1. الرئيسية
  2. الخدمات
  3. أمن المعلومات والامتثال
استشارات أمن المعلومات

استشارات أمن المعلومات والامتثال

تشمل استشارات أمن المعلومات بناء نظام الإدارة والضوابط التقنية والأدلة الداعمة لها معًا، لحماية الأصول المعلوماتية للمؤسسة. ومن الاستعداد لشهادة ISO 27001 والتدابير التقنية والإدارية التي يتطلبها قانون حماية البيانات الشخصية التركي رقم 6698 (KVKK)، إلى اختبار الاختراق والتدقيق الداخلي، نجمع السياسات والتطبيق في نظام واحد.

اطلب اجتماعًا التقييم المجاني
واجهة نموذجية: حالة الجاهزية حسب محاور ضوابط ISO 27001، ومصفوفة المخاطر، وقائمة متابعة الثغرات ISO/IEC 27001 · الجاهزية محاور ضوابط الملحق A تنظيمية 31/37 بشرية 8/8 مادية 12/14 تقنية 27/34 مصفوفة المخاطر الاحتمال → الأثر ↑ إدارة الثغرات · بنود مفتوحة آخر فحص: اليوم عالية إعدادات TLS قديمة قيد المعالجة متوسطة لوحة الإدارة مكشوفة للعموم مُغلقة متوسطة ترويسات أمان ناقصة مُغلقة منخفضة إفصاح الخادم عن إصداره مُجدولة
النطاق
الاستعداد لمعايير ISO 27001 و27701 و22301 وPCI DSS، وتدابير KVKK، واختبار الاختراق، والتدقيق الداخلي، والتدريب
النهج
قائم على المخاطر؛ السياسات والضوابط التقنية معًا
نموذج العمل
مشروع · اختبارات دورية · استشارات مستمرة
الخطوة الأولى
الاجتماع التمهيدي المجاني وتقييم الوضع الحالي
متى تحتاج إليها

متى تُطرح الحاجة إلى أعمال الأمن والامتثال؟

تظهر متطلبات الأمن في الغالب مع طلب من أحد العملاء أو تدقيق أو خطوة نمو. ونحدد نطاق العمل وفق هذا الهدف.

  • أحد العملاء يطلب شهادة ISO 27001 أو تدقيقًا أمنيًا. يلزم توضيح النطاق والجدول الزمني والخطوات المطلوبة.
  • التدابير التقنية في KVKK تحتاج إلى تطبيق فعلي. عمليات التحكم في الوصول والتسجيل والتشفير والإتلاف يجب أن تعمل بما يتوافق مع جرد البيانات.
  • نتائج فحص الثغرات تحتاج إلى متابعة. ترتيب أولويات النتائج، وإسنادها إلى مسؤوليها، ومتابعتها حتى الإغلاق.
  • تريدون اختبار أنظمتكم من جهة مستقلة. اختبار الأنظمة المتاحة من الخارج والداخل عبر اختبار اختراق ضمن نطاق محدد.
  • يُخطَّط لتدريب توعوي للموظفين. تدريب منتظم وموثّق في موضوعات مثل التصيّد الاحتيالي وكلمات المرور وأمن الأجهزة.
النطاق

ماذا نقدّم في أمن المعلومات والامتثال؟

من نظام الإدارة إلى الاختبار التقني، مجالات يمكنكم اختيارها حسب احتياجكم.

الاستعداد لشهادة ISO 27001

تحديد النطاق وتقييم المخاطر، والسياسات والإجراءات، وبيان قابلية التطبيق (SoA)، والاستعداد لتدقيق منح الشهادة.

ISO 27701 وISO 22301 وPCI DSS

الاستعداد في مجالات خصوصية البيانات الشخصية واستمرارية الأعمال وأمن بيانات البطاقات، بشكل مستقل أو مع نظامكم القائم.

دليل أمن المعلومات والاتصالات

الامتثال لـ BİG Rehberi: تحديد مجموعات الأصول ودرجات أهميتها، وتحليل الفجوات، وتطبيق التدابير، والاستعداد للتدقيق.

التدابير التقنية والإدارية في KVKK

تطبيق عمليات الوصول والتسجيل والتشفير والنسخ الاحتياطي والإتلاف فعليًا، استنادًا إلى جرد البيانات الشخصية.

التدقيق الداخلي

تدقيق داخلي لنظام الإدارة على يد مدقق مستقل عن الفريق الذي بناه، مع متابعة النتائج والإجراءات التصحيحية.

اختبار الاختراق

اختبارات الويب والشبكة الخارجية والداخلية والسحابة؛ بنهج الصندوق الأسود أو الرمادي أو الأبيض، وقواعد مكتوبة، وإعادة الاختبار.

إدارة الثغرات

فحص منتظم، وترتيب أولويات النتائج، ومتابعتها حتى الإغلاق، وتقارير واضحة ومنتظمة إلى الإدارة.

التدريب التوعوي

تدريب عملي للموظفين في موضوعات مثل التصيّد الاحتيالي وكلمات المرور وأمن الأجهزة، مع سجلات الحضور.

العملية

نهج قائم على المخاطر، خطوة بخطوة.

نربط كل ضابط بخطر محدد، ونعالج المخاطر الأعلى أولًا، فيُوجَّه الجهد إلى حيث يُحدث الفرق الأكبر. يوضح المسار أدناه عملًا متكاملًا من البداية إلى النهاية، ويمكن أيضًا طلب كل مجال على حدة.

الأطر التي نعتمد عليها

يستند عملنا إلى معايير ولوائح معترف بها:

  • ISO/IEC 27001:2022 و27002
  • ISO/IEC 27701:2025، وISO 22301، وPCI DSS v4
  • قانون KVKK رقم 6698 ودليل أمن البيانات الشخصية
  • دليل أمن المعلومات والاتصالات
  • أدلة الاختبار الصادرة عن OWASP
  • ضوابط CIS
1

الوضع الحالي والنطاق

نراجع الأصول والعمليات والضوابط القائمة، ونحدد النطاق معًا.

المُخرَج: تحليل النطاق والفجوات
2

تقييم المخاطر

نقيّم التهديدات وآثارها، ونرتّب أولويات الضوابط.

المُخرَج: تقرير تقييم المخاطر وخطة معالجة المخاطر
3

تطبيق الضوابط

نضع السياسات والعمليات والتدابير التقنية موضع التنفيذ معًا.

المُخرَج: مجموعة السياسات، والضوابط المطبّقة
4

الاختبار والتحقق

نتحقق من فعالية الضوابط عبر فحص الثغرات واختبار الاختراق، ونُجري التدقيق الداخلي بواسطة مدقق مستقل عن الفريق الذي بنى النظام.

المُخرَج: تقارير الاختبار، وتقرير التدقيق الداخلي
5

استدامة النظام

نُبقي النظام محدّثًا عبر الاختبارات الدورية ومتابعة الأدلة ومراجعة الإدارة.

المُخرَج: تقارير دورية
المُخرجات

مخرجات أعمال الأمن والامتثال.

بحسب النطاق، مخرجات ملموسة يمكنكم عرضها على المدقق أو العميل أو الإدارة.

تحليل الفجوات والمخاطر

الوضع الحالي، والمخاطر، وخطة معالجة مرتّبة حسب الأولوية.

مجموعة السياسات والإجراءات

وثائق قابلة للتطبيق ومكيّفة لمؤسستكم.

تقرير التدقيق الداخلي

النتائج، وحالات عدم المطابقة، وخطة الإجراءات التصحيحية.

تقارير الاختبار

ملخص تنفيذي، ونتائج تقنية، وأدلة، وتوصيات للإصلاح.

التحقق من الإصلاح

تأكيد معالجة النتائج المغلقة بإعادة الاختبار.

المواد التدريبية

محتوى التدريب التوعوي وسجلات الحضور.

لمن هذه الخدمة

نقطة انطلاق تناسب هدفكم.

الشركات الصغيرة والمتوسطة التي تستعد لتدقيق العملاء

الشركات التي تستعد لاستبيانات الأمن لدى العملاء المؤسسيين ولتدقيقات الموردين.

الشركات التي تستهدف شهادة ISO 27001

من يريدون دخول مسار الشهادة على مراحل، بجدول زمني واقعي وبنية تُنتج الأدلة.

الجهات التي تخدم القطاع العام والبنية التحتية الحرجة

المؤسسات العامة ومورّدوها الذين يُنتظر منهم الامتثال لتدابير دليل أمن المعلومات والاتصالات.

قبل أن نبدأ

لجعل الاجتماع الأول مثمرًا.

لا شيء مما يلي شرط مسبق؛ فكل ما يتوفر لديكم يجعل الاجتماع الأول أكثر تحديدًا.

ما يمكنك تحضيره إن توفّر

  • قائمة بالأنظمة والأصول، ولو كانت غير مكتملة
  • الهدف: شهادة ISO 27001، أو تدابير KVKK، أو استبيان من أحد العملاء، أو تدقيق
  • تقارير التدقيق والفحص والاختبار السابقة، إن وُجدت
  • مسؤولو العمليات وجهات الاتصال
  • القيود: الجدول الزمني، ونوافذ التوقف، والأنظمة التي ستبقى خارج النطاق
الأسئلة الشائعة

حول أمن المعلومات والامتثال

المراجع والمعايير

تشمل تحديد الأصول المعلوماتية لمؤسستكم ومخاطرها، ووضع السياسات والعمليات والضوابط التقنية لمواجهة هذه المخاطر، والتحقق من فعاليتها عبر الاختبارات والتدقيق. وغالبًا ما يُحدَّد نطاق العمل حول معيار مثل ISO 27001 أو متطلب من أحد العملاء.

لا. تمنح الشهادةَ جهةُ منح الشهادات المعتمدة التي تُجري تدقيق منح الشهادة. ونحن نُعدّ مؤسستكم لهذا التدقيق، ونُجري التدقيق الداخلي، ونرافقكم طوال العملية.

تحدد المدةَ ثلاثةُ عوامل: اتساع النطاق، ومستوى النضج الحالي، والوقت الذي يستطيع مسؤولو العمليات تخصيصه. وبعد تحليل الفجوات نضع جدولًا زمنيًا واقعيًا على مراحل.

لا. يطلب المدقق سجلات وأدلة تُثبت تطبيق السياسات، مثل مراجعات صلاحيات الوصول، واختبارات النسخ الاحتياطي، وسجلات التدريب، وسجلات الحوادث. لذلك نضع مع الوثائق أيضًا طريقة إنتاج هذه الأدلة.

نعم، يمكن طلب كل مجال على حدة. في اختبار الاختراق وحده، تتمثل المخرجات في تقرير اختبار يتضمن ملخصًا تنفيذيًا ونتائج تقنية وتوصيات للإصلاح، مع التحقق من الإصلاحات بإعادة الاختبار. وفي التدقيق الداخلي وحده، نسلّم تقرير تدقيق داخلي يتضمن النتائج وخطة الإجراءات التصحيحية؛ وفي أعمال الاستعداد وحدها، نسلّم تحليل الفجوات وخطة معالجة المخاطر ومجموعة السياسات.

نعم. يشترط المعيار ألّا يدقق المدقق نظامًا بناه بنفسه؛ لذلك نُجري التدقيق الداخلي بواسطة مدقق مستقل عن الفريق الذي بنى النظام.

نعم، ولكلٍّ منها حاجة مختلفة يلبّيها. يحدد ISO/IEC 27701:2025 متطلبات نظام إدارة معلومات الخصوصية (PIMS) لمعالجة البيانات الشخصية؛ ويمكن تطبيقه بشكل مستقل، أو مع نظام ISO 27001 إن كان لديكم نظام قائم. ويغطي ISO 22301 نظام إدارة استمرارية الأعمال في مواجهة الانقطاعات. أما PCI DSS فهو معيار أمني للمؤسسات التي تعالج بيانات البطاقات أو تنقلها أو تخزّنها؛ وبحسب مستوى المؤسسة ومتطلبات البنك الذي تتعامل معه أو العلامات التجارية للبطاقات، يلزم إما استبيان التقييم الذاتي (SAQ) أو تدقيق يُجريه مُقيّم أمن مؤهل (QSA). وفي جميع الحالات نُعدّ مؤسستكم لهذه العملية.

يصدر الدليل عن رئاسة الأمن السيبراني في تركيا (Siber Güvenlik Başkanlığı)، ويُطبَّق على المؤسسات والهيئات العامة وعلى مشغّلي البنية التحتية الحرجة. وقد يُنتظر من الموردين الذين يخدمون هذه المؤسسات الامتثال له أيضًا من خلال العقود. ونتولى أعمال الامتثال من تحديد مجموعات الأصول حتى الاستعداد للتدقيق السنوي. أما تدقيق الامتثال السنوي نفسه فيُجريه مدققون يتمتعون بالكفاءة التي تنص عليها التشريعات؛ ولا يجوز للشركة التي تقدّم استشارات الامتثال لمؤسسة ما أن تدقق المؤسسة نفسها لفترة محددة.

تركّز خدمتنا على التدابير التقنية والإدارية في KVKK. أما المسائل القانونية مثل إشعارات الخصوصية والموافقة والعقود فهي من اختصاص مستشاركم القانوني؛ وننفّذ التدابير التقنية بالتنسيق معه وعلى أساس الوثائق نفسها.

قبل بدء الاختبارات تُحدَّد القواعد كتابيًا: التفويض المكتوب، والأنظمة الداخلة في النطاق والمستثناة منه، وأوقات الاختبار، وجهات الاتصال لدى الطرفين، والحالات التي يُوقَف فيها الاختبار. أما الخطوات التي تنطوي على خطر انقطاع في بيئة الإنتاج فنخطط لها معكم بشكل منفصل.

في اختبار الصندوق الأسود يبدأ المختبِر دون أي معلومات، كما يفعل مهاجم من الخارج. وفي الصندوق الرمادي تُقدَّم معلومات محدودة، مثل حساب مستخدم عادي. وفي الصندوق الأبيض تُشارَك أيضًا المعمارية أو الشيفرة المصدرية أو الإعدادات. ويُختار النوع المناسب بحسب ما تريدون قياسه.

الممارسة الشائعة هي مرة واحدة سنويًا على الأقل، وبعد التغييرات الكبيرة؛ وقد تتطلب اللوائح أو متطلبات العملاء اختبارات أكثر تكرارًا. وفي التطبيقات التي تتغير كثيرًا، نوصي باستكمال الاختبار الدوري بضوابط DevSecOps.

نعم. عند الحاجة نبدأ العمل بموجب اتفاقية عدم إفصاح؛ ولا تُشارَك التقارير إلا مع الأشخاص الذين تحددونهم، وعبر قناة آمنة.

خدمات ذات صلة

DevSecOps

خطوط CI/CD آمنة وسلسلة توريد البرمجيات

معمارية تقنية المعلومات والسحابة

الانتقال إلى السحابة والمعمارية الهجينة وإدارة التكاليف
الاجتماع التمهيدي المجاني

لنعمل معًا على أهدافكم في الأمن والامتثال.

في الاجتماع التمهيدي المجاني نناقش وضعك الحالي وأهدافك، ونشاركك انطباعاتنا الأولية والخطوات التالية الممكنة في الاجتماع نفسه.

اطلب اجتماعًا +90 216 203 01 21
  • نقاش تقني مع مختصين في مجالك
  • انطباعات أولية عن وضعك والأساليب الممكنة
  • عند الملاءمة، خطوة تالية: التقييم أو مقترح مشروع أو استشارات
  • اتفاقية عدم إفصاح قبل الاجتماع عند الحاجة
  • الرد على الطلبات خلال 4 ساعات عمل