التقييم الأمني لمورد LMS: الاستبيان والوثائق التي تطلبها

لماذا يتعثر تعاقد منصة التعلم عند فريق الأمن؟

يحدث النمط نفسه في جهات كثيرة: تنتهي إدارة التدريب من العروض التوضيحية وتختار منصة، ثم يصل الملف إلى إدارة الأمن السيبراني متأخرًا، فتطلب استبيانها المعتاد للموردين ووثائق لم يُطلب من المورد تجهيزها، ويتوقف كل شيء. السبب ليس تشددًا؛ فمنصة التعلم تحفظ أكثر مما يتوقعه من يراها «نظام دورات»: أسماء الموظفين وأرقامهم الوظيفية وإداراتهم ومديريهم، ونتائج اختبارات قد تؤثر في الترقية أو الاستمرار، وشهادات يُتحقق منها من خارج الجهة، وربطًا بنظام الهوية ونظام الموارد البشرية.

هذا الربط هو ما يرفع المخاطر. حساب خدمة يقرأ من نظام الموارد البشرية، أو تطبيق مسجل في نظام الهوية بصلاحيات أوسع من اللازم، يجعل المنصة بابًا إلى أنظمة أهم منها. لذلك يتعامل فريق الأمن مع مورد LMS كما يتعامل مع أي طرف خارجي يعالج بيانات الجهة، والضوابط الأساسية للأمن السيبراني الصادرة من الهيئة الوطنية للأمن السيبراني تخصص مكونًا فرعيًا للأمن السيبراني المتعلق بالأطراف الخارجية ضمن مكون الأطراف الخارجية والحوسبة السحابية (الضوابط الأساسية للأمن السيبراني ECC-2:2024).

الحل أن يدخل التقييم الأمني مبكرًا، مع كراسة الطلب لا بعد اختيار المنصة، وأن يكون الاستبيان مكتوبًا بلغة تخص منصة التعلم لا نسخة عامة لكل الموردين.

متى يبدأ التقييم الأمني ومن يشارك فيه؟

التقييم الذي يأتي بعد اختيار المنصة يضع فريق الأمن أمام خيارين سيئين: أن يوافق تحت ضغط الموعد، أو أن يعيد عملية الشراء. التسلسل الأصح يجعل الأمن شريكًا في كل مرحلة بقدر ما يخصه.

عمليًا يشارك أربعة: إدارة الأمن السيبراني (تملك الاستبيان والقرار)، وتقنية المعلومات (الهوية والتكاملات والشبكة)، وإدارة التدريب (تعرف أي البيانات ستدخل المنصة ومن سيستخدمها)، والمشتريات أو الشؤون القانونية (تحول النتائج إلى التزامات). غياب إدارة التدريب عن هذه المرحلة يجعل الأمن يقيّم منصة متخيلة؛ فقد لا يعرف أن متدربين من الشركاء أو العملاء سيدخلون إليها، أو أن صفحة التحقق من الشهادات ستكون عامة.

نموذج استبيان التقييم الأمني لمورد LMS

الجدول التالي هيكل استبيان قابل للنسخ في تسعة محاور. لكل محور: ما تسأل عنه، والدليل الذي تقبله، والإجابة التي تستدعي التوقف. عدّل الصياغة بحسب سياسة جهتك وتصنيف بياناتها، وأضف محاور قطاعك إن وجدت.

اطلب أن يجيب المورد عن كل سؤال بأحد ثلاثة تصنيفات: مطبق ويعمل بالإعداد، أو مطبق بتهيئة أثناء التنفيذ، أو غير مطبق ويحتاج تطويرًا أو تكاملًا. هذا التصنيف وحده يكشف الفرق بين مورد يصف منصته ومورد يصف ما يمكن أن يبنيه.

أسئلة خاصة بمنصات التعلم لا تجدها في الاستبيان العام

استبيانات الموردين في أغلب الجهات مكتوبة لأنظمة عامة، فتغفل نقاطًا لا توجد إلا في منصة التعلم. أضف هذه الأسئلة إلى المحاور السابقة:

صفحة التحقق من الشهادات

صفحة التحقق عامة بطبيعتها؛ يدخلها صاحب عمل أو جهة خارجية برقم الشهادة أو رمزها. اسأل: ما الحقول التي تظهر لمن يتحقق؟ هل يظهر الاسم كاملًا مع الرقم الوظيفي أو رقم الهوية؟ هل يمكن تخمين أرقام الشهادات المتتالية واستعراض شهادات الآخرين؟ الإجابة الجيدة تُظهر ما يثبت صحة الشهادة فقط، برقم يصعب تخمينه.

المحتوى المرفوع والحزم التفاعلية

المدربون يرفعون ملفات وحزم SCORM وعناصر تفاعلية تعمل داخل متصفح المتعلم. اسأل: من يملك صلاحية الرفع؟ هل تُفحص الملفات المرفوعة؟ كيف تُعزل الحزم عن بقية واجهة المنصة؟ وهل يُسجل من رفع كل ملف ومتى؟

نزاهة النتائج

نتيجة اختبار عُدّلت بعد إعلانها مشكلة أمنية بقدر ما هي مشكلة أكاديمية. اسأل: من يستطيع تعديل الدرجة أو درجة النجاح أو إعادة فتح محاولة؟ وهل يظهر التعديل في السجل بالقيمة قبله وبعده واسم من نفذه؟

حسابات التكامل ومفاتيح API

اسأل عن نطاق كل حساب تكامل: هل مفتاح API الذي يضيف الموظفين من نظام الموارد البشرية يستطيع أيضًا قراءة النتائج أو حذف المستخدمين؟ كيف تُدار المفاتيح وتُستبدل؟ وهل يُسجل ما ينفذه كل تكامل كما يُسجل ما ينفذه المستخدم؟ تفاصيل نطاقات الواجهة وطريقة تقييمها في دليل متطلبات واجهة API لمنصة التعلم.

المستخدمون من خارج الجهة

المدربون المتعاقدون، ومتدربو الشركاء، والعملاء في أكاديمية العملاء، لا يدخلون غالبًا عبر نظام هويتكم. اسأل: ما سياسة كلمات المرور لهؤلاء؟ هل يتوفر لهم التحقق متعدد العوامل؟ وكيف يُغلق حساب مدرب انتهى عقده إن لم يمر عبر نظام الهوية؟

قدرات الذكاء الاصطناعي

إن عرض المورد توليد الأسئلة أو التلخيص بالذكاء الاصطناعي، فاسأل: أين يُعالج المحتوى؟ هل تُرسل بيانات المتعلمين أم المحتوى التدريبي فقط؟ هل يمكن تعطيل القدرة كليًا؟ وهل يُستخدم محتوى جهتك في تدريب نماذج لدى طرف ثالث؟

الوثائق التي تطلبها وما يكفي منها

الاستبيان يجمع الإجابات، والوثائق تثبتها. لكن ليست كل وثيقة دليلًا؛ عرض تقديمي بعنوان «الأمن» ليس سياسة نسخ احتياطي. اطلب ما يلي، وانتبه لما لا يكفي:

إن ذكر المورد شهادة لمعيار أمني دولي، فاطلب نسختها ونطاقها: هل تغطي المنصة التي ستستخدمونها ومركز البيانات الذي ستُستضاف فيه، أم تغطي جزءًا آخر من أعمال المورد؟ الشهادة التي لا تشمل نطاق خدمتك لا تجيب عن أسئلتك. وإن كانت جهتك ملزمة بضوابط الحوسبة السحابية، فراجع متطلبات المشترك في ضوابط الأمن السيبراني للحوسبة السحابية CCC-2:2024، التي تحدد متطلبات مقدمي الخدمات والمشتركين معًا.

الإجابات التي تستدعي التوقف

ليست كل إجابة ضعيفة سببًا للرفض. بعضها يُعالج بشرط في العقد أو بتهيئة أثناء التنفيذ، وبعضها يكشف أن المورد لا يعرف منصته أو لا يريد الالتزام. هذه الشجرة تساعد لجنة التقييم على الفرز:

ومن الإجابات التي تستحق التوقف تحديدًا:

• «لا يمكن مشاركة هذه المعلومات لأسباب أمنية» عن مكان الاستضافة أو قائمة الأطراف الثالثة. هذه معلومات تحتاجها الجهة لتقييم امتثالها، وحجبها يعني أنك ستوقّع على مجهول.
• «الأمان مضمون بالكامل». لا نظام بلا ثغرات، والمورد الذي يعد بذلك لم يفكر في الحادث القادم. الإجابة المهنية تصف الضوابط وطريقة الاكتشاف والاستجابة.
• رفض أي اختبار أمني من جهتك دون اقتراح ترتيب منسق أو بيئة اختبار. التنسيق مفهوم، والرفض المطلق ليس كذلك.
• إجابات متطابقة لأسئلة مختلفة، أو إحالة كل سؤال إلى «سياسة الشركة» دون مضمون. علامة على أن الاستبيان لم يُقرأ.
• تعارض بين الاستبيان والجلسة الفنية: الاستبيان يقول إن السجل يحفظ القيمة قبل التعديل وبعده، والبيئة التجريبية لا تظهر ذلك.

سيناريو: شركة تمويل تقيّم ثلاثة موردين

مثال افتراضي للتوضيح شركة تمويل استهلاكي بنحو 1,800 موظف في 11 فرعًا موزعة على ثلاث مناطق، ومركز اتصال كبير، تريد منصة لتدريب إلزامي على مكافحة الاحتيال وحماية بيانات العملاء، واختبارات تأهيل لموظفي البيع. تفضّل إدارة الأمن فيها بيئة مستقلة، وتربط كل الأنظمة بـ Microsoft Entra ID.

أرسلت الشركة الاستبيان بمحاوره التسعة مع الكراسة، ومنحت كل محور درجة من 0 إلى 2 (0 = إجابة موقِفة أو غائبة، 1 = مقبول بشرط، 2 = مقبول بدليل)، فصار الحد الأعلى 18 درجة. واشترطت ألا يحمل أي مورد صفرًا في المحاور الأربعة الجوهرية: الاستضافة، والهوية والصلاحيات، والسجلات، والأطراف الثالثة.

لاحظ أن المورد ب تفوق على ج في المجموع لكنه استُبعد، لأن الشركة جعلت المحاور الجوهرية بوابة أهلية لا مجرد درجات. هذا التمييز بين البوابة والدرجة هو ما يمنع موردًا قويًا في التفاصيل الثانوية من تغطية ثغرة في الأساس. وطريقة دمج نتيجة الأمن مع بقية معايير الترسية مشروحة في نموذج كراسة طلب عروض LMS.

كيف تجيب المنصة التعليمية عن هذا الاستبيان؟

نفضّل أن يقيّمنا فريقك الأمني بنفسه لا أن يصدق وصفنا. لذلك نقدم في صفحة أمن المعلومات في المنصة وفي العرض الفني ما يحتاجه للتقييم: وصف الضوابط المطبقة، والإجابة عن استبيان التقييم الأمني الخاص بجهتك، وتفاصيل الاستضافة والنسخ الاحتياطي والاسترجاع، والتنسيق مع فريقك لأي اختبارات أمنية تجريها جهتك. وهذا ما تجده عند تقييم كل محور:

• ما يعمل بالإعداد: صلاحيات قائمة على الأدوار بنطاق بيانات بالفرع أو الإدارة أو الدورة، وأدوار مخصصة، كما في الأدوار والصلاحيات؛ وسياسات كلمات المرور وقفل الحساب بعد محاولات فاشلة، والتحقق متعدد العوامل، وانتهاء الجلسة وعرض الجلسات النشطة وإنهاؤها؛ وتشفير الاتصال بين المستخدم والمنصة.
• ما يعمل بالإعداد في التدقيق: سجل العمليات يسجل الدخول والإضافة والتعديل والحذف باسم المستخدم والوقت وعنوان IP والقيمة قبل التغيير وبعده، والاطلاع عليه صلاحية منفصلة، ولا يُعدل أو يُحذف من الواجهة، ويُصدَّر بعد التصفية. مدة الاحتفاظ تُحدد وفق سياسة جهتك.
• ما يُحدد بنموذج الاستضافة: سحابي مشترك داخل المملكة مع عزل بيانات كل جهة، أو سحابة خاصة ببيئة مستقلة، أو تشغيل على خوادمكم. المزود ومكان الاستضافة يُسميان في العرض الفني، وتوزيع مسؤوليات المراقبة والنسخ والتحديثات بين فريقنا وفريقكم مبين في خيارات الاستضافة.
• ما يحتاج تكاملًا: الدخول الموحد مع نظام هويتكم، وربط الأدوار بمجموعاته، وتطبيق سياسات التحقق من نظام الهوية نفسه، كما في الدخول الموحد. تفاصيل الربط تُحدد في مرحلة التحليل بحسب ما يتيحه نظامكم.
• ما يُكتب في العقد: شروط الإبلاغ عن الحوادث، وحق التصدير عند الخروج، وأي متطلب خاص بجهتك لا يغطيه ما سبق.

ولا نعد بحماية مطلقة؛ ما نلتزم به ضوابط واضحة وسجلات تكشف ما يحدث وخطة استجابة. وتوفر المنصة ضوابط تساعد جهتك على تطبيق متطلباتها، ويبقى تقييم الامتثال مسؤولية جهتك وإدارة الأمن السيبراني فيها. وإن أردت قراءة الضوابط مصنفة بحسب مجالات الأمن السيبراني فارجع إلى ضوابط الأمن السيبراني في منصة التعلم.

من الاستبيان إلى العقد: الشروط التي تحفظ نتيجة التقييم

إجابات الاستبيان تصف الوضع يوم التقييم. العقد هو ما يحفظها بعد سنة، حين يتغير مزود الرسائل أو يُضاف تكامل جديد. انقل إلى العقد وملحق الخدمة على الأقل:

1. مكان البيانات: المزود والمنطقة لكل مكون كما وردت في العرض الفني، والتزام بإبلاغ الجهة مسبقًا بأي تغيير فيها.
2. الأطراف الثالثة: القائمة المعتمدة، والتزام بإبلاغ الجهة قبل إضافة خدمة تستقبل بياناتها.
3. الإبلاغ عن الحوادث: من يبلغ ومن يُبلَّغ وبأي قناة وما محتوى البلاغ، بصياغة يتفق عليها فريقا الأمن.
4. الاختبارات الأمنية: حق الجهة في اختبار المنصة بترتيب منسق، وطريقة معالجة ما يُكتشف.
5. السجلات: مدة الاحتفاظ بسجل العمليات، وحق الجهة في تصديره.
6. الخروج: تصدير البيانات كاملة بصيغة مقروءة عند انتهاء العقد، ثم حذفها من بيئة المورد ونسخه الاحتياطية وتأكيد ذلك كتابة.

وإن كانت المنصة ستعالج بيانات شخصية لموظفين أو متدربين، فالعلاقة بين جهتك والمورد علاقة جهة تحكم بجهة معالجة، ونظام حماية البيانات الشخصية يحدد التزامات كل منهما؛ ارجع إلى منصة حوكمة البيانات الوطنية للنص وأدلته، وإلى دليل حماية البيانات الشخصية في منصة التعلم لتطبيقه على المنصة. بقية بنود العقد غير الأمنية في قائمة فحص عقد LMS.

أخطاء تضعف التقييم الأمني

• استبيان من مئات الأسئلة لكل مورد: يرد المورد بإجابات منسوخة، ويغرق فريق الأمن في المراجعة. اختر الأسئلة التي تخص منصة التعلم وتصنيف بياناتك.
• تقييم المنصة وإهمال التكاملات: أكثر المخاطر في الحسابات والمفاتيح التي تربطها بنظام الهوية والموارد البشرية، لا في واجهة المتعلم.
• نسيان المستخدمين الخارجيين: المدربون المتعاقدون ومتدربو الشركاء خارج نظام هويتكم، ويحتاجون سياسة دخول خاصة.
• قبول الوثيقة دون مشاهدة: ما يقوله الاستبيان عن السجل والصلاحيات يُرى في بيئة تجريبية خلال دقائق؛ لا تتركه للثقة.
• اعتبار التقييم حدثًا واحدًا: المنصة تتغير بعد الإطلاق؛ جدول مراجعة سنوية للإجابات والأطراف الثالثة والصلاحيات.

الأسئلة الشائعة

الخلاصة: استبيان مبكر، ودليل لكل إجابة، وشروط في العقد

التقييم الأمني لمورد LMS يُنجز في ثلاث خطوات: استبيان بمحاوره التسعة يُرسل مع الكراسة، ووثائق ومشاهدة تثبت الإجابات، وشروط تنقل النتيجة إلى العقد. اجعل المحاور الجوهرية بوابة أهلية لا درجات، وأضف الأسئلة الخاصة بمنصات التعلم التي تغيب عن الاستبيانات العامة.

وإن كانت المنصة التعليمية بين الخيارات التي تقيّمها، فأرسل استبيان جهتك مع طلب العرض، ونعيده مع وصف الضوابط وتفاصيل الاستضافة. وللجهات الحكومية التي تجمع بين متطلبات الأمن والمنافسات، تجد الصورة الكاملة في المنصة التعليمية للجهات الحكومية.