دورة تدقيق تقنية المعلومات في الطيران: منصات شركات الطيران والمطارات والمخاطر والأدلة

ملخص البرنامج

تدقيق تقنية المعلومات في الطيران محور دورة تدريبية تمتد أسبوع لقادة التدقيق والمخاطر والامتثال في شركات الطيران والمطارات، بمستوى إداري، وتنتهي بتقرير تدقيق لمشغل واحد. تعتمد الحجوزات وعمليات الطيران وسجلات الصيانة والخدمات الأرضية على تقنية مترابطة، ومع ذلك تفتقر فرق تدقيق كثيرة إلى منهج يلائمها. وينتقل البرنامج من النطاق والمعايير إلى ترتيب المخاطر واختبار الضوابط ومراجعة الأطراف الثالثة وكتابة التقرير، بالاعتماد على سجلات جاهزة من شركة طيران ومطار. تقدم مارس للتدريب المملكة المتحدة هذا البرنامج في تدقيق تقنية المعلومات في الطيران لمجموعات من منظمات مختلفة.

المبررات المؤسسية

المشغل الذي يدقق تقنيته وفق معايير واضحة يكتشف ضعف الصلاحيات وخطط التعافي غير المختبرة والموردين غير المضبوطين قبل أن تعطل الرحلات أو تكشف بيانات المسافرين. وحين تكون تغطية التدقيق لأنظمة الطيران محدودة يتلقى المجلس تأكيدا قائما على الافتراض لا على أدلة مختبرة، ويفلت الموردون أصحاب الصلاحيات المميزة من المراجعة، وتبقى نقاط الضعف التشغيلية دون مالك واضح. ويعمل البرنامج على المؤشرات التالية.

• تكرار إخفاقات الضوابط: ينخفض حين تصنف النتائج ويسند أصحابها وتتابع.
• التعرض لتعطل العمليات: يتراجع حين تختبر ضوابط التعافي والتغيير على الأنظمة الحرجة.
• تغطية التدقيق للأنظمة الحرجة: ترتفع حين تتبع خطة التدقيق ترتيبا للمخاطر.

المبادئ والأساس المعرفي

• ISO/IEC 27001 وISO/IEC 27002 (معياران دوليان لإدارة أمن المعلومات ولدليل ضوابطه): يطبقان في الجلستين 1 و3 معيارا مرجعيا للاختبار.
• COBIT وISACA ITAF (إطاران لحوكمة تقنية المعلومات ولممارسة تدقيقها): يطبقان في الجلسة 3 لتصميم الاختبارات وتقييم الأدلة.
• NIST Cybersecurity Framework (هيكل لتحديد فجوات قدرات الأمن): يطبق في الجلسة 2 لترتيب التعرض.
• ICAO Annex 17 (المعايير الدولية لأمن الطيران): يطبق في الجلسة 1 لتحديد متطلبات القطاع في نطاق التدقيق.

المشاركون المستهدفون

• رؤساء تدقيق تقنية المعلومات الذين يخططون المراجعات التقنية ويشرفون عليها.
• مديرو التدقيق الداخلي الذين يرفعون تغطية التأكيد إلى لجنة التدقيق.
• قادة المخاطر والامتثال الذين يملكون ضوابط التقنية في المشغل.
• المفتشون الذين يراجعون نظم المعلومات لدى مشغلي الطيران.

تشمل البيئات المعتادة شركات الطيران والمطارات وشركات الخدمات الأرضية وجهات الرقابة على الطيران.

مخرجات التعلم

1. سيكون المشاركون قادرين على بناء نطاق تدقيق لأنظمة شركة طيران أو مطار.
2. سيكون المشاركون قادرين على ترتيب مجالات التدقيق بحسب مخاطر التقنية على عمليات الطيران والخدمات الأرضية.
3. سيكون المشاركون قادرين على تصميم اختبارات الضوابط وفق معايير معتمدة.
4. سيكون المشاركون قادرين على تقييم موثوقية أدلة التدقيق.
5. سيكون المشاركون قادرين على تشخيص نقاط الضعف في ترتيبات الموردين والخدمات السحابية والتعافي.
6. سيكون المشاركون قادرين على تبرير نتائج التدقيق وتصنيفاتها أمام الإدارة ولجنة التدقيق.

هيكل البرنامج

اليوم 1: نطاق تدقيق تقنية المعلومات في الطيران ومعاييره

أي أنظمة الطيران تحمل أعلى تعرض للمخاطر، وأي معايير ترسم أساس التدقيق؟

• خريطة جرد أنظمة الطيران
• مطابقة الضوابط وفق ISO/IEC 27001
• مراجعة دليل الضوابط في ISO/IEC 27002
• مصفوفة متطلبات ICAO Annex 17
• ورقة تحديد النطاق ومجال التدقيق

اليوم 2: ترتيب المخاطر لمنصات شركات الطيران والمطارات

كيف تقاس مخاطر التقنية على عمليات الطيران والخدمات الأرضية وتصنف؟

• ملف مخاطر الحجوزات ومراقبة المغادرة
• تقييم سلامة سجلات الصيانة
• مراجعة تعرض التقنية التشغيلية
• ملف الفجوات وفق NIST Cybersecurity Framework
• خطة تدقيق قائمة على المخاطر

اليوم 3: اختبار الضوابط وأدلة التدقيق

كيف تختبر الضوابط، وكيف تصبح الأدلة موثوقة؟

• اختبار أهداف الرقابة وفق COBIT
• أخذ عينات من الصلاحيات المميزة
• تتبع خطوات التغيير والإصدار
• تقييم الأدلة وفق ISACA ITAF
• قائمة مراجعة أوراق العمل

اليوم 4: الأطراف الثالثة والتعافي والنتائج

كيف تدقق الأنظمة المسندة إلى جهات خارجية وترتيبات التعافي، وكيف تكتب النتائج؟

• مراجعة تأكيد الموردين والخدمات السحابية
• ملاحظة اختبار النسخ الاحتياطي والاستعادة
• تحليل اتجاهات سجل الحوادث
• صياغة النتيجة وتصنيفها
• مسودة خطة إجراءات الإدارة

اليوم 5: تقرير تدقيق تقنية المعلومات في الطيران لمشغل واحد

هل تتكامل النتائج السابقة في تقرير تستطيع لجنة التدقيق التصرف بناء عليه؟

• تطبيق ورقة النطاق من الجلسة 1
• اختبار ترتيب المخاطر من الجلسة 2
• فحص تصنيفات الأدلة من الجلسة 3
• مراجعة نتائج الجلسة 4
• إنجاز تقرير تدقيق المشغل

المنهجية

يقوم البرنامج على محاكاة تدقيق ميداني بالاعتماد على سجلات جاهزة من شركة طيران ومطار تضم جرد الأنظمة وقوائم الصلاحيات وسجلات التغيير وعقود الموردين ونتائج اختبارات التعافي. يحدد المشاركون نطاق التدقيق ويرتبون المخاطر ويختبرون الضوابط ويقيمون الأدلة، ثم يدافعون عن نتائجهم أمام زملاء يؤدون دور لجنة التدقيق.

• نشاط مقترح: ترتيب ستة أنظمة لشركة طيران بحسب المخاطر التشغيلية ومخاطر البيانات.
• نشاط مقترح: أخذ عينات من سجلات الصلاحيات المميزة وتسجيل الاستثناءات.
• نشاط مقترح: تقييم مسودة نتيجة عن انقطاع خدمة مورد.

المخرج الختامي

ينجز كل مشارك تقرير تدقيق لشركة طيران أو مطار. ويضم التقرير بيان النطاق وترتيبا للمخاطر وملخصا لاختبار الضوابط ونتائج مصنفة وخطة إجراءات متفقا عليها. ويرفع في العمل إلى لجنة التدقيق، وتصبح خطوات اختباره أساسا لدورة التدقيق التقني التالية.

الأسئلة الشائعة

هل يناسب تدريب تدقيق تقنية المعلومات في الطيران المدققين الجدد على قطاع الطيران؟

نعم، إذ يدرس تدقيق تقنية المعلومات في الطيران بالاعتماد على سجلات وقوالب جاهزة. ويشترط وجود مسؤولية عن التدقيق أو المخاطر أو ضوابط التقنية وإلمام عملي بممارسة التدقيق، دون خلفية تشغيلية في الطيران.

على أي معايير يقوم تدقيق تقنية المعلومات في الطيران في هذا التدريب؟

يقوم تدقيق تقنية المعلومات في الطيران هنا على ISO/IEC 27001 وISO/IEC 27002 للضوابط، وعلى COBIT وISACA ITAF لممارسة التدقيق، وعلى NIST Cybersecurity Framework للفجوات، وعلى ICAO Annex 17 لمتطلبات القطاع.

كيف يستخدم التقرير الناتج من تدريب تدقيق تقنية المعلومات في الطيران في العمل؟

يرفع تقرير تدقيق المشغل إلى لجنة التدقيق، وتستخدم خطوات اختباره في دورة التدقيق التالية، ويحتفظ بخطة الإجراءات فيه لمتابعة استجابات الإدارة.