تقييم الأمان من كاسبرسكي

تتضمن عملية التنفيذ النموذجية لخدمة تقييم الأمان من كاسبرسكي عدة خطوات مُخصصة بناءً على مجال التركيز، مثل التطبيقات أو بنية تكنولوجيا المعلومات أو أنظمة الدفع. على سبيل المثال، في تقييم أمان التطبيقات، تشمل العملية:

• تحليل الخبراء مع الأدوات الآلية: يقوم خبراء الأمان في كاسبرسكي بتحليل وظائف التطبيق ومنطق الأعمال، باستخدام أدوات آلية، ومحلات تحليل، ونصوص برمجية لكشف الثغرات.

• طرق الاختبار: يمكن تنفيذ التقييم بشكل صندوق أسود (محاكاة مهاجم خارجي بدون بيانات اعتماد)، أو صندوق رمادي (اختبار مع دخول مستخدم معتمد)، أو صندوق أبيض (وصول كامل يشمل الشيفرة المصدرية). تساعد كل طريقة في كشف أنواع مختلفة من الثغرات.

• كشف الثغرات بشكل شامل: تتضمن العملية فحص نقاط الدخول، معلمات الإدخال، حقوق الوصول، آليات المصادقة، حماية البيانات، وسيناريوهات تسرب أو احتيال البيانات المحتملة.

• الالتزام بالمعايير الدولية وأفضل الممارسات: يتبع التقييم معايير واسعة الشهرة مثل OWASP وWASC وPTES وNIST لضمان اختبار شامل وجدير بالثقة.

• تقارير وإرشادات التصحيح: بعد الاختبار، يتم تقديم تقرير تقني مفصل يشمل الثغرات المحددة، ووصف لهجمات محتملة، وتوصيات للتصحيح. يمكن تنظيم ورشة عمل بعد التقييم مع فريق أمان العميل لمناقشة النتائج وتدابير التحسين.

خدمات تقييم الأمان من كاسبرسكي قابلة للتخصيص بدرجة عالية لتناسب المتطلبات الفريدة لكل مؤسسة. نظرًا لأن بنى تكنولوجيا المعلومات تختلف بين المؤسسات وأن التهديدات السيبرانية غالبًا ما تُصمم لاستغلال ثغرات محددة، يصمم خبراء كاسبرسكي التقييمات خصيصًا لبيئة العميل وخصوصيات أعماله. يتضمن هذا التخصيص:

• النطاق والتركيز: يمكن أن تغطي التقييمات مجموعة واسعة من الأهداف مثل المواقع الرسمية، التطبيقات التجارية (السحابية أو المدمجة)، أنظمة الدفع، أنظمة التحكم الصناعي، والبنية التحتية للنقل.

• طرق الاختبار: يمكن للعملاء الاختيار بين اختبار الصندوق الأسود (من منظور مهاجم خارجي)، أو الصندوق الرمادي (من منظور مستخدم معتمد)، أو الصندوق الأبيض (وصول كامل يشمل الشيفرة المصدرية) بناءً على احتياجاتهم والعمق المطلوب للتحليل. يُلاحظ أن اختبار الصندوق الأبيض هو الأكثر فعالية في كشف أكبر عدد من الثغرات.

• أنواع التقييم: تشمل الخدمات اختبار الاختراق، تقييم أمان التطبيقات، تقييم أمان ATM/POS، تقييم أمان أنظمة التحكم الصناعية، تقييم أمان أنظمة النقل، وتمارين الفرق الحمراء.

• منطق الأعمال والامتثال: لا تقتصر التقييمات على تحديد الثغرات التقنية فقط، بل تحلل أيضًا عيوب منطق الأعمال والامتثال لمعايير الصناعة مثل PCI DSS وHIPAA وGDPR.

• الاندماج مع الأمان الحالي: يمكن دمج الخدمات في استراتيجية الأمان الخاصة بالعميل وتكمل تقنيات الحماية القائمة لديهم.

• استشارات الخبراء: يعمل كاسبرسكي مع العملاء بشكل فردي كمستشارين خبراء لتقييم المخاطر، وتعزيز الأمان، والتقليل من التهديدات المستقبلية.

• رسوم الإعداد: لم يتم تفصيل رسوم الإعداد لخدمات تقييم الأمان من كاسبرسكي بشكل صريح في المصادر المتاحة للجمهور. ومع ذلك، نظرًا لأن هذه الخدمات يقودها خبراء وتتم حسب الطلب بدرجة عالية، غالبًا ما يتضمن الانخراط الأولي تحديد نطاق العمل والتخطيط، مما قد يؤدي إلى رسوم إعداد أو استشارات.

• رسوم الصيانة: عادةً ما تكون خدمات تقييم الأمان قائمة على المشاريع بدلاً من الاشتراكات، ولذلك فإن رسوم الصيانة المستمرة غالباً لا تنطبق. ومع ذلك، إذا اشترك العملاء مع كاسبرسكي في خدمات أمان مستمرة مثل صيد التهديدات أو الاستجابة للحوادث أو الكشف المُدار، فقد تشمل تلك الخدمات تكاليف متكررة.

• رسوم الدعم: تقدم كاسبرسكي مستويات مختلفة من الدعم، بما في ذلك الدعم المميز والخدمات المهنية، والتي يتم تسعيرها عادةً بشكل منفصل. توفر هذه الخدمات مساعدة مستمرة واستشارات من الخبراء وقدرات استجابة للحوادث تتجاوز التقييم نفسه.

• تفاوت التسعير: تعتمد التكاليف بشدة على نطاق وتعقيد وحجم التقييم أو خدمة الأمان، بالإضافة إلى الصناعة والمتطلبات التنظيمية. تخضع الأسعار وتوافر المنتج للتغيير، وعادةً ما تتطلب استشارة مباشرة مع فرق المبيعات أو الخدمات المهنية في كاسبرسكي للحصول على عروض دقيقة.

• تقدم كاسبرسكي برنامجًا متخصصًا لبناء القدرات السيبرانية يركز على تقييم أمان البنية التحتية لتكنولوجيا المعلومات. يزود هذا البرنامج المؤسسات بالمعرفة والمهارات لتقييم أمان المنتجات، أداء نمذجة التهديدات، مراجعة الشيفرات المصدرية، وإدارة الثغرات الأمنية. تم تصميم البرنامج للجهات الحكومية والمؤسسات الأكاديمية والشركات، وهو متاح عبر الإنترنت وخارجها. يُتوقع من المشاركين أن يكون لديهم معرفة أساسية بدورة حياة تطوير البرمجيات، البرمجة، وأمن المعلومات لتحقيق الاستفادة الكاملة من البرنامج.

• يتم تقديم التدريب بواسطة مدربين معتمدين من كاسبرسكي في مراكز تدريب معتمدة أو مباشرةً في مقرات العملاء، مما يضمن تعليمًا يقوده الخبراء ومناسبًا لاحتياجات العميل.

• يشمل منهج التدريب مجموعة واسعة من مواضيع الأمن السيبراني، بما في ذلك الاستجابة للحوادث، الأدلة الرقمية الجنائية، تحليل البرامج الضارة والهندسة العكسية، كتابة قواعد الكشف، والاستخبارات ضد التهديدات. تجمع هذه الدورات بين الدروس النظرية والتدريبات العملية والمحاكاة لتعظيم التعلم وتطوير المهارات.

• بعد إكمال التدريب، يمكن للمشاركين الخضوع لتقييمات للتحقق من معرفتهم والحصول على شهادات، والتي يمكن أن تعزز مؤهلاتهم المهنية.

• توفر كاسبرسكي دعمًا خبيرًا مستمرًا، بما في ذلك الإجابة على الأسئلة المتعلقة بمعالجة البيانات، وظائف المنتجات، وتقديم عروض توضيحية حية مثل مراجعات الشيفرة المصدرية، خاصةً من خلال مبادرات الشفافية والثقة.

• تحافظ كاسبرسكي على سياسات صارمة لحماية البيانات والشفافية. تقدم للشركاء الموثوقين والعملاء رؤى تفصيلية حول ممارسات الأمان الداخلية وتقنيات الشركة، بما في ذلك القدرة على مراجعة تقييمات أمان المنتجات ومعايير حماية البيانات.

• خبراء الأمان في الشركة متاحون لتوضيح ممارسات معالجة البيانات وشرح كيفية عمل حلولهم، مما يعزز الثقة ويضمن الامتثال لمتطلبات الأمان.

• تلتزم تقييماتهم وبرامج التدريب بالمعايير الدولية للأمن السيبراني وأفضل الممارسات، مما يضمن حماية قوية لبيانات العملاء أثناء التقييمات الأمنية والأنشطة ذات الصلة.

• تضمن استخدام البيئات الافتراضية المحاكاة في التدريب حماية البيانات الحساسة أثناء توفير سيناريوهات واقعية للاستجابة للحوادث واكتشاف التهديدات.

• قواعد بيانات مكافحة البرمجيات الخبيثة يتم تحديثها كل ساعة لمواكبة الفيروسات وأحصنة طروادة والبرامج الضارة الجديدة.

• قواعد بيانات مكافحة البريد العشوائي قد يتم تحديثها كل بضع دقائق.

• يمكن أن تزيد تكرارات التحديث بشكل تلقائي أثناء فترات النشاط المرتفع للتهديدات وتنخفض عندما تكون التهديدات أقل نشاطًا.

• يتم تنزيل التحديثات بشكل آمن عبر قنوات مشفرة (HTTPS/TLS) من خوادم التحديث المخصصة لشركة كاسبرسكي أو من خوادم المرايا المحلية إذا تم تكوينها.

• تستخدم عملية التحديث التحديث التفاضلي، مما يعني تنزيل أجزاء الملفات التي تم تغييرها فقط، مما يحسن من عرض النطاق الترددي.

• يمكن جدولة التحديثات تلقائيًا أو تنفيذها يدويًا، أو تكوينها للعمل في أوقات محددة مناسبة لتقليل تأثيرها على أداء النظام.

• يمكن للمؤسسات نشر Updater SDK لإنشاء خوادم مرايا محلية لتوزيع التحديثات ضمن شبكة الشركة، مما يقلل من استخدام عرض النطاق الترددي الخارجي.

• تلتزم كاسبرسكي بسياسات صارمة فيما يخص ملكية البيانات: جميع البيانات التي تم جمعها أثناء تقييمات الأمان والخدمات ذات الصلة تعود للعميل نفسه.

• يحتفظ العملاء بالتحكم الكامل في بياناتهم ويمكنهم طلب الوصول إليها أو نقلها أو حذفها حسب الحاجة، بما يتوافق مع اللوائح الخاصة بحماية البيانات.

• تدعم كاسبرسكي قابلية نقل البيانات، مما يمكّن العملاء من تصدير بياناتهم بأمان وبتنسيقات قابلة للاستخدام عند الطلب.

• توفر مراكز الشفافية وبرامج الشركاء الموثوقين للعملاء وضوحًا حول كيفية معالجة بياناتهم وحمايتها.

• تلتزم الشركة بالمعايير واللوائح الدولية لحماية البيانات، مما يضمن التعامل مع بيانات العملاء بأمان وسرية طوال عملية التقييم.

التوسع أو التقليل:

تتمتع خدمات تقييم الأمان من كاسبرسكي عادةً بالمرونة، ما يسمح للمؤسسات بتعديل نطاق تقييم الأمان وفقًا للاحتياجات المتغيرة. يمكن أن يشمل ذلك زيادة أو تقليل عمق التقييم، توسيع التغطية لتشمل أنظمة إضافية، أو تعديل التكرار لتقييمات مستمرة. عادةً ما يتم التفاوض على الشروط المحددة للتوسع أثناء العقد الأولي وتعتمد على حجم المؤسسة، ملف المخاطر، ومتطلبات الموارد. غالبًا ما يمكن للمؤسسات تعديل حزمة الخدمة الخاصة بها من خلال الإضافات أو التقييمات المصممة حسب الطلب، رهناً بالاتفاق المتبادل مع كاسبرسكي.

شروط تجديد العقد والإلغاء:

• التجديد: عادة ما تكون العقود قابلة للتجديد سنويًا، مع تحديد شروط التجديد في الاتفاقية الأصلية. غالبًا ما يكون التجديد تلقائيًا ما لم يقدم أي من الطرفين إشعارًا بإنهاء العقد ضمن فترة الإشعار المحددة، والتي غالبًا ما تتراوح بين 30 إلى 90 يومًا قبل تاريخ التجديد.

• الإلغاء: عادةً ما تتطلب سياسات الإلغاء إشعارًا كتابيًا، غالبًا قبل 30 يومًا من دورة الفوترة التالية. قد تتضمن بعض العقود شروطًا محددة للإنهاء المبكر، مثل خرق الشروط أو عدم السداد. تعتمد سياسات الاسترداد، إذا انطبقت، على توقيت الإلغاء والخدمات المقدمة.

• الشروط والأحكام: تشمل هذه الامتثال للقوانين المعمول بها، بنود السرية، أحكام حماية البيانات، وحدود المسؤولية. يمكن أن تختلف الشروط الدقيقة بناءً على اللوائح الإقليمية والمفاوضات التعاقدية.

تم تصميم تقييم الأمان من كاسبرسكي لدعم المؤسسات في الامتثال لمعايير الصناعة والتنظيم المختلفة، بما في ذلك:

• ISO/IEC 27001: معايير نظام إدارة أمن المعلومات.

• اللائحة العامة لحماية البيانات (GDPR): ضمان خصوصية البيانات وحمايتها للمنظمات التي تتعامل مع بيانات مواطني الاتحاد الأوروبي.

• إطار الأمن السيبراني الخاص بالمعهد الوطني للمعايير والتقنية (NIST): مواءمة مع أفضل الممارسات لإدارة مخاطر الأمن السيبراني.

• PCI DSS: للمؤسسات التي تتعامل مع بيانات بطاقات الائتمان.

• HIPAA: لمؤسسات الرعاية الصحية التي تدير معلومات صحية محمية.