حلّ الأسئلة في الاختبار أعلاه أولًا، ثم افتح كل سؤال هنا لترى الإجابة الصحيحة وسبب خطأ كل خيار.
01أثناء تقييم لدى أحد العملاء، يطلب مدير تقنية المعلومات من المقيِّم حذف نتيجة اختبار فاشل لأحد ضوابط التحكم في الوصول من التقرير النهائي، لأن المعالجة بدأت بالفعل. ماذا يجب أن يفعل المقيِّم؟
سؤال تدريبي الوحدة: إدارة الأمن والمخاطر
أإعادة الاختبار بعد المعالجة والإبلاغ بنتيجة إعادة الاختبار فقط
إعادة الاختبار بعد المعالجة ممارسة سليمة، لكن التقرير يجب أن يبيّن الحالة القائمة وقت إجراء الاختبار؛ والاكتفاء بنتيجة النجاح اللاحقة يحرّف صورة فترة التقييم.
بنقل الملاحظة إلى خطاب إدارة منفصل بناءً على طلب العميل
قد يتضمن خطاب الإدارة ملاحظات إضافية، لكن نقل ضابط فاشل خارج التقرير الذي يعتمد عليه أصحاب المصلحة لمجرد أن العميل طلب ذلك يُخفي نتيجة جوهرية.
جخفض درجة خطورة الملاحظة لتعكس المعالجة الجارية
تعكس درجة الخطورة الضعفَ الذي رُصد فعلًا وأثره المحتمل؛ والمعالجة المخطط لها أو الجارية لا تخفضها، وإن جاز ذكرها إلى جانب الملاحظة.
دالإبلاغ عن الاختبار الفاشل بدقة مع ذكر المعالجة المخططة ✓ الإجابة الصحيحة
صحيح. يقتضي المبدأ الثاني من مدونة أخلاقيات ISC2 (التصرف بشرف وأمانة وعدل ومسؤولية ووفق القانون) الإبلاغ الصادق، وذكر الفشل بدقة مع خطة المعالجة يمنح العميل السياق دون إخفاء النتيجة.
المرجع: مدونة أخلاقيات ISC2، المبدأ الثاني: «التصرف بشرف وأمانة وعدل ومسؤولية ووفق القانون». https://www.isc2.org/ethics
اسأل صديقًا
02أنهت نورثبريدج هيلث تقييم منصة جديدة للرعاية الصحية عن بُعد. ما زالت المخاطر المتبقية أعلى من مستوى تحمّل المؤسسة الموثَّق سابقًا، واكتملت حزمة التفويض. وفق إطار إدارة المخاطر الصادر عن NIST، من يملك صلاحية قبول هذه المخاطر واتخاذ قرار التفويض؟
سؤال تدريبي الوحدة: إدارة الأمن والمخاطر
أالمقيم المستقل الذي يتحقق من الضوابط
يُعدّ المقيّم المستقل تقرير تقييم الأمن والخصوصية، وهو دليل يُبنى عليه القرار، لكنه لا يملك صلاحية قبول المخاطر أو منح التفويض.
بالمسؤول الرفيع المعيَّن بصفته مسؤول التفويض ✓ الإجابة الصحيحة
صحيح. وفق المهمة R-4 في SP 800-37 Rev. 2، مسؤول التفويض مسؤول رفيع يملك صلاحية تحمّل المسؤولية رسميًا عن تشغيل النظام عند مستوى مخاطر مقبول، فيقرر ما إذا كانت المخاطر المتبقية مقبولة ويمنح التفويض بالتشغيل أو يرفضه.
جمالك النظام المعد لحزمة التفويض
يجمع مالك النظام حزمة التفويض ويقدّمها ويتابع خطة العمل والمراحل، لكن ملكية النظام لا تمنحه صلاحية قبول المخاطر نيابة عن المؤسسة.
دمسؤول وظيفة المخاطر الذي يقدم المشورة بشأن تحمل المؤسسة
تقدّم وظيفة مسؤول المخاطر رؤية للمخاطر على مستوى المؤسسة وتنصح مسؤول التفويض بشأن مستوى التحمّل، لكن قرار التفويض الصريح يبقى لمسؤول التفويض.
المرجع: NIST SP 800-37 Rev. 2، المهمة R-4 (قرار التفويض)، ص 73؛ الملحق D.12 (مسؤول التفويض). https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-37r2.pdf
اسأل صديقًا
03تَسِم إدارةٌ في ميريديان ريتيل قرص USB بعلامة «مقيَّد» بعد نسخ قوائم عملاء الحملة عليه، ثم تتركه طوال الليل على مكتب مكشوف قرب الردهة. أي عبارة تصف المخاطر المتبقية على أفضل وجه؟
سؤال تدريبي الوحدة: أمن الأصول
أيجب إعادة وسم القرص بتصنيف أعلى
المشكلة ليست في مستوى التصنيف، فالعلامة تعكس حساسية البيانات أصلًا. ورفع التصنيف يغيّر ما كُتب على القرص، لا من يستطيع أن يلتقطه.
بالقرص ممتثل لأنه موسوم بشكل صحيح
الوسم (MP-3) متطلب واحد فقط من متطلبات حماية الوسائط؛ إذ يشترط MP-4 أيضًا التحكم المادي في الوسائط وتخزينها بأمان، فالعلامة الصحيحة وحدها لا تجعل ترك القرص دون رقابة ممتثلًا.
جالملصق ينقل القيود لكنه لا يفرض التحكم في الوصول ✓ الإجابة الصحيحة
صحيح. الوسم يُعلم المتعاملين بقيود التوزيع والتداول، لكنه إشارة إدارية وليس ضابطًا للوصول. وبترك القرص على مكتب مكشوف يغيب التحكم المادي والتخزين الآمن الذي يشترطه MP-4، فيستطيع أي مارّ بالردهة أخذه.
دالخطر مقبول ما دام القرص مسجلًا في جرد الوسائط
تدعم سجلات الجرد المساءلة وقد تكشف الفقد بعد وقوعه، لكنها لا تمنع الوصول غير المصرّح به إلى قرص متروك دون رقابة.
المرجع: NIST SP 800-53 Rev. 5، الضابطان MP-3 (وسم الوسائط) وMP-4 (تخزين الوسائط) (a–b)، ص 172–173. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53r5.pdf
اسأل صديقًا
04يجب على بنك سيدار حماية أرشيفات العملاء التي يلزم أن تظل سرية لمدة عشرين عامًا على الأقل. خوارزميات المفتاح العام المستخدمة حاليًا لتبادل المفاتيح قد تُكسر بحاسوب كمومي واسع النطاق في المستقبل. أي قرار يعالج متطلب السرية طويل الأمد على أفضل وجه؟
سؤال تدريبي الوحدة: معمارية الأمن وهندسته
أالإبقاء على RSA-2048 للأرشيف وتكبير المفاتيح الكلاسيكية فقط بعد ظهور حاسوب كمومي ذي صلة بالتحليل التشفيري
الانتظار لا يحمي الأسرار طويلة الأمد؛ فتبادلات المفاتيح والنصوص المشفّرة المسجَّلة اليوم يمكن فك تشفيرها لاحقًا (اجمع الآن وفكّ لاحقًا)، كما أن خوارزمية شور تكسر مفاتيح RSA حتى لو كبُر حجمها.
بتغيير شيفرة البيانات المجمعة فقط من AES-128 إلى AES-256
يوفّر AES-256 هامشًا كافيًا أمام خوارزمية غروفر لتشفير البيانات المجمّعة، لكن المفاتيح المتماثلة ما زالت تُنقل عبر تبادل مفاتيح عام قابل للكسر كموميًا، فتبقى الحلقة الأضعف كما هي.
جاعتماد تصميم هجين لتأسيس المفاتيح يتضمن خوارزمية ما بعد كمومية معيارية من NIST ✓ الإجابة الصحيحة
صحيح. البيانات التي يجب أن تبقى سرية عشرين عامًا معرّضة منذ الآن لهجمات «اجمع الآن وفكّ لاحقًا»، لذا يجب البدء بتخطيط الانتقال. قد يحافظ تصميم هجين سليم وخاضع للمراجعة على أمن المفاتيح إذا بقي أحد المكوّنين آمنًا؛ ويجب تحليل آلية الدمج والتنفيذ لكل حالة على حدة. تحدد FIPS 203 خوارزمية ML-KEM المعيارية من NIST.
دالاعتماد فورًا على توزيع المفاتيح الكمومي لكل رابط بين الفرع ومركز البيانات
يحتاج توزيع المفاتيح الكمومي إلى عتاد مخصّص على روابط من نقطة إلى نقطة، ولا يوثّق الأطراف بذاته، ولا يحمي الأرشيفات المخزّنة. وليس هو المسار الموصى به عمومًا للمؤسسات، بل خوارزميات ما بعد الكم المعيارية.
المرجع: NIST IR 8547 (النسخة النهائية، أكتوبر 2026)، القسم 3.1 للسرية طويلة الأمد والقسمان 3.2–3.2.1 لتأسيس المفاتيح الهجين، ص 8–11؛ FIPS 203 ML-KEM (أغسطس 2024). https://nvlpubs.nist.gov/nistpubs/ir/2026/NIST.IR.8547.pdf
اسأل صديقًا
05يجب أن تتبادل إدارتان في بنك سيدار قائمة قصيرة فقط من حقول العملاء المعتمدة مع بقائهما نظامين منفصلين إداريًا. روابط قواعد البيانات المباشرة ما زالت تسرّب أعمدة إضافية. أي نهج معماري يفرض القيد على أفضل وجه؟
سؤال تدريبي الوحدة: معمارية الأمن وهندسته
أشبكة VPN من موقع إلى موقع بين الإدارتين
تشفّر شبكة VPN من موقع إلى موقع البيانات أثناء النقل وتوثّقها، لكن كل ما يرسله رابط قاعدة البيانات، بما فيه الأعمدة الزائدة، يمر عبر النفق كما هو؛ فهي تحمي القناة لا المحتوى.
بثقة هوية اتحادية بين الأدلة
يتيح الاتحاد لكل إدارة أن تثق بهويات الأخرى؛ فهو يحدد من يمكنه الاتصال، لا أي حقول البيانات يجوز أن تعبر الحد بين النظامين.
جواجهة مضبوطة بين النطاقات ✓ الإجابة الصحيحة
صحيح. تفرض الواجهة المضبوطة بين النطاقات (حارس أو حل عبر النطاقات) سياسة تدفق المعلومات عند الحد الفاصل، فتمرّر الحقول المعتمدة فقط وتحجب ما سواها، مع بقاء النظامين منفصلين إداريًا (الضابط AC-4 في SP 800-53).
دقاعدة بيانات مشتركة مع صلاحيات على مستوى العرض
قد تحدّ الصلاحيات على مستوى العرض من الأعمدة، لكن قاعدة البيانات المشتركة تدمج النطاقين تحت إدارة واحدة، وهذا يخالف شرط بقائهما نظامين منفصلين.
المرجع: NIST SP 800-53 Rev. 5، الضابط AC-4 فرض تدفق المعلومات (نص الضابط ومناقشة الحراس عبر النطاقات)، ص 29–30. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53r5.pdf
اسأل صديقًا
06يتأخر حاسوب محمول مُدار في هيليوس إنرجي عن الترقيعات الحرجة أثناء جلسة VPN طويلة بدأت وهو ممتثل. يُصمَّم تقييم وصول مستمر. ما الذي يجب أن يؤثر في السماح باستمرار الجلسة؟
سؤال تدريبي الوحدة: أمن الاتصالات والشبكات
أحالة الجهاز الحالية والسياسة ✓ الإجابة الصحيحة
صحيح. في الثقة الصفرية (SP 800-207، القسم 2.1) يُمنح الوصول لكل جلسة وفق سياسة ديناميكية تشمل الحالة الملحوظة للجهاز الطالب، ويُراقَب وضعه الأمني باستمرار. فالحاسوب الذي يفقد امتثاله للترقيعات أثناء الجلسة يجب أن يُعاد تقييمه وفق السياسة الحالية، فيُقيَّد أو يُفصل عند الحاجة.
بقوة طريقة المصادقة التي اختارها المستخدم
قوة المصادقة متعددة العوامل تثبت هوية المستخدم عند الدخول، ولا تدل على أن الحاسوب يفتقد الآن ترقيعات حرجة.
جنافذة الترقيع المجدولة التالية
ربط القرار بنافذة الترقيع التالية يُبقي جهازًا غير ممتثل متصلًا حتى ذلك الحين، وهذا بالضبط ما صُمّم التقييم المستمر لمنعه.
دحالة تسجيل الجهاز عند الدخول
التحقق من التسجيل عند الدخول فحص لحظي جرى حين كان الجهاز ممتثلًا، فلا يعكس تغيّر وضعه الذي حدث أثناء الجلسة.
المرجع: NIST SP 800-207، معمارية الثقة الصفرية، القسم 2.1 مبادئ الثقة الصفرية (المبادئ 4–6)، ص 15 من ملف PDF. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf
اسأل صديقًا
07تتلقى بوابة العملاء في ميريديان ريتيل، بصفتها طرفًا معتمِدًا (RP)، تأكيد اتحاد يحمل توقيعًا صالحًا من مزوّد الهوية، لكن قيد الجمهور فيه يحدد تطبيق الولاء المنفصل التابع للشركة طرفًا معتمِدًا. ماذا يجب أن تفعل البوابة؟
سؤال تدريبي الوحدة: إدارة الهوية والوصول
أقبوله إذا كان التوقيع صالحًا
التوقيع الصالح يثبت أن مزوّد الهوية أصدر التأكيد وأنه لم يُعدَّل، لا أنه صدر لهذا الطرف. وقبوله يسمح باستخدام تأكيد التُقط لدى طرف آخر للدخول هنا.
بقبوله إذا لم تنتهِ صلاحيته
مدة الصلاحية فحص مستقل؛ فالتأكيد غير المنتهي الموجَّه إلى طرف آخر يظل غير موجَّه إلى هذه البوابة.
جرفضه؛ فالجمهور طرف معتمد آخر ✓ الإجابة الصحيحة
صحيح. يشترط SP 800-63C-4 أن يتحقق الطرف المعتمِد من قيد الجمهور في التأكيد وألا يقبل إلا التأكيدات الصادرة له، فيُرفض التأكيد الموجَّه إلى طرف آخر حتى لو كان توقيعه وصلاحيته سليمين.
دقبوله إذا كان للمشترك حساب محلي
وجود حساب محلي مرتبط بالمشترك لا يثبت أن هذا التأكيد موجَّه إلى هذه البوابة؛ فوجود الحساب ليس من فحوص التحقق من التأكيد.
المرجع: NIST SP 800-63C-4 (2025)، الاتحاد والتأكيدات: قيد جمهور التأكيد وتحقق الطرف المعتمِد منه؛ القسم 2.2 FAL1. https://pages.nist.gov/800-63-4/sp800-63c.html
اسأل صديقًا
08لم يُسفر اختبار اختراق خارجي استمر يومين على البوابة الجديدة لشركة هيليوس إنرجي عن أي استغلال ناجح. ويريد فريق التسويق إعلان أن البوابة «آمنة تمامًا». أي عبارة في التقرير هي الأنسب؟
سؤال تدريبي الوحدة: تقييم الأمن واختباره
ألم ينجح أي استغلال ضمن النطاق والمدة المحددين ✓ الإجابة الصحيحة
صحيح. يؤكد SP 800-115 أن نتائج الاختبار تعكس النطاق والأساليب والوقت المتاح؛ فاختبار الاختراق الذي لم يجد استغلالًا يثبت فقط أن هذا الفريق، بهذه الأساليب وفي هذه المدة، لم ينجح، وهذا ما يجب أن يقوله التقرير بدل أن يشهد بأمن النظام.
بالضوابط تحقق خط الأساس للمؤسسة
يختبر اختبار الاختراق قابلية الاستغلال، وليس تقييمًا للضوابط مقابل خط الأساس للمؤسسة، فلا يصلح سندًا لاستنتاج الامتثال لخط الأساس.
جلا توجد ثغرات حرجة
لا يستطيع أي اختبار أن يثبت خلوّ النظام من الثغرات الحرجة؛ فقد تبقى مسارات لم تُختبر وشيفرة جديدة وعيوب يُكشف عنها لاحقًا، فهذه العبارة مبالغة.
دالنظام آمن ضد الهجوم
هذه هي العبارة التي يريدها التسويق، لكن عدم نجاح أي استغلال خلال اختبار محدود المدة ليس دليلًا على أن النظام آمن من الهجمات.
المرجع: NIST SP 800-115، الدليل الفني لاختبار أمن المعلومات وتقييمه، القسم 5.2.2 (حدود اختبار الاختراق) والقسم 7.2 (قيود الوقت على النتائج). https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-115.pdf
اسأل صديقًا
09تظهر أفعال مهاجم ضد ميريديان ريتيل على هيئة إشارات ضعيفة متفرقة في سجلات VPN والهوية وقاعدة البيانات، ولم يُطلق أي منها تنبيهًا بمفرده. أي تحسين في الكشف يعالج هذا النمط على أفضل وجه؟
سؤال تدريبي الوحدة: العمليات الأمنية
أزيادة التسجيل على كل نظام
زيادة التسجيل على كل نظام تضيف بيانات داخل الجزر المعزولة نفسها؛ ومن دون ربط المصادر تبقى كل إشارة ضعيفة بريئة المظهر بمفردها.
بمراجعة كل فريق لسجلاته عن كثب
مراجعة كل فريق لسجلاته تتناول مصدرًا واحدًا في كل مرة، فيبقى النمط العابر للأنظمة (دخول VPN ثم تغيير في الهوية ثم وصول إلى قاعدة البيانات) غير مرئي.
جربط الأحداث عبر مصادر السجلات ✓ الإجابة الصحيحة
صحيح. يدعو التحسين AU-6(3) في SP 800-53 إلى تحليل سجلات التدقيق وربطها عبر المستودعات المختلفة لتحقيق وعي ظرفي على مستوى المؤسسة. ويربط هذا التحليل، عادةً في نظام SIEM، الأحداث منخفضة المستوى في سلسلة هجوم واحدة تستحق التنبيه.
دالتنبيه على الأحداث عالية الخطورة
التنبيه على الأحداث عالية الخطورة يفوّت هذا الهجوم بطبيعته، لأن كل خطوة منفردة كانت منخفضة الخطورة، ولهذا لم يُطلق أي تنبيه.
المرجع: NIST SP 800-53 Rev. 5، التحسين AU-6(3) مراجعة سجلات التدقيق وتحليلها والإبلاغ عنها: ربط مستودعات سجلات التدقيق. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53r5.pdf
اسأل صديقًا
10ما زال مشغّل تكامل مستمر (CI) مخترَق في ميريديان ريتيل قادرًا على الوصول إلى بيانات اعتماد النشر في بيئة الإنتاج، المخزَّنة كمتغيرات في خط الأنابيب بنص واضح. أي تغيير يحدّ على أفضل وجه مما يمكن أن يصل إليه مشغّل مخترَق؟
سؤال تدريبي الوحدة: أمن تطوير البرمجيات
أتدوير بيانات اعتماد النشر بوتيرة أعلى
التدوير الأكثر تكرارًا يقصّر عمر بيانات الاعتماد المكشوفة، لكن كل قيمة جديدة تعود إلى المتغيرات نفسها بنص واضح، فيقرأ المشغّل المخترَق القيمة الحالية ببساطة.
بتشفير بيانات الاعتماد المخزنة
تشفير المتغيرات المخزّنة لا يفيد ما دام المشغّل نفسه مخوَّلًا بفك تشفيرها عند تنفيذ المهمة، فالمشغّل المخترَق يحصل على النص الواضح في كل الأحوال.
جمراقبة المشغّل لرصد سوء الاستخدام
قد تكشف المراقبة سوء الاستخدام بعد بدئه، لكنها لا تسحب من المشغّل قدرته على الوصول إلى بيانات اعتماد الإنتاج.
دفصل البيئات وتقييد الأسرار ✓ الإجابة الصحيحة
صحيح. تدعو المهمة PO.5.1 في إطار SSDF إلى فصل كل بيئة من بيئات تطوير البرمجيات وحمايتها. فلا ينبغي أن تحمل مشغّلات البناء والاختبار أسرار نشر الإنتاج، بل تُقيَّد الأسرار ببيئة ومهمة محددتين، كأن تُصدر خزنة أسرار بيانات اعتماد قصيرة العمر وبأقل صلاحية لمرحلة النشر المحمية وحدها.
المرجع: NIST SP 800-218، إطار SSDF الإصدار 1.1، الممارسة PO.5 (تنفيذ بيئات آمنة لتطوير البرمجيات وصيانتها)، المهمة PO.5.1. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-218.pdf
اسأل صديقًا
