0

غير موجود

• لا توجد وثائق.

• لا يوجد وعي أو اهتمام ببعض ضوابط تقنية المعلومات.

• لا توجد ضوابط تقنية المعلومات مطبقة. لا يوجد وعي بمجال المخاطر المحدد أو خطط حالية لتنفيذ ضوابط تقنية المعلومات هذه.

1

مخصصة

• ضوابط تقنية المعلومات غير محددة أو محددة جزئيا.

• يتم تنفيذ ضوابط تقنية المعلومات بطريقة غير متناسقة.

• لم يتم تحديد ضوابط تقنية المعلومات بشكل كامل.

• يختلف تصميم وتنفيذ الرقابة على تقنية المعلومات باختلاف الإدارة أو المالك.

• قد لا يخفف تصميم ضوابط تقنية المعلومات من المخاطر المحددة إلا جزئياً، وقد يكون التنفيذ غير متسق.

2

متكررة، ولكن غير رسمية

• يعتمد تنفيذ ضوابط التحكم في تقنية المعلومات على ممارسة غير رسمية وغير مكتوبة، وإن كانت موحدة.

• توجد ضوابط لتقنية المعلومات قابلة للتكرار. ومع ذلك، لم يتم تحديد أو اعتماد أهداف الرقابة وتصميمها بشكل رسمي.

• هناك اعتبار محدود للمراجعة المنظمة أو اختبار التحكم.

3

منظم وذو طابع رسمي

• ضوابط تقنية المعلومات محددة ومعتمدة ويتم تنفيذها بطريقة منظمة ورسمية.

• يمكن إثبات تنفيذ ضوابط تقنية المعلومات.

• وضع سياسات ومعايير وإجراءات تقنية المعلومات.

• يتم مراقبة الامتثال لوثائق تقنية المعلومات، أي السياسات والمعايير والإجراءات، ويفضل باستخدام أداة الحوكمة والمخاطر والامتثال (GRC).

• يتم تحديد مؤشرات الأداء الرئيسية ورصدها والإبلاغ عنها لتقييم التنفيذ.

4

مُدار وقابل للقياس

• يتم تقييم فعالية ضوابط تقنية المعلومات دوريًا وتحسينها عند الضرورة.

• يتم توثيق هذا القياس الدوري والتقييمات وفرص التحسين.

• يتم قياس فعالية ضوابط تقنية المعلومات وتقييمها دوريًا.

• يتم استخدام مؤشرات المخاطر الرئيسية وتقارير الاتجاهات لتحديد مدى فعالية ضوابط تقنية المعلومات.

• يتم استخدام نتائج القياس والتقييم لتحديد فرص تحسين ضوابط تقنية المعلومات.

5

متكيّف

• تخضع ضوابط تقنية المعلومات لخطة تحسين مستمر.

• يركز برنامج حوكمة تقنية المعلومات على مستوى المؤسسة على الامتثال المستمر لضوابط تقنية المعلومات وفاعليتها وتحسينها.

• يتم دمج ضوابط تقنية المعلومات مع إطار عمل وممارسات إدارة المخاطر المؤسسية.

• يتم تقييم أداء ضوابط تقنية المعلومات باستخدام بيانات النظراء والقطاع.