Question 1

ما الفرق بين SIEM وSOC؟

Accepted Answer

SIEM منصّة تجمع السجلات وتربط الأحداث وتُصدر التنبيهات، أما SOC فهو الفريق والعمليات التي تتعامل مع تلك التنبيهات: تحليل، تحقيق، احتواء، وإغلاق. كثير من الجهات تشتري SIEM وتظن أن المشكلة حُلّت، فتتراكم التنبيهات بلا من يقرأها — وهذه أكبر هدر نراه في السوق. الترتيب الصحيح: قرار نموذج التشغيل أولاً (داخلي أو مُدار)، ثم اختيار المنصة التي تخدمه، لا العكس.

Question 2

هل تغطون المراقبة على مدار الساعة؟

Accepted Answer

التغطية الزمنية تُحدَّد في العقد وتختلف بحسب الطبقة: تغطية كاملة على مدار الساعة، أو تغطية ساعات العمل مع تصعيد آلي خارجها. الأهم من الرقم هو ما يحدث عند التنبيه: من يستلمه، وبأي زمن، وبأي صلاحية للاحتواء. لذلك نتفق على مصفوفة تصعيد مكتوبة قبل التشغيل، ونختبرها بمحاكاة في أول أسبوعين. تفاصيل التغطية والالتزامات الزمنية موثّقة تعاقدياً ونرسلها كتابياً.

Question 3

ما الفرق بين MSSP وMDR؟

Accepted Answer

MSSP تقليدياً يراقب ويُنبّه ويصعّد: يسلّمك التنبيه ثم يبدأ عملك. MDR يوسّع ذلك ليشمل التحقيق والاحتواء والاستجابة ضمن الخدمة، ويُقاس بزمن الاستجابة لا بعدد التنبيهات. الاختيار يعتمد على قدرتك الداخلية: فريق بلا قدرة تحقيق يحتاج MDR، وفريق ناضج يحتاج طبقة مراقبة خارجية فقط. نرى جهات تدفع لـ MDR ثم لا تمنح المزوّد صلاحيات الاحتواء، فتعود الخدمة إلى مجرد تنبيهات.

Question 4

ما الفرق بين EDR وXDR؟

Accepted Answer

EDR يراقب ويكشف ويستجيب على مستوى الجهاز الطرفي، أما XDR فيمدّ نفس المنطق عبر طبقات أخرى: البريد، الهوية، الشبكة، والسحابة، ليربط مؤشرات الحادثة الواحدة في عرض واحد. القيمة الحقيقية في XDR ليست في عدد المصادر بل في تقليل زمن الربط بينها — وهذا يظهر فقط إذا كانت التكاملات مُشغّلة فعلاً لا مرخّصة. قبل الشراء نفحص: كم مصدراً سنربط فعلياً في أول ٩٠ يوماً.

Question 5

كم مرة يجب إجراء اختبار اختراق؟

Accepted Answer

لا يوجد رقم واحد صحيح، لكن المتطلب التنظيمي يفرض حداً أدنى: ضوابط ECC تضع تقييم الثغرات والاختبار ضمن نطاق الدفاع، وإطار ساما يطلبه بشكل دوري مع ارتباطه بالأنظمة الحساسة. عملياً نميّز ثلاثة أنواع بمعدلات مختلفة: فحص آلي مستمر، اختبار اختراق سنوي للأنظمة الحرجة، واختبار موجّه عند أي تغيير كبير أو إطلاق خدمة. الأهم أن يُعاد اختبار المعالجة، وإلا فالتقرير وثيقة بلا أثر.

Question 6

ما الفرق بين اختبار الاختراق والفريق الأحمر؟

Accepted Answer

اختبار الاختراق يستهدف نطاقاً محدداً ويجيب: هل يمكن اختراق هذا النظام؟ الفريق الأحمر يستهدف قدرة المؤسسة على الكشف والاستجابة، ويجيب سؤالاً مختلفاً: هل سنلاحظ؟ هل نتعامل بشكل صحيح؟ لذلك الفريق الأحمر لا معنى له إذا كانت قدرة الكشف ضعيفة، لأنه سيعطي نتيجة «لم نرَ شيئاً» بلا فائدة تعلّمية. الترتيب الصحيح: بناء كشف، ثم اختبار اختراق، ثم فريق أحمر.

Question 7

ما الفرق بين IAM وPAM؟

Accepted Answer

IAM يدير هوية المستخدم العادي ودورة حياته وصلاحياته، أما PAM فيخصّ الحسابات ذات الصلاحيات العالية: الحسابات الإدارية، وكلمات المرور المشتركة، وحسابات الخدمة. الأخطر في السوق هو ما نسميه «الحسابات المنسية»: حسابات خدمة قديمة بصلاحيات عليا لا يملكها أحد ولا يراقبها. توصيتنا أن يبدأ أي مشروع هوية بـ PAM قبل توسيع IAM، لأن الأثر الأمني لكل ريال أعلى بكثير في الحسابات المميزة.

Question 8

ماذا يعني Zero Trust عملياً ولمن يصلح؟

Accepted Answer

Zero Trust ليس منتجاً يُشترى بل مبدأ: لا ثقة ضمنية بناءً على موقع الشبكة، بل تحقّق مستمر لكل وصول بحسب الهوية والجهاز والسياق. عملياً يُنفّذ على مراحل: جرد الأصول والهويات، تقييد الوصول بالهوية بدل الشبكة، ثم تقسيم دقيق للصلاحيات. أخطر ما نراه هو تحويل المصطلح إلى مشروع ترخيص ضخم قبل إصلاح أساسيات الهوية — وهذا ينتج تكلفة بلا تغيير في الوضع الأمني.

Question 9

هل نحتاج DLP؟ ونطاقه كم؟

Accepted Answer

الحاجة تُقاس بسؤال واحد: هل تعرف أين توجد بياناتك الحساسة؟ إن لم تكن مصنّفة فلا معنى لـ DLP، لأن الأداة ستُنتج آلاف التنبيهات بلا قرار. الترتيب الصحيح: تصنيف البيانات، ثم ضبط قنوات الخروج الأربع الأعلى خطراً (البريد، التخزين السحابي، USB، الطباعة)، ثم توسيع القاعدة تدريجياً. التشغيل الكامل من اليوم الأول هو أسرع طريق لتعطيل الأداة بعد شهر.

Question 10

كيف نحمي بيئة OT دون تعطيل الإنتاج؟

Accepted Answer

المبدأ الحاكم أن أي إجراء يجب أن يكون آمناً للإنتاج قبل أن يكون مفيداً أمنياً. نبدأ بالجرد السلبي (Passive) لأن الفحص النشط قد يُسقط أجهزة تحكم قديمة، ثم تقسيم الشبكة بين IT وOT بمنطقة صناعية معزولة، ثم مراقبة بروتوكولات التحكم. الأدوات التي تُنشر عادةً هي التي تكتفي بالنسخة السلبية. أي مشروع OT يبدأ بأداة فحص نشط هو مشروع يحمل خطر توقف خط إنتاج.

Question 11

ما فائدة عقد استجابة الحوادث (Retainer)؟

Accepted Answer

قيمته ليست في الخصم على الساعات بل في الأمور التي لا يمكن ترتيبها وقت الحادثة: من سيتصل به فريقك في الثانية صباحاً، ومن يملك صلاحية الوصول، وكيف تُحفظ الأدلة بشكل مقبول قانونياً. عند وقوع اختراق، أول ساعتين تحددان الكلفة، وكل ساعة تُقضى في البحث عن طرف متاح تُكلّف أكثر من قيمة العقد. ننصح به خاصة للجهات الخاضعة لمتطلبات تبليغ تنظيمي.

Question 12

هل التوعية الأمنية تُحدث فرقاً فعلاً؟

Accepted Answer

نعم، لكن ليس بالطريقة التي تُدار بها عادةً: محاضرة سنوية واختبار تصيّد شهري بلا تغذية راجعة لا تُغيّر سلوكاً. ما يعمل هو قياس معدل النقر ثم معالجة الفئة الأكثر تكراراً بجلسات قصيرة موجّهة، وربط ذلك بإجراء واضح عند التكرار. المؤشر الذي نتابعه ليس نسبة النجاح في الاختبار، بل زمن إبلاغ الموظف عن رسالة مشبوهة — هذا هو المؤشر الذي ينخفض فعلاً مع التدريب.

Question 13

كيف نحسب RTO وRPO بشكل صحيح؟

Accepted Answer

RTO هو أقصى زمن مقبول للعودة للعمل، وRPO أقصى قدر مقبول من البيانات المفقودة. الخطأ الشائع اختيارهما على مستوى المؤسسة كلها برقم واحد، بينما يجب أن يُشتقا من أثر توقف كل خدمة على العمل. طريقة عملية: لكل نظام، اسأل «ماذا يحدث للأعمال بعد ساعة توقف؟ بعد يوم؟»، ثم صنّف، ثم اشترِ بنية تحقق الأرقام. الأرقام تُشتق من الأثر، لا من ميزانية التقنية.

Question 14

ما الحد الأدنى لحماية البريد الإلكتروني؟

Accepted Answer

الحد الأدنى الفعلي ثلاثة أشياء: ضبط SPF وDKIM وDMARC على نطاقك، وتشغيل فحص المرفقات والروابط، وتدريب إبلاغ سريع للموظفين. أكثر ما نراه في التقييمات هو DMARC مضبوط على p=none، أي بلا إنفاذ فعلي — يُسجّل التقرير ولا يمنع الانتحال. الانتقال إلى p=reject يحتاج متابعة تقارير أسابيع، لذلك يُخطّط له كمهمة لا كخطوة إعداد.

الأمن السيبراني