مورد مجاني
قائمة التحقق من جاهزية تقنية المعلومات للشركات الصغيرة
22 سؤالًا ينبغي أن تستطيع كل شركة صغيرة في بيتسبرغ وكليفلاند الإجابة عنها بخصوص تقنيتها. لكل سؤال إجابة خضراء وصفراء وحمراء وخطوة تالية واحدة. خصص نحو 20 دقيقة.
قائمة المراجعة الكاملة في هذه الصفحة، وورقة التقييم القابلة للطباعة تتضمن الأسئلة نفسها مع مربعات للتأشير.
نحو 20 دقيقةللإكمال
22 سؤالًافي 6 مجالات
بنتيجة محسوبةلتعرف ما تعالجه أولًا
المنصات المشمولة
كيف يعمل معيار التقييم
انقر على الإجابة التي تطابق وضع شركتك اليوم. ستظهر نتيجتك الجارية في قسم قيّم نفسك.
أخضر: وضعك جيدأصفر: يستحق المعالجة قريبًاأحمر: عالج هذا أولًا
1. الهوية والوصول
كلمة مرور مسروقة تتيح للمهاجم الدخول مباشرة إلى بريدك وملفاتك. تأتي هذه الأسئلة الأربعة أولًا لأن إصلاحاتها رخيصة.
س1.هل المصادقة متعددة العوامل مطلوبة لكل مستخدم في كل تطبيق عمل؟
أخضرMFA مفروضة على Microsoft 365 / Google وVPN والوصول عن بُعد والخدمات المصرفية وتطبيقات الأعمال الأساسية وكل حساب مسؤول. ويفضل أن تكون مقاومة للتصيد (مفاتيح المرور أو FIDO2 أو مطابقة الأرقام).
أصفرMFA على البريد الإلكتروني دون التطبيقات الأخرى؛ أو MFA عبر الرسائل النصية SMS فقط (قابلة للتصيد).
أحمرMFA اختيارية أو معطلة.
الخطوة التالية: تتضمن Microsoft وGoogle كلتاهما MFA دون تكلفة إضافية. فعّلها في كل مكان خلال 30 يومًا.
س2.هل يستخدم الموظفون مدير كلمات مرور، وهل انخفضت إعادة استخدام كلمات المرور إلى الصفر؟
أخضرمدير كلمات مرور تموّله الشركة (1Password أو Bitwarden أو Keeper أو Dashlane) مع خزنة مشتركة، ويستخدمه الجميع.
أصفربعض الأشخاص يستخدمون مديرًا، وآخرون يعيدون استخدام كلمات المرور أو يحفظونها في جدول بيانات.
أحمرلا يوجد مدير، وكلمة مرور موسمية مثل Summer2024 شائعة.
الخطوة التالية: اشترِ خطة للأعمال. تفتقر الخطط المجانية والشخصية إلى الاستعادة والمشاركة حسب الأدوار وسجلات التدقيق. خصص ميزانية من 4 إلى 8 دولارات لكل مستخدم شهريًا.
س3.هل توجد عملية رسمية لإنهاء حسابات المغادرين تلغي الوصول خلال يوم عمل واحد؟
أخضرقائمة تحقق تعطّل بيانات الدخول وتلغي الرموز المميزة وتحوّل البريد وتغيّر الأسرار المشتركة وتستعيد الأجهزة، وتُنفَّذ دائمًا في اليوم نفسه.
أصفريُغلق البريد وMicrosoft 365، لكن تبقى تطبيقات SaaS المشتركة أو VPN أو الرموز المميزة القديمة.
أحمرقد يظل الموظفون السابقون يملكون الوصول.
الخطوة التالية: أعدّ قائمة تحقق من صفحة واحدة لإنهاء الحسابات هذا الأسبوع. ويُدرج في القائمة كل تطبيق أضاف إليه فريقك أي موظف يومًا.
س4.هل تتبع حسابات المسؤولين مبدأ الحد الأدنى من الصلاحيات، وهل تختلف عن الحساب الذي يستخدمه الشخص لقراءة بريده؟
أخضرحسابات مسؤول منفصلة للنطاق وMicrosoft 365 والجدار الناري وغيرها. ويستخدم البريد اليومي والتصفح حسابًا بلا صلاحيات مرتفعة. وتُستخدم PIM أو الوصول في الوقت المناسب حيثما أمكن.
أصفرعدد كبير جدًا من الأشخاص مسؤولون عموميون، أو يُستخدم حساب مسؤول واحد لكل شيء.
أحمركل شخص مسؤول على جهازه، والمالك يستخدم حساب المسؤول العمومي لقراءة البريد.
الخطوة التالية: في Microsoft 365، افتح Active users ثم Admin roles، وقلّص العدد إلى حفنة من المسؤولين العموميين. وأنشئ حسابات مسؤول مخصصة لا تفعل شيئًا آخر.
2. النسخ الاحتياطي والاستعادة
تغطي هذه الأسئلة الخمسة مدى سرعة عودتك إلى العمل إذا فُقد خادم أو لابتوب أو بيانات SaaS صباح الغد. لا تعدّ النسخة الاحتياطية نسخة إلا بعد أن تستعيد منها فعلًا.
س5.هل تنسخ بيانات SaaS احتياطيًا (Microsoft 365 وGoogle Workspace وQuickBooks Online)؟
أخضرنسخ احتياطي من جهة خارجية (Datto SaaS Protection أو Afi أو Dropsuite أو Spanning) يعمل على كل SaaS، مع سياسة احتفاظ راجعتها.
أصفرتفترض أن Microsoft أو Google هي نسختك الاحتياطية. إن الاحتفاظ المدمج لديهما محدود ولا يحميك من الحذف المتعمد.
أحمرلا نسخ احتياطي لـ SaaS من أي نوع.
الخطوة التالية: اختر أي نسخ احتياطي موثوق لـ SaaS وفعّله هذا الأسبوع. تتراوح الأسعار عادةً بين 3 و6 دولارات لكل مستخدم شهريًا.
س6.هل تُخزَّن نسخك الاحتياطية في موقع واحد على الأقل لا تستطيع الوصول إليه ببيانات دخولك المعتادة؟
أخضرتتبع قاعدة 3-2-1: ثلاث نسخ ونوعان من الوسائط ونسخة واحدة خارج الموقع أو غير قابلة للتعديل (S3 Object Lock أو Wasabi Immutability أو Datto).
أصفرلديك نسخ احتياطية خارج الموقع لكن يمكن الوصول إليها ببيانات دخول المسؤول نفسها المستخدمة في الإنتاج.
أحمرالنسخ الاحتياطية على الخادم نفسه أو NAS أو النطاق نفسه الذي توجد عليه البيانات التي تحميها.
الخطوة التالية: أضف وجهة غير قابلة للتعديل أو معزولة تمامًا. فالمهاجم الذي يحصل على بيانات دخول المسؤول لديك يستطيع حذف أي نسخة احتياطية يصل إليها ذلك الدخول.
س7.متى كان آخر اختبار استعادة ناجح، وليس مجرد آخر نسخة احتياطية؟
أخضرخلال آخر 90 يومًا، استُعيد ملف أو آلة افتراضية حقيقية للتحقق من أن النسخة الاحتياطية تعمل.
أصفرتعمل النسخ الاحتياطية ليليًا لكن لم يستعد أحد منها فعليًا خلال العام الماضي.
أحمرلست متأكدًا متى اختُبرت النسخ الاحتياطية، أو هل اختُبرت أصلًا.
الخطوة التالية: حدد اختبار استعادة ربع سنويًا لملف حرج واحد وآلة كاملة واحدة ومجموعة بيانات سحابية واحدة. وضعه في التقويم كمهمة متكررة.
س8.هل تعرف RTO (المدة التي تستطيع تحمّل التوقف خلالها) وRPO (حجم البيانات الذي تستطيع تحمّل فقدانه)؟
أخضرلكل نظام حرج RTO وRPO مكتوبان ومتفق عليهما مع مالك العمل، وحجم النسخ الاحتياطية مناسب لتحقيقهما معًا.
أصفرلديك تصور عام، لكن لا شيء مكتوب أو متحقق منه.
أحمرلم يُناقش قط. وعند حدوث عطل سترتجل.
الخطوة التالية: اسأل كل رئيس قسم: لو فُقد هذا النظام عند التاسعة صباحًا، فما أقصى موعد تحتاج فيه إلى عودته؟ إجاباتهم هي RTO لديك. ثم تحقق من أن نسخك الاحتياطية تعمل بتكرار كافٍ لتحقيق كل RPO.
س9.لو فقد موقعك الرئيسي الكهرباء والإنترنت لمدة 48 ساعة، هل سيستمر العمل؟
أخضرقوة عاملة قادرة على العمل عن بُعد، ونظام هاتف سحابي، وخطوات تحويل تلقائي موثقة.
أصفربعض الموظفين يستطيعون العمل عن بُعد، لكن الأنظمة الأساسية (المحركات المشتركة وتطبيق العمل الرئيسي والهواتف) ستتوقف.
أحمرستتوقف عن العمل حتى يعود الموقع.
الخطوة التالية: اكتب خطة استمرارية من صفحة واحدة: من يتصل بمن، وما يسمعه العملاء على الهاتف، ومن أين يعمل الموظفون.
3. أمان الأجهزة الطرفية والبريد الإلكتروني
خمسة أسئلة عن الأجهزة التي يستخدمها فريقك والبريد الذي يصل إليها.
س10.هل يعمل على كل لابتوب وحاسوب مكتبي وخادم شيء يتجاوز مضاد الفيروسات المدمج؟
أخضرEDR مُدار (SentinelOne أو CrowdStrike أو Huntress أو Defender for Business مع شخص يراقب التنبيهات) على 100% من الأجهزة الطرفية.
أصفرDefender أو مضاد فيروسات آخر يعمل لكن لا أحد يراجع التنبيهات.
أحمرمضاد فيروسات مدمج فقط، أو أن بعض الأجهزة بلا أي حماية.
الخطوة التالية: أجرِ جردًا لكل جهاز طرفي وتأكد من وجود EDR حديث وشخص يتابع التنبيهات. وافحص الخوادم ولابتوب المالك، فمن السهل إغفالها.
س11.هل تُرقَّع أنظمة التشغيل وتطبيقات الجهات الخارجية ضمن مهلة محددة؟
أخضرأداة لإدارة الترقيع مع سياسة: الترقيعات الحرجة خلال 7 أيام والبقية خلال 30 يومًا، وتقرير امتثال شهري.
أصفريتحدث نظام التشغيل تلقائيًا، لكن تطبيقات الجهات الخارجية (Adobe وJava والمتصفحات) تتأخر.
أحمرتُطبَّق الترقيعات عندما ينتبه أحدهم.
الخطوة التالية: اختر أداة لإدارة الترقيع (NinjaOne أو PDQ أو Intune أو Action1) وحدد سياسة. أدرج المتصفحات وتطبيقات الجهات الخارجية الأخرى مع نظام التشغيل.
س12.هل يمر البريد الوارد عبر مرشّح يلتقط التصيد وانتحال الهوية، إضافةً إلى مرشّح المزود الأصلي؟
أخضرMimecast أو Proofpoint أو Avanan أو IRONSCALES أو ما يماثلها، مع تفعيل الحماية من انتحال الهوية.
أصفرمرشّح Microsoft 365 أو Gmail الافتراضي فقط، وما زالت بعض رسائل التصيد الواضحة تصل إلى صناديق الوارد.
أحمرلا تصفية متقدمة للبريد؛ وتصل رسائل منتحلة لشخصية المدير التنفيذي.
الخطوة التالية: فعّل سياسات مكافحة التصيد المتقدمة التي يتضمنها ترخيصك أصلًا (Microsoft 365 Business Premium وما فوقه)، أو أضف بوابة بريد آمنة مخصصة. خصص ميزانية من 3 إلى 5 دولارات لكل مستخدم شهريًا.
س13.هل أعددت SPF وDKIM وDMARC لنطاق الإرسال لديك؟
أخضرالثلاثة مُعدّة. وDMARC عند p=reject أو p=quarantine، وتراقب التقارير المجمّعة.
أصفرSPF وDKIM مُعدّان، لكن DMARC عند p=none (للإبلاغ فقط).
أحمرلا شيء من الثلاثة مُعدّ، أو في SPF الخطأ الكلاسيكي +all أو ?all.
الخطوة التالية: افحص نطاقك على mxtoolbox.com. فبدون سياسة DMARC مفروضة، يستطيع آخرون إرسال بريد يبدو أنه صادر من نطاقك.
س14.هل تشفير القرص الكامل مفعّل على كل لابتوب؟
أخضرBitLocker (Windows) أو FileVault (Mac) مفعّل على 100% من أجهزة اللابتوب، مع إيداع مفاتيح الاستعادة في Entra ID أو Intune أو Jamf.
أصفرمفعّل على معظم أجهزة اللابتوب لكن لا توجد خزنة مركزية لمفاتيح الاستعادة.
أحمرغير مفعّل، أو غير معروف.
الخطوة التالية: يستطيع أي شخص يعثر على لابتوب غير مشفّر قراءة ملفاته. إن BitLocker وFileVault مدمجان في Windows وmacOS، وتكفي سياسة واحدة لتفعيلهما.
4. الشبكة والوصول عن بُعد
يغطي هذا القسم الجدار الناري وكيفية تقسيم الشبكة وكيف يتصل الموظفون من خارج المكتب.
س15.هل جدارك الناري حديث ومدعوم ويُراجَع مرة في السنة على الأقل؟
أخضرجدار ناري من الجيل الحالي (Fortinet أو Palo Alto أو SonicWall أو Meraki أو OPNsense) بترخيص ساري، ومنع التسلل مفعّل، وقواعد تُراجَع سنويًا.
أصفريوجد جدار ناري لكن الترخيص انتهى ولم تُراجَع القواعد.
أحمرراوتر منزلي، أو جدار ناري انتهى عمره التشغيلي، أو قواعد افتراضية لم تُضبط قط.
الخطوة التالية: الجدار الناري الذي تجاوز نهاية عمره لم يعد يتلقى تحديثات أمنية. تأكد من أن الطراز ما زال مدعومًا وجدّد التراخيص.
س16.هل توجد أجهزة الضيوف وأجهزة IoT (الكاميرات ومنظمات الحرارة والطابعات) وأجهزة اللابتوب للموظفين على شبكات منفصلة؟
أخضرشبكة مقسّمة: VLAN للإنتاج وVLAN لأجهزة IoT وشبكة للضيوف مع عزل العملاء. وتوجد الطابعات في VLAN خاصة بها.
أصفرتوجد شبكة للضيوف لكن أجهزة IoT تشارك الشبكة الرئيسية.
أحمركل شيء على شبكة مسطحة واحدة.
الخطوة التالية: على الشبكة المسطحة يستطيع منظّم حرارة مخترق الوصول إلى خادم الملفات لديك. ومع نقاط وصول حديثة ومحوّل مُدار، يستغرق تقسيم مكتب صغير نحو بعد ظهر واحد.
س17.كيف يتصل الموظفون بالعمل عن بُعد، وهل هذه الطريقة آمنة؟
أخضرتسجيل دخول موحّد مع وصول بمبدأ انعدام الثقة (Cloudflare Access أو Tailscale أو Twingate) أو VPN حديث مع MFA. ولا RDP مفتوح على الإنترنت.
أصفرVPN قديم باسم المستخدم وكلمة المرور فقط.
أحمرRDP أو أداة وصول عن بُعد مكشوفة على الإنترنت ببيانات دخول مشتركة.
الخطوة التالية: أغلق اليوم أي منفذ RDP مفتوح على الإنترنت، وانقل الوصول عن بُعد خلف VPN أو أداة بمبدأ انعدام الثقة مع MFA.
5. الاستجابة للحوادث والأصول
تغطي هذه الأسئلة الثلاثة ما تفعله في أول نصف ساعة من الحادث، وهل يستطيع الموظفون اكتشاف رسالة تصيد، وهل تعرف المعدات التي تملكها.
س18.هل توجد خطة مكتوبة للاستجابة للحوادث تتسع لصفحة واحدة؟
أخضرنعم: جهات الاتصال وشجرة قرارات ومن يتصل بشركة التأمين السيبراني ومن يتحدث إلى العملاء وأين توجد الخطة. وتُراجَع سنويًا.
أصفرتوجد خطة لكن لم يقرأها أحد منذ عامين.
أحمرلا توجد خطة.
الخطوة التالية: اكتب الخطة في صفحة واحدة تتضمن البنود المذكورة في الإجابة الخضراء، واحتفظ بنسخة مطبوعة، وراجعها مرة في السنة.
س19.هل تلقى الموظفون تدريبًا على الوعي بالتصيد خلال آخر 12 شهرًا؟
أخضرنعم، عبر منصة موثوقة (KnowBe4 أو Hoxhunt أو Wizer أو Curricula)، ومعدل النقرات الفاشلة في انخفاض.
أصفرتدريب لمرة واحدة عند التعيين ولا شيء بعده.
أحمرلا تدريب.
الخطوة التالية: ليس من الضروري أن يكون التدريب دورة تمتد يومًا كاملًا. استخدم مقاطع فيديو شهرية من خمس دقائق مع رسالة تصيد تجريبية تُقيَّم نتائجها.
س20.هل لديك جرد كامل وحديث للأصول (من يملك أي لابتوب، وما الخوادم الموجودة، وما الموجود في السحابة)؟
أخضرجرد يُحدَّث تلقائيًا من RMM أو MDM (Intune أو NinjaOne أو Jamf)، ويُحدَّث لحظيًا.
أصفرجدول بيانات يحدّثه أحدهم مرة في السنة.
أحمرتعرف ما تملكه من أصول بالنظر حولك.
الخطوة التالية: اختر RMM أو MDM ودعه يبني الجرد نيابةً عنك.
6. الموردون والتوثيق
سؤالان: الشركات التي تحتفظ ببياناتك، والمعرفة التي تقيم في رأس شخص واحد.
س21.لو تعرض أحد الموردين الرئيسيين (منصة المحاسبة أو أداة مشاركة الملفات أو CRM) لاختراق في عطلة نهاية الأسبوع هذه، فهل ستعرف ما البيانات التي يحتفظ بها لك؟
أخضرلديك قائمة قصيرة بأهم مورّديك، وما البيانات التي يحتفظ بها كل منهم، ونسخة من أحدث تقرير أمني لديهم.
أصفرتثق بمورّديك لكنك لم تسألهم شيئًا كتابةً قط.
أحمرليس لديك قائمة. يقع اختراق لدى مورّد وتعرف به من الأخبار.
الخطوة التالية: اختر ثلاثة من مورّديك الأكثر حساسية من حيث البيانات واطلب من كل منهم أحدث تقرير أمني لديه. وإذا لم يستطع مورّد تقديم تقرير، فسجّل ذلك كخطر.
س22.لو غاب غدًا الشخص الوحيد الذي يعرف كيف تعمل كل أنظمة تقنية المعلومات، فهل يستطيع شخص آخر أن يتدبر الأمر؟
أخضرالأمور المهمة (أين توجد الأنظمة، وكيف يتم الدخول إليها، ومن يُتصل به) مكتوبة في مكان يستطيع زميل العثور عليه، وتُحدَّث عند تغيّر أي شيء.
أصفرمهندس واحد أو المالك هو نقطة الفشل الوحيدة في معرفة كيف يعمل كل شيء.
أحمرشخص واحد يعرف، ولا شيء مكتوب.
الخطوة التالية: خصص ساعة في الشهر لتدوين أمور تقنية المعلومات التي لا يعرفها سوى شخص واحد.
قيّم نفسك
تُحتسب هنا إجاباتك الخضراء والصفراء والحمراء عبر الأسئلة الاثنين والعشرين أثناء نقرك.
أجبت عن 0 من 22. انقر على الإجابة التي تناسبك في كل سؤال أعلاه.
0أخضر
0أصفر
0أحمر
0/22تمت الإجابة
18 إجابة خضراء أو أكثر: وضعك جيد. حافظ عليه باختبارات استعادة ربع سنوية وترقيع شهري ومراجعة سنوية للسياسات.
من 11 إلى 17 إجابة خضراء: الأساسيات موجودة في معظمها. اختر أخطر ثلاث إجابات صفراء وعالجها خلال 90 يومًا.
أقل من 11 إجابة خضراء، أو أي إجابة حمراء في س1 أو س5 أو س6 أو س10 أو س14: عالج أولًا أي إجابة حمراء في هذه الأسئلة الخمسة، ثم بقية الإجابات الحمراء، ثم الصفراء.
احصل على رأي ثانٍ
تقدم KawaConnect مكالمة مجانية لتقييم جاهزية تقنية المعلومات للشركات الصغيرة في غرب بنسلفانيا وشمال شرق أوهايو. اعرض علينا إجاباتك وسنخبرك بما سنصلحه أولًا وبتكلفته التقريبية. وللمساعدة المستمرة، راجع خدمة تقنية المعلومات المُدارة.
احجز مكالمة تقييم جاهزية مجانيةنزّل ورقة التقييم0 / 22 تمت الإجابةاعرض نتيجتي
