، وكم مدة الاحتفاظ بها، ومن يراجعها
- السياسات والتوعية: السياسات الأمنية، وإجراءات الحوادث، وتدريب الموظفين
ما الذي يشمله التقييم
المراجعة التقنية
فحوصات عملية للجدار الناري والأجهزة الطرفية وMicrosoft 365 أو البريد الإلكتروني والهويات والتحديثات والنسخ الاحتياطي.
مراجعة الأفراد والإجراءات
مقابلات قصيرة مع فريق تقنية المعلومات والإدارة حول طريقة التعامل مع الصلاحيات والتغييرات والحوادث والموردين.
قياس فجوات الامتثال
قياس كل مجال مقابل NCA ECC وPDPL وSACS-210 حيثما تنطبق على أعمالك.
نتائج مصنفة حسب الخطورة
تصنيف كل فجوة حسب احتمال وقوعها وأثرها على الأعمال، بلغة واضحة وبسيطة.
قائمة إصلاحات حسب الأولوية
مكاسب سريعة يمكنك تنفيذها هذا الشهر، تليها بنود متوسطة وطويلة المدى بترتيب واضح.
خارطة طريق مع خيارات للميزانية
خطة مرحلية مع خيارات، مثل الاستفادة من أدوات تملكها بالفعل مقارنةً بإضافة أدوات جديدة.
كيف يتم التقييم
مكالمة تحديد النطاق
نتفق على المواقع والأنظمة والأنظمة التنظيمية المشمولة في النطاق، ومن نحتاج إلى التحدث معهم.
جمع المعلومات
تشاركنا المستندات الأساسية وصلاحية وصول للفحص بوضع القراءة فقط، ونجري مقابلات مع الأشخاص الرئيسيين.
الفحوصات التقنية
يراجع مهندسونا الإعدادات والتهيئة عن بُعد أو في الموقع، دون تعطيل العمل.
التحليل والقياس
نصنف كل فجوة ونربطها بالضوابط ذات الصلة، ونعدّ قائمة الإصلاحات وخارطة الطريق.
التقرير والعرض
نعرض النتائج على فريق تقنية المعلومات والإدارة، ونجيب عن الأسئلة حول كل توصية.
مرتبط بمتطلبات الامتثال السعودية
يوضح التقييم مدى جاهزيتك للأنظمة التي تنطبق عليك، ولا نقيس إلا مقابل الأطر ذات الصلة بأعمالك. وإذا كان لديك تدقيق قادم من عميل أو لموردين، فإن التقرير يحدد بدقة الفجوات التي يجب سدها أولًا والأدلة التي سيتوقع المدقق الاطلاع عليها.
- الضوابط الأساسية للأمن السيبراني (ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA): للجهات الحكومية والقطاعات الحساسة ومورّديها. نفحص الحوكمة، وإدارة المخاطر، وإدارة الثغرات والتحديثات، والهويات والصلاحيات، وإدارة الحوادث، والتوعية.
- نظام حماية البيانات الشخصية (PDPL): نراجع أين تُخزَّن البيانات الشخصية، ومن يمكنه الوصول إليها، وهل يمكنك اكتشاف أي تسرّب للبيانات الشخصية وإبلاغ الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) به.
- أرامكو SACS-210: لموردي أرامكو نفحص تفعيل MFA على الوصول عن بُعد والسحابة والبريد الإلكتروني والحسابات المميّزة، وSPF/DKIM/DMARC، والإبلاغ عن الحوادث خلال 24 ساعة، والاحتفاظ بالسجلات لمدة سنة على الأقل، وفحص الثغرات شهريًا، والنسخ الاحتياطي المُختبر، والتدريب السنوي على التوعية.
المنتجات التي نستخدمها
التقييم محايد تجاه الموردين، وكثيرًا ما نوصي بالاستفادة بشكل أفضل من أدوات تملكها بالفعل. وحيث تلزم ضوابط جديدة، نعمل عادةً مع Sophos وFortinet للجدران النارية وحماية الأجهزة الطرفية، ومع Microsoft Defender وEntra وIntune وPurview لبيئة Microsoft 365، ومع Cisco للشبكات، ومع KnowBe4 للتدريب على التوعية.
الأسئلة الشائعة
هل تقييم المخاطر مجاني فعلًا؟
نعم. تقييم المخاطر الأولي مجاني وبنطاق محدد، فتعرف بالضبط ما الذي ستحصل عليه. وإذا احتجت لاحقًا إلى مراجعة أعمق، مثل عدة مواقع أو تقييم فجوات كامل جاهز للتدقيق، نتفق على النطاق ونرسل عرض سعر قبل بدء أي عمل.
ما الفرق بينه وبين اختبار الاختراق؟
يحاول اختبار الاختراق اختراق أنظمة محددة، بينما ينظر تقييم المخاطر إلى الصورة الكاملة: التقنية والإجراءات والأفراد. وتبدأ كثير من الشركات بتقييم المخاطر ثم تُجري اختبار VAPT على الأنظمة التي يرصدها التقييم.
هل سيعطّل التقييم عملنا؟
لا. الفحوصات التقنية بوضع القراءة فقط، والمقابلات قصيرة. ونخطط لأي عمل في الموقع مع فريق تقنية المعلومات لديك ليستمر العمل اليومي بشكل طبيعي.
هل نحتاج إلى تزويدكم بكلمات مرور المسؤول للمراجعة؟
نحتاج إلى وصول بوضع القراءة فقط أو وصول تحت الإشراف للاطلاع على الإعدادات. ويظل فريق تقنية المعلومات لديك متحكمًا في الحسابات، ويمكنه إلغاء الوصول فور انتهاء المراجعة.
ماذا نستلم في النهاية؟
ملخصًا موجزًا للإدارة، وقائمة مفصلة بالنتائج مع تصنيف خطورتها، ودرجات الامتثال للأطر ذات الصلة، وقائمة إصلاحات مرتبة حسب الأولوية، وخارطة طريق مرحلية مع خيارات للميزانية. ونستعرضها معك في اجتماع.
هل يجب أن نستعين بـ Waves لسد الفجوات؟
لا. التقرير ملكك، ويمكن لفريقك أو لأي مزوّد خدمة الاستفادة منه. وإذا أردت المساعدة، يمكننا تقديم عرض سعر للإصلاحات أو دعمك من خلال خدمة مسؤول أمن المعلومات الافتراضي (vCISO) المستمرة.
احجز تقييمًا مجانيًا لمخاطر الأمن السيبراني
أخبرنا عن شركتك وسنرتب مكالمة قصيرة لتحديد النطاق. مقرنا في الخبر، ونعمل مع الشركات في الدمام والظهران والجبيل والرياض وفي أنحاء المملكة.
- 📞 +966 58 236 5619
- 💬 +966 58 236 5619
- ✉️ info@wavestelecom.net
- 📍 3266 الظهران – حي العقربية، الخبر 34446
