اختبار الاختراق وتقييم الثغرات لـ AI CCTV — نطاق صادق

تقييم الثغرات تمرينٌ مُهيكَل لتحديد نقاط الضعف المعروفة في البرمجيات والتهيئة والواجهات المكشوفة. ولمنظومة AI CCTV يعني ذلك مسح إصدارات البرنامج الثابت للكاميرات مقابل CVEs المعروفة، وفحص نظام تشغيل المسجّل وتطبيق VMS بحثاً عن تصحيحات مُتأخّرة، وفحص واجهات الشبكة المكشوفة (RTSP، ONVIF، إدارة الويب) بحثاً عن بيانات الاعتماد الافتراضية والشيفرات الضعيفة، ومراجعة تهيئة TLS، والتحقق من تطبيق خط أساس تحصين الأجهزة فعلاً. وتغطّي أدوات مثل Tenable Nessus وQualys وOpenVAS نظام التشغيل وسطح الشبكة بشكل اعتيادي، فيما تضيف أدوات متخصّصة لكاميرات IP ومنصات VMS فحوصاً خاصة بالبروتوكولات. أمّا اختبار الاختراق فتخصّص مختلف. يبدأ اختبار الاختراق من وثيقة قواعد ارتباط محدّدة، وله أهداف مُسمّاة (مثل اختراق المسجّل من VLAN ضيف، أو استخراج لقطات دون بيانات اعتماد مُصرّحة، أو الانتقال من كاميرا إلى أصل مؤسسي)، ويُنتج رواية استغلال بخطوات إعادة التشغيل وخارطة طريق للمعالجة. وتعتمد نزاهة اختبار الاختراق على استقلال المختبِر عن مصمّم النظام؛ ولذلك تشرك المشتريات الجادّة جهةَ اختبار مستقلّة معتمَدة على نحو ملائم — مثلاً شركة معتمدة من CREST. ويُخطَّط ضابطا A.8.8 المتعلق بالثغرات التقنية وA.8.29 المتعلق باختبار الأمن في التطوير والقبول من Annex A لـ ISO/IEC 27001:2022 على هذا الانقسام بوضوح. بيان نطاق صادق: إمارتك مكامل معتمد من ADMCC، وليست جهة اختبار اختراق معتمدة من CREST. نُسلّم تقييم الثغرات بوصفه نشاطاً هندسياً مُهيكَلاً، ونطبّق خط أساس التحصين ونوثّقه، وننسّق مع جهة الاختبار المستقلّة التي تختارها وظيفة الأمن لديكم — ولا نُجري اختبار الاختراق المستقلّ بأنفسنا، لأن فعل ذلك سيُخلّ بالاستقلال الذي تعتمد عليه النتيجة.