الفصل الثاث : Explain the importance of
change management processes
and the impact to security
الجزء الأول : #1
أهمية عمليات إدارة التغيير وتأثيرها على الأمان (Explain the importance of change management processes and the impact to security):
يغطي هذا الفصل الهدف الثالث في المجال الأول "مفاهيم الأمن العام" من امتحان CompTIA Security Plus، وفي هذا الفصل، سنراجع عملية إدارة التغيير وتأثيرها على الأمان، والتغيير هو عنصر ثابت في مجال الأعمال، يشمل إعادة هيكلة المنظمة، التطورات التكنولوجية، والتحولات في الثقافة المؤسسية، هذه التغييرات تؤدي بشكل طبيعي إلى تقديم مخاطر أمان جديدة باستمرار.
تنفيذ عملية إدارة تغيير منظمة أمر ضروري، وتضمن هذه العملية أن التغييرات تبقى تحت السيطرة، وتتجنب أي عواقب سلبية، وتساهم في الحفاظ على التماسك داخل المنظمة.
مجلس استشاري التغيير (CAB) مسؤول عن تقييم هذه التغييرات، وتحديد أولوياتها، والموافقة عليها. يركز المجلس على الأهداف التنظيمية، ولكنه يهتم أيضًا بالضرورة بتوافق هذه التغييرات مع التدابير الأمنية العامة للشركة.
ملاحظة:
سيتم تقديم تحليل كامل لهدف الامتحان 1.3 في نهاية الفصل.
إدارة التغيير (Change Management):
التغيير هو جزء لا مفر منه وثابت في الحياة، سواء كان ذلك على الصعيد الشخصي أو المهني، في عالم الأعمال، يمكن أن يأخذ التغيير أشكالًا عديدة، بدءًا من إعادة هيكلة المنظمة وترقية التكنولوجيا إلى التحولات في ثقافة الشركة وديناميات السوق.
في مجال تقنية المعلومات بشكل خاص، يمكن أن تشمل هذه التغييرات ترقية النظام، تركيب برامج جديدة، أو الانتقال من تقنية إلى أخرى، وبالتالي، من الضروري الحفاظ على عملية منظمة لضمان أن تبقى هذه التغييرات تحت السيطرة، وأن تتم إدارتها بعناية، وأن يتم تقييم تأثيرها المحتمل بدقة، مما يمنع النتائج غير المتوقعة ويضمن نهجًا منسقًا عبر مختلف الأقسام داخل المنظمة.
يساعد مجلس استشاري التغيير في تحديد أولويات التغييرات وتقييم تأثيرها المالي على الشركة، ويقرر المجلس ما إذا كان يجب الموافقة على التغييرات المقترحة أو رفضها، والتي قد تؤثر على عمليات الأعمال والعمليات الأمنية، ويبدأ ذلك بعملية الموافقة والتوضيح الواضح للمسؤولية، مرورًا بمشاركة الأطراف المعنية، وإجراء تحليلات التأثير، وتقييم نتائج الاختبارات، ووضع خطط للتراجع، وتنسيق نوافذ الصيانة، والالتزام بالإجراءات التشغيلية القياسية، وسيوضح هذا الفصل كيف تؤثر هذه العمليات التجارية بشكل دقيق وتعزز العمليات الأمنية.
في العالم المترابط الذي نعيش فيه اليوم، أصبحت العلاقة بين العمليات التجارية والعمليات الأمنية أكثر أهمية، ويمكن لبعض جوانب العمليات التجارية أن تؤثر بشكل كبير على كيفية إدارة الأمان داخل المنظمة، دعونا نحلل كل من هذه العمليات واحدة تلو الأخرى:
التغيير هو جزء لا مفر منه وثابت في الحياة، سواء كان ذلك على الصعيد الشخصي أو المهني، في عالم الأعمال، يمكن أن يأخذ التغيير أشكالًا عديدة، بدءًا من إعادة هيكلة المنظمة وترقية التكنولوجيا إلى التحولات في ثقافة الشركة وديناميات السوق.
في مجال تقنية المعلومات بشكل خاص، يمكن أن تشمل هذه التغييرات ترقية النظام، تركيب برامج جديدة، أو الانتقال من تقنية إلى أخرى، وبالتالي، من الضروري الحفاظ على عملية منظمة لضمان أن تبقى هذه التغييرات تحت السيطرة، وأن تتم إدارتها بعناية، وأن يتم تقييم تأثيرها المحتمل بدقة، مما يمنع النتائج غير المتوقعة ويضمن نهجًا منسقًا عبر مختلف الأقسام داخل المنظمة.
يساعد مجلس استشاري التغيير في تحديد أولويات التغييرات وتقييم تأثيرها المالي على الشركة، ويقرر المجلس ما إذا كان يجب الموافقة على التغييرات المقترحة أو رفضها، والتي قد تؤثر على عمليات الأعمال والعمليات الأمنية، ويبدأ ذلك بعملية الموافقة والتوضيح الواضح للمسؤولية، مرورًا بمشاركة الأطراف المعنية، وإجراء تحليلات التأثير، وتقييم نتائج الاختبارات، ووضع خطط للتراجع، وتنسيق نوافذ الصيانة، والالتزام بالإجراءات التشغيلية القياسية، وسيوضح هذا الفصل كيف تؤثر هذه العمليات التجارية بشكل دقيق وتعزز العمليات الأمنية.
في العالم المترابط الذي نعيش فيه اليوم، أصبحت العلاقة بين العمليات التجارية والعمليات الأمنية أكثر أهمية، ويمكن لبعض جوانب العمليات التجارية أن تؤثر بشكل كبير على كيفية إدارة الأمان داخل المنظمة، دعونا نحلل كل من هذه العمليات واحدة تلو الأخرى:
- عملية الموافقة (Approval process): عملية الموافقة تنظر في التغيير المقترح والأسباب وراءه (على سبيل المثال، بسبب تقنية جديدة أو لوائح أكثر صرامة). يُرسل هذا التغيير إلى أي أطراف معنية للحصول على آرائهم. بهذه الطريقة، تضمن عملية الموافقة أن يكون اتجاه المشروع متوافقًا مع أهداف المنظمة ،بعد الموافقة، يتم توثيق هذه التغييرات بشكل دقيق بحيث يمكن تتبعها بعد إتمامها. ببساطة، عملية الموافقة هي الطريقة التي نضمن بها أن القرارات والتغييرات الهامة تحصل على الموافقة من الأشخاص المناسبين. قد تكون هذه القرارات كبيرة، مثل ترقية نظام الكمبيوتر بالكامل لشركة، أو صغيرة، مثل منح شخص ما حق الوصول إلى جزء محدود من الشبكة.
- الملكية (Ownership): تشير الملكية في إدارة التغيير إلى شخص داخل قسم ما طلب إجراء تغيير وسيكون مسؤولًا عن ضمان تنفيذه بشكل فعال، وقد يكون هذا الشخص مدير شركة أو مدير مشروع، من حيث الأمان، تعتبر الملكية الواضحة أمرًا حيويًا؛ فقد يتولى رئيس أمن المعلومات (CISO) إدارة هذا التغيير، ويضمن الـ "CISO" أن يتم تنفيذ مهام الأمان بشكل فعال وأن هناك محاسبة، مثال على ذلك يمكن أن يكون التأكد من تنفيذ مستوى التشفير المناسب ومراقبة مهام الأمان بشكل فعال.
- الأطراف المعنية (Stakeholders) : الـ "Stakeholders" هم الأفراد أو المجموعات أو الكيانات التي لها مصلحة (أو stake) في عمليات الشركة أو أنشطتها أو نتائجها، ويمكنهم التأثير بشكل كبير أو التأثر بقرارات الشركة وأفعالها وأدائها. ومع ذلك، فإن مفهوم الأطراف المعنية لا يقتصر على المساهمين والمستثمرين. إنه يشمل طيفًا أوسع من الأطراف التي يمكن أن تؤثر أو تتأثر بكيفية عمل الشركة. يظهر الجدول الأول من الفصل الثالث الفئات الرئيسية للأطراف المعنية في الشركة.
الجدول الأول من الفصل : أنواع stakeholders
السبب في أن الأطراف المعنية (stakeholders) مهمة هو أن مصالحهم يمكن أن تؤثر بشكل كبير على نجاح الشركة واستدامتها وسمعتها، ويجب على الشركات أن تأخذ في الاعتبار إدارة توقعات واحتياجات هذه الأطراف المتنوعة، لضمان الاستمرارية على المدى الطويل والحفاظ على علاقات إيجابية، وتتطلب إدارة الأطراف المعنية الفعالة التواصل والمشاركة ومعالجة المخاوف لبناء الثقة وخلق بيئة عمل متناغمة، والمفاهيم والعمليات الرئيسية التي تم وصفها في هذا القسم ستساعد أيضاً في ضمان تنفيذ الخطط بسلاسة لتجنب أي كوارث محتملة.
- تحليل الأثر (Impact analysis): قبل إجراء التغييرات، من المهم تحليل كيفية تأثيرها على المنظمة. في مجال الأمان، يعني هذا النظر في كيفية تأثير التغيير على أمان الأنظمة والبيانات بشكل عام، ويساعد هذا التحليل في توقع المخاطر الأمنية المحتملة وإيجاد طرق لمعالجتها قبل أن تتحول إلى مشاكل حقيقية.
- نتائج الاختبار (Test results): عند تقديم تدبير أمني جديد أو تغيير، من الحكمة اختباره أولاً. مثلما يتم اختبار حزام الأمان قبل أن تسير السيارة على الطريق، يجب اختبار التدابير الأمنية للتأكد من أنها تعمل كما هو متوقع. تمنح نتائج الاختبار الثقة في أن الإجراءات الأمنية ستحمي المنظمة كما هو متوقع.
- خطة الرجوع (Backout plan): خطة الرجوع تشبه وجود شبكة أمان عند القيام بنشاط محفوف بالمخاطر. في عمليات الأمان، هي خطة للتراجع عن التغيير إذا حدث خطأ ما. إذا تسبب تحديث أمني جديد في تعطل النظام، تساعد خطة الرجوع على إعادة الأمور إلى ما كانت عليه، مما يحافظ على سلامة المنظمة من التعرض لمخاطر أمنية مطولة.
- نافذة الصيانة (Maintenance window): يمكن التفكير في نافذة الصيانة كوقت محدد لإصلاح الأمور. يتم تنفيذ ذلك خلال ساعات هادئة حتى يؤثر على عدد أقل من الأشخاص. فيما يتعلق بالأمان، يكون هذا وقتًا مخططًا لتنفيذ التغييرات أو التحديثات التي قد تؤثر على أنظمة المنظمة. من خلال القيام بذلك خلال نافذة الصيانة، يتم تقليل الانقطاعات ويمكن تطبيق التدابير الأمنية بسلاسة.
- الإجراءات التشغيلية القياسية (Standard operating procedure): الإجراءات التشغيلية القياسية (SOP) تشبه كتيب القواعد الذي يوجه كيفية تنفيذ الأمور. تخيل أنك طيار تستعد للإقلاع. قبل أن تبدأ المحركات في العمل، تتبع قائمة تحقق تحدد كل خطوة حاسمة. هذه هي جوهر الإجراءات التشغيلية القياسية. إنها إرشادات مصممة بعناية، مثل قائمة التحقق قبل الرحلة، لضمان تنفيذ المهام المعقدة بشكل متسق ودقيق.
الآثار التقنية (Technical Implications):
في العالم المعقد للتكنولوجيا، فهم الآثار التقنية يشبه فك شفرة لغز معقده، هناك عدة جوانب تقنية رئيسية تحافظ على تماسك العمليات الحديثة، وكل منها يلعب دورًا فريدًا في الحفاظ على الانسجام الرقمي، كما هو موضح أدناه:
في العالم المعقد للتكنولوجيا، فهم الآثار التقنية يشبه فك شفرة لغز معقده، هناك عدة جوانب تقنية رئيسية تحافظ على تماسك العمليات الحديثة، وكل منها يلعب دورًا فريدًا في الحفاظ على الانسجام الرقمي، كما هو موضح أدناه:
- قوائم السماح (Allow lists/whitelists): قائمة السماح تمنح الوصول فقط لأولئك المدرجين في القائمة؛ يمكن استخدامها في جدار الحماية أو بواسطة "AppLocker" الذي يحدد التطبيقات والملفات التي يمكن تشغيلها، وتضمن قوائم السماح أن التطبيقات المعتمدة فقط يمكن تثبيتها أو تشغيلها، والتطبيقات غير المدرجة في قائمة السماح سيتم رفضها، بمجرد إعداد قائمة السماح، لن يتمكن البرمجيات الخبيثة من التشغيل؛ لأنك ببساطة لن تضيفها إلى القائمة.
- قوائم الحظر (Deny lists/block lists): تعمل قوائم الحظر عن طريق منع الوصول لأولئك المدرجين في القائمة؛ يمكن استخدامها في جدار الحماية لمنع الوصول، وتمنع قوائم الحظر التطبيقات التي قد تسبب ضررًا، ولكن يجب عليك تسمية التطبيقات المحظورة. كما تمنع المستخدمين غير المصرح لهم من الوصول إلى شبكتك.
- الأنشطة المقيدة (Restricted activities): الأنشطة المقيدة تمنع الإجراءات التي قد تؤدي إلى ثغرات أمنية أو تعطيلات، وتتضمن هذه الأنشطة تثبيت البرمجيات غير المصرح بها، التعديلات غير المصرح بها على النظام، الوصول المباشر إلى الخوادم الحرجة، والوصول إلى البيانات الحساسة أو نقل البيانات غير المصرح به.
عمليات إدارة التغيير توفر المخطط لتنسيق التعديلات بطريقة منظمة، لضمان بقاء الأمان سليماً. من خلال تقديم التغييرات المقترحة إلى مجلس استشاري التغيير (CAB)، يمكن فحص التغييرات والموافقة عليها، مما يضمن أنها لا تخلق أي مخاوف أمنية. هناك عدة عوامل أخرى تؤثر على إدارة التغيير:
- وقت التوقف (Downtime): هذا هو الوقت الذي يتم فيه إيقاف أنظمة المنظمة إما بسبب فشل النظام أو صيانة جارية، ويؤثر وقت التوقف سلبًا على فقدان الإيرادات، ويجب تقليله ، وسيكون لدينا خطة استمرارية الأعمال لمنع حدوث ذلك.
- إعادة تشغيل الخدمة (Service restart): قد يؤدي إيقاف أو إعادة تشغيل الأنظمة إلى تعطيل وصول المستخدمين الشرعيين إلى الموارد الحاسوبية وإعاقة جهود الاستجابة للحوادث والتعافي. قد يحدد المهاجمون وقت إجراءاتهم لتتزامن مع إعادة تشغيل التطبيقات، بهدف استغلال الثغرات الأمنية المحتملة خلال عملية إعادة التشغيل.
- إعادة تشغيل التطبيق (Application restart): تتضمن ثغرات إعادة تشغيل التطبيق نقاط ضعف أمنية محتملة يمكن أن تظهر عند إعادة تشغيل التطبيق، قد تتسبب إجراءات إعادة التشغيل غير الصحيحة في عدم اتساق البيانات أو فسادها، مما قد يؤثر على سلامة التطبيق وتدابيره الأمنية.
- التطبيقات القديمة (Legacy applications): التطبيقات القديمة هي تلك التي تم استخدامها لفترة طويلة. تميل هذه التطبيقات إلى امتلاك تدابير أمان قديمة وغير محدثة، وتفتقر إلى دعم المورد. قد يكون المورد قد خرج من العمل.
- الاعتمادات (Dependencies): تعتمد بعض الخدمات، مثل خدمة IP Helper الموضحة في الشكل الاول من الفصل ، على تشغيل خدمات أخرى قبل أن تتمكن من البدء، ويمكنك أن ترى أن خدمة IP Helper تعتمد على تشغيل خمسة مكونات نظامية قبل أن تتمكن من البدء، وإذا لم تعمل أي خدمة أو مكون، فلن يتم تشغيل التطبيق.
الشكل الثالث من الفصل: خصائص IP Helper على جهاز كمبيوتر محلي
من خلال تنفيذ إجراءات إدارة التغيير المناسبة، يمكننا التخطيط لجميع الاحتمالات ومنع أنظمتنا من التوقف عن العمل أو أن تتعرض للاستغلال بسبب نقص الأمان، ويمكننا حتى اختبار التطبيقات الجديدة في بيئة معزولة "sandbox" للتجربة أو التحديث، لضمان عدم وجود مخاطر أمنية ضمن تطبيقات الأعمال، والتأكد من أن جميع التطبيقات تستمر في العمل بشكل طبيعي بعد أي تغيير مقترح.
تذكير:
قبل أن يتمكن مسؤول الشبكة من إجراء تغييرات على أي جهاز شبكي، يجب عليه الحصول على موافقة من مجلس استشاري التغيير "CAB" للتأكد من أن التغييرات تتماشى مع أهداف المنظمة.
التوثيق (Documentation):
توثيق التغييرات بشكل دقيق يضمن الشفافية والمساءلة وفهمًا واضحًا للتغييرات التي تتم. التوثيق السليم يساعد في تتبع التعديلات، مما يجعل من السهل تحديد من قام بالتغيير ولماذا. هذا يعزز الأمان عن طريق تقليل مخاطر التعديلات غير المصرح بها أو غير المسجلة، الحفاظ على توثيق مناسب أمر مهم ويجب أن يشمل أفضل الممارسات التالية:
توثيق التغييرات بشكل دقيق يضمن الشفافية والمساءلة وفهمًا واضحًا للتغييرات التي تتم. التوثيق السليم يساعد في تتبع التعديلات، مما يجعل من السهل تحديد من قام بالتغيير ولماذا. هذا يعزز الأمان عن طريق تقليل مخاطر التعديلات غير المصرح بها أو غير المسجلة، الحفاظ على توثيق مناسب أمر مهم ويجب أن يشمل أفضل الممارسات التالية:
- تحديث الرسومات البيانية (Updating diagrams): الحفاظ على الرسومات البيانية محدثة (مثل رسوم الشبكة أو البنية التحتية للنظام) يدعم فهمًا أفضل للبيئة الحالية، وتساهم الرسومات البيانية الدقيقة في إدارة الأمان بشكل فعال من خلال تجنب أي تناقضات قد تؤدي إلى سوء فهم أو أخطاء في التكوين أو حتى فجوات أمنية.
- تحديث السياسات/الإجراءات (Updating policies/procedures): التحديث المنتظم للسياسات والإجراءات لتعكس التغييرات أمر أساسي للحفاظ على بيئة آمنة، ويمكن أن يؤدي التوثيق القديم إلى اتباع الموظفين لإرشادات غير صحيحة، مما قد يؤدي إلى ثغرات أمنية أو عدم الامتثال للوائح.
التحكم في النسخ (Version Control):
التحكم السليم في النسخ يضمن أن التغييرات المصرح بها فقط هي التي يتم تنفيذها، ويمنع التعديلات غير المصرح بها ويوفر مسار تدقيق، وهو أمر بالغ الأهمية للأمان، ويمكن أن تؤدي التغييرات غير المصرح بها إلى إدخال ثغرات أمنية، وبدون التحكم في النسخ، قد يكون من الصعب تحديد متى ولماذا حدثت هذه التغييرات، ويعد التحكم في النسخ مهمًا أيضًا عند كتابة الكود أو تطوير التطبيقات، بحيث يمكن التعرف على الإصدار الأحدث.
التحكم السليم في النسخ يضمن أن التغييرات المصرح بها فقط هي التي يتم تنفيذها، ويمنع التعديلات غير المصرح بها ويوفر مسار تدقيق، وهو أمر بالغ الأهمية للأمان، ويمكن أن تؤدي التغييرات غير المصرح بها إلى إدخال ثغرات أمنية، وبدون التحكم في النسخ، قد يكون من الصعب تحديد متى ولماذا حدثت هذه التغييرات، ويعد التحكم في النسخ مهمًا أيضًا عند كتابة الكود أو تطوير التطبيقات، بحيث يمكن التعرف على الإصدار الأحدث.
الملخص (Summary):
في هذا الفصل، اكتشفنا مدى أهمية عملية إدارة التغيير المنظمة لضمان تنفيذ التغييرات بشكل فعال، وناقشنا دور عملية الموافقة في ضمان توافق أي تغييرات مع سياسة المنظمة، ورأينا كيف يساعد تحليل الأثر الذي يتم قبل تلك التغييرات المؤسسات في توقع المخاطر الأمنية المحتملة والأثر الذي قد تحدثه التغييرات المقترحة على المستخدمين والأعمال، المعرفة المكتسبة في هذا الفصل ستجهزك للإجابة على أي أسئلة تتعلق بالهدف .
النهاية:
وهاقد أنتهى الفصل الثالث ، أتمنى أنه قد أعجبكم وان يكون الشرح مفهوم وواضح للجميع ، تستطيع الأنضمام الينا وتشاركنا أرائك في مجتمعنا على تلجرام من خلال الرابط الاتي
