الضوابط الأساسية للأمن السيبراني: خدمات الامتثال والأمن السيبراني في السعودية

الضوابط الأساسية للأمن السيبراني (ECC-2:2024) هي الحد الأدنى من متطلبات الأمن السيبراني التي أصدرتها الهيئة الوطنية للأمن السيبراني للجهات الحكومية وجهات البنية التحتية الوطنية الحساسة في المملكة. تساعد أمواج للحلول هذه الجهات ومورّديها على سدّ فجوات الامتثال للضوابط ولنظام حماية البيانات الشخصية وإطار ساما، عبر تصميم البنية الأمنية وتطبيق الضوابط وإعداد الأدلة المطلوبة.

لم يعد الأمن السيبراني في المملكة مسألة تقنية فحسب، بل أصبح مسألة تنظيمية أيضًا: مجالس الإدارة تُطالَب بأدلة لا بتطمينات، والمورّدون للجهات الحكومية يُطلب منهم إثبات ضوابطهم، والبيانات الشخصية أصبحت محمية بعقوبات نافذة. نعمل شريكًا هندسيًا لك: نحدّد الفجوات، ونصمّم البنية المستهدفة، ونطبّق الضوابط التي تسدّها.

ما هي الضوابط الأساسية للأمن السيبراني (ECC)؟

تحدّد الضوابط الأساسية للأمن السيبراني الحد الأدنى من المتطلبات لحماية الأصول المعلوماتية والتقنية للجهات الوطنية. والإصدار الحالي ECC-2:2024 حلّ محل الإصدار ECC-1:2018، ويتكوّن من:

• 4 مكوّنات أساسية: حوكمة الأمن السيبراني، وتعزيز الأمن السيبراني، وصمود الأمن السيبراني، والأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية.
• 28 مكوّنًا فرعيًا، من إدارة الأصول وإدارة الهويات والصلاحيات إلى إدارة سجلات الأحداث والمراقبة، واختبار الاختراق، وحماية تطبيقات الويب.
• 108 ضوابط أساسية و92 ضابطًا فرعيًا.

وكان الإصدار ECC-1:2018 يضم 5 مكوّنات أساسية و29 مكوّنًا فرعيًا و114 ضابطًا. وفي تحديث 2024 نُقل مكوّن أنظمة التحكم الصناعي إلى ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC)، ونُقلت ضوابط توطين البيانات إلى مكتب إدارة البيانات الوطنية في الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) (الهيئة الوطنية للأمن السيبراني: الضوابط الأساسية). وتقيّم الهيئة الالتزام عبر التقييم الذاتي، وتقارير أداة قياس الالتزام، والزيارات الميدانية للتدقيق. ويشرح دليلنا للضوابط الأساسية للأمن السيبراني كل مكوّن بالتفصيل.

من الجهات الملزمة بتطبيق الضوابط الأساسية للأمن السيبراني؟

تنطبق ضوابط ECC-2:2024 على الجهات الحكومية في المملكة، من وزارات وهيئات ومؤسسات وغيرها، وعلى الشركات والجهات التابعة لها داخل المملكة وخارجها، وكذلك على جهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. وتشجّع الهيئة بقية الجهات في المملكة بقوة على الاستفادة من هذه الضوابط بوصفها أفضل الممارسات.

وعمليًا، يتجاوز أثر الضوابط نطاقها الرسمي؛ إذ يُلزم المكوّن الفرعي الخاص بالأمن السيبراني المتعلق بالأطراف الخارجية الجهاتِ المشمولة بإدارة مخاطر مورّديها، لذلك يُطلب كثيرًا من مزوّدي التقنية والمتكاملين ومقدّمي الخدمات للجهات الحكومية وجهات البنية التحتية الحساسة إثبات ضوابط متوافقة في العقود وإجراءات العناية الواجبة.

ما الأطر التنظيمية الأخرى للأمن السيبراني والبيانات التي قد تنطبق عليك؟

الضوابط الأساسية هي الأساس، ووفقًا لقطاعك وأنظمتك وبياناتك قد تنطبق عليك امتدادات وأطر موازية أخرى.

الإطار	على من ينطبق	الجهة التنظيمية
الضوابط الأساسية للأمن السيبراني (ECC-2:2024)	الجهات الحكومية والجهات التابعة لها، وجهات القطاع الخاص المالكة أو المشغّلة أو المستضيفة لبنى تحتية وطنية حساسة	الهيئة الوطنية للأمن السيبراني
ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024)	مقدّمو الخدمات السحابية للجهات المشمولة، والجهات المشمولة التي تستخدم الخدمات السحابية أو تخطّط لاستخدامها	الهيئة الوطنية للأمن السيبراني
ضوابط الأمن السيبراني للبيانات (DCC-1:2022)	الجهات الحكومية وجهات القطاع الخاص ذات البنى التحتية الحساسة، طوال دورة حياة البيانات	الهيئة الوطنية للأمن السيبراني
ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC-1:2022)	أنظمة التحكم الصناعي في المنشآت الحساسة التي تملكها أو تشغّلها جهات حكومية أو جهات خاصة ذات بنى تحتية حساسة	الهيئة الوطنية للأمن السيبراني
ضوابط الأمن السيبراني للأنظمة الحساسة (CSCC-1:2019)	الأنظمة الوطنية الحساسة؛ 32 ضابطًا أساسيًا و73 ضابطًا فرعيًا مكمّلة للضوابط الأساسية	الهيئة الوطنية للأمن السيبراني
نظام حماية البيانات الشخصية	أي جهة عامة أو خاصة تعالج بيانات شخصية لأفراد في المملكة، بما في ذلك من خارجها	الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)
الإطار التنظيمي للأمن السيبراني لساما	البنوك وشركات التأمين وإعادة التأمين وشركات التمويل وشركات المعلومات الائتمانية والبنية التحتية للسوق المالية الخاضعة لإشراف ساما	البنك المركزي السعودي (ساما)

وقد حُدّثت ضوابط الأمن السيبراني للحوسبة السحابية إلى الإصدار CCC-2:2024، وهي تحدّد متطلبات لكل من مقدّمي الخدمات السحابية والمستفيدين منها (الهيئة الوطنية للأمن السيبراني: ضوابط الحوسبة السحابية). وإذا كنت تشغّل أنظمة SCADA أو أنظمة تحكم صناعي في منشآت حساسة، فإن ضوابط الأنظمة التشغيلية أصبحت تحمل المتطلبات التي كانت في المكوّن الخامس من الضوابط الأساسية.

كيف يؤثّر نظام حماية البيانات الشخصية في برنامج الأمن السيبراني لديك؟

دخل نظام حماية البيانات الشخصية حيّز النفاذ في 14 سبتمبر 2023، وبعد مهلة تصحيح مدتها عام أصبح واجب التطبيق في 14 سبتمبر 2024، وتتولّى سدايا الإشراف عليه (منصة حوكمة البيانات الوطنية). وبالنسبة لفرق الأمن، يعني الامتثال للنظام تطبيق إجراءات تقنية وتنظيمية مناسبة، وإشعار سدايا خلال 72 ساعة من العلم بأي تسرّب للبيانات الشخصية يستوجب الإشعار، واستيفاء الشروط التي تحدّدها سدايا قبل نقل البيانات الشخصية إلى خارج المملكة. وقد تصل غرامات المخالفات العامة إلى 5 ملايين ريال. ويغطي دليلنا للامتثال لنظام حماية البيانات الشخصية كامل الالتزامات.

ماذا يتطلّب الإطار التنظيمي للأمن السيبراني الصادر عن ساما؟

أصدر البنك المركزي السعودي إطاره التنظيمي للأمن السيبراني في مايو 2017 للمؤسسات الخاضعة لإشرافه (دليل أنظمة ساما). ويقوم الإطار على أربعة مجالات: قيادة الأمن السيبراني وحوكمته، وإدارة المخاطر والالتزام، والعمليات والتقنية، والأمن السيبراني للأطراف الخارجية. وتقيس المؤسسات نفسها وفق نموذج نضج من المستوى 0 إلى 5، ويُتوقّع أن تبلغ المستوى 3 على الأقل، أي أن تكون الضوابط منظّمة ومعتمدة رسميًا. ويشرح دليلنا لإطار ساما للأمن السيبراني كل مجال بالتفصيل.

خدماتنا في الأمن السيبراني والامتثال

تقييم الفجوات مقابل الضوابط الأساسية ونظام حماية البيانات وإطار ساما

نطابق ضوابطك وسياساتك وإعداداتك التقنية الحالية مع الأطر التي تنطبق عليك، ثم نرتّب الفجوات حسب التعرّض التنظيمي ومخاطر الأعمال. وتحصل على سجل فجوات لكل ضابط على حدة، وحالة الأدلة المتوفرة، وخارطة طريق معالجة مرتّبة حسب الأولوية.

البنية الأمنية: الثقة المعدومة وإدارة الهويات والسجلات والمراقبة

نصمّم بنية مستهدفة تجعل الامتثال مستدامًا لا سباقًا سنويًا مع الوقت. ويعني ذلك تطبيق مبادئ الثقة المعدومة (Zero Trust)، أي التحقق من كل مستخدم وجهاز وطلب ومنح أقل قدر من الصلاحيات، عبر إدارة الهويات والصلاحيات مع التحقق متعدد العناصر، وإدارة الصلاحيات المميّزة، وتقسيم الشبكات، والتسجيل والمراقبة المركزية للأحداث. وترتبط هذه العناصر مباشرة بالمكوّنات الفرعية في الضوابط الأساسية الخاصة بإدارة الهويات والصلاحيات، وإدارة أمن الشبكات، وإدارة سجلات الأحداث ومراقبة الأمن السيبراني. اقرأ المزيد عن البنية الأمنية للمؤسسات في المملكة.

المعالجة والتطبيق

نسدّ الفجوات عمليًا: تقوية الإعدادات، ونشر أدوات الأمن وضبطها، وكتابة السياسات والإجراءات التي يتطلّبها مكوّن الحوكمة في الضوابط الأساسية، وتجميع الأدلة التي سيطلبها المدقّقون والجهات التنظيمية.

أمن السحابة لأعباء العمل في المملكة

نصمّم بيئات AWS وMicrosoft Azure وGoogle Cloud ونؤمّنها، مع الاستضافة داخل المملكة حين تكون إقامة البيانات مهمة، وبضوابط متوافقة مع ضوابط الأمن السيبراني للحوسبة السحابية الخاصة بالمستفيدين: إدارة الهويات، والتشفير، وخطوط الأساس للإعدادات، والمراقبة المستمرة.

النسخ الاحتياطي والتعافي من الكوارث والصمود

تغطي الضوابط الأساسية إدارة النسخ الاحتياطية والاستعادة ضمن مكوّن التعزيز، وجوانب صمود الأمن السيبراني في إدارة استمرارية الأعمال ضمن مكوّن الصمود. ونصمّم خطط النسخ الاحتياطي والتعافي من الكوارث واستمرارية الأعمال بأهداف استعادة مختبرة فعليًا. اطّلع على دليلنا حول التعافي من الكوارث واستمرارية الأعمال في السعودية.

كيف يسير مشروع الامتثال معنا؟

1. تحديد النطاق: تأكيد الأطر المنطبقة، والأنظمة المشمولة، والأدلة التي تتوقعها الجهات التنظيمية.
2. التقييم: مقابلات، ومراجعة للإعدادات، واختبارات تقنية مقابل كل ضابط منطبق.
3. التصميم: بنية مستهدفة وخارطة طريق للمعالجة مرتّبة حسب المخاطر والمواعيد النهائية.
4. المعالجة: تطبيق الضوابط والسياسات والأدوات على مراحل بأقل أثر ممكن على العمليات.
5. الأدلة والمراقبة: إعداد حزمة الأدلة وتفعيل مراقبة مستمرة للالتزام حتى لا يتراجع مستواك الأمني.

ما النتائج التي حقّقها هذا النهج؟

لمنشأة سعودية كانت تعمل على توحيد أنظمتها التقنية، نفّذنا سحابة هجينة على AWS مع هوية موحّدة ومراقبة مركزية وعمليات DevOps مؤتمتة وضوابط متوافقة مع متطلبات الهيئة الوطنية للأمن السيبراني. وكانت النتيجة خفض أعباء البنية التحتية بنسبة 40%، ووضعًا أمنيًا مركزيًا مع مراقبة مستمرة للامتثال لضوابط الهيئة. اقرأ دراسة حالة الانتقال إلى السحابة.

ملاحظة حول الأدوار: نحن شريك هندسي واستشاري، ولسنا جهة تنظيمية أو جهة اعتماد. يُقيَّم الامتثال من قِبل الهيئة الوطنية للأمن السيبراني أو سدايا أو ساما وفق آلياتها الخاصة، وحين يتطلّب قطاعك مقيّمًا مستقلًا أو مرخّصًا نعمل إلى جانبه ونجهّز الأدلة. أخبرنا بالأطر التي تنطبق عليك لنبدأ بتقييم فجوات محدّد النطاق، ونردّ على طلبات الاستشارة خلال 24–48 ساعة عمل.