كيف تكتبون طلب عروض أمنية تحصلون منه على إجابات قابلة للمقارنة

تفشل مناقصات أمنية كثيرة قبل أن يصل أول عرض. فالطلب يقتصر على «حل SIEM» أو «ترقية جدار الحماية»، مع قائمة طويلة من المزايا منسوخة من نشرة أحد الموردين. يجيب كل متقدّم بكلمة «مطابق» على كل بند، وتجد لجنة التقييم نفسها تقارن أسعار منتجات سيختلف سلوكها كثيرًا بعد تركيبها.

أما طلب تقديم العروض (RFP) الجيد فيفعل العكس: يصف مشكلتكم بدقة، ويطلب من المتقدّمين أن يبيّنوا كيف سيحلّونها. تصلح الأقسام التالية لشراء المنتجات الأمنية ومشاريع التكامل وخدمات التقييم على حد سواء.

1. ابدأوا بالنتيجة المطلوبة لا بالمنتج

اكتبوا فقرة أو فقرتين عن سبب الشراء، مثل: «نحتاج إلى كشف النشاط المريب على خوادم النظام المصرفي الأساسي وخوادم الدليل النشط والتحقيق فيه، والاحتفاظ بالأدلة التي يطلبها المدققون». بهذا يعرف المتقدّمون شكل النجاح، ويستطيعون اقتراح نهج ربما لم يخطر لكم.

وتجنّبوا تسمية فئة المنتج مبكرًا. فعبارة «نحتاج إلى XDR» تستدعي عروضًا ترويجية للمنتجات، أما عبارة «نحتاج إلى كشف نشاط برمجيات الفدية على 600 نقطة نهاية و40 خادمًا» فتستدعي حلولًا.

2. صِفوا بيئتكم الحالية

لا يستطيع المتقدّمون تحديد الأحجام أو التسعير بدقة دون معلومات. أدرجوا ما يلي، بمستوى من التفصيل يمكن مشاركته بأمان بموجب اتفاقية عدم إفصاح:

• عدد المستخدمين ونقاط النهاية والخوادم والمواقع.
• المنصات الرئيسية: أنظمة التشغيل، وخدمة الدليل، والبريد الإلكتروني، والمحاكاة الافتراضية، والبيئات السحابية.
• الأدوات الأمنية الحالية التي يجب التكامل معها أو استبدالها.
• مخطط الشبكة بصورة عامة: مراكز البيانات، والفروع، واتصالات الإنترنت.
• القيود القائمة، مثل البيانات التي يجب أن تبقى داخل ليبيا، أو نوافذ التغيير، أو تقييد الوصول عن بُعد.

البيئة الغامضة تنتج عروضًا غامضة، وتظهر كلفة هذا الغموض لاحقًا في صورة طلبات تغيير.

3. افصلوا المتطلبات الإلزامية عن المرغوبة

صنّفوا كل متطلب إلى إلزامي (يُستبعد العرض الذي لا يستوفيه) أو مرغوب (يُمنح درجات). واجعلوا قائمة المتطلبات الإلزامية قصيرة، فعشرة متطلبات حقيقية خير من مئة منسوخة. ومن أمثلة المتطلبات الإلزامية المعتادة: التكامل مع أنظمة لا يمكنكم تغييرها، والقيود التنظيمية أو قيود موقع البيانات، وتوافر الدعم داخل ليبيا.

واسألوا عن كيفية استيفاء كل متطلب إلزامي، لا عن استيفائه فقط. فكلمة «مطابق» ليست إجابة، أما «مدعوم أصلًا عبر موصل Active Directory الخاص بالمورد، ويُضبط في المرحلة الثانية» فهي إجابة.

4. اطلبوا من المتقدّمين شرح سيناريوهاتكم

تكشف السيناريوهات أكثر مما تكشفه جداول المزايا. قدّموا من ثلاثة إلى خمسة مواقف واقعية، واطلبوا من كل متقدّم أن يصف خطوة بخطوة ما سيفعله حلّه وفريقه. ففي منصة كشف مثلًا:

• حساب مستخدم يسجّل الدخول من بلدين مختلفين خلال ساعة واحدة.
• خادم يبدأ تشفير الملفات على مجلد مشترك في الشبكة.
• مدقق يطلب جميع أنشطة المسؤولين على نظام المدفوعات خلال الأشهر الستة الماضية.

وحيثما أمكن، حوّلوا أهم السيناريوهات إلى إثبات مفهوم (PoC) قصير بمعايير نجاح وإخفاق متفق عليها مسبقًا.

5. حدّدوا طريقة التنفيذ لا التقنية وحدها

ينجح معظم المشاريع الأمنية أو يفشل بسبب التنفيذ. اطلبوا ما يلي:

• الفريق المقترح وأدوار أعضائه وشهاداتهم ذات الصلة، وهل هم من سينفّذون العمل فعلًا.
• خطة المشروع بمراحلها ومحطاتها الرئيسية، وما المطلوب منكم في كل مرحلة.
• المخرجات: التصميم عالي المستوى والتصميم التفصيلي، ووثائق التنفيذ الفعلي (As-built)، ونتائج الاختبارات، وجلسات التسليم.
• نقل المعرفة: كيف سيتمكن موظفوكم من تشغيل النظام وضبطه ومعايرته بعد التسليم.
• الدعم بعد بدء التشغيل الفعلي: ما الذي يشمله، ولأي مدة، وكيف تُرفع المشكلات.

6. اجعلوا الأسعار قابلة للمقارنة

قدّموا نموذجًا موحّدًا للتسعير، وألزموا جميع المتقدّمين باستخدامه. افصلوا التكاليف التي تُدفع مرة واحدة (التراخيص، والأجهزة، والتنفيذ، والتدريب) عن التكاليف المتكررة (الاشتراكات، وتجديد الدعم)، واطلبوا التكلفة الإجمالية على ثلاث سنوات أو خمس. واطلبوا من المتقدّمين أن يذكروا ما قد يرفع السعر، مثل زيادة نقاط النهاية أو حجم السجلات أو إضافة مواقع، حتى تقارنوا كلفة النمو لا كلفة السنة الأولى فقط.

7. أعلنوا طريقة التقييم

أخبروا المتقدّمين كيف ستُقيَّم العروض. فنموذج تقييم بسيط ومعلن يشجّع على إجابات مركّزة:

المعيار	وزن على سبيل المثال
الملاءمة للنتائج المطلوبة والسيناريوهات	35%
منهجية التنفيذ والفريق	25%
التكامل والمتطلبات الإلزامية	15%
التكلفة الإجمالية طوال مدة العقد	25%

اتفقوا على الأوزان داخل مؤسستكم قبل طرح الطلب، وليقيّم كل عضو العروض بصورة مستقلة قبل اجتماع اللجنة.

أخطاء شائعة ينبغي تجنّبها

• نسخ نشرة المورد في المتطلبات. فهذا يميل لمنتج بعينه ويخفي ما تحتاجونه فعلًا.
• طلب كل شيء. القوائم الطويلة من المزايا قليلة القيمة تضعف الإجابات المهمة.
• مهلة قصيرة للرد. العروض المتعجلة عروض عامة.
• غياب جولة الاستيضاح. فترة قصيرة للأسئلة والأجوبة المكتوبة، تُشارك إجاباتها مع جميع المتقدّمين، تمنع سوء الفهم وتحافظ على عدالة الإجراءات.

كيف نساعدكم

يساعد فريق استشارات واستراتيجية تقنية المعلومات لدينا المؤسسات على تحديد المتطلبات وكتابة طلبات العروض وتقييم العروض المقدّمة، وتقدّم خدمة هندسة الحلول التصاميم التي تجعل العروض قابلة للمقارنة. وإن كنتم تشترون خدمات اختبار، فإن قائمة التحقق التي نشرناها بعنوان ما الذي يجب أن يتضمنه تقرير اختبار الاختراق؟ ستساعدكم على تقييم النماذج التي يرسلها المتقدّمون.