إدارة أمن تكنولوجيا المعلومات (ITIL)

أولى خطوات عملية إدارة الأمن هي عملية "التحكم" الفرعية. تتولى هذه العملية تنظيم وإدارة عملية إدارة الأمن، وتحديد العمليات، وتوزيع المسؤوليات، وبيانات السياسة، وإطار الإدارة.

يُحدد إطار إدارة الأمن العمليات الفرعية لتطوير وتنفيذ وتقييم خطط العمل. كما يُحدد هذا الإطار كيفية إبلاغ العملاء بالنتائج.

يعتمد نموذج العملية الفوقية للعملية الفرعية للتحكم على مخطط نشاط UML ، ويقدم نظرة عامة على أنشطة هذه العملية. يمثل المستطيل الرمادي العملية الفرعية للتحكم، بينما تمثل الأشكال الشعاعية الأصغر داخله الأنشطة التي تجري فيها.

يعتمد نموذج البيانات الوصفية للعملية الفرعية للتحكم على مخطط فئات UML . يوضح الشكل 2.1.2 نموذج البيانات الوصفية للعملية الفرعية للتحكم.

الشكل 2.1.2: نموذج العملية الفوقية - عملية فرعية للتحكم

المستطيل المظلل باللون الأبيض يمثل مفهومًا معقدًا مفتوحًا. وهذا يعني أن المستطيل المظلل يتكون من مجموعة من المفاهيم (الفرعية).

الشكل 2.1.3 هو نموذج بيانات العملية للعملية الفرعية للتحكم. يوضح هذا الشكل تكامل النموذجين. تشير الأسهم المنقطة إلى المفاهيم التي يتم إنشاؤها أو تعديلها في الأنشطة المقابلة.

الشكل 2.1.3: عملية فرعية للتحكم في نموذج بيانات العملية

تتضمن عملية التخطيط الفرعية أنشطةً تُسهم، بالتعاون مع إدارة مستوى الخدمة، في إعداد قسم أمن المعلومات في اتفاقية مستوى الخدمة. كما تتضمن هذه العملية أنشطةً مرتبطةً بالعقود الأساسية الخاصة بأمن المعلومات.

في عملية التخطيط الفرعية، تُحدد الأهداف المُصاغة في اتفاقية مستوى الخدمة (SLA) في شكل اتفاقيات مستوى تشغيلية (OLA). ويمكن تعريف هذه الاتفاقيات على أنها خطط أمنية لكيان تنظيمي داخلي محدد تابع لمزود الخدمة.

إلى جانب مدخلات اتفاقية مستوى الخدمة، تعمل عملية التخطيط الفرعية أيضًا مع بيانات سياسة مزود الخدمة نفسه. وكما ذكرنا سابقًا، تُحدد بيانات السياسة هذه في عملية التحكم الفرعية.

تُوضع اتفاقيات مستوى التشغيل لأمن المعلومات وتُنفذ وفقًا لمنهجية ITIL، مما يستلزم التعاون مع عمليات ITIL الأخرى. فعلى سبيل المثال، إذا رغبت إدارة الأمن في تغيير البنية التحتية لتكنولوجيا المعلومات لتعزيز الأمن، فسيتم تنفيذ هذه التغييرات من خلال عملية إدارة التغيير . وتُقدم إدارة الأمن المدخلات (طلب التغيير) لهذا التغيير، ويتولى مدير التغيير مسؤولية عملية إدارة التغيير.

تتألف الخطة من مزيج من الأنشطة غير المرتبة والأنشطة المرتبة (الفرعية). تحتوي العملية الفرعية على ثلاثة أنشطة معقدة، جميعها أنشطة مغلقة، ونشاط قياسي واحد.

كما هو الحال مع عملية التحكم الفرعية، يتم نمذجة عملية التخطيط الفرعية باستخدام تقنية النمذجة الفوقية. يمثل الجانب الأيسر من الشكل 2.2.1 نموذج البيانات الفوقية لعملية التخطيط الفرعية.

يُعدّ مستطيل الخطة مفهومًا مفتوحًا (معقدًا) يرتبط بعلاقة تجميعية مع مفهومين مغلقين (معقدين) ومفهوم قياسي واحد. ولا يتم توسيع المفهومين المغلقين في هذا السياق تحديدًا.

يوضح الشكل التالي (الشكل 2.2.1) مخطط بيانات العملية للعملية الفرعية "التخطيط". ويُظهر هذا الشكل تكامل النموذجين. وتشير الأسهم المتقطعة إلى المفاهيم التي يتم إنشاؤها أو تعديلها في الأنشطة المقابلة للعملية الفرعية "التخطيط".

الشكل 2.2.1: نموذج بيانات العملية - عملية فرعية مخططة

تضمن عملية التنفيذ الفرعية تطبيق جميع التدابير المحددة في الخطط بشكل سليم. ولا يتم خلال هذه العملية تحديد أو تغيير أي تدابير، بل يتم ذلك في عملية التخطيط الفرعية بالتنسيق مع عملية إدارة التغيير.

يمثل الجانب الأيسر من الشكل 2.3.1 نموذج العملية الفوقية لمرحلة التنفيذ. تشير العلامات الأربع ذات الظل الأسود إلى أن هذه الأنشطة مفاهيم مغلقة، ولا يتم توسيعها في هذا السياق. لا توجد أسهم تربط هذه الأنشطة الأربعة، مما يعني أنها غير مرتبة، وسيتم إعداد التقارير بعد إتمامها جميعًا.

خلال مرحلة التنفيذ، يتم إنشاء المفاهيم و/أو تعديلها.

تُصمَّم المفاهيم المُنشأة و/أو المُعدَّلة باستخدام تقنية النمذجة الفوقية. يُمثِّل الجانب الأيمن من الشكل 2.3.1 نموذج البيانات الفوقية لعملية التنفيذ الفرعية.

تُعتبر وثائق التنفيذ مفهوماً مفتوحاً، ويتم التوسع فيها في هذا السياق. وهي تتألف من أربعة مفاهيم مغلقة لا يتم التوسع فيها لعدم صلتها بهذا السياق تحديداً.

ولتوضيح العلاقات بين النموذجين بشكل أفضل، تم توضيح تكامل النموذجين في الشكل 2.3.1. تشير الأسهم المنقطة التي تمتد من الأنشطة إلى المفاهيم إلى المفاهيم التي يتم إنشاؤها/تعديلها في الأنشطة المقابلة.

الشكل 2.3.1: نموذج بيانات العملية - العملية الفرعية للتنفيذ

يُعدّ التقييم ضروريًا لقياس مدى نجاح خطط التنفيذ والأمن. ويُعتبر التقييم مهمًا للعملاء (وربما لأطراف ثالثة). تُستخدم نتائج عملية التقييم الفرعية للحفاظ على التدابير المتفق عليها والتنفيذ. قد تُفضي نتائج التقييم إلى متطلبات جديدة وطلب تغيير مُناسب . بعد ذلك، يُحدد طلب التغيير ويُرسل إلى إدارة التغيير.

أنواع التقييم الثلاثة هي التقييم الذاتي، والتدقيق الداخلي، والتدقيق الخارجي.

يُجرى التقييم الذاتي بشكل أساسي في تنظيم العمليات. وتُجرى عمليات التدقيق الداخلي بواسطة مدققي تقنية المعلومات الداخليين، بينما تُجرى عمليات التدقيق الخارجي بواسطة مدققي تقنية معلومات خارجيين مستقلين. إضافةً إلى ما سبق، يُجرى تقييم بناءً على الحوادث الأمنية المُبلّغ عنها. وتتمثل أهم أنشطة هذا التقييم في مراقبة أمن أنظمة تقنية المعلومات، والتحقق من تطبيق التشريعات الأمنية وخطط الأمن، وتتبع أي استخدام غير مرغوب فيه لموارد تقنية المعلومات والتعامل معه.

الشكل 2.4.1: نموذج بيانات العملية - عملية التقييم الفرعية

يتكون مخطط البيانات والعمليات الموضح في الشكل 2.4.1 من نموذج عملية وصفية ونموذج بيانات وصفية. تم تصميم عملية التقييم الفرعية باستخدام تقنية النمذجة الوصفية. تشير الأسهم المنقطة الممتدة من مخطط العملية الوصفية (يسارًا) إلى مخطط البيانات الوصفية (يمينًا) إلى المفاهيم التي يتم إنشاؤها/تعديلها في الأنشطة المقابلة. جميع الأنشطة في مرحلة التقييم هي أنشطة قياسية. للاطلاع على وصف موجز لمفاهيم مرحلة التقييم، انظر الجدول 2.4.2 حيث تم سرد المفاهيم وتعريفها.

الجدول 2.4.2: عملية فرعية لتقييم المفهوم والتعريف - إدارة الأمن

بسبب التغييرات التنظيمية والبنية التحتية لتكنولوجيا المعلومات، تتغير المخاطر الأمنية بمرور الوقت، مما يستدعي إجراء مراجعات على قسم الأمن في اتفاقيات مستوى الخدمة وخطط الأمن.

تعتمد الصيانة على نتائج عملية التقييم الفرعية وفهم المخاطر المتغيرة. وتُنتج هذه الأنشطة مقترحات، تُستخدم إما كمدخلات لعملية التخطيط الفرعية وتنتقل عبر الدورة، أو يمكن اعتمادها كجزء من الحفاظ على اتفاقيات مستوى الخدمة. وفي كلتا الحالتين، قد تُفضي المقترحات إلى أنشطة في خطة العمل. أما التغييرات الفعلية فتُنفذ من خلال عملية إدارة التغيير.

الشكل 2.5.1 هو مخطط بيانات العملية الفرعية للتنفيذ. يوضح هذا الشكل تكامل نموذج العملية الوصفية (يسارًا) ونموذج البيانات الوصفية (يمينًا). تشير الأسهم المنقطة إلى المفاهيم التي يتم إنشاؤها أو تعديلها في أنشطة مرحلة التنفيذ.

الشكل 2.5.1: نموذج بيانات العملية - العملية الفرعية للصيانة

تبدأ عملية الصيانة الفرعية بصيانة اتفاقيات مستوى الخدمة واتفاقيات مستوى التشغيل. بعد إتمام هذه الأنشطة (دون ترتيب محدد)، وفي حال وجود طلب تغيير، يتم تنفيذ نشاط طلب التغيير، وبعد الانتهاء منه، يبدأ نشاط إعداد التقارير. أما في حال عدم وجود طلب تغيير، فيبدأ نشاط إعداد التقارير مباشرةً بعد النشاطين الأولين. يتم إنشاء/تعديل المفاهيم في نموذج البيانات الوصفية خلال مرحلة الصيانة. للاطلاع على قائمة المفاهيم وتعريفاتها، يُرجى مراجعة الجدول 2.5.2.

الجدول 2.5.2: مفهوم وتعريف عملية التخطيط الفرعية لإدارة الأمن

الشكل 2.6.1: نموذج البيانات والعملية الكاملة لعملية إدارة الأمن