شركة مرخّصة من ADGM
شركة خدمات مالية مرخّصة من ADGM قد يحتاج مسؤول أمن المعلومات الداخلي فيها إلى تقييم موثّق لدعم تدقيق رقابة ISO/IEC 27001 من جهة اعتماد خارجية.
تقييم المخاطر · الحوكمة · أبوظبي
تقييم المخاطر الأمنية الذي يجب أن يحمله مشروع AI CCTV في أبوظبي
يطلب مديرو المخاطر ومسؤولو أمن المعلومات في منشآت أبوظبي من إمارتك تقييم مخاطر أمني خاصاً بنشر AI CCTV الذي يشترونه — لا وثيقة ISMS عامة، ولا ورقة تهديدات وثغرات يقودها فريق المبيعات. والمُسلَّم الذي يحتاجونه هو الذي يُسمّي المخاطر الفعلية التي يُدخلها النظام أو يخفّفها، ويُعالج كل واحدة وفق أعراف ISO/IEC 27005، ويُنتج بياناً للخطر المتبقّي يقبله مجلس المخاطر. تضع هذه الصفحة هيكل ذلك التقييم لسياق أبوظبي: مجالات الخطر ضمن النطاق، والضوابط المطبَّقة عادةً في التصميم والتشغيل، وملف الخطر المتبقّي الذي ينبغي أن يتوقّعه المشتري، وحدود ما يستطيع المكامل توقيعه. يبقى المشتري مالك الخطر؛ ما نُقدّمه هو مدخل مُهيكَل من زاوية مصمّم ومشغّل.
معتمدون من ADMCCمكامل مستقلمعاينة مجانيةسجل تدقيق موثّق
مجالات الخطر الخمسة التي يجب أن يغطّيها تقييم AI CCTV
تقييم مخاطر AI CCTV المتوافق مع ISO/IEC 27005:2022 والداعم لـ ISMS وفق ISO/IEC 27001:2022 يجب أن يعالج خمسة مجالات. الخطر المادي: العبث بالكاميرا، وقطع الخطوط، والتلف البيئي، وفقدان الطاقة، والنقاط العمياء التي يستكشفها الخصوم قبل الواقعة. وتشمل المعالجات كاميرات بكشف عبث، وحاويات قنوات وحديد على الخطوط المكشوفة، وتغطية UPS مع مراقبة البطاريات، وسجل نقاط عمياء موثّق من معاينة الموقع.
الخطر السيبراني: وصول غير مصرَّح به إلى VMS، والانتقال الجانبي من كاميرا مخترقَة إلى بقية الشبكة، وكشف بيانات الاعتماد، وثغرات على مستوى البرنامج الثابت، وفيروسات الفدية على البنية التحتية للتسجيل. وتشمل المعالجات تجزئة الشبكة (كاميرات على VLAN مخصّص، دون مسار للإنترنت)، وتدوير بيانات الاعتماد، ومراقبة SNMPv3، وتدفقات مشفّرة، والتحقق من توقيع البرنامج الثابت، ونسخ احتياطي غير متصل للتهيئة واللقطات المهمة. وترتبط مجموعة الضوابط بملحق Annex A لمعيار ISO/IEC 27001:2022 — لا سيما A.8.7 (الحماية من البرمجيات الخبيثة) وA.8.20 (أمن الشبكات) وA.8.28 (الترميز الآمن) من جانب التكامل.
خطر البيانات: هنا يتجلّى أثر PDPL الإماراتي (المرسوم بقانون اتحادي رقم 45 لسنة 2021). البيانات الشخصية التي تجمعها CCTV (صور وجوه، لوحات مركبات، أنماط سلوك) تتطلّب أساساً قانونياً، وفترة احتفاظ محدّدة، ووصولاً مُتحكَّماً به، وتقييم أثر حماية بيانات (DPIA) حيث تكون المعالجة عالية الخطر — وهو ما تكونه تحليلات الذكاء الاصطناعي عادةً. ويجب أن يُسمّي التقييم المتحكّم والمعالج حيث ينطبق ومحلَّ إقامة البيانات. وتشمل المعالجات تطبيق الاحتفاظ على VMS، والتحكم بالوصول القائم على الأدوار، وتسجيل تدقيق نشاط العارض، وDPIA نفسه.
خطر الطرف الثالث: وصول المكامل إلى النظام، والمقاولين الآخرين العاملين في الموقع أثناء التركيب، واتصال السحابة الخاصة بالموَرّد لتحليلات أو تحديثات برامج ثابتة، والوصول البعيد لفريق AMC. وتشمل المعالجات قوائم وصول مُسمَّاة، وNDAs موقَّعة، والتزامات أمنية تعاقدية، وتسجيل تدقيق لكل جلسة طرف ثالث.
خطر الالتزام: قبول المعدات للاستخدام لدى ADMCC (يُؤكَّد معه)، وحالة اعتماد المُركِّب من ADMCC، وواجهات الحريق وقانون البناء، وأيّ التزام قطاعي (حوكمة سريرية في مناطق المرضى، أو ضبط داخلي للخدمات المالية). والمعالجات وثائقية: تأكيد قبول المعدات لدى ADMCC، وتسجيل تجديدات حالة المُركِّب، والمواءمة مع خريطة الالتزام القطاعية للمشتري.
نهج إمارتك — مخاطر مُسمّاة ومُعالَجة وخطر متبقٍّ مُسجَّل
نُسلّم تقييم المخاطر وثيقةً مكتوبة مبنيّة على ISO/IEC 27005:2022، يُحدّد فيها كل خطر، ويُسجَّل على الاحتمال والأثر، ويُعالَج بضوابط مُسمّاة، ويُخفَّض إلى درجة متبقّية يوقّع عليها مجلس مخاطر المشتري. يبقى المشتري مالك الخطر؛ ما نوقّعه نحن هو قسما «كما هو مُصمَّم» و«كما تُشغّلها إمارتك».
وتتصل المعالجات السيبرانية وثيقاً بنظام التحصين الذي نُجريه في كل مشروع، المبيَّن في دليل تحصين الكاميرات السيبراني، فيما يقع سياق التخطيط الأوسع في مركز المراقبة بالذكاء الاصطناعي.
- سجل مخاطر مهيكَل وفق ISO/IEC 27005:2022 يُحدَّد فيه كل خطر بالمصدر والحدث والنتيجة، ويُسجَّل على الاحتمال-الأثر، ويُتتبَّع إلى معالجة
- معالجات مرتبطة بضوابط Annex A المحدّدة في ISO/IEC 27001:2022 ليتكامل التقييم مع ISMS القائم لدى المشتري بدلاً من بقائه وثيقة موازية
- معالجات سيبرانية مُسمّاة: تجزئة الشبكة على VLAN كاميرات مخصّص، والتحقق من توقيع البرنامج الثابت، ووتيرة تدوير بيانات الاعتماد، ومراقبة SNMPv3، وتدفقات مشفّرة بين الكاميرا والمسجّل
- قسم DPIA ضمن PDPL الإماراتي يُذكَر فيه الغرض والأساس القانوني ومراجعة تقليل البيانات وتطبيق الاحتفاظ والتحكم بالوصول وحقوق صاحب البيانات صراحةً
- سجل طرف ثالث يُحدَّد فيه كل طرف له وصول، مع وصف مسار الوصول البعيد لـ AMC وترتيب تسجيل التدقيق
- بيان خطر متبقٍّ موقَّع من راعي المشروع — لا توقّع إمارتك على قبول المشتري للخطر المتبقّي؛ تلك مسؤولية مجلس مخاطر المشتري
سيناريوهات — متى يلزم تقييم مخاطر لمنظومة CCTV بالذكاء الاصطناعي
مزوّد رعاية صحية
مشغّل رعاية صحية خاص قد تشترط لجنة الحوكمة السريرية لديه قسم DPIA محدّداً لكاميرات مناطق المرضى وسياسة تخفيض احتفاظ صريحة.
مستأجر بنية تحتية حرجة
مستأجر في موقع بنية تحتية حرجة قد يطلب المالك تقييم مخاطر CCTV شرطاً لاعتماد التجهيز، بضوابط مُسمّاة وفق معيار المالك.
حرم تعليمي
مجموعة مدارس خاصة تحتاج إلى تقييم مقود بـ DPIA على أصحاب بيانات قاصرين، مع ضوابط وصول أقوى، واحتفاظ أقصر، ولغة إشعار صريحة للوصيّ.
الإجابات
الأسئلة الشائعة
كم يستغرق إعداد التقييم؟
يعتمد الوقت من معاينة الموقع إلى الوثيقة المكتوبة لموقع واحد على تعقيد الموقع ومقدار المواد القائمة التي يمكن لمسؤول أمن المعلومات لدى المشتري مشاركتها. وتستغرق المنظومات متعدّدة المواقع وقتاً أطول لاحتياج كلِّ موقع جولة خاصة. ونؤكّد الجدول الزمني كتابةً قبل أي عمل قابل للفوترة.
كم تبلغ كلفة التقييم؟
محتوى المخاطر المُحرَّر ضمن عرض سعر مشروع إمارتك مُدرَج في المعاينة المجانية وعرض السعر. أمّا تقييمٌ مستقل لنظام رَكَّبه مكامل آخر فيُسعَّر بأتعاب مفصّلة مكتوبة قبل أي عمل.
إلى أي معايير يستند التقييم؟
ISO/IEC 27005:2022 للمنهجية، وAnnex A لـ ISO/IEC 27001:2022 لربط الضوابط، وPDPL الإماراتي (المرسوم بقانون اتحادي رقم 45 لسنة 2021) لمخاطر البيانات، ومتطلبات ADMCC بشأن قبول المعدات للاستخدام لديه واعتماد المُركِّب.
هل تستطيع إمارتك التوقيع على قبول الخطر المتبقّي؟
لا. قبول الخطر المتبقّي ملكٌ لمجلس مخاطر المشتري. إمارتك مكامل؛ لسنا جهة اختبار اختراق معتمدة من CREST، ولا جهة اعتماد ISO 27001، ولا مدقق NESA / ADHICS، ولا مالك خطر المشتري. نوقّع على بياني «كما هو مُصمَّم» و«كما تُشغّلها إمارتك»؛ ويوقّع المشتري على المتبقّي.
كيف نبدأ؟
راسلوا [email protected] أو اتصلوا على +971 55 651 7843 ومعكم سجل المخاطر القائم أو بيان نطاق ISMS. سنُرتّب معاينة موقع، ونتفق على نطاق التقييم، ونؤكّد كتابةً ما سيُسلَّم قبل أي عمل قابل للفوترة.
هل أنت مستعد لتأمين ممتلكاتك؟
احصل على معاينة مجانية وعرض سعر بلا التزام من متخصصي الأمن المعتمدين من ADMCC في أبوظبي.
هل تحتاج معاينة مجانية أو عرض سعر في أبوظبي؟
تحدث مع مهندسي إمارتك — نرد في يوم العمل نفسه في أبوظبي والعين. كاميرات مراقبة، أمن، تكنولوجيا معلومات، صوتيات ومباني ذكية.
الاثنين–السبت 8 صباحاً–7:00 مساءً · [email protected] · منذ 2018 · معتمدون من ADMCC لأنظمة الأمن