دليل لقادة تقنية المعلومات · المديرون الماليون ومديرو تقنية المعلومات ومسؤولو المخاطر
التأمين السيبراني واستبيانات الأمن: كيف تجيب الشركات في الإمارات عنها
تصل اليوم تجديدات التأمين السيبراني وطلبات كبار العملاء مصحوبة باستبيانات أمنية طويلة. وتؤثر الإجابات في الأقساط، وفي ترسية العقود، وبعد أي حادثة في صرف المطالبة. يشرح هذا الدليل ما الذي يُسأل عنه، وكيف تجيب بصدق، وأي الفجوات تُغلق أولاً.
لماذا أصبحت الأسئلة أصعب
دفعت مطالبات برامج الفدية والاحتيال في المدفوعات شركات التأمين إلى طلب ضوابط محددة قبل تقديم أي عرض، وفعل كبار العملاء الشيء نفسه مع مورّديهم. كما رفع مجلس الأمن السيبراني لدولة الإمارات مكانة المخاطر السيبرانية على مستوى مجالس الإدارة. والنتيجة أن الاستبيان نفسه يصل إلى مكتب المدير المالي من الوسيط، ومن البنك، ومن فريق المشتريات لدى عميل رئيسي، وكلٌّ بصياغة مختلفة قليلاً.
والخبر الجيد أنها كلها تسأل عن نحو اثني عشر ضابطاً متكرراً. ابنِ الأدلة مرة واحدة، وستستطيع الإجابة عنها جميعاً.
الضوابط التي يسألون عنها، وما الذي يجب أن تعنيه «نعم»
المصادقة متعددة العوامل (MFA)
أسئلة نموذجية: هل MFA مفروضة على البريد الإلكتروني؟ وعلى الوصول عن بُعد (VPN وسطح المكتب البعيد)؟ وعلى كل الحسابات المميزة؟ وعلى لوحات إدارة الخدمات السحابية؟
يجب أن تعني «نعم» أنها مفروضة بسياسة على كل مستخدم، لا أنها متاحة فقط. الأدلة: لقطات شاشة لسياسات الوصول المشروط أو MFA، وتقرير تسجيل دخول يُظهر التغطية. يغطي دليل خط الأساس الأمني لـ Microsoft 365 طريقة الإعداد.
الاكتشاف والاستجابة على الأجهزة الطرفية (EDR)
أسئلة نموذجية: هل تشغّلون EDR، لا مضاد فيروسات أساسياً فقط، على كل الأجهزة والخوادم؟ وهل تُراقَب على مدار الساعة؟
يجب أن تعني «نعم» كل حاسوب محمول وكل خادم، مع مراقبة التنبيهات خارج ساعات العمل من قِبلك أو من مزوّد. الأدلة: تصدير من لوحة التحكم يُظهر تغطية الأجهزة، وعقد المراقبة. راجع اختيار حل EDR (بالإنجليزية) وخدمة MDR.
النسخ الاحتياطية
أسئلة نموذجية: هل النسخ الاحتياطية غير متصلة أو غير قابلة للتعديل أو معزولة بطريقة أخرى؟ هل هي مشفّرة؟ متى اختبرتم آخر استعادة كاملة؟
الأدلة: تصميم النسخ الاحتياطي، وإعدادات عدم القابلية للتعديل، وسجل مؤرخ لاختبار الاستعادة. راجع دليل التخطيط للتعافي من الكوارث.
التحديثات الأمنية والأنظمة المنتهية الدعم
أسئلة نموذجية: ما سرعة تطبيق التحديثات الحرجة؟ هل تشغّلون أي أنظمة تشغيل غير مدعومة؟
الأدلة: تقرير الالتزام بالتحديثات، وقائمة بأي أنظمة منتهية الدعم مع إجراءات عزلها وتاريخ استبدالها.
أمن البريد الإلكتروني
أسئلة نموذجية: هل تفحصون البريد الوارد بحثاً عن الروابط والمرفقات الضارة؟ هل SPF وDKIM وDMARC مطبّقة؟ هل تتحققون هاتفياً من طلبات تغيير بيانات الدفع؟
الأدلة: لقطات شاشة لسياسات أمن البريد، وسجل DMARC، وإجراء مكتوب للتحقق من المدفوعات. جرّب أداة فحص أمن البريد (بالإنجليزية).
الصلاحيات المميزة
أسئلة نموذجية: هل حسابات المسؤولين منفصلة عن الحسابات اليومية؟ هل يُسجَّل الوصول المميز ويُراجَع؟
تقييم الثغرات واختبار الاختراق (VAPT)
أسئلة نموذجية: متى أجريتم آخر اختبار اختراق خارجي؟ هل أُصلحت النتائج الحرجة؟ هل تفحصون الثغرات بانتظام؟
الأدلة: ملخص آخر تقرير VAPT، ومتتبّع للإصلاحات، وخطاب إعادة الاختبار.
الاستجابة للحوادث والتدريب
أسئلة نموذجية: هل لديكم خطة مكتوبة للاستجابة للحوادث؟ هل اختُبرت؟ هل يتلقى الموظفون تدريباً للتوعية بالتصيد؟
الأدلة: الخطة، وسجل مؤرخ لتمرين محاكاة مكتبي، وأرقام إتمام التدريب. راجع التدريب على التوعية بالتصيد (بالإنجليزية).
كيف تجيب بصدق دون أن تخسر الصفقة
- كن دقيقاً. عبارة «MFA مفروضة على جميع المستخدمين البالغ عددهم 240 في Microsoft 365 وعلى VPN، مع استثناء حسابَي خدمة مقيّدين بعناوين IP» أفضل من «نعم» مجردة.
- صرّح بالتغطية الجزئية مع تاريخ. «EDR على كل الحواسيب المحمولة، والخوادم بحلول 30/11» إجابة ذات مصداقية.
- لا تنسخ إجابات العام الماضي. الأمور تتغير: موقع جديد، أو أداة وصول عن بُعد جديدة، أو استحواذ.
- اجمع تقنية المعلومات والمالية في غرفة واحدة. المالية توقّع، وتقنية المعلومات تعرف الحقيقة.
- اسأل وسيطك كيف تُعامَل البيانات غير الدقيقة، وأي الضوابط تحمل الوزن الأكبر لدى شركة التأمين تلك.
ابنِ ملف الأدلة مرة واحدة
احتفظ بمجلد يُحدَّث كل ربع سنة، يحتوي على:
- سياسة MFA وتقرير التغطية.
- تصدير تغطية EDR وترتيبات المراقبة.
- تصميم النسخ الاحتياطي، وإثبات عدم القابلية للتعديل، وآخر ثلاثة اختبارات استعادة.
- تقرير الالتزام بالتحديثات وسجل الأنظمة المنتهية الدعم.
- إعدادات أمن البريد وحالة DMARC.
- قائمة حسابات المسؤولين وآخر مراجعة للصلاحيات.
- ملخص آخر تقرير VAPT، ومتتبّع الإصلاحات، وإعادة الاختبار.
- خطة الاستجابة للحوادث وسجل آخر تمرين.
- ملخص إتمام التدريب.
- مخطط الشبكة وسجل الأصول.
مع هذا الملف، يستغرق معظم الاستبيانات ساعات بدل أسابيع، وتأتي الإجابات متسقة فيما بينها.
استبيانات العملاء والموردين
ترسل البنوك والشركات متعددة الجنسيات والعملاء المرتبطون بالحكومة استبياناتهم الخاصة أثناء المشتريات وعند تجديد العقود. وهي تغطي الضوابط نفسها التي تسأل عنها شركات التأمين، مع بنود إضافية:
- أين ستُخزَّن بياناتهم ومن يستطيع الوصول إليها، وغالباً بالإشارة إلى قانون حماية البيانات الشخصية الإماراتي أو أنظمة قطاعهم.
- المتعاقدون من الباطن ومزوّدو تقنية المعلومات لديك، وكيف تتحكم في وصولهم.
- الشهادات التي تحملها، أو الأطر التي تلتزم بها.
- مدى سرعة إبلاغهم بحادثة تمس بياناتهم.
- ترتيبات استمرارية الأعمال والتعافي من الكوارث لديك.
احتفظ بمجموعة رئيسية واحدة من الإجابات المعتمدة، يملكها شخص محدد، وأعد استخدامها. فالإجابات المتناقضة للعميل نفسه على مدى عامين علامة تحذير لفريق المخاطر لديه. وإذا طلب سؤال شهادة لا تحملها، فقل ذلك بوضوح وصف الضوابط المطبّقة لديك.
خطة 90 يوماً إذا كنت تبدأ من الصفر
- الأيام 1–15: اجمع الاستبيانات التي وصلتك، واكتب قائمة بكل ضابط سُئلت عنه، وصنّف كلاً منها: نعم، أو جزئي، أو لا، مع الأدلة.
- الأيام 15–45: أغلق فجوات MFA، وانشر EDR على الأجهزة المتبقية، وأنشئ نسخة احتياطية غير قابلة للتعديل.
- الأيام 45–75: نفّذ VAPT خارجياً، وأصلح النتائج الحرجة والعالية، واكتب خطة الاستجابة للحوادث أو حدّثها.
- الأيام 75–90: أعد الاختبار، ونفّذ تمرين محاكاة مكتبياً، وجمّع ملف الأدلة، وأطلع وسيطك.
الفجوات التي تُغلق أولاً
- MFA على البريد الإلكتروني والوصول عن بُعد وكل حساب مسؤول.
- EDR على كل جهاز طرفي وخادم، مع شخص يراقب التنبيهات.
- نسخة احتياطية غير قابلة للتعديل أو غير متصلة، مع اختبار استعادة حديث.
- إزالة الأنظمة غير المدعومة أو عزلها.
- اختبار اختراق خارجي، مع إصلاح النتائج الحرجة.
هذه الخمسة تظهر في كل استبيان تقريباً نراه.
كيف تساعد ميسان
ننفّذ VAPT داخلياً، مع تقرير وقائمة إصلاحات مرتبة حسب الأولوية وإعادة اختبار. ونغلق الفجوات (MFA وEDR والنسخ الاحتياطي والتحديثات وأمن البريد)، ونشغّل خدمة الاكتشاف والاستجابة المُدارة لتبقى التنبيهات تحت المراقبة، ونبني ملف الأدلة الذي تسلّمه لوسيطك أو عميلك. ويبقى توقيع الإقرار مسؤوليتك. نعمل في تقنية المعلومات في الإمارات منذ أكثر من 22 عاماً. ابدأ بـبطاقة تقييم الجاهزية السيبرانية (بالإنجليزية) أو أرسل لنا الاستبيان.
نزّل قائمة التحقق (PDF باللغة الإنجليزية)
قائمة التحقق من هذا الدليل، جاهزة للطباعة
قائمة التحقق في صفحة أو صفحتين بحجم A4 مع خانات للتأشير، لاجتماع التخطيط القادم. الملف باللغة الإنجليزية.
خدمات ميسان ذات الصلة
- الأمن السيبراني المُدار وخدمة MDR وVAPT
- بطاقة تقييم الجاهزية السيبرانية (بالإنجليزية)
- قائمة التحقق السيبرانية لقادة الأعمال في الإمارات (بالإنجليزية)
- مركز الثقة لدى ميسان (بالإنجليزية)
الأسئلة الشائعة
ما الذي تسأل عنه شركات التأمين السيبراني في الإمارات عادةً؟
المحاور المتكررة هي المصادقة متعددة العوامل (خصوصاً للبريد الإلكتروني والوصول عن بُعد وحسابات المسؤولين)، والاكتشاف والاستجابة على الأجهزة الطرفية (EDR)، والنسخ الاحتياطية غير المتصلة أو غير القابلة للتعديل والمُختبَرة، والتحديثات الأمنية، وأمن البريد الإلكتروني، والصلاحيات المميزة، والتخطيط للاستجابة للحوادث، وتوعية الموظفين. وتختلف الصياغة بين شركات التأمين والوسطاء.
ماذا يحدث إذا أجبنا بـ«نعم» عن ضابط أمني مطبّق جزئياً فقط؟
قد يعرّض ذلك المطالبة للخطر. إذا اكتشفت شركة التأمين بعد حادثة أن ضابطاً مُصرَّحاً به لم يكن مطبّقاً، فقد تعترض على المطالبة. أجب بدقة، واشرح التغطية الجزئية، وحدد تاريخاً للإكمال. واسأل وسيطك كيف تتعامل الوثيقة المعنية مع البيانات غير الدقيقة.
هل تقييم الثغرات هو نفسه اختبار الاختراق؟
لا. تقييم الثغرات يفحص نقاط الضعف المعروفة في أنظمة كثيرة. أما اختبار الاختراق فمحاولة موجّهة يقوم بها مختبِر لاستغلال نقاط الضعف وإظهار ما يمكن أن يصل إليه المهاجم. وخدمة VAPT تجمع الاثنين. وكثيراً ما تسأل الاستبيانات عن تاريخ آخر اختبار اختراق وهل أُصلحت نتائجه.
كم مرة يجب أن نجري VAPT؟
مرة واحدة سنوياً على الأقل للأنظمة المكشوفة على الإنترنت، وبعد التغييرات الكبيرة مثل موقع إلكتروني جديد أو حل وصول عن بُعد جديد أو عملية اندماج. وقد تطلب القطاعات الخاضعة للتنظيم والعملاء الكبار اختبارات أكثر تكراراً.
هل تستطيع ميسان تعبئة الاستبيان نيابةً عنا؟
نساعدك على إعداد إجابات دقيقة والأدلة التي تدعمها، ويمكننا حضور الاجتماعات مع وسيطك أو عميلك. أما الإقرار فتوقّعه أنت، فتبقى أنت وشركة التأمين أصحاب القرار فيما يُصرَّح به.
هل تنفّذ ميسان خدمة VAPT بنفسها؟
نعم. ننفّذ تقييم الثغرات واختبار الاختراق داخلياً، مع تقرير مكتوب، وقائمة إصلاحات مرتبة حسب الأولوية، وإعادة اختبار للبنود التي أُصلحت.
هذا الدليل معلومات عامة للتخطيط، وليس استشارة قانونية أو ضريبية. تتغيّر الأنظمة والمواعيد، لذا تحقّق من الوضع الحالي في المصدر الرسمي المذكور في النص ومع مستشاريك. آخر مراجعة: 17/10/2026.
أخبرنا بما تحتاجه
ملاحظة قصيرة تكفي، ونرد عليك خلال يوم عمل واحد.
أرسل لنا الاستبيان
أرسل لنا استبيان شركة التأمين أو العميل. نحدد الإجابات التي تستطيع إثباتها اليوم وتلك التي تحتاج عملاً، ونقدم عرض سعر لـ VAPT والإصلاحات. نرد خلال يوم عمل واحد.