الضوابط الأساسية للأمن السيبراني (ECC-2:2024): دليل عملي للجهات في المملكة
أبرز النقاط
- الإصدار ECC-2:2024 هو الحد الأدنى الإلزامي للأمن السيبراني من الهيئة الوطنية، ويضم 4 مكونات أساسية و28 فرعياً و108 ضوابط أساسية و92 ضابطاً فرعياً.
- تنطبق الضوابط على الجهات الحكومية والشركات التابعة لها داخل المملكة وخارجها، وجهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها.
- نقل الإصدار الثاني أنظمة التحكم الصناعي إلى ضوابط الأنظمة التشغيلية، وأضاف توطين جميع وظائف الأمن السيبراني والتحقق متعدد العناصر الموسّع وDMARC والحماية من هجمات حجب الخدمة.
- تقيّم الهيئة الالتزام بالتقييم الذاتي وأداة الالتزام والزيارات الميدانية، ولا توجد شهادة رسمية تُشترى.
- تتقاطع ISO 27001 وإطار ساما مع الضوابط، لكن أياً منهما لا يثبت وحده الالتزام بضوابط الهيئة.
الضوابط الأساسية للأمن السيبراني (ECC) هي الحد الأدنى الإلزامي من متطلبات الأمن السيبراني الذي وضعته الهيئة الوطنية للأمن السيبراني للجهات الحكومية في المملكة والشركات التابعة لها، وجهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. ويتكون إصدارها الحالي ECC-2:2024 من 4 مكونات أساسية و28 مكوناً فرعياً و108 ضوابط أساسية و92 ضابطاً فرعياً.
ما هي الضوابط الأساسية للأمن السيبراني؟
الهيئة الوطنية للأمن السيبراني هي المرجع الوطني في شؤون الأمن السيبراني في المملكة، وقد أُنشئت بموجب تنظيمها الصادر بالأمر الملكي رقم 6801 وتاريخ 1439/2/11هـ. ويُلزم الأمر السامي رقم 57231 وتاريخ 1439/11/10هـ جميع الجهات الحكومية برفع مستوى أمنها السيبراني والالتزام بسياسات الهيئة وأطرها ومعاييرها وضوابطها. والضوابط الأساسية للأمن السيبراني هي جوهر هذا الإطار: الحد الأدنى الذي يجب على كل جهة مشمولة تحقيقه.
أعدّت الهيئة الضوابط بعد دراسة المعايير الوطنية والدولية، وتحليل الحوادث السابقة التي استهدفت الجهات الحكومية والحساسة، واستطلاع آراء الجهات الوطنية. وهدفها حماية سرية الأصول المعلوماتية والتقنية وسلامتها وتوافرها، وتراعي أربعة محاور: الاستراتيجية، والأشخاص، والإجراءات، والتقنية. ويُتاح النص الكامل على صفحة الضوابط في موقع الهيئة.
ما الفرق بين الإصدار الأول ECC-1:2018 والإصدار الثاني ECC-2:2024؟
أصدرت الهيئة الإصدار الأول ECC-1:2018، ثم استبدلته بالإصدار ECC-2:2024 بعد مراجعة تجربة التطبيق وتطور التهديدات.
| العنصر | ECC-1:2018 | ECC-2:2024 |
|---|---|---|
| المكونات الأساسية | 5 | 4 |
| المكونات الفرعية | 29 | 28 |
| الضوابط | 114 ضابطاً | 108 ضوابط أساسية و92 ضابطاً فرعياً |
| أنظمة التحكم الصناعي | المكون الخامس ضمن الضوابط | حُذف ونُقل إلى ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC) |
| تصنيف البيانات والخصوصية والتوطين | ضمن الضوابط | نُقلت إلى مكتب إدارة البيانات الوطنية في سدايا |
وأهم التغييرات العملية لفرق تقنية المعلومات والأمن السيبراني، كما يوضحها الملحق (ج) في وثيقة ECC-2:2024:
- توطين الوظائف (الضابط 1-2-2): يجب شغل جميع وظائف الأمن السيبراني، لا رئيس الإدارة والوظائف الحساسة فقط، بكوادر سعودية متفرغة ومؤهلة.
- التحقق متعدد العناصر: إلزامي للدخول عن بعد وللحسابات ذات الصلاحيات الهامة، وللوصول إلى البريد الإلكتروني عن بعد وعبر صفحة الويب.
- أمن البريد الإلكتروني: أصبح التحقق من البريد يشمل صراحةً تقنيات SPF وDKIM وDMARC.
- الحماية من هجمات حجب الخدمة: ضابط فرعي جديد (2-5-3-9) للحماية من هجمات حجب الخدمة الموزعة (DDoS).
- حماية البيانات حسب التصنيف: تُطبق متطلبات حماية البيانات، ولدى مزودي الخدمات السحابية، وفق مستوى تصنيف البيانات.
- التشفير: المواءمة مع المعايير الوطنية للتشفير الصادرة عن الهيئة.
من الجهات الملزمة بتطبيق الضوابط الأساسية للأمن السيبراني؟
تنطبق ضوابط ECC-2:2024 على:
- الجهات الحكومية في المملكة، بما فيها الوزارات والهيئات والمؤسسات وغيرها.
- الشركات والجهات التابعة لها، داخل المملكة وخارجها.
- جهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها.
وتشجع الهيئة بقوة جميع الجهات الأخرى في المملكة على الاستفادة من الضوابط بوصفها أفضل الممارسات. وعملياً تمتد الضوابط إلى مورّدي القطاع الخاص؛ فمزودو التقنية والخدمات المُدارة والخدمات السحابية الذين يخدمون جهات حكومية أو جهات بنى تحتية حساسة يُطلب منهم عادةً إثبات التوافق مع الضوابط عبر العقود وضوابط الأطراف الخارجية. وبعض الضوابط ينطبق فقط عند استخدام تقنية معينة، فمثلاً ضوابط المكون الفرعي 4-2 الخاصة بالحوسبة السحابية والاستضافة ملزمة للجهات التي تستخدم الخدمات السحابية أو تخطط لاستخدامها.
ما المكونات الأساسية الأربعة للضوابط؟
1. حوكمة الأمن السيبراني
عشرة مكونات فرعية: الاستراتيجية، وإدارة الأمن السيبراني (بما في ذلك إدارة مستقلة للأمن السيبراني عن إدارة تقنية المعلومات)، والسياسات والإجراءات، والأدوار والمسؤوليات، وإدارة المخاطر، والأمن السيبراني ضمن إدارة مشاريع تقنية المعلومات، والالتزام بالتشريعات والتنظيمات والمعايير، والمراجعة والتدقيق الدوري، والأمن السيبراني المتعلق بالموارد البشرية، وبرنامج التوعية والتدريب.
2. تعزيز الأمن السيبراني
خمسة عشر مكوناً فرعياً: إدارة الأصول، وإدارة هويات الدخول والصلاحيات، وحماية الأنظمة وأجهزة معالجة المعلومات، وحماية البريد الإلكتروني، وإدارة أمن الشبكات، وأمن الأجهزة المحمولة، وحماية البيانات والمعلومات، والتشفير، وإدارة النسخ الاحتياطية، وإدارة الثغرات، واختبار الاختراق، وإدارة سجلات الأحداث ومراقبة الأمن السيبراني، وإدارة حوادث وتهديدات الأمن السيبراني، والأمن المادي، وحماية تطبيقات الويب.
3. صمود الأمن السيبراني
مكون فرعي واحد يغطي جوانب صمود الأمن السيبراني في إدارة استمرارية الأعمال. ويشرح دليلنا عن التعافي من الكوارث واستمرارية الأعمال في المملكة كيفية التصميم لذلك.
4. الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية
مكونان فرعيان: الأمن السيبراني المتعلق بالأطراف الخارجية، ومن متطلباته أن تكون مراكز عمليات الأمن السيبراني المُدارة التي تستخدم الوصول عن بعد موجودة بالكامل داخل المملكة، والأمن السيبراني المتعلق بالحوسبة السحابية والاستضافة.
ما الأطر الأخرى للهيئة الوطنية للأمن السيبراني المرتبطة بالضوابط؟
الضوابط الأساسية هي الأساس، وتُصدر الهيئة ضوابط إضافية تبني عليها لتقنيات وحالات محددة، وتجدها جميعاً في صفحة الوثائق التنظيمية للهيئة:
| الإطار | الاسم الكامل | متى ينطبق |
|---|---|---|
| CCC (CCC-2:2024) | ضوابط الأمن السيبراني للحوسبة السحابية | مقدمو الخدمات السحابية والجهات المستفيدة منها |
| DCC (DCC-1:2022) | ضوابط الأمن السيبراني للبيانات | حماية البيانات خلال دورة حياتها وفق تصنيفها |
| OTCC (OTCC-1:2022) | ضوابط الأمن السيبراني للأنظمة التشغيلية | أنظمة التحكم الصناعي وبيئات التقنيات التشغيلية |
| CSCC | ضوابط الأمن السيبراني للأنظمة الحساسة | الأنظمة المصنفة حساسة لدى الجهات المشمولة |
| TCC | ضوابط الأمن السيبراني للعمل عن بعد | ترتيبات العمل عن بعد |
| OSMACC | ضوابط الأمن السيبراني لحسابات التواصل الاجتماعي للجهات | الحسابات الرسمية على منصات التواصل |
| NCS | المعايير الوطنية للتشفير | اختيار حلول التشفير واستخدامها |
كيف تقيّم الهيئة الالتزام بالضوابط؟
تقيّم الهيئة التزام الجهات بعدة وسائل، منها التقييم الذاتي من الجهة، والتقارير الدورية لأداة الالتزام، والزيارات الميدانية للتدقيق، وفق الآلية التي تراها مناسبة. وتنص وثيقة ECC-2:2024 على أن الهيئة ستصدر أداة لتقييم وقياس مدى الالتزام بالإصدار الثاني لتنظيم هذه العملية. كما تنشر الهيئة دليلاً إرشادياً لتطبيق الضوابط يوضح المخرجات المتوقعة لكل ضابط. والالتزام مستمر: فعلى الجهات اتخاذ جميع الإجراءات اللازمة لضمان الالتزام الدائم، لا اجتياز مراجعة لمرة واحدة.
كيف تُجري تقييم الفجوات مقابل الضوابط؟
- حدّد النطاق وقابلية التطبيق. قرر الجهات والأنظمة والمواقع المشمولة، والضوابط المنطبقة عليها، مثل ضوابط الحوسبة السحابية (4-2)، والتقنيات التشغيلية التي أصبحت ضمن OTCC.
- اجمع الأدلة القائمة. السياسات والإجراءات والهياكل التنظيمية وسجلات الأصول ومخططات البنية التقنية وإعدادات الأنظمة والسجلات وتقارير التدقيق السابقة.
- قابل ملاك الضوابط. راجع كل مكون فرعي مع مسؤولي تقنية المعلومات والأمن السيبراني والموارد البشرية والمشتريات واستمرارية الأعمال.
- اختبر ولا تكتفِ بالقراءة. افحص عينات من الإعدادات: هل التحقق متعدد العناصر مفعّل للحسابات الهامة والدخول عن بعد؟ هل سجلات DMARC منشورة؟ هل تُستعاد النسخ الاحتياطية فعلاً؟ هل السجلات مركزية؟
- قيّم كل ضابط. استخدم مقياساً واضحاً: مطبق، أو مطبق جزئياً، أو غير مطبق، أو لا ينطبق، مع الإشارة إلى الدليل.
- رتّب الأولويات حسب المخاطر. صنّف الفجوات حسب أثرها على الخدمات الحساسة والجهد المطلوب، وحدد المكاسب السريعة.
- أعدّ خارطة طريق. حدد المسؤولين والميزانيات والمواعيد المستهدفة، وارفع التقدم إلى اللجنة الإشرافية للأمن السيبراني.
كيف تبدو خارطة طريق عملية للالتزام بالضوابط؟
- المرحلة الأولى، أسس الحوكمة: اعتماد استراتيجية الأمن السيبراني، وإنشاء إدارة مستقلة للأمن السيبراني ولجنة إشرافية، ونشر السياسات، وبدء سجل المخاطر.
- المرحلة الثانية، الضوابط التقنية عالية الأثر: حصر الأصول، والتحقق متعدد العناصر، وإدارة الصلاحيات الهامة، ومصادقة البريد الإلكتروني، والتحديثات وإدارة الثغرات، والنسخ الاحتياطية، والسجلات المركزية.
- المرحلة الثالثة، الرصد والاستجابة: المراقبة الأمنية، وخطة الاستجابة للحوادث المتوافقة مع متطلبات الإبلاغ للهيئة، واختبارات الاختراق، والمعلومات الاستباقية للتهديدات.
- المرحلة الرابعة، الأطراف الخارجية والسحابة والصمود: بنود الأمن السيبراني في عقود المورّدين، وضوابط الحوسبة السحابية، واختبار استمرارية الأعمال، والمواءمة مع CCC أو DCC عند انطباقها.
- المرحلة الخامسة، الالتزام المستمر: المراجعات الدورية، والتدقيق الداخلي، والتوعية، وتجهيز الأدلة لأي تقييم من الهيئة.
وقرارات البنية التقنية تُسهّل كل مرحلة أو تُصعّبها. ويشرح مقالنا عن بنية الأمن السيبراني للمنشآت في المملكة كيف تُبنى الضوابط في التصميم من البداية بدلاً من إضافتها لاحقاً. وفي دراسة حالة الانتقال إلى السحابة حققت منصة سحابية هجينة على AWS بضوابط متوافقة مع متطلبات الهيئة وضعاً أمنياً مركزياً مع مراقبة مستمرة للالتزام بضوابط الهيئة.
ما أكثر الفجوات شيوعاً في تطبيق الضوابط؟
- سجلات أصول ناقصة، وهي تُضعف كل الضوابط الأخرى.
- إدارة الأمن السيبراني غير مستقلة عن تقنية المعلومات، أو وظائف غير مشغولة بكوادر سعودية متفرغة ومؤهلة.
- ثغرات في التحقق متعدد العناصر على الشبكات الافتراضية الخاصة والحسابات الهامة والبريد عبر الويب.
- غياب تفعيل سياسة DMARC وضعف تصفية البريد.
- نسخ احتياطية لا يُختبر استرجاعها.
- سجلات تُجمع ولا تُراقب، دون مدة احتفاظ محددة.
- عقود أطراف خارجية بلا بنود للأمن السيبراني ولا تقييم للمخاطر قبل التوقيع.
- خطط استمرارية أعمال تتجاهل السيناريوهات السيبرانية مثل برمجيات الفدية.
مقارنة بين ضوابط الهيئة وISO 27001 وإطار ساما للأمن السيبراني
| الجانب | الضوابط الأساسية ECC-2:2024 | ISO/IEC 27001:2022 | الإطار التنظيمي للأمن السيبراني من ساما |
|---|---|---|---|
| الجهة المصدرة | الهيئة الوطنية للأمن السيبراني | المنظمة الدولية للمعايير واللجنة الكهروتقنية الدولية | البنك المركزي السعودي (ساما)، الإصدار 1.0، مايو 2017 |
| الطبيعة | حد أدنى وطني إلزامي | معيار اختياري لنظام إدارة قابل لإصدار شهادة | إلزامي للجهات الخاضعة لإشراف ساما |
| الجهات المستخدمة | الجهات الحكومية والتابعة لها وجهات البنى التحتية الحساسة | أي منظمة في العالم | البنوك وشركات التأمين وشركات التمويل وشركات المعلومات الائتمانية والبنية التحتية للسوق المالية |
| البنية | 4 مكونات أساسية و28 فرعياً و108 ضوابط أساسية و92 فرعياً | بنود نظام الإدارة و93 ضابطاً في الملحق (أ) ضمن 4 محاور | 4 مجالات مع نموذج نضج من المستوى 0 إلى 5 |
| التقييم | تقييم ذاتي وأداة الالتزام وزيارات ميدانية | تدقيق خارجي لإصدار الشهادة | تقييم النضج، والحد الأدنى المتوقع المستوى 3 |
| متطلبات سعودية خاصة | نعم، مثل التوطين ومراكز العمليات المُدارة داخل المملكة | لا | نعم، للقطاع المالي |
تتقاطع هذه الأطر بدرجة كبيرة، لذا اربط الضوابط مرة واحدة وأعد استخدام الأدلة. وشهادة ISO 27001 مفيدة لكنها لا تثبت وحدها الالتزام بضوابط الهيئة. وعلى المؤسسات المالية قراءة دليلنا للإطار التنظيمي للأمن السيبراني من ساما والرجوع إلى نص الإطار نفسه. كما تدعم الضوابط الأساسية الامتثال لـنظام حماية البيانات الشخصية الذي يشترط حماية أمنية مناسبة للبيانات الشخصية.
ما الخطوة التالية؟
ابدأ بتقييم صريح للفجوات مقابل ECC-2:2024، ثم موّل خارطة الطريق حسب المخاطر. وتصمم أمواج للحلول وتنفذ بنى تقنية متوافقة مع متطلبات الهيئة الوطنية للأمن السيبراني، من إدارة الهويات وانعدام الثقة إلى الحوسبة السحابية والمراقبة. تعرّف على خدمة الأمن السيبراني والامتثال أو راسلنا على info@amwajsol.sa لحجز استشارة.
تكامل تقنية المعلومات
الأسئلة الشائعة
ما هي الضوابط الأساسية للأمن السيبراني ECC؟
هي الضوابط الصادرة عن الهيئة الوطنية للأمن السيبراني لتحديد الحد الأدنى من متطلبات الأمن السيبراني للجهات الحكومية والشركات التابعة لها وجهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. ويتكون الإصدار الحالي ECC-2:2024 من 4 مكونات أساسية و28 مكوناً فرعياً و108 ضوابط أساسية و92 ضابطاً فرعياً.
هل الضوابط الأساسية للأمن السيبراني إلزامية على القطاع الخاص؟
هي إلزامية على جهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها، وعلى الشركات التابعة للجهات الحكومية. أما بقية الشركات فتشجعها الهيئة بقوة على تطبيقها. وعملياً يُطلب من كثير من المورّدين الذين يخدمون جهات حكومية إثبات التوافق، لأن عملاءهم يطبقون ضوابط الأطراف الخارجية في العقود والمشتريات.
ما الفرق بين الإصدار الأول والإصدار الثاني من الضوابط الأساسية؟
قلّص الإصدار ECC-2:2024 البنية من 5 مكونات أساسية و29 فرعياً إلى 4 مكونات و28 فرعياً، مع 108 ضوابط أساسية و92 ضابطاً فرعياً. ونُقلت أنظمة التحكم الصناعي إلى ضوابط الأنظمة التشغيلية، وتصنيف البيانات وتوطينها إلى مكتب إدارة البيانات الوطنية. كما أضاف متطلبات مثل توسيع التحقق متعدد العناصر، وDMARC، والحماية من هجمات حجب الخدمة، وتوطين جميع وظائف الأمن السيبراني.
كم عدد ضوابط ECC-2:2024؟
يتضمن الإصدار الثاني 108 ضوابط أساسية و92 ضابطاً فرعياً، موزعة على 28 مكوناً فرعياً ضمن 4 مكونات أساسية: حوكمة الأمن السيبراني، وتعزيز الأمن السيبراني، وصمود الأمن السيبراني، والأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية. ولا ينطبق كل ضابط على كل جهة، فضوابط الحوسبة السحابية مثلاً تخص الجهات التي تستخدم الخدمات السحابية أو تخطط لاستخدامها.
هل توجد شهادة رسمية للالتزام بالضوابط الأساسية للأمن السيبراني؟
الضوابط ليست نظام شهادات مثل ISO 27001. فالهيئة تقيّم الالتزام عبر التقييم الذاتي للجهات، والتقارير الدورية لأداة الالتزام، والزيارات الميدانية للتدقيق. ويمكن للجهات الاستعانة بتقييم مستقل للفجوات استعداداً لذلك، مع الحذر ممن يبيع شهادة رسمية مزعومة. والأهم تنظيم الأدلة حسب كل ضابط للاستجابة السريعة لطلبات الهيئة.
ما العلاقة بين الضوابط الأساسية وشهادة ISO 27001؟
يغطي الإطاران مجالات متشابهة، كالحوكمة والمخاطر وإدارة الصلاحيات والعمليات والحوادث وأمن المورّدين، لذا يمنحك برنامج ISO 27001 الناضج بداية قوية. لكن ضوابط الهيئة تضيف متطلبات سعودية خاصة، مثل توطين وظائف الأمن السيبراني بكوادر متفرغة، ووجود مراكز العمليات المُدارة داخل المملكة، والمواءمة مع المعايير الوطنية للتشفير. اربط الإطارين ثم أغلق الفجوات الخاصة بالضوابط.
كم يستغرق الالتزام بالضوابط الأساسية للأمن السيبراني؟
يعتمد ذلك على مستوى النضج الحالي وحجم الجهة وعدد الأنظمة المشمولة. فوثائق الحوكمة يمكن إعدادها بسرعة نسبية، أما الضوابط التقنية مثل حصر الأصول والتحقق متعدد العناصر والمراقبة المركزية واختبار النسخ الاحتياطية فتستغرق وقتاً أطول، وقد يكون التوظيف والتوطين الأطول. وخارطة الطريق المرحلية المبنية على تقييم الفجوات والمرتبة حسب المخاطر هي أفضل وسيلة للتخطيط.