التدقيق والتقييم
أنواع التدقيق والتقييم وأغراضها
ماذا ستتعلّم؟
- تفرّق بين التدقيق الداخلي والخارجي بمن يطلبه ولمن يُقدَّم.
- تشرح ما التصديق (Attestation) وما قيمته لطرف ثالث.
- تسمّي أنواع اختبار الاختراق بحسب المعرفة المسبقة.
- تعرف الفرق بين فحص الثغرات واختبار الاختراق — وهو أكثر ما يُخلط هنا.
كل ما في هذا الهدف يدور حول سؤال واحد: من يشهد بأن الضوابط تعمل، وهل شهادته مستقلّة؟ فالمؤسسة التي تدقّق نفسها تجد ما تعرف أنها تبحث عنه، والطرف الخارجي يجد ما لا تريد أن تراه — وهذا سبب وجوده.
تدقيق داخلي مقابل خارجي
| داخلي | خارجي | |
|---|---|---|
| من ينفّذه | فريق داخل المؤسسة | جهة مستقلّة |
| لمن النتيجة | الإدارة — للتحسين | جهة تنظيمية أو عميل — للإثبات |
| الاستقلال | محدود مهما حسنت النيّة | هو سبب وجوده |
| التواتر | مستمرّ ورخيص نسبيًا | دوري ومكلف |
المصطلحات
| Attestation | تصريح رسمي موقَّع بأن الضوابط قائمة وتعمل. قيمته أنه يُقدَّم لطرف ثالث بدل أن يدقّق كل عميل بنفسه. |
|---|---|
| Vulnerability scan | فحص آلي يبحث عن ثغرات معروفة ويُصدر قائمة. لا يستغلّ شيئًا ولا يثبت قابلية الاستغلال. |
| Penetration test | محاولة بشرية لاستغلال الثغرات فعلًا وإثبات الأثر. أعمق وأبطأ وأغلى، ويحتاج إذنًا موثَّقًا. |
| Known environment | المختبِر يعرف البنية كاملة. يوفّر وقت الاستطلاع ويغطّي أكثر في المدّة نفسها. |
| Unknown environment | المختبِر لا يعرف شيئًا. يحاكي مهاجمًا خارجيًا حقيقيًا، وينفق وقتًا طويلًا في الاستطلاع. |
| Partially known | معرفة جزئية — وسط بين الاثنين، وهو الأكثر عمليةً. |
الفحص ليس اختبارًا
فحص الثغرات آلي ويعطيك قائمة بما قد يكون قابلًا للاستغلال. واختبار الاختراق بشري ويثبت أيّها قابل فعلًا وماذا يترتّب عليه. إن سأل السؤال عن «إثبات الأثر» أو «هل يمكن الوصول إلى البيانات فعلًا» فالجواب اختبار اختراق، لا فحص مهما تكرّر.
مثال واقعي: ثلاث أدوات لثلاثة أسئلة
بنك يواجه ثلاثة مطالب في الشهر نفسه. الأول: عميل مؤسسي يطلب دليلًا على أن ضوابط البنك تعمل قبل توقيع عقد — الجواب تصديق من جهة تدقيق خارجية، لأن العميل لن يقبل شهادة البنك عن نفسه. والثاني: فريق الأمن يريد معرفة الأنظمة غير المرقَّعة هذا الأسبوع — الجواب فحص ثغرات آلي دوري، فهو رخيص ومتكرّر. والثالث: مجلس الإدارة يسأل «هل يستطيع أحد أن يصل إلى بيانات العملاء فعلًا؟» — الجواب اختبار اختراق بقواعد اشتباك موقَّعة، لأن السؤال عن الأثر لا عن القائمة.
ما يهمّ في الاختبار
- «إثبات لطرف ثالث» = تدقيق خارجي أو تصديق. و«تحسين داخلي» = تدقيق داخلي.
- فحص = قائمة آلية. اختبار اختراق = إثبات بشري للأثر. السؤال يفرّق بالغرض لا بالأداة.
- بيئة غير معروفة تحاكي مهاجمًا خارجيًا، وبيئة معروفة تغطّي أكثر في وقت أقلّ. الاختيار يتبع الغرض.
- لا اختبار اختراق بلا إذن موثَّق. أي سيناريو يبدأ بالاختبار قبل الاتفاق ناقص.
تحقّق سريع
أجب في ذهنك أولًا، ثم اكشف الإجابة.
عميل يطلب دليلًا على أمن مزوّده قبل التعاقد. تدقيق داخلي أم خارجي؟اكشف الإجابة
خارجي، ويُقدَّم غالبًا كتصديق. قيمة الدليل في استقلال من أصدره؛ وتقرير المؤسسة عن نفسها لا يحمل تلك القيمة مهما كان دقيقًا.
متى يكون فحص الثغرات كافيًا ومتى لا يكفي؟اكشف الإجابة
يكفي لمعرفة ما هو غير مرقَّع أو مُعدّ خطأً بشكل دوري ورخيص. ولا يكفي حين يكون السؤال عن الأثر الفعلي: هل تُستغَل هذه الثغرة، وإلى أين تصل؟ ذاك اختبار اختراق.
ما ميزة اختبار البيئة غير المعروفة وما ثمنه؟اكشف الإجابة
ميزته أنه يحاكي مهاجمًا حقيقيًا فيكشف ما يُرى من الخارج فعلًا. وثمنه أن جزءًا كبيرًا من الوقت والميزانية يُنفَق في الاستطلاع بدل الاختبار، فتقلّ التغطية.
سجّل الدخول لتتبّع تقدّمك في هذا الموضوع.
خطوتك التالية
اقرأ الدرس ثم علّمه مكتملًا
المصادر
استُعملت للتحقّق من المعلومات. المحتوى أصلي بصياغة Passuit.