الدليل الذي يطلبه المدقق: كيف توثق برنامجك؟

الدليل الذي يطلبه المدقق: كيف توثق برنامجك؟

المدقق لا يقيّم النوايا، ولا يعتمد على العروض التقديمية. يقيّم الأدلة. هذا المقال يجمع كامل ما ورد سابقاً في هيكل واحد يمكن تسليمه للمراجعة.

لماذا السجل هو البرنامج؟

سجل الأنظمة هو المحور الذي تتصل به بقية الأدلة. من دونه، لا يوجد ما يمكن التحقق من اكتماله، ولا ما يمكن ربط تقييمات الموردين وسجلات الاكتشاف والمحفزات به. أول ما يطلبه المدقق: أروني السجل.

ما الأدلة المطلوبة من Part A؟

• سياسة الاستخدام المقبول للذكاء الاصطناعي.
• سجل الأنظمة الكامل.
• سجل الاكتشاف بتواريخ ومصادر واضحة.
• تقارير DLP و CASB وسجلات الخروج المستخدمة في الاكتشاف.
• قائمة الأدوات المعتمدة والمحظورة مع مبرر لكل قرار.
• توفر بديل معتمد لكل فئة استخدام شائعة.

ما الأدلة المطلوبة من Part B؟

• تقييم مكتوب لكل مورد مع مرفقاته.
• تصنيف مخاطر لكل مورد مع مبرر التصنيف.
• تعديلات العقود: عدم التدريب، حق التدقيق، إشعار التغيير، الاستبقاء.
• سجل محفزات المراجعة.
• تقارير المراجعة الدورية والحدثية.
• سجل المخاطر المتبقية مع مالك واضح.

كيف تثبت أنك كنت تبحث عن المخاطر؟

سجل الاكتشاف هو الجواب. يجب أن يظهر أن المؤسسة نفذت عمليات فحص منتظمة، وأنها استخدمت مصادر متعددة (شبكة، CASB، DLP، مسح متصفح)، وأنها وثقت النتائج والإجراءات. عدم وجود اكتشافات لفترة طويلة إشارة سلبية وليست إيجابية.

كيف تثبت أنك تصرفت بعد اكتشافها؟

• كل اكتشاف يجب أن ينتقل إلى قرار: اعتماد، حظر، أو مراقبة.
• كل قرار يجب أن يظهر في سجل الأنظمة أو قائمة الحظر.
• كل حظر يجب أن يقترن بتوفير بديل معتمد حين يكون ممكناً.
• سجل المخاطر المتبقية يوثق ما لم يتم إغلاقه بالكامل.

لماذا لا تكفي السياسة بدون سجلات؟

السياسة تعبر عن نية. السجل يعبر عن ممارسة. المدقق يقارن بين الاثنين ليقيس الفجوة. سياسة قوية بلا سجلات تعني أن البرنامج على الورق فقط، وهذا انطباع أسوأ من سياسة بسيطة مع سجلات نظيفة.

قائمة أدلة

• discovery log
• AI inventory
• tiering rationale
• vendor assessment
• contract amendments
• trigger log
• DLP/CASB logs
• acceptable-use policy
• residual risk register

سلم هذه الأدلة قبل أن يطلبها المدقق. الفرق بين برنامج ناضج وبرنامج ضعيف ليس في الأفكار، بل في القدرة على إخراج المستند الصحيح خلال دقائق.

جدول: قائمة الأدلة المطلوبة للمدقق