تدقيق تقنية المعلومات: ما الذي يشمله ومتى تحتاجه شركتكم

نمت أنظمتكم أداةً بعد أداة: جدول بيانات هنا، واشتراك هناك، وتطبيق قديم لا يجرؤ أحد على المساس به. وقبل أن تستثمروا في شيء جديد، تريدون أن تعرفوا ما الذي تملكونه فعلاً. هذه هي مهمة تدقيق تقنية المعلومات.

لكن هذا المصطلح يشمل أموراً مختلفة جداً. فبعض عمليات التدقيق تفحص الخوادم والشبكات، وبعضها الأمن، وبعضها تطبيقاتكم و Workflow فيها. يشرح هذا الدليل ما الذي يمكن أن يشمله تدقيق تقنية المعلومات، ونوع المدقق الذي يتولى كل جزء، والعلامات التي تدل على أن الوقت قد حان، وكيف يجري التدقيق، وما يجب أن يتضمنه التقرير النهائي ليكون مفيداً.

ما الذي يشمله تدقيق تقنية المعلومات

تدقيق تقنية المعلومات نظرة خارجية إلى نظام المعلومات لديكم: مِمَّ يتكون، ومدى خدمته لنشاطكم، وما الذي ينبغي تغييره. وفي الواقع، يتألف نظام المعلومات من عدة طبقات، ونادراً ما يغطيها التدقيق كلها بالعمق نفسه.

التطبيقات والعمليات والبيانات

هذه هي الطبقة الأقرب إلى عملكم اليومي. وفيها يفحص التدقيق:

• العمليات: كيف يتنقل الطلب أو الملف أو الاستفسار فعلياً داخل الشركة، بما في ذلك الخطوات التي تُنجز يدوياً أو عبر البريد الإلكتروني؛
• الأدوات: البرامج التي تستخدمونها، من الاشتراكات الجاهزة إلى التطبيقات المطوّرة داخلياً، ومدى ملاءمة كل منها؛
• البيانات و Integration: أين توجد بياناتكم، وكم مرة يُعاد إدخالها، وكيف تتبادل أدواتكم المعلومات أو لا تتبادلها؛
• القيود: الميزانية، والمهل، والقواعد الخاصة بقطاعكم، ومهارات فريقكم.

وعندما يتعلق الأمر بتطبيق قديم، يقرأ التدقيق شيفرته البرمجية أيضاً: فكل قاعدة عمل، حتى تلك المخفية فيها، تُحدَّد وتُوثَّق.

البنية التحتية والأمن

الطبقة الثانية تقنية: الخوادم، والشبكات، وأجهزة العمل، و Backups، وخدمات Cloud، وصلاحيات الوصول. ومن الأسئلة المعتادة هنا: هل تُختبر Backups فعلاً؟ من يملك صلاحيات المسؤول؟ أي الأنظمة لم يعد مورّدوها يدعمونها؟

أما التقييم الأمني الأعمق، مثل اختبار الاختراق الذي يحاول فيه مختصون الدخول إلى أنظمتكم كما يفعل المهاجم، فهو تخصص قائم بذاته.

ما ليس تدقيقاً لتقنية المعلومات

تُستخدم الكلمة نفسها لعمليات تدقيق ذات دور رسمي. فتدقيق تقنية المعلومات الذي نصفه هنا ليس:

• تدقيقاً قانونياً أو مالياً، يراجع فيه المدققون الضوابط العامة لتقنية المعلومات في إطار مراجعة حساباتكم؛
• تدقيق اعتماد، مثل ذلك الذي يشترطه أحد معايير ISO؛
• رأياً قانونياً أو تنظيمياً بشأن الامتثال.

وإذا طلبت منكم جهة تنظيمية أو مصرف أو عميل تدقيقاً، فاسألوهم عن نوعه، وتحققوا من ذلك مع محاسبكم أو مستشاركم القانوني.

من يتولى كل جزء

لا يوجد مزود واحد مناسب لكل الطبقات. وهكذا يتوزع العمل عادةً:

جزء التدقيق	ما الذي يفحصه	من يتولاه عادةً
تدقيق التطبيقات والعمليات	العمليات، الأدوات، البيانات، Integration، الشيفرة	شركات البرمجيات والاستشارات
تقييم البنية التحتية لتقنية المعلومات	الخوادم، الشبكة، الأجهزة، Backups، التراخيص	مزودو الدعم التقني والخدمات المُدارة
التدقيق الأمني واختبار الاختراق	الثغرات، الوصول، مقاومة الهجمات	شركات متخصصة في الأمن
التدقيق المالي أو تدقيق الاعتماد	الضوابط التي يفرضها القانون أو المعيار	مدققون معتمدون

يغطي تدقيقنا السطر الأول: نحلل عملياتكم وأدواتكم وبياناتكم وقيودكم. وعندما يتعلق سؤال ما بالبنية التحتية أو الأمن، نقول ذلك بوضوح ونوصي بأن يراجعه مختص. وإذا كنتم تقارنون بين المزودين، فإن دليلنا حول كيفية اختيار مزود خدمات تقنية المعلومات يعرض الأسئلة التي ينبغي طرحها.

علامات حاجتكم إلى تدقيق نظم المعلومات

يكون تدقيق نظم المعلومات أكثر فائدة قبل قرار كبير، أو عندما تتحول العقبات اليومية إلى نمط متكرر. وأبرز العلامات:

1. تُدخَل البيانات نفسها عدة مرات في أدوات أو جداول بيانات مختلفة.
2. تطبيق أساسي يتقادم: غادر مطوره، وصار كل تعديل يستغرق وقتاً أطول ويبدو أكثر خطورة. وغالباً ما يكون ذلك ديناً تقنياً يتراكم.
3. أنتم على وشك شراء أو بناء أداة كبيرة: نظام ERP (تخطيط موارد المؤسسات)، أو CRM (إدارة علاقات العملاء)، أو برنامج مخصص. يخبركم التدقيق بما يجب ربطه بها وما يمكن الاستغناء عنه.
4. لا أحد يملك الصورة الكاملة: المعرفة لدى شخص أو شخصين، ولا توجد خريطة محدّثة لأدواتكم.
5. تغيرت الشركة: نمو، أو موقع جديد، أو اندماج، أو لوائح تنظيمية جديدة.
6. يصعب تفسير التكاليف: اشتراكات متداخلة، وتراخيص لا يستخدمها أحد.

ومتى لا يستحق الأمر العناء؟ إذا كانت لديكم أدوات قليلة تعمل معاً بشكل جيد ولا يوجد مشروع في الأفق، فلن يضيف لكم تدقيق شامل الكثير. وتكفي محادثة قصيرة للتأكد من ذلك.

كيف يجري تدقيق تقنية المعلومات

يمر التدقيق التقني لشركة صغيرة بالخطوات نفسها التي يمر بها تدقيق شركة أكبر، مع عدد أقل من الأشخاص الذين ينبغي لقاؤهم. وهكذا يجري التدقيق لدينا.

1. مكالمة تعريفية

يبدأ كل شيء بمكالمة تعريفية مجانية مدتها 30 دقيقة. نستمع إلى وضعكم وأهدافكم، ونخبركم بصراحة إن كان التدقيق سيفيدكم. فإن كان كذلك، نقترحه عليكم في نهاية المكالمة، بناءً على عرض سعر يحدد نطاقه.

2. المقابلات والملاحظة

نلتقي بالأشخاص الذين يؤدون العمل، لا بالمسؤولين فقط: فالطريقة التي تُنجز بها المهمة فعلياً كثيراً ما تختلف عن الطريقة التي تُوصف بها. ونفحص الأدوات المستخدمة من خلال أمثلة حقيقية.

3. تحليل الأدوات والبيانات والشيفرة

نرسم خريطة لتطبيقاتكم وللبيانات التي تتبادلها، ونتحقق من جودة هذه البيانات، وإذا كان هناك تطبيق مطوَّر داخلياً، نقرأ شيفرته لاستخراج قواعد العمل التي يتضمنها. وبهذه الطريقة أيضاً تبدأ مشاريع التحديث لدينا.

4. التقرير والعرض

نعرض عليكم النتائج، ونناقش الخيارات معكم، ونسلمكم تقريراً مكتوباً. ثم يعود القرار إليكم: التنفيذ معنا، أو مع مزود آخر، أو عدم القيام بشيء.

قائمة تحقق: ما يجب أن يتضمنه تقرير التدقيق الجيد

لا يكون التقرير مفيداً إلا إذا أمكنكم التصرف بناءً عليه. وقبل قبوله، تحققوا من أنه يتضمن:

• النطاق والمنهجية: ما الذي شمله التدقيق، وما الذي لم يشمله، ومن أُجريت معهم المقابلات.
• خريطة لنظام المعلومات لديكم: التطبيقات، وتدفقات البيانات، و Integration، ومن يستخدم ماذا.
• نتائج مدعومة بأدلة: ما الذي لوحظ، وأين، ولماذا يهم نشاطكم.
• فصل واضح بين الحقائق والآراء.
• مخاطر مرتبة حسب أثرها، موصوفة بلغة الأعمال، لا بلغة تقنية فقط.
• خيارات، لا إجابة واحدة: الإبقاء، أو التحسين، أو الاستبدال بأداة جاهزة، أو التطوير، مع مزايا كل خيار وعيوبه.
• أولويات وتسلسل: ما الذي يُنجَز أولاً، وما الذي يعتمد على ماذا.
• عرض مسعّر للأعمال الموصى بها، إن طلبتموه. ويشرح مقالنا حول تكلفة البرمجيات المخصصة ما الذي يحدد هذا الرقم.
• النقاط الخارجة عن النطاق، مثل البنية التحتية أو الأمن، مع الإشارة إلى ضرورة مراجعتها من مختص.
• لغة واضحة: يستطيع مدير لم يحضر المقابلات أن يفهم الملخص.

احذروا التقرير الذي ينتهي بعبارة «يجب إعادة بناء كل شيء» دون عرض خيارات أخرى، أو الذي يسرد مشكلات تقنية لا صلة لها بنشاطكم.

الأسئلة الشائعة

ما الفرق بين تدقيق تقنية المعلومات وفحص سلامة تقنية المعلومات؟

يتداخل المصطلحان. إذ إن «فحص السلامة» يعني عادةً مراجعة أسرع للبنية التحتية: الخوادم، و Backups، والتحديثات، والتراخيص. أما تدقيق تقنية المعلومات فيمكن أن يذهب أبعد ليفحص عملياتكم وتطبيقاتكم وبياناتكم. وأياً كانت التسمية، اطلبوا النطاق كتابةً: ما الطبقات المشمولة، وما غير المشمولة، وماذا سيتضمن التقرير.

هل يستحق تدقيق تقنية المعلومات العناء لشركة صغيرة؟

غالباً نعم، عندما يقترب قرار مهم: اختيار برنامج، أو استبدال تطبيق قديم، أو إعادة تنظيم فريق. فالتدقيق يساعدكم على تجنب الالتزام بأداة غير مناسبة. لكنه ليس ضرورياً دائماً. فإذا كانت أدواتكم تعمل، وبياناتكم في مكان واحد، ولا يوجد مشروع مخطط له، فقد تكفي مكالمة تعريفية لتأكيد ذلك.

هل يتضمن تدقيق تقنية المعلومات اختباراً أمنياً؟

ليس بالضرورة. قد يشير تدقيق التطبيقات إلى نقاط ضعف يصادفها، مثل كلمات المرور المشتركة أو صلاحيات الوصول الواسعة أكثر من اللازم، لكنه لا يختبر أنظمتكم كما يفعل المهاجم. فاختبار الاختراق من اختصاص جهات متخصصة، يُطلب بشكل منفصل، وفق قواعد يُتفق عليها مسبقاً.

الخلاصة

يمكن أن يشمل تدقيق تقنية المعلومات التطبيقات والعمليات والبيانات والبنية التحتية والأمن، ويتولى كل جزء منها مختصون مختلفون. ويركز تدقيقنا على عملياتكم وأدواتكم وبياناتكم وقيودكم، ويشير إلى ما يحتاج إلى مختص. اطلبوه قبل قرار مهم أو عندما تتحول العقبات إلى نمط متكرر، واحكموا عليه من خلال تقريره: الأدلة، والخيارات، والأولويات، واللغة الواضحة.

هل ما زالت أدواتكم تواكب طريقة عمل شركتكم؟ احجزوا مكالمة تعريفية مجانية مدتها 30 دقيقة: ندرس وضعكم معاً، وإذا كان التدقيق سيفيدكم، نقترحه عليكم في نهاية المكالمة، بناءً على عرض سعر.