الخلاصة الأساسية
بموجب توجيهات CERT-In لعام 2022، يجب على المؤسسات العاملة في الهند الإبلاغ عن الحوادث السيبرانية المحدّدة خلال 6 ساعات من علمها بها، والاحتفاظ بالسجلات داخل الهند لمدة 180 يومًا، ومزامنة الساعات مع خوادم NTP التابعة لـ NIC أو NPL. وتضيف سياسة التدقيق لعام 2025 تدقيقات شاملة إلزامية سنوية لتقنية المعلومات والاتصالات.
ما الذي تتطلبه قاعدة الست ساعات
تشترط توجيهات CERT-In الصادرة بموجب المادة 70B من قانون تقنية المعلومات، والمنشورة في 28 أبريل 2022، الإبلاغ عن الحوادث السيبرانية المحدّدة إلى CERT-In خلال 6 ساعات من اكتشافها، وبالصيغة المقررة.
وست ساعات مطلب صعب تشغيليًا. فهو يفترض قدرتك على اكتشاف الحوادث بسرعة ووجود عملية إبلاغ متفق عليها، وهو ما يعني عمليًا مراقبة على مدار الساعة وخطة استجابة للحوادث مُعدّة مسبقًا.
إلى جانب الإبلاغ: السجلات ومزامنة الوقت
تضيف التوجيهات التزامين تقنيين آخرين يتحقق منهما المدققون.
- الاحتفاظ بسجلات أنظمة تقنية المعلومات والاتصالات بأمان داخل الولاية القضائية الهندية لمدة 180 يومًا
- مزامنة جميع ساعات الأنظمة مع خوادم NTP التابعة لـ NIC أو NPL
- تسجيل بيانات اتصال دقيقة لدى CERT-In
سياسة التدقيق لعام 2025
تنقل إرشادات سياسة التدقيق الشامل للأمن السيبراني الصادرة عن CERT-In في 25 يوليو 2025 الهندَ من تدقيق شكلي إلى نهج قائم على الصمود. وهي تشترط تدقيقًا شاملًا واحدًا على الأقل سنويًا لتقنية المعلومات والاتصالات، ومراجعين مستقلين، وشهادات تدقيق موقّعة، وتغطية للسحابة والذكاء الاصطناعي والبلوك تشين ومخاطر الأطراف الثالثة.
وتشترط الجهات المالية التنظيمية جميعها (RBI وSEBI وIRDAI) مدققين معتمدين لدى CERT-In، لذا يمكن لتدقيق معتمد واحد أن يخدم عدة إفصاحات تنظيمية.
كيف تساعدك IntelligenceX
نُعِدّ خطة الإبلاغ خلال ست ساعات، ونتحقق من الاحتفاظ بالسجلات وإعداد NTP، وننفّذ تدقيقات شاملة لتقنية المعلومات والاتصالات واختبارات VAPT متوافقة مع CERT-In، مع تقرير بأسلوب المدقق المعتمد ومراجعة مستقلة.
الأسئلة الشائعة
تُلزم المؤسسات العاملة في الهند بالإبلاغ عن الحوادث السيبرانية المحدّدة إلى CERT-In خلال 6 ساعات من علمها بها. والالتزام بها عمليًا يتطلب كشفًا على مدار الساعة وعملية استجابة للحوادث جاهزة.
نعم بالنسبة لإفصاحات RBI وSEBI وIRDAI، إذ يُتوقع مدقق معتمد. واستخدام مدقق معتمد يعني أن تدقيقًا واحدًا يمكن أن يدعم عدة متطلبات تنظيمية.