البنية الأمنية للمنشآت في المملكة: انعدام الثقة والضوابط الأساسية وكيف تختار بين شركات الأمن السيبراني في السعودية
أبرز النقاط
- تتكون الضوابط الأساسية ECC-2:2024 من 4 مكونات أساسية و28 مكوناً فرعياً و108 ضوابط أساسية و92 ضابطاً فرعياً، وهي ملزمة للجهات الحكومية وجهات البنية التحتية الوطنية الحساسة.
- بنية انعدام الثقة، المعرّفة في NIST SP 800-207، تستبدل الثقة بموقع الشبكة بالتحقق الصريح من الهوية والجهاز والسياق لكل طلب.
- الهويات والصلاحيات الهامة والنسخ الاحتياطية غير القابلة للتعديل هي عادة أكبر الفجوات وأفضل نقطة للبدء.
- تشترط الضوابط أن تكون مراكز العمليات الأمنية المُدارة عن بُعد داخل المملكة بالكامل، وهذا اختبار أساسي عند اختيار المزوّد.
- قيّم شركات الأمن السيبراني في السعودية بقدرتها على ربط التصميم بالضوابط وحيادها تجاه المورّدين وتسليمك ملكية أدلة التشغيل.
البنية الأمنية السيبرانية للمنشأة السعودية هي منظومة مصمّمة من ضوابط الهوية والشبكات والأجهزة الطرفية والبيانات والمراقبة، تحمي أنظمتها وتستوفي الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني. وأقوى نموذج اليوم هو انعدام الثقة: تحقّق من كل طلب، وامنح أقل صلاحية، وافترض الاختراق. وعند المفاضلة بين شركات الأمن السيبراني في السعودية، احكم على البنية لا على قوائم المنتجات.
تغيّر مشهد التهديدات الذي تواجهه المنشآت السعودية تغيّراً نوعياً في السنوات الأخيرة. فالجهات المهاجمة المدعومة من دول، وعصابات برمجيات الفدية التي تستهدف البنية التحتية الحرجة، وأدوات الهجوم المعززة بالذكاء الاصطناعي، رفعت مستوى المخاطر إلى حدّ لم يعد فيه أمن المحيط التقليدي خط دفاع أساسياً مجدياً. فالموظفون يعملون من أي مكان، والتطبيقات تعمل في أكثر من سحابة، والشركاء يتصلون مباشرة بأنظمة الأعمال، ولم يعد هناك سور واحد يمكن حمايته. يشرح هذا الدليل ما تتطلبه الأنظمة، وكيف تبدو بنية انعدام الثقة عملياً، وكيف تطبقها، وكيف تقيّم الشركاء.
لماذا لم يعد أمن المحيط كافياً؟
كان النموذج التقليدي يثق بكل ما هو داخل شبكة المنشأة. فإذا حصل المهاجم على كلمة مرور صالحة واحدة أو اخترق جهازاً محمولاً واحداً، استطاع التنقل داخل الشبكة دون مقاومة تُذكر. وقد هدمت ثلاثة تحولات هذا النموذج:
- الهوية هي المحيط الجديد: معظم الاختراقات تبدأ ببيانات دخول مسروقة أو مُصطادة، لا بكسر جدار ناري.
- الأنظمة موزّعة: البرمجيات كخدمة والسحابة العامة والأنظمة المحلية تعمل جنباً إلى جنب، فلم يعد لمفهومي الداخل والخارج معنى واضح.
- برمجيات الفدية تستهدف القدرة على التعافي: يبحث المهاجمون أولاً عن النسخ الاحتياطية وحسابات المسؤولين، فتتحول إصابة واحدة في شبكة مسطحة إلى توقف شامل للمنشأة.
ماذا تتطلب الضوابط الأساسية للأمن السيبراني ECC-2:2024؟
تمثّل الضوابط الأساسية للأمن السيبراني (ECC-2:2024) تحديثاً للإصدار الأول ECC-1:2018، وتتكون من 4 مكونات أساسية، و28 مكوناً فرعياً، و108 ضوابط أساسية، و92 ضابطاً فرعياً. وهي ملزمة للجهات الحكومية والشركات والجهات التابعة لها، ولجهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها، وتشجع الهيئة بقوة جميع الجهات الأخرى في المملكة على تطبيقها. ومن أهم الضوابط المتعلقة بالبنية الأمنية:
- (2-2) إدارة هويات الدخول والصلاحيات: التحقق متعدد العوامل للدخول عن بُعد وللحسابات ذات الصلاحيات الهامة، ومبدأ الحد الأدنى من الصلاحيات، وفصل المهام، وإدارة الصلاحيات الهامة، والمراجعة الدورية للهويات والصلاحيات.
- (2-5) إدارة أمن الشبكات و(2-7) حماية البيانات والمعلومات، مدعومةً بـ(2-8) التشفير.
- (2-10) إدارة الثغرات و(2-11) اختبار الاختراق، الذي يجب أن يشمل جميع الخدمات المقدمة خارجياً وأن يُجرى دورياً.
- (2-12) إدارة سجلات الأحداث ومراقبة الأمن السيبراني و(2-13) إدارة حوادث وتهديدات الأمن السيبراني.
- (4-1) الأمن السيبراني المتعلق بالأطراف الخارجية: يجب أن تكون مراكز عمليات الأمن السيبراني المُدارة التي تستخدم الوصول عن بُعد موجودة بالكامل داخل المملكة.
وبالنسبة لمعظم المنشآت، يمثّل الامتثال للضوابط الأساسية الحد الأدنى التنظيمي لا السقف الذي يكفي للحماية. كما تخضع المؤسسات المالية لإطار البنك المركزي السعودي، الذي نشرحه في دليل إطار الأمن السيبراني للبنك المركزي السعودي (ساما)، ويستعرض دليلنا للضوابط الأساسية للأمن السيبراني جميع المكونات بالتفصيل.
ما بنية انعدام الثقة (Zero Trust)؟
تنطلق بنية انعدام الثقة من افتراض حدوث الاختراق. فبدلاً من الوثوق بكل ما هو داخل الشبكة، تتحقق صراحةً من كل طلب وصول، فتفحص الهوية وسلامة الجهاز وسياق الطلب قبل منح الوصول إلى مورد محدد، وللمدة اللازمة فقط. والنموذج المرجعي لها هو الإصدار الخاص من المعهد الوطني الأمريكي للمعايير والتقنية NIST SP 800-207 بنية انعدام الثقة المنشور في أغسطس 2020، الذي ينقل الحماية من أجزاء الشبكة إلى كل مورد على حدة. وبالنسبة للمنشآت السعودية ذات العمليات الموزّعة والموظفين عن بُعد، فهو النموذج الوحيد الذي يوفّر أمناً متسقاً أينما كان المستخدمون والأجهزة.
| الجانب | نموذج أمن المحيط | نموذج انعدام الثقة |
|---|---|---|
| الثقة الافتراضية | كل ما هو داخل الشبكة | لا شيء، فكل طلب يُتحقق منه |
| أساس قرار الوصول | الموقع في الشبكة | الهوية وحالة الجهاز والسياق |
| نطاق الوصول | وصول واسع للشبكة عبر VPN | لكل تطبيق على حدة وبأقل صلاحية |
| التنقل الجانبي للمهاجم | سهل بعد الدخول | محصور بالتقسيم الدقيق للشبكة |
| المراقبة | تركيز على الحافة | مستمرة عبر الهوية والأجهزة والشبكة |
| ملاءمة السحابة والعمل عن بُعد | ضعيفة | مصمّم لها أصلاً |
كيف تبدو المنظومة التقنية الأساسية؟
بنية انعدام الثقة ليست منتجاً واحداً، بل مجموعة قدرات تعمل معاً، ويرتبط كل منها بمكونات فرعية في الضوابط الأساسية.
| القدرة | وظيفتها | المكوّن الفرعي في ECC |
|---|---|---|
| مزوّد هوية مع تحقق متعدد العوامل ووصول مشروط | يتحقق من المستخدمين ويطبّق سياسات قائمة على المخاطر عند كل تسجيل دخول | 2-2 |
| إدارة الوصول المميّز (PAM) | تحفظ صلاحيات المسؤولين وتدوّرها وتسجّل استخدامها | 2-2 |
| اكتشاف التهديدات على الأجهزة الطرفية والاستجابة لها (EDR) | رصد سلوكي وعزل للأجهزة المحمولة والخوادم | 2-3 |
| التقسيم الدقيق للشبكة والوصول الشبكي بانعدام الثقة | يستبدل الشبكات المسطحة وشبكات VPN الواسعة بوصول لكل تطبيق | 2-5 |
| تصنيف البيانات والتشفير وإدارة المفاتيح | يحمي البيانات وفق حساسيتها أثناء التخزين والنقل | 2-7، 2-8 |
| نسخ احتياطية غير قابلة للتعديل ومعزولة | تضمن التعافي حتى عند اختراق بيئة الإنتاج وحسابات المسؤولين | 2-9 |
| نظام إدارة المعلومات والأحداث الأمنية (SIEM) مع مراقبة على مدار الساعة | يربط السجلات والتنبيهات عبر الهوية والأجهزة والشبكة والسحابة | 2-12، 2-13 |
| إدارة الثغرات واختبار الاختراق | يكتشف نقاط الضعف ويعالجها قبل المهاجمين | 2-10، 2-11 |
وتستحق النسخ الاحتياطية اهتماماً خاصاً لأنها خط الدفاع الأخير أمام برمجيات الفدية. ويتناول دليلنا لخطة استمرارية الأعمال والتعافي من الكوارث تصميم النسخ غير القابلة للتعديل واختبارات الاستعادة.
كيف تطبّق انعدام الثقة خطوة بخطوة؟
- حدّد سطح الحماية: البيانات والتطبيقات والأصول والخدمات الحرجة، ومسارات تدفق البيانات بينها.
- وحّد الهوية: مزوّد هوية واحد، وتحقق متعدد العوامل للجميع، مع البدء بعوامل مقاومة للتصيّد للمسؤولين.
- اضبط الصلاحيات الهامة: أزل صلاحيات المسؤول الدائمة، وطبّق إدارة الوصول المميّز ومنح الصلاحية عند الحاجة فقط.
- حصّن الأجهزة الطرفية: انشر حلول EDR على كل الأجهزة، واجعل سلامة الجهاز شرطاً للوصول.
- قسّم الشبكة: ابدأ بالأنظمة الأكثر أهمية والنسخ الاحتياطية، ثم استبدل الوصول الواسع عبر VPN بوصول لكل تطبيق.
- مركز الرؤية: أرسل سجلات الهوية والأجهزة والشبكة والسحابة إلى نظام SIEM مع حالات استخدام وأدلة استجابة واضحة.
- اختبر وطوّر: نفّذ اختبارات الاختراق ومحاكاة الهجمات، وعالج الملاحظات، وقِس التقدم مقابل الضوابط الأساسية.
كيف تقيّم شركات الأمن السيبراني في السعودية؟
يضم السوق موزّعي منتجات، ومزوّدي خدمات أمنية مُدارة، وشركات استشارية، وشركات تكامل. والشريك المناسب يعتمد على حاجتك: تصميم، أم تنفيذ، أم تشغيل مستمر، أم جميعها. اسأل كل مرشح:
- هل يستطيع ربط تصميمه بالضوابط الأساسية ضابطاً بضابط؟ الشريك الموثوق يوضح أي ضابط يحققه كل مكوّن، وما الذي يبقى من مسؤوليتك.
- أين يقع مركز العمليات الأمنية؟ يشترط الضابط (4-1) أن تكون مراكز العمليات المُدارة التي تستخدم الوصول عن بُعد داخل المملكة بالكامل.
- هل هو محايد تجاه المورّدين؟ يجب أن تقود البنية اختيار المنتجات لا العكس.
- هل تبقى الملكية لك؟ الإعدادات وأدلة التشغيل والتوثيق يجب أن تكون ملكاً لمنشأتك دون ارتهان لمزوّد بعينه.
- هل يفهم قواعد البيانات؟ حوادث البيانات الشخصية تفرض التزامات وفق نظام حماية البيانات الشخصية، منها إشعار سدايا خلال 72 ساعة من العلم بالتسرب عبر منصة حوكمة البيانات الوطنية. راجع دليلنا لنظام حماية البيانات الشخصية.
- هل يستطيع إثبات النتائج؟ اطلب نتائج منشورة يمكن التحقق منها لا شعارات عملاء.
ما الذي يحدد تكلفة البنية الأمنية؟
تتفاوت الأسعار كثيراً بين المزوّدين وبحسب حجم البيئة، لذا تعامل مع أي رقم معروض على أنه استرشادي فقط. أما ما تستطيع التحكم فيه فهو محركات التكلفة:
- عدد الهويات والأجهزة: معظم أدوات الهوية وEDR وإدارة الوصول المميّز تُرخّص لكل مستخدم أو لكل جهاز.
- حجم السجلات: تكلفة نظام SIEM ترتفع مع حجم البيانات المُدخلة، فحدّد مبكراً السجلات التي تخدم فعلاً حالات الاكتشاف وأدلة الامتثال للضوابط.
- نموذج التشغيل: بناء مركز عمليات داخلي يعمل على مدار الساعة يتطلب عدة محللين على مناوبات متتالية، بينما يحوّل مركز العمليات المُدار داخل المملكة هذه التكلفة إلى رسوم خدمة واضحة.
- تعقيد الأنظمة القديمة: الأنظمة غير المدعومة تحتاج ضوابط تعويضية كالعزل والمراقبة الإضافية، وهي جهد يتكرر كل عام تبقى فيه هذه الأنظمة.
- التراخيص القائمة: كثير من المنشآت تمتلك أصلاً مزايا أمنية ضمن اشتراكاتها في أدوات الإنتاجية أو السحابة لكنها غير مفعّلة، واستخدامها أولاً يموّل كثيراً من الفجوات.
ما المؤشرات التي تثبت أن البنية تعمل؟
يريد مجلس الإدارة والجهات التنظيمية أدلة لا قوائم أدوات. لذا تابع مجموعة مختصرة من المؤشرات وارفعها شهرياً:
- نسبة المستخدمين والحسابات ذات الصلاحيات الهامة المحمية بالتحقق متعدد العوامل.
- عدد حسابات المسؤولين ذات الصلاحيات الدائمة، والهدف أن يتجه نحو الصفر.
- نسبة الأجهزة الطرفية المغطاة بحلول EDR تعمل بشكل سليم.
- المدة اللازمة لمعالجة الثغرات الحرجة في الأنظمة المكشوفة على الإنترنت.
- متوسط زمن اكتشاف الحوادث واحتوائها.
- تاريخ آخر اختبار ناجح لاستعادة البيانات من النسخ الاحتياطية غير القابلة للتعديل ونتيجته.
- عدد الفجوات المفتوحة مقابل الضوابط الأساسية وملاحظات اختبار الاختراق، مصنّفة حسب الخطورة.
وهذه المؤشرات نفسها تشكّل جوهر التقارير الدورية التي تحتاجها الجهات الخاضعة للضوابط عند التقييم الذاتي أو زيارات التدقيق الميداني من الهيئة.
لماذا الأمن عملية تشغيلية مستمرة لا مشروع؟
تطبيق هذه البنية ليس عملاً يُنجز مرة واحدة. فهو يحتاج إلى انضباط تشغيلي مستمر: تحديث الأنظمة، ودمج معلومات التهديدات، وتحسين قواعد الاكتشاف، ومراجعة الصلاحيات، واختبارات الاختراق الدورية للتأكد من أن الضوابط تعمل أمام أساليب المهاجمين الحالية. لذا خصّص ميزانية التشغيل منذ اليوم الأول. والهدف، كما في دراسة حالة الترحيل إلى السحابة المنشورة لدينا، هو وضع أمني مركزي مع مراقبة مستمرة للامتثال لضوابط الهيئة الوطنية للأمن السيبراني، لا مجرد اجتياز تدقيق في لحظة زمنية واحدة.
ما الخطوة التالية؟
ابدأ بتقييم الفجوات مقابل الضوابط الأساسية ECC-2:2024، وبخريطة صادقة للهويات والحسابات ذات الصلاحيات الهامة والنسخ الاحتياطية، فهذه المجالات الثلاثة تحمل عادة أكبر قدر من المخاطر. وتصمّم أمواج للحلول وتنفّذ بنى أمنية متوافقة مع ضوابط الهيئة الوطنية للأمن السيبراني للمنشآت السعودية، وتدمج مبدأ انعدام الثقة منذ البداية عبر خدمة الأمن السيبراني والامتثال.
تكامل تقنية المعلومات
الأسئلة الشائعة
هل الامتثال للضوابط الأساسية للأمن السيبراني إلزامي للشركات الخاصة؟
الضوابط ECC-2:2024 ملزمة للجهات الحكومية والشركات التابعة لها، ولجهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. أما بقية الشركات الخاصة فلا تُلزمها الضوابط نظاماً، لكن الهيئة تشجعها بقوة على تطبيقها، وكثير من العملاء والمنافسات أصبحوا يتوقعون ضوابط متوافقة معها دليلاً على الممارسة السليمة.
ما معنى أمن انعدام الثقة ببساطة؟
يعني ألا تثق بأي مستخدم أو جهاز لمجرد وجوده على شبكة المنشأة. فكل طلب للوصول إلى تطبيق أو بيانات يُفحص: من الذي يطلب، وهل جهازه سليم، وهل السياق منطقي، ثم يُمنح الوصول إلى ذلك المورد فقط. وهذا يحدّ من قدرة المهاجم على التنقل داخل الأنظمة بعد سرقة كلمة مرور واحدة.
كم يستغرق تطبيق بنية انعدام الثقة؟
انعدام الثقة رحلة لا مشروع واحد. وتحقق معظم المنشآت خفضاً كبيراً في المخاطر خلال بضعة أشهر عبر توحيد الهوية وفرض التحقق متعدد العوامل وضبط الصلاحيات الهامة وحماية النسخ الاحتياطية. أما التقسيم الدقيق الكامل للشبكة واستبدال شبكات VPN القديمة فيأتيان عادة في مراحل لاحقة قد تمتد عاماً أو أكثر بحسب حجم البيئة.
ما الذي أبحث عنه في شركة أمن سيبراني في السعودية؟
ابحث عن شريك يربط تصميمه بالضوابط الأساسية ضابطاً بضابط، ويشغّل أي مركز عمليات مُدار داخل المملكة بالكامل كما تشترط الضوابط، ويبقى محايداً تجاه المورّدين، ويسلّمك الإعدادات وأدلة التشغيل، ويفهم التزامات الإشعار في نظام حماية البيانات الشخصية. واطلب نتائج يمكن التحقق منها، وحدّد هل تحتاج تصميماً أم تنفيذاً أم تشغيلاً مستمراً.
هل تشترط الضوابط الأساسية التحقق متعدد العوامل؟
نعم. يشترط المكوّن الفرعي (2-2) في الضوابط ECC-2:2024 التحقق متعدد العوامل للدخول عن بُعد وللحسابات ذات الصلاحيات الهامة، مع اختيار العوامل والتقنيات المناسبة بناءً على تقييم أثر فشل التحقق أو تجاوزه. وعملياً، يُعد تعميم التحقق متعدد العوامل على جميع المستخدمين من أكثر الضوابط فاعلية مقارنة بتكلفتها.
ما الفرق بين الضوابط الأساسية وإطار الأمن السيبراني للبنك المركزي السعودي؟
تضع الضوابط الأساسية الصادرة عن الهيئة الوطنية للأمن السيبراني الحد الأدنى الوطني للجهات الحكومية وجهات البنية التحتية الحساسة في مختلف القطاعات، بينما ينطبق إطار البنك المركزي السعودي على الجهات التي يشرف عليها كالبنوك وشركات التأمين والتمويل. وعلى المؤسسات الخاضعة للإطارين ربط الضوابط مرة واحدة وتوثيق أدلتها لكل إطار لتجنب ازدواج الجهد.