هذا ما يجتازه كل مرشح قبل أن يصلك
هذا الدليل هو البوابة الثالثة من خمس بوابات تقييم: جلسة تقنية مباشرة يديرها مهندس بمستوى قائد في ممارسة الأمن السيبراني، تليها مهمة عملية تُصحَّح على بطاقة تقييم موحدة. يجتاز البوابات الخمس 3.4% من المتقدمين، وتصلك النتيجة مع كل ملف.
يمكنك استخدام هذه الأسئلة في مقابلاتك الداخلية. التلميحات تصف ما تبحث عنه في الإجابة القوية، لا إجابة نموذجية تُحفظ.
20 سؤالًا تقنيًا
أسئلة خاصة بدور أخصائي حوكمة ومخاطر وامتثال
السؤال 1: كيف تبني مكتبة ضوابط واحدة لعدة أطر؟
تلميح الإجابة
مجموعة ضوابط موحدة، ومصفوفة ربط، ومالك واحد ومسار أدلة واحد لكل ضابط.
السؤال 2: اشرح تقييم مخاطر أجريته.
تلميح الإجابة
النطاق، والأصول والتهديدات، والاحتمال والأثر، وقرارات المعالجة، والمالكون.
السؤال 3: ما الذي يجعل الدليل بجودة تصلح للتدقيق؟
تلميح الإجابة
مكتمل، ومؤرخ زمنيًا، ومن نظام السجل الأصلي، ومربوط بالضابط والفترة.
السؤال 4: كيف يغيّر DORA إدارة مخاطر الأطراف الثالثة؟
تلميح الإجابة
سجل لمزوّدي تقنية المعلومات والاتصالات من الأطراف الثالثة، ومتطلبات تعاقدية، وخطط خروج، ومخاطر التركّز.
السؤال 5: فعالية التصميم مقابل فعالية التشغيل: ما الفرق؟
تلميح الإجابة
بُني الضابط بشكل صحيح، مقابل عمل باتساق طوال فترة التدقيق.
السؤال 6: مالك ضابط يفوّت مواعيد المعالجة باستمرار. ماذا تفعل؟
تلميح الإجابة
صعّد مع بيان المخاطر، واتفق على معالجة مؤقتة، وتابع ذلك في منتدى الحوكمة.
السؤال 7: كيف تحدد نطاق تقرير SOC 2 Type II؟
تلميح الإجابة
معايير خدمات الثقة، والأنظمة ضمن النطاق، وفترة التدقيق، والمنظمات المزوّدة من الباطن.
السؤال 8: ماذا يشترط PDPL حين تغادر البيانات الشخصية المملكة العربية السعودية؟
تلميح الإجابة
شروط النقل، والضمانات، وتقييم المخاطر، والتوثيق.
السؤال 9: كيف تستعد لتفتيش جهة منظمة خلال أسبوعين؟
تلميح الإجابة
النطاق، وفهرس الأدلة، وإحاطة المالكين، والفجوات المعروفة مع خططها، وجولات تجريبية.
السؤال 10: ما الذي ينتمي إلى تقرير المخاطر المقدَّم لمجلس الإدارة؟
تلميح الإجابة
أهم المخاطر واتجاهاتها، وفعالية الضوابط، والإجراءات المتأخرة، والحوادث، والرغبة في المخاطرة.
أسئلة مشتركة في ممارسة الأمن السيبراني
السؤال 11: اربط ضابطًا طبّقته بإطار NCA ECC-2:2024 أو ISO 27001.
تلميح الإجابة
مرجع الضابط، وطريقة تطبيقه، والدليل الناتج، وكيف اختُبرت فعاليته.
السؤال 12: اشرح اختراقًا ببرنامج فدية مستعينًا بـ MITRE ATT&CK.
تلميح الإجابة
من الوصول الأولي حتى الأثر، مع كشف أو ضابط عند كل مرحلة.
السؤال 13: كيف ترتّب أولويات 5,000 ثغرة مفتوحة؟
تلميح الإجابة
الاستغلال المعروف، وأهمية الأصل، والتعرض، والضوابط التعويضية، ومستويات مهل المعالجة.
السؤال 14: ما السجلات التي تحتاجها للتحقيق في هوية سحابية مخترقة؟
تلميح الإجابة
سجلات الدخول، وإصدار الرموز، وتدقيق مستوى التحكم، والوصول إلى الموارد، وتدفقات الشبكة.
السؤال 15: اشرح مبدأ الثقة الصفرية لمدير مالي في دقيقتين.
تلميح الإجابة
لا ثقة بسبب الموقع الشبكي، وتحقق من الهوية والجهاز والسياق عند كل طلب، وقدّمها بوصفها مخاطر أعمال.
السؤال 16: كيف تكتب قاعدة كشف مفيدة لا مزعجة؟
تلميح الإجابة
فرضية واضحة، ومصدر البيانات الصحيح، وضبط على خط أساس، واختبار بالمحاكاة، وخطوات فرز موثقة.
السؤال 17: ماذا تفعل في الساعة الأولى من اختراق مشتبه به؟
تلميح الإجابة
حفظ الأدلة، والاحتواء، واتباع دليل الاستجابة، وبدء احتساب المهل التنظيمية، وضبط التواصل.
السؤال 18: كيف تحمي الأسرار عبر CI/CD والسحابة والأجهزة المحمولة؟
تلميح الإجابة
خزنة مركزية، وبيانات اعتماد قصيرة العمر، وربط OIDC، وفحص الأسرار، والتدوير المنتظم.
السؤال 19: كيف يختلف SAMA CSF عن ISO 27001 عمليًا؟
تلميح الإجابة
جهة تنظيمية قطاعية وتقييم نضج، مقابل نظام إدارة قابل للاعتماد؛ مع تداخل كبير في الضوابط.
السؤال 20: صف إصلاحًا أمنيًا نجحت في تمريره رغم الاعتراض.
تلميح الإجابة
مخاطر مُقدَّرة بالأرقام، وصياغة بلغة الأعمال، وحل وسط متفق عليه، وإغلاق مُتحقَّق منه.
مهمة قريبة من أول أسبوع عمل
لديك مقتطف من 30 ضابطًا من NCA ECC ووصف موجز لبيئة شركة تقنية مالية. أعدّ تقييمًا للفجوات، واربط كل فجوة بالملحق A في ISO 27001، واقترح خطة معالجة على 12 أسبوعًا مع المالكين والأدلة.
أرسل الموجز قبل 24 ساعة أو نفّذ المهمة مباشرة، واطلب من المرشح شرح المفاضلات أثناء العمل؛ فطريقة التفكير أهم من الناتج النهائي. مهمة محددة الوقت، بلا بيانات حقيقية لأي عميل، ويُناقش الحل مع المرشح بعد التسليم لفهم قراراته لا لمجرد النتيجة.
علامات التحذير
- يعامل الامتثال كقوالب وثائق لا صلة لها بالواقع التقني.
- لا يستطيع شرح كيف اختُبر ضابط بعينه.
- لا يعرف الأطر المنطبقة في السوق المستهدفة.
- يتجنب مناقشة مالكي الضوابط أو تصعيد المخاطر.
- يعجز عن شرح قرار تقني اتخذه بنفسه وسبب اختياره.
- ينسب نتائج الفريق لنفسه دون تفاصيل دوره الفعلي فيها.
أربعة أبعاد، ودرجة اجتياز معلنة
| البُعد | الوزن | ما تعنيه الدرجة 4 من 4 |
|---|---|---|
| العمق التقني وجاهزية الإنتاج والأمن | 40% | يشرح المفاضلات ويصمم للفشل والبيانات الحساسة ويعرف حدود كل أداة |
| المهمة العملية وحل المشكلات | 30% | حل يعمل، مع اختبارات وقرارات موثّقة |
| التواصل والتوثيق | 20% | يشرح بوضوح لجمهور تقني وغير تقني بالعربية أو الإنجليزية |
| المراجع والسياق الإقليمي | 10% | تؤكد المراجع النطاق المذكور، ويعرف الأطر وقواعد إقامة البيانات ذات الصلة |
الاجتياز بمتوسط مرجّح 3.0 من 4 فأكثر، دون أي بُعد أقل من 2. يعتمد قائد الممارسة النتيجة النهائية.