إطار الأمن السيبراني ساما: دليل عملي للامتثال للمؤسسات المالية في المملكة

إطار الأمن السيبراني ساما هو المعيار الإلزامي الذي وضعه البنك المركزي السعودي للمؤسسات المالية الخاضعة لإشرافه. صدر في 24 مايو 2017 بموجب التعميم رقم 381000091275، ويقسّم الضوابط إلى أربعة مجالات رئيسية، ويعتمد نموذج نضج من ستة مستويات (من 0 إلى 5)، ويُتوقع من كل جهة خاضعة أن تعمل عند المستوى الثالث على الأقل.

ما هو إطار الأمن السيبراني الصادر عن ساما؟

أصدرت ساما الإصدار 1.0 من إطار الأمن السيبراني في مايو 2017 لتوحيد نهج البنوك وشركات التأمين وبقية الجهات الخاضعة لإشرافها في إدارة المخاطر السيبرانية، ويُدرج دليل الأنظمة والتعليمات لدى ساما الإطار بوصفه ساري المفعول. وقد تغيّر اسم مؤسسة النقد العربي السعودي إلى البنك المركزي السعودي في 24 نوفمبر 2020 مع الإبقاء على الاختصار "ساما"، لذا بقي اسم الإطار كما هو.

يتميز الإطار بثلاث سمات:

• قائم على المبادئ: يحدد كل مجال فرعي مبدأً وهدفاً واعتبارات للضوابط بدلاً من قائمة تحقق جامدة.
• مبني على معايير دولية: استندت ساما إلى متطلبات NIST وISF وISO وبازل وPCI، فالجهات المتوافقة مع ISO 27001 أو PCI DSS تبدأ من موقع متقدم.
• قائم على النضج: يُقاس الامتثال بمدى ثبات تطبيق الضابط وقابليته للقياس، لا بوجود سياسة مكتوبة فقط.

وحين يتعذر تطبيق ضابط ما، تتوقع ساما ضوابط تعويضية، أو قبولاً داخلياً موثقاً للمخاطر، أو طلب استثناء رسمي.

من الجهات الملزمة بإطار الأمن السيبراني ساما؟

ينطبق الإطار على "الجهات الأعضاء" الخاضعة لإشراف ساما. ويحدد دليل الأنظمة نطاق التطبيق في القطاع المصرفي، وقطاع التمويل، وأنظمة المدفوعات ومقدّمي خدمات الدفع، وشركات المعلومات الائتمانية، والبيئة التجريبية التشريعية. كما يذكر قسم قابلية التطبيق شركات التأمين وإعادة التأمين وشركات التمويل والبنية التحتية للأسواق المالية.

تنطبق جميع المجالات على البنوك، أما بقية الجهات فتُستثنى من عدد محدود من المجالات الفرعية بشروط: يُستثنى مجال أنظمة الدفع (3.3.12)، ويُستثنى مجال الخدمات المصرفية الإلكترونية (3.3.13) مع بقاء التحقق متعدد العوامل مطلوباً للخدمات الإلكترونية المقدمة للعملاء، ويُستثنى مجال الالتزام بالمعايير الصناعية الدولية (3.2.3) مع وجوب تطبيق PCI DSS أو إطار ضوابط أمن عملاء SWIFT عند التعامل مع بيانات البطاقات أو خدمات SWIFT.

أما مزوّدو التقنية والخدمات السحابية والخدمات المُدارة فلا يخضعون للإطار مباشرة، لكنهم يتأثرون به من خلال مجال الأطراف الخارجية؛ إذ ستنقل المؤسسة المالية متطلباته إلى عقدك معها.

ما المجالات الأربعة في إطار الأمن السيبراني ساما؟

المجال	المجالات الفرعية	ما يركز عليه المراجعون عادةً
1. القيادة والحوكمة للأمن السيبراني	الحوكمة، والاستراتيجية، والسياسات، والأدوار والمسؤوليات، والأمن السيبراني في إدارة المشاريع، والتوعية، والتدريب	استراتيجية معتمدة من مجلس الإدارة، ووظيفة مستقلة لمسؤول أمن المعلومات، ولجنة للأمن السيبراني، ودليل على دمج الأمن في المشاريع
2. إدارة المخاطر والالتزام	إدارة المخاطر السيبرانية، والالتزام التنظيمي، والالتزام بالمعايير الوطنية والدولية، ومراجعة الأمن السيبراني، والتدقيق	سجل مخاطر محدَّث، ومراجعات وتدقيق مستقل دوري، ومتابعة للمعالجات
3. العمليات والتقنية	الموارد البشرية، والأمن المادي، وإدارة الأصول، والمعمارية، وإدارة الهوية والوصول، وأمن التطبيقات، وإدارة التغيير، وأمن البنية التحتية، والتشفير، والأجهزة الشخصية، والإتلاف الآمن، وأنظمة الدفع، والخدمات المصرفية الإلكترونية، وإدارة الأحداث، وإدارة الحوادث، وإدارة التهديدات، وإدارة الثغرات	ضبط الصلاحيات المميزة، والتحقق متعدد العوامل، والسجلات ومراقبة مركز العمليات الأمنية، ومدد معالجة الثغرات، واختبار الاستجابة للحوادث
4. الأمن السيبراني للأطراف الخارجية	إدارة العقود والموردين، والإسناد الخارجي، والحوسبة السحابية	بنود أمنية في العقود، وتقييم مخاطر الموردين، وموافقات الحوسبة السحابية وخطط الخروج

المجال الثالث هو الأكبر بسبعة عشر مجالاً فرعياً، وفيه يتركز معظم جهد المعالجة. أما الحوسبة السحابية فتقع ضمن المجال الرابع، وترتبط مباشرة بقواعد إقامة البيانات في المملكة التي نشرحها في دليل الحوسبة السحابية وإقامة البيانات.

ما مستويات النضج في إطار ساما؟

يتكون نموذج النضج لدى ساما من ستة مستويات، ويتطلب بلوغ المستوى الثالث أو الرابع أو الخامس استيفاء جميع معايير المستويات السابقة.

المستوى	الاسم	كيف يبدو عملياً
0	غير موجود	لا ضابط ولا وعي بالمتطلب
1	عشوائي	نشاط متقطع يعتمد على الأفراد
2	متكرر لكنه غير رسمي	الضابط يُطبق بشكل متكرر لكنه غير موثق أو معتمد
3	منظم ورسمي	موثق ومعتمد ومطبق باتساق، وهو الحد الأدنى الذي تتوقعه ساما
4	مُدار وقابل للقياس	تُقاس فعالية الضابط بمؤشرات وتُقيَّم دورياً
5	متكيّف	تحسين مستمر قائم على المؤشرات ومعلومات التهديدات والدروس المستفادة

من أكثر الفجوات شيوعاً في تقييمات النضج الانتقال من المستوى الثاني إلى الثالث: الضابط يعمل فعلاً، لكن لا أحد يستطيع تقديم وثيقة معتمدة ومالك واضح ودليل على أنه يُطبق بالطريقة نفسها في كل مرة.

ما العلاقة بين إطار ساما والضوابط الأساسية للأمن السيبراني؟

تحتاج كثير من المؤسسات المالية السعودية إلى استيفاء متطلبات ساما والهيئة الوطنية للأمن السيبراني معاً. فـالضوابط الأساسية للأمن السيبراني (ECC-2:2024) تنطبق على الجهات الحكومية وجهات القطاع الخاص التي تملك بنية تحتية وطنية حساسة أو تشغّلها أو تستضيفها.

الجانب	إطار ساما	ضوابط الهيئة الوطنية للأمن السيبراني
الجهة المصدرة	البنك المركزي السعودي	الهيئة الوطنية للأمن السيبراني
الإصدار الحالي	الإصدار 1.0، مايو 2017	ECC-2:2024
النطاق	المؤسسات المالية الخاضعة لإشراف ساما	الجهات الحكومية وجهات البنية التحتية الوطنية الحساسة، مع تشجيع البقية
الهيكل	4 مجالات تتضمن مبادئ وأهدافاً واعتبارات للضوابط	4 مكونات رئيسية و28 مكوناً فرعياً و108 ضوابط رئيسية و92 ضابطاً فرعياً
أسلوب التقييم	مستويات نضج من 0 إلى 5 بحد أدنى المستوى الثالث	الالتزام بكل ضابط منطبق وفق أدوات الهيئة
الحوسبة السحابية	المجال الفرعي 3.4.3	المكون الفرعي 4-2 إضافة إلى ضوابط الأمن السيبراني للحوسبة السحابية

والحل العملي هو مكتبة ضوابط موحدة مربوطة بالإطارين، بحيث يخدم الدليل الواحد المراجعتين معاً. ويغطي دليلنا للضوابط الأساسية للأمن السيبراني جانب الهيئة بالتفصيل.

كيف يُقيَّم الامتثال لإطار ساما؟

1. التقييم الذاتي: تعبئ الجهة استبيان التقييم الذاتي الدوري الصادر عن ساما وتحدد مستوى النضج لكل مجال فرعي.
2. الأدلة: يجب أن يستند كل تقييم إلى وثائق معتمدة وسجلات وإعدادات ومؤشرات.
3. مراجعة ساما وتدقيقها: تراجع ساما التقييمات الذاتية وتدققها لتحديد مستوى الامتثال والنضج، وتقارن بين الجهات الأعضاء.
4. المعالجة: تتحول الفجوات إلى خطة عمل محددة زمنياً تتابعها لجنة الأمن السيبراني وتُرفع إلى الإدارة العليا.

كن حذراً من الادعاءات بأن إصداراً جديداً مرقّماً حل محل إطار 2017. فحتى أكتوبر 2026 يُدرج دليل الأنظمة لدى ساما إطار الأمن السيبراني الصادر عام 2017 بوصفه ساري المفعول، فارجع دائماً إلى الدليل الرسمي مباشرة بدلاً من ملخصات الموردين.

ما الأدلة التي يتوقعها مراجعو ساما؟

لا يكون تقييم النضج أقوى من الأدلة التي يستند إليها، لذا أعدّ لكل مجال فرعي فهرساً مختصراً للأدلة يشير إلى الوثائق والسجلات التالية:

• الحوكمة: محاضر مجلس الإدارة أو اللجنة المعتمدة لاستراتيجية الأمن السيبراني، وصلاحيات مسؤول أمن المعلومات وخط رفع تقاريره، ومجموعة السياسات المعتمدة مع تواريخ مراجعتها.
• المخاطر والالتزام: سجل المخاطر السيبرانية، وقرارات قبول المخاطر الموقعة من المستوى الإداري المناسب، وتقارير التدقيق الداخلي، وسجل متابعة المعالجات.
• العمليات والتقنية: سجلات الأصول، ومراجعات صلاحيات الحسابات المميزة، وتقارير تغطية التحقق متعدد العوامل، وحالات الاستخدام في نظام إدارة السجلات والأحداث الأمنية وسجلات معالجة التنبيهات، واتجاهات فحص الثغرات ونسب تطبيق التحديثات، وتقارير تمارين الاستجابة للحوادث.
• الأطراف الخارجية: تقييمات مخاطر الموردين، والبنود الأمنية في العقود، وموافقات الإسناد الخارجي والحوسبة السحابية، وخطط الخروج من المزوّدين الحرجين.

والأدلة التي تولّدها الأنظمة تلقائياً، مثل لوحات المتابعة والتقارير المجدولة، أكثر إقناعاً من وثائق تُعدّ قبل المراجعة بأسبوع، وهي كذلك الأساس للوصول إلى المستوى الرابع.

ما أبرز الأخطاء الشائعة في تطبيق إطار ساما؟

• التعامل معه كمشروع تقني فقط: يبدأ الإطار بإشراف مجلس الإدارة وملكية قطاعات الأعمال، ومن دونهما يتعثر المجال الأول.
• سياسات بلا مالكين: السياسة التي لا يحدّثها أحد ولا يقيسها أحد لن تصمد أمام مراجعة المستوى الثالث.
• بنود ضعيفة مع الأطراف الخارجية: كثيراً ما تفتقر عقود الإسناد والحوسبة السحابية إلى حق التدقيق وشروط الإبلاغ عن الاختراقات والالتزام بموقع البيانات.
• خطة استجابة غير مُختبرة: الخطة التي لم تُجرَّب في تمرين فعلي هي في أحسن الأحوال ضابط من المستوى الثاني.
• غياب المؤشرات: من دون مؤشرات أداء ومؤشرات مخاطر لا طريق إلى المستوى الرابع، ولا إنذار مبكر عند تراجع فعالية الضوابط.

ويمكن الاطلاع على الوثيقة الأصلية للإطار، بما فيها اعتبارات الضوابط لكل مجال فرعي، عبر ملف إطار الأمن السيبراني الصادر عن ساما.

خارطة طريق عملية للامتثال لإطار ساما

1. حدّد النطاق والحوكمة: المجالات الفرعية المنطبقة، ومالكي الضوابط، واستقلالية مسؤول أمن المعلومات وخط رفع تقاريره.
2. نفّذ تقييم الفجوات: قيّم النضج الحالي لكل مجال فرعي مقابل معايير المستوى الثالث بالأدلة لا بالانطباعات.
3. رتّب الأولويات حسب المخاطر: ابدأ بالفجوات عالية الأثر مثل الصلاحيات المميزة، والتحقق متعدد العوامل، والسجلات والمراقبة، وإدارة الثغرات، وضوابط الأطراف الخارجية والحوسبة السحابية.
4. أضفِ الطابع الرسمي: اكتب السياسات والمعايير والإجراءات أو حدّثها، واعتمدها، وعمّمها.
5. طبّق وأتمت: نفّذ الضوابط التقنية وأتمت جمع الأدلة حيثما أمكن.
6. قِس الأداء: عرّف مؤشرات أداء ومؤشرات مخاطر لكل مجال للانتقال من المستوى الثالث نحو الرابع.
7. استعد للتقييم الذاتي: اجمع ملف الأدلة، وأجرِ مراجعة داخلية تجريبية، وتابع المعالجات بشفافية.

تعتمد المدة على مستوى النضج الحالي وحجم البيئة التقنية، لذا تجنب الوعود الزمنية الثابتة. وما يختصر الرحلة فعلاً هو المعمارية: أمن مصمم مرة واحدة في طبقات الهوية والشبكة والمراقبة بدلاً من ترقيع كل نظام على حدة. نشرح هذا النهج في مقال معمارية الأمن السيبراني للمنشآت السعودية، وتعرض دراسة حالة الانتقال إلى السحابة وضعاً أمنياً مركزياً مع مراقبة مستمرة للامتثال لضوابط الهيئة الوطنية للأمن السيبراني.

الخطوة التالية

إذا كنت بنكاً أو شركة تأمين أو تمويل أو تقنية مالية تستعد للتقييم الذاتي لساما، أو مزوّد تقنية يخدم إحدى هذه الجهات، فابدأ بتقييم صريح للفجوات. تصمم أمواج للحلول معماريات أمنية متوافقة مع ضوابط الهيئة الوطنية للأمن السيبراني، وتساعد الفرق على بناء الأدلة التي تتطلبها مراجعات النضج. تعرّف على خدمات الأمن السيبراني والامتثال أو تواصل معنا لتحديد نطاق المراجعة.