ISO 27001: التنفيذ والدعم

1) لماذا مشغل iGaming ISO 27001

التراخيص والثقة: يسهل الحوار مع المنظمين/البنوك/PSP/KYC مقدمي الخدمات.
نهج النظام: نموذج موحد للمخاطر والضوابط للمنتجات والمنصات وسلسلة البائعين.

المدخرات: عدد أقل من الحوادث والغرامات، ومطالب يمكن التنبؤ بها على المقاولين

2) نطاق وسياق ISMS

تحديد حدود نظام إدارة المعلومات (المنتجات/المناطق/العمليات)، وأصحاب المصلحة (الجهات الفاعلة، والجهات التنظيمية، والمصارف، والشركاء)، والالتزامات (القانون، والتراخيص، والعقود)، والافتراضات/التبعيات (السحابة، والمعالجات الفرعية).
الناتج: وثيقة النطاق والسياق + خريطة أصحاب المصلحة والمتطلبات.

3) سجل الأصول والمخاطر

سجل الأصول: البيانات (PII/KYC/finance)، الخدمات (المدفوعات، مكافحة الاحتيال، KYC)، البنية التحتية (K8s/cloud)، البرامج/المستودعات، المفاتيح/الأسرار، الأشخاص والأدوار.

نموذج التهديد: تسريبات PII، الاحتيال، Downtime PSP/KYC، مآثر SDK، فشل DR

تقييم المخاطر: معايير الاحتمالات/التأثير، مستوى المخاطر (منخفض الحرج)، أصحاب المخاطر وخطط المعالجة: القبول/التخفيف/التجنب/النقل.
Linkage to Controls: Risk → Control from Appendix A → KPI/KRI → Evidence.

4) مجموعة وثائق ISMS

• سياسة أمن المعلومات، وتصنيف البيانات، والوصول والتجزئة (RBAC/ABAC/SoD/JIT/PAM)، وكلمات المرور و MFA، والسجلات والمراجعات، وإدارة الحوادث، والنسخ الاحتياطية و DR، والتطوير والإطلاقات (SDLA C/DevSecOps)، نقاط الضعف/الخمسة، التشفير/إدارة المفاتيح، إدارة البائعين (TPRM)، الخصوصية (GDPR)، التدريب والتوعية، إدارة التغيير، إدارة الأصول والاستخدام المقبول، الأمن المادي.
• يتم الاحتفاظ بالوثائق تحت مراقبة النسخ، مع سجل تغيير وحالة (مشروع/معتمد/فعال).

5) التذييل ألف (A.5-A. 8): تدابير عملية للألعاب

A.5 - التدابير التنظيمية

تعيين الأدوار، SoD، RACI ؛ لجنة ISMS ؛ والأهداف السنوية لأمن المعلومات ؛ دور DPO/Privacy.
IGA/JML (Joiner-Mover-Leaver)، إعادة اعتماد الحقوق، كتالوجات الأدوار كرمز.

A.6 الموارد البشرية

التحقق عند التوظيف (حيثما كان ذلك قانونيًا)، واتفاقية عدم الإفشاء، والاستعانة بـ MFA/WebAuthn، والتدريب المنتظم (التصيد/الخصوصية)، والخروج من الطائرة ≤ 15 دقيقة.

A.7 التدابير المادية

التحكم في الوصول إلى المكتب/مركز البيانات، والتقسيم، والدوائر التلفزيونية المغلقة/المجلات، والمكاتب/الشاشات النظيفة، وحماية الأجهزة والوسائط.

تدابير العملية A8

البنية الآمنة: WAF/CDN، mTLS، KMS/HSM، التشفير عند الراحة/أثناء العبور، الترميز PII، RLS/CLS/القناع.
SDLC: SAST/DAST/مسح التبعية، مسح IaC، ماسحات ضوئية سرية، توقيع القطع الأثرية، التحكم في سلسلة التوريد.
العمليات: قطع الأشجار (سلاسل التجزئة WORM +)، SIEM/SOAR، مضادات تسجيل الأسرار، النسخ الاحتياطية (3-2-1)، اختبارات DR، ثغرات/بقع SLA، طاولات التراجع.
CIAM/اللاعبون: حماية المصادقة، وتقييم مخاطر الأجهزة، ومضادات الروبوتات السلوكية.

6) بيان قابلية التطبيق (SoA)

المصفوفة: حالة → المراقبة (المنطبقة/غير المنطبقة) → تبرير → التنفيذ → الأدلة → مالكة المقياس →.

7) إدارة الوثائق والسجلات (الأدلة)

السجلات: المخاطر، والأصول، والحوادث، ونقاط الضعف، والتدريب، وإمكانية الوصول، ومراجعة الحسابات، ومراجعة الحسابات، والبائعين/العمليات الفرعية.
متطلبات السجلات: الثبات، والسلامة (التوقيعات/التجزئة)، وفترات الاحتفاظ، والبحث السريع، والربط بالضوابط، ومؤشرات الأداء الرئيسية.

8) المراجعة الداخلية للحسابات والاستعراض الإداري

المراجعة الداخلية للحسابات: الخطة السنوية (القائمة على المخاطر)، واستعراضات التصميم/فعالية التشغيل، والعينات، والتقارير، وخطط العمل القطرية.
استعراض الإدارة (1-2 مرة/سنة): حالة معهد KPI/KRI، ونتائج مراجعة الحسابات/الحوادث، وتقييم الموارد، والمخاطر والفرص، والقرارات/الأهداف للفترة القادمة.

9) المقاييس (KPI/KRI) لـ ISMS

• تغطية السياسات وأهمية الوثائق ≥ 95 في المائة
• تنفيذ خطط مراجعة الحسابات/التدريب ≥ 95 في المائة
• مستويات عالية/حرجة ≥ 95٪ في الوقت المحدد
• نسبة الضوابط الآلية ↑ QoQ

• التسريبات/الحوادث مع PII = 0; الإخطارات ≤ 72 ساعة - 100٪
• مخالفات SoD/JIT/قناع = 0
• فشل اختبار DR = 0 ؛ RTO/RPO عادي

10) التكامل مع الممارسات الحالية

ربط ISO 27001 بالأقسام الحالية من ويكي الخاصة بك: سياسات الوصول والتجزئة، RBAC/Lest Privilege، سياسة كلمة المرور و MFA، مسارات التدقيق، TPRM و SLA، الضوابط الداخلية والتدقيق، GDPR/DPPO/PIA، الحوادث والتسريبات، DR/BCP.

11) الأدوار و RACI

12) خطة التصديق: المرحلة 1 → المرحلة 2

المرحلة 1 (التوثيق والاستعداد): النطاق، والسياق، ونموذج المخاطر، واتساق السياسات، والسياسات/الإجراءات الرئيسية، وسجل التنفيذ، وخطة المرحلة 2.
المرحلة 2 (الممارسة والأدلة): المقابلات، والعينات، والتعقب، والامتثال للضوابط في الممارسة العملية.
بعد - الإبلاغ، أوجه عدم الاتساق، الإصلاح، إصدار شهادة (عادة 3 سنوات) + مراجعة الحسابات الإشرافية السنوية.

13) خارطة طريق التنفيذ (12 أسبوعًا → شهادة)

الأسابيع 1-2: السياق/النطاق، خريطة أصحاب المصلحة، سجل الأصول والمخاطر (مسودة)، خطة الاتصالات، تعيين المالك.
الأسابيع 3-4: حزمة سياسة v1، SoA (مسودة)، أدلة تسجيل/تسجيل الدخول، بدء التدريب، بدء عملية TPRM.
الأسابيع 5-6: تنفيذ الضوابط الحرجة (MFA/WebAuthn، RBAC/ABAC/JIT، سجلات WORM، نسخ احتياطية/خطة DR، نقاط الضعف/التصحيحات)، إطلاق المراجعة الداخلية رقم 1 (DE).
الأسابيع 7-8: التخلص من الاكتشافات، وصقل SoA، وتخزين الأدلة، ولوحات القيادة KPI/KRI، ومثقاب الحوادث على سطح الطاولة، واختبار DR المصغر.
الأسابيع 9-10: المراجعة الداخلية رقم 2 (OE)، المراجعة الإدارية، حجز مراجع الحسابات، التحضير للمرحلة 1 (حزمة الوثائق).
الأسابيع 11-12: المرحلة 1 → التعديلات السريعة → المرحلة 2، الإصلاح التشغيلي، حزمة الأدلة النهائية.

14) القوائم المرجعية

14. 1 جاهز للمرحلة 1

• النطاق/السياق المعتمد
• سجل الأصول/المخاطر ومنهجية التقييم
• سياسات وإجراءات v1 (12 مفتاحًا على الأقل)
• SoA (الأوضاع والمبررات)
• خطة التدقيق/التدريب، تعيين المالكين

14. 2 جاهز للمرحلة 2

• أدلة لكل سيطرة A.5-A. 8
• السجلات: الوصول، الحوادث، نقاط الضعف، النسخ الاحتياطية/DR، التدريب
• تدريبات DRs/الحوادث، العينات، CAPAs
• إجمالي KPI/KRI وحلول مراجعة الإدارة

14. 3 عمليات مراجعة حسابات الدعم والرقابة

• خطة مراجعة الحسابات السنوية وتحديث المخاطر
• تحديث SoA/السياسات عندما تتغير البيئة
• DR ≥ 1-2 مرة في السنة، إنذارات التدريب
• تدريب الموظفين والمبتدئين 100٪

15) الأخطاء المتكررة وكيفية تجنبها

ISMS "على الورق": لا توجد صلة "مخاطر → التحكم → أدلة → مترية. "قم بعمل لوحات القيادة والمراجعات المنتظمة.
النطاق واسع للغاية: ابدأ بالمحتوى الحرج (المدفوعات/لجنة التنسيق الإدارية/المنتج الرئيسي) وتوسع.
لا يوجد أصحاب مخاطر: قم بتعيين مالكي النطاق و RACIs.
لا توجد أتمتة: نقل أدوات التحكم القابلة للتكرار إلى CCM (SIEM/SOAR، مصدقات الدوائر، مدققات IGA).
نسيت البائعين: TPRM، DPA/SLA/حقوق مراجعة الحسابات، سجل المعالجات الفرعية والرصد.

16) تشغيل ISMS

PDCA: Plan → Do → Check → Improvement (Quarterly cycles).
إدارة التغيير: تغييرات كبيرة (الهيكل، المناطق، البائعون) → تنقيح المخاطر/برنامج العمل.
تقارير KPI/KRI: مجلس شهري، تقرير فصلي - ISMS موسع.
الحوادث ونقاط الضعف: تصحيحات جيش تحرير السودان، والآراء الرجعية، ونقاط الضعف في سجل التحسين.

TL; د

ISO 27001 = نموذج واضح للنطاق والمخاطر، مجموعة من السياسات العملية، SoA مع مجموعة من risk→kontrol→evidence، والضوابط الآلية (MFA/RBAC/logs/DR/habilities)، وعمليات التدقيق الداخلية + Management Review، ودعم PDCA. افعل وفقًا لخارطة الطريق لمدة 12 أسبوعًا - ولديك نظام ISMS عامل، جاهز للشهادة والتشغيل اليومي.