الأمن السيبراني تابع لتقنية المعلومات
تشترط الضوابط إدارة أمن سيبراني مستقلة عن تقنية المعلومات ومرتبطة برئيس الجهة أو مَن يفوّضه. وارتباط رئيس الأمن السيبراني بمدير التقنية ملاحظة حوكمة تسبق فحص أي ضابط تقني.
خدمة امتثال
ضوابط NCA ECC وCCC، مطبّقة على أرض الواقع
نربط ضوابط ECC 2-2024 وCCC 2-2024 بأنظمتك وخدماتك السحابية ومسؤوليها، ونطبّق الضوابط ذات الأولوية، ونبني الأدلة، ونغلق الفجوات.
ما تقدّمه ليمـاز
- تقييم الجاهزية والفجوات وفق ECC 2-2024 وCCC 2-2024
- ربط الضوابط بالأنظمة والمسؤولين والأدلة
- توزيع مسؤوليات المزود والمشترك في الحوسبة السحابية
- معمارية ضوابط السحابة والتهيئة الآمنة
- خارطة تنفيذ مرتبة حسب المخاطر
- تطبيق الضوابط التقنية والإجرائية
- جاهزية الأدلة، والتحقق، ومتابعة المعالجة
ECC: الحد الأساسي
الضوابط الأساسية للأمن السيبراني هي الحد الأدنى من متطلبات الهيئة الوطنية للأمن السيبراني للجهات الوطنية المشمولة، ويحدّث الإصدار ECC 2-2024 النص السابق ECC-1:2018.
يتكوّن ECC-2:2024 من 4 مجالات رئيسية و28 مجالاً فرعياً و108 ضوابط رئيسية و92 ضابطاً فرعياً. والمجالات الأربعة هي: حوكمة الأمن السيبراني، وتعزيز الأمن السيبراني، وصمود الأمن السيبراني، والأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية.
CCC: طبقة الحوسبة السحابية
تمتد CCC 2-2024 من الضوابط الأساسية إلى الحوسبة السحابية، من جهة المزود ومن جهة المشترك، ولكل طرف مسؤولياته.
نربط خدماتك السحابية وبياناتك ومزوديك، ونوضّح كل ضابط مشترك بين فرق المزود والمشترك، ونبني نموذج أدلة واحد يغطي ECC وCCC.
كيف نطبّق ECC وCCC
خط أساس للإطارين
نحدد ضوابط ECC وCCC المنطبقة على جهتك، والأنظمة والخدمات السحابية والأطراف الخارجية المرتبطة بها.
ربط الضوابط بالواقع
نحدد الأنظمة والإجراءات والمزودين والمشتركين الذين يغطون كل ضابط منطبق.
تحديد مسؤولي التشغيل
نسمّي المسؤول عن كل ضابط، وعن مراجعته واستثناءاته وتصعيده.
معالجة الفجوات
أعمال تقنية وسحابية وإجرائية مرتّبة بتسلسل يستطيع الفريق إنجازه.
أدلة محدّثة باستمرار
نموذج أدلة واحد يغطي ECC وCCC، جاهز للتقييم القادم.
مجالات الضوابط الأساسية في لمحة
- ١. حوكمة الأمن السيبراني (10 مجالات فرعية)
- استراتيجية الأمن السيبراني وإدارته، والسياسات والإجراءات، والأدوار والمسؤوليات، وإدارة المخاطر، والأمن السيبراني في مشاريع التقنية، والالتزام بالتشريعات والتنظيمات والمعايير، والمراجعة والتدقيق الدوري، والأمن السيبراني المتعلق بالموارد البشرية، وبرنامج التوعية والتدريب. يحدد هذا المجال مالك الأمن السيبراني في الجهة، ومَن يعتمده، ومَن يراجعه.
- ٢. تعزيز الأمن السيبراني (15 مجالاً فرعياً)
- إدارة الأصول، وإدارة الهويات والصلاحيات (IAM)، وحماية الأنظمة وأجهزة معالجة المعلومات، وحماية البريد الإلكتروني، وأمن الشبكات، وأمن الأجهزة المحمولة، وحماية البيانات والمعلومات، والتشفير، والنسخ الاحتياطية والاستعادة، وإدارة الثغرات، واختبار الاختراق، وسجلات الأحداث والمراقبة، وإدارة الحوادث والتهديدات، والأمن المادي، وحماية تطبيقات الويب. هنا يتركز معظم العمل التقني.
- ٣. صمود الأمن السيبراني (مجال فرعي واحد)
- جوانب الأمن السيبراني في إدارة استمرارية الأعمال: استمرار الخدمات الحرجة خلال الحادثة السيبرانية، واستعادتها وفق الخطة المعتمدة.
- ٤. الأطراف الخارجية والحوسبة السحابية (مجالان فرعيان)
- الأمن السيبراني المتعلق بالأطراف الخارجية، من العقود إلى الموردين والخدمات المُسندة، والأمن السيبراني المتعلق بالحوسبة السحابية والاستضافة. ويُلزم المجال الفرعي 4-2 كل جهة مشمولة تستخدم خدمات الحوسبة السحابية والاستضافة أو تخطط لاستخدامها، وهو نقطة الانتقال إلى ضوابط CCC.
الجهات الملزمة بضوابط ECC وCCC
تُلزم الضوابط الأساسية للأمن السيبراني (ECC) فئتين: الجهات الحكومية في المملكة من وزارات وهيئات ومؤسسات وغيرها، والشركات والجهات التابعة لها داخل المملكة وخارجها؛ وجهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها.
وتعرّف الهيئة الوطنية للأمن السيبراني البنى التحتية الوطنية الحساسة بأنها العناصر الأساسية التي يُحدث فقدانها أو اختراقها أثراً كبيراً في الخدمات الأساسية أو الأمن الوطني أو الاقتصاد الوطني. وعلى البنوك ومشغّلي المدفوعات والاتصالات والطاقة أن يحسموا موقعهم من هذا التعريف مبكراً، فالإجابة تحدد مجموعة الضوابط كاملة.
أما ضوابط الأمن السيبراني للحوسبة السحابية (CCC) فتتبع النطاق نفسه من جهة السحابة. فضوابط المشترك تشمل الجهات الحكومية وجهات البنى التحتية الحساسة حين تستخدم خدمات سحابية، وضوابط المزود تشمل كل مزود خدمات سحابية يخدم هذه الجهات، أياً كان مقرّه. ويخرج من نطاقها المزود الذي يقتصر على خدمة جهات غير سعودية خارج المملكة، أو جهات خاصة لا تشغّل بنى تحتية حساسة.
وتستطيع المنشآت خارج الفئتين، كشركات التقنية المالية وموردي التقنية، أن تعتمد الضوابط الأساسية خط أساس لها. فهي اللغة الرقابية ذاتها التي يُقاس بها عملاؤها من الجهات الحكومية والبنى الحساسة، وهؤلاء العملاء ينقلون متطلباتها إلى مورديهم عبر مجال الأطراف الخارجية.
CCC: مزود الخدمة السحابية والمشترك
- مجموعتان من الضوابط وهيكل واحد
- تضم CCC-2:2024 مجموعة لمزود الخدمة السحابية وأخرى للمشترك، تتشاركان المجالات الرئيسية والفرعية وتفترقان على مستوى الضابط. ويدل الحرف P في رمز الضابط على ضوابط المزود، والحرف T على ضوابط المشترك، مثل 1-3-P-1-1.
- مزود الخدمة السحابية (CSP)
- 4 مجالات رئيسية و24 مجالاً فرعياً و37 ضابطاً أساسياً و94 ضابطاً فرعياً، موزعة على الحوكمة والتعزيز والصمود والأطراف الخارجية. وتغطي المنصة السحابية ذاتها، ومنها إدارة التغيير، وإدارة مفاتيح التشفير، والتطوير الآمن للأنظمة، وسلسلة الإمداد لدى المزود.
- المشترك في الخدمة السحابية (CST)
- 18 ضابطاً أساسياً و26 ضابطاً فرعياً تأتي فوق الضوابط الأساسية كاملة. فالمشترك يلتزم بالاثنين: جميع ضوابط ECC، وضوابط المشترك الخاصة بالخدمات السحابية التي يستخدمها.
- أربعة مستويات حسب تصنيف البيانات
- يخص المستوى الأول البيانات المصنفة سري للغاية، ويخص المستوى الرابع البيانات العامة. وكل ضابط محدد بأنه إلزامي أو اختياري في كل مستوى، للمزود والمشترك، فتصنيف البيانات في الخدمة هو ما يحدد ضوابطها.
- امتداد للضوابط الأساسية
- تنص الهيئة على أن CCC امتداد للضوابط الأساسية ومكمّلة لها. فعلى المشترك الالتزام المستمر بالإطارين، وعلى المزود كذلك الالتزام بهما معاً، سواء كان مشمولاً بالضوابط الأساسية بذاته أم لا.
- توطين البيانات لدى مكتب إدارة البيانات الوطنية
- حذفت CCC-2:2024 ضوابط توطين البيانات التي تضمنها الإصدار CCC-1:2020 ونقلتها إلى مكتب إدارة البيانات الوطنية في سدايا، وأجرى ECC-2:2024 التعديل نفسه. فمسائل إقامة البيانات تُحسم اليوم وفق متطلبات المكتب.
الأدلة التي يطلبها تقييم الهيئة
- استراتيجية أمن سيبراني معتمدة من رئيس الجهة أو مَن يفوّضه، مع مبادراتها وخارطة تنفيذها
- هيكل تنظيمي يُظهر إدارة أمن سيبراني مستقلة عن تقنية المعلومات ومرتبطة برئيس الجهة أو مَن يفوّضه، وقرار إنشائها
- ميثاق اللجنة الإشرافية للأمن السيبراني وعضويتها ومحاضر اجتماعاتها
- سياسات وإجراءات ومعايير تقنية معتمدة، مع ما يثبت إبلاغها للموظفين
- سجل مخاطر الأمن السيبراني وخطة معالجتها وتقارير التقييم، ومنها تقييم المخاطر في بداية المشاريع التقنية
- سجل أصول محدّث، يُفضّل أن يغذّيه نظام إدارة الإعدادات (CMDB)، مع تصنيف كل أصل
- لقطات من إعدادات الأنظمة تثبت ضوابط إدارة الهويات والصلاحيات، ومنها التحقق متعدد العوامل (MFA) للوصول عن بُعد والحسابات ذات الصلاحيات الهامة
- سجلات أحداث الأمن السيبراني محفوظة 12 شهراً على الأقل، مع مراقبة الأصول الحساسة والحسابات ذات الصلاحيات
- سجلات الحوادث، ومنها البلاغات المرفوعة إلى الهيئة
- نتائج اختبار استعادة النسخ الاحتياطية، وتقارير اختبار الاختراق الدورية ومعالجة نتائجها
- عقود الأطراف الخارجية المتضمنة لمتطلبات الأمن السيبراني، وأدلة مزود الخدمة السحابية مربوطة بضوابط CCC
- تقارير مراجعة وتدقيق تنفذها أطراف من خارج إدارة الأمن السيبراني
الفجوات الأكثر تكراراً
هذه ملاحظات تعطّل تقييم ECC وCCC، ولكل منها معالجة واضحة.
التحقق متعدد العوامل يتوقف عند الشبكة الافتراضية
يشمل التحقق متعدد العوامل الوصول عن بُعد وكل حساب ذي صلاحيات هامة. وأكثر ما يُغفل عنه: لوحات الإدارة، والحسابات الجذرية في السحابة، وحسابات الطوارئ.
سجلات تُحذف مبكراً
تحدد الضوابط 12 شهراً حداً أدنى لحفظ سجلات أحداث الأمن السيبراني، بينما يقل الإعداد الافتراضي في منصات السحابة وأنظمة SIEM عن ذلك غالباً، فلا تظهر الفجوة إلا حين يطلب المدقق سجلات العام الماضي.
سياسات غير معتمدة
المسودات في المجلدات المشتركة لا تُحتسب. فالسياسة تحتاج إلى اعتماد صاحب الصلاحية في الجهة، ودورة مراجعة، وما يثبت وصولها إلى الموظفين.
مراجعة ذاتية فقط
يراجع فريق الأمن السيبراني ضوابطه بنفسه ويكتفي بذلك، والضوابط تشترط أيضاً مراجعة وتدقيقاً من أطراف خارج إدارة الأمن السيبراني.
مسؤوليات سحابية غير محددة
يفترض المشترك أن المزود يغطي ضوابط تقع على عاتقه هو، ولا تُربط أدلة المزود بضوابط CCC. فكل ضابط سحابي يحتاج إلى مسؤول مسمّى لدى أحد الطرفين.
إدارة ECC وCCC في برنامج واحد
سجل ضوابط واحد، وقائمة مسؤولين واحدة، ومستودع أدلة واحد. هكذا تدير ليمـاز الإطارين معاً.
حدّد موقع جهتك
هل جهتك حكومية، أم مشغّلة لبنية تحتية حساسة، أم مشتركة في خدمات سحابية، أم مزودة لها، أم تجمع أكثر من صفة؟ وثّق مستوى تصنيف البيانات في كل خدمة سحابية.
ابنِ سجلاً واحداً
اجمع الضوابط الأساسية الـ108 وضوابط المزود أو المشترك في CCC حسب المستوى، وأي إطار قطاعي مثل إطار ساما، في سجل واحد، واربط كل ضابط بالأنظمة والخدمات والموردين.
وزّع الملكية السحابية
حدّد لكل ضابط سحابي مالكه: المزود، أو المشترك، أو كلاهما، والبند التعاقدي أو تقرير المزود الذي يثبت ذلك.
ابدأ بفجوات الحوكمة
الإدارة المستقلة، واللجنة الإشرافية، والاستراتيجية، والسياسات المعتمدة هي مفتاح بقية العمل. ثم انتقل إلى الهويات والتحقق متعدد العوامل، والسجلات، والثغرات، والنسخ الاحتياطية، والإبلاغ عن الحوادث.
اجمع الأدلة من مصدرها
اربط كل ضابط بالنظام الذي ينتج دليله: إعدادات مزود الهوية، ومدة الحفظ في SIEM، وسجلات التذاكر، وتقارير الاختبارات، فتبقى الأدلة محدّثة دون استنفار قبل كل تقييم.
استعد لتقييم الهيئة
تقيس الهيئة الالتزام عبر التقييم الذاتي، والتقارير الدورية لأداتَي التقييم والالتزام الخاصتين بـ ECC-2:2024 وCCC-2:2024، والزيارات الميدانية للتدقيق. جهّز المدخلات والأدلة للمسارات الثلاثة.
راجع بصورة دورية
نفّذ مراجعات داخلية دورية وتدقيقاً مستقلاً، وحدّث السجل بعد كل تغيير جوهري في الأنظمة أو الموردين أو الخدمات السحابية.
الربط مع إطار ساما وISO 27001 وضوابط الهيئة الأخرى
- الإطار التنظيمي للأمن السيبراني من البنك المركزي السعودي (SAMA CSF)
- صدر الإطار (الإصدار 1.0، مايو 2017) للبنوك، وشركات التأمين وإعادة التأمين، وشركات التمويل، وشركات المعلومات الائتمانية، والبنية التحتية للسوق المالية. ومجالاته الأربعة: القيادة والحوكمة، وإدارة المخاطر والالتزام، والعمليات والتقنية، والأطراف الخارجية، ويُطلب من المؤسسات العمل عند مستوى النضج الثالث أو أعلى. وتتقارب مجالاته مع الضوابط الأساسية، فالمؤسسة الخاضعة للإطارين تدير سجلاً واحداً: يضيف إطار ساما قياس النضج، وتضيف الضوابط الأساسية متطلبات وطنية مثل الإبلاغ عن الحوادث للهيئة وشغل وظائف الأمن السيبراني بكفاءات سعودية متفرغة.
- نظام إدارة أمن المعلومات وشهادة ISO 27001
- ISO/IEC 27001:2022 معيار قابل للإشهاد لإنشاء نظام إدارة أمن المعلومات (ISMS) وتطبيقه وصيانته وتحسينه المستمر. وبُنيت الضوابط الأساسية على دراسة للمعايير الوطنية والدولية، لذلك يرتبط تقييم المخاطر والسياسات وضوابط الملحق A في المعيار بها ارتباطاً واضحاً. والشهادة تثبت أن نظام الإدارة فعّال، أما الامتثال للضوابط الأساسية فيحتاج إلى دليل لكل ضابط من ضوابط الهيئة، ومنها الضوابط الوطنية.
- ضوابط الأمن السيبراني للأنظمة الحساسة (CSCC)
- يمتد الإصدار CSCC-1:2019 من الضوابط الأساسية إلى الأنظمة الوطنية الحساسة، بـ32 ضابطاً أساسياً و73 ضابطاً فرعياً في أربعة مجالات.
- ضوابط الأمن السيبراني للبيانات (DCC)
- يضيف الإصدار DCC-1:2022 إلى الضوابط الأساسية الحد الأدنى من المتطلبات لحماية البيانات طوال دورة حياتها.
- ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC)
- يمتد الإصدار OTCC-1:2022 من الضوابط الأساسية إلى أنظمة التحكم الصناعي، وقد حلّ محل المجال الخامس الذي خصصه الإصدار ECC-1:2018 لهذه الأنظمة.
- ضوابط العمل عن بُعد وحسابات التواصل الاجتماعي
- تصدر الهيئة أيضاً ضوابط الأمن السيبراني للعمل عن بُعد (TCC) وضوابط الأمن السيبراني لحسابات التواصل الاجتماعي للجهات (OSMACC). وتضيف ليمـاز ما ينطبق منها إلى السجل نفسه، فيغطي الضابط الواحد عدة أطر بدليل واحد.
مقالات ذات صلة
الضوابط الأساسية للأمن السيبراني ECC-2:2024: ما الذي تغيّر وما الذي يجب تحديثه
الإصدار الثاني من الضوابط الأساسية للأمن السيبراني أقصر من سابقه، لكنه ليس أسهل. نوضح هنا ما انتقل، وما حُذف، وكيف تحدّث برنامجك القائم دون أن تبدأ من الصفر.
SAMA CSF أم NCA ECC: أيّ الإطارين ينطبق على جهتك، وكيف تطبّقهما معاً
تلتزم مؤسسات مالية سعودية كثيرة بالإطارين معاً. وأقصر طريق إلى ذلك مكتبة ضوابط واحدة بربطين، لا برنامجان متوازيان.
أسئلة شائعة
ECC 2-2024 هو الإصدار الحالي من الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، ويحلّ محل ECC-1:2018.
ضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن الهيئة لمزودي الخدمات السحابية والمشتركين فيها، وهي امتداد للضوابط الأساسية.
نعم، إذا كانت جهتك تقدّم خدمات سحابية أو تستخدمها. فضوابط CCC مبنية على ECC، ولذلك نطبّقهما في برنامج واحد بخريطة ضوابط واحدة ونموذج أدلة واحد.
الضوابط الأساسية حد أدنى وطني للجهات المشمولة، وإطار ساما للمؤسسات المالية الخاضعة لإشراف البنك المركزي. وتحتاج جهات كثيرة إلى الاثنين معاً.
تنطبق ECC-2:2024 على الجهات الحكومية في المملكة من وزارات وهيئات ومؤسسات وغيرها، والشركات والجهات التابعة لها داخل المملكة وخارجها، وعلى جهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. وتصل متطلباتها إلى منشآت أخرى عبر العقود، إذ تنقل الجهات المشمولة متطلبات الأطراف الخارجية إلى مورديها.
تتكون الضوابط الأساسية للأمن السيبراني ECC-2:2024 من 4 مجالات رئيسية و28 مجالاً فرعياً و108 ضوابط أساسية و92 ضابطاً فرعياً. والمجالات هي: حوكمة الأمن السيبراني (10 مجالات فرعية)، وتعزيز الأمن السيبراني (15)، وصمود الأمن السيبراني (1)، والأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية (2).
تقيّم الهيئة التزام الجهات بعدة وسائل: التقييم الذاتي، والتقارير الدورية لأداة التقييم والالتزام الخاصة بـ ECC-2:2024، والزيارات الميدانية للتدقيق، وفق الآلية التي تراها مناسبة. والمطلوب من الجهات المشمولة التزام مستمر، لذلك يجب أن تبقى الأدلة محدّثة بين التقييمات بدلاً من تجميعها عند كل تقييم.
نعم، متى خدموا جهات مشمولة. فضوابط الأمن السيبراني للحوسبة السحابية CCC-2:2024 تنطبق على كل مزود يقدّم خدمات سحابية للجهات الحكومية أو لجهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. ويخرج منها المزود الذي يقتصر على خدمة جهات غير سعودية خارج المملكة أو جهات خاصة لا تشغّل بنى حساسة.
تعتمد CCC-2:2024 أربعة مستويات مرتبطة بتصنيف البيانات: المستوى الأول للبيانات المصنفة سري للغاية، والمستوى الرابع للبيانات العامة، ويغطي المستويان الثاني والثالث درجات التصنيف بينهما. وكل ضابط من ضوابط المزود والمشترك محدد بأنه إلزامي أو اختياري في كل مستوى، فتصنيف البيانات التي تعالجها الخدمة السحابية يحدد الضوابط المطلوبة منها.
أصبح الإصدار ECC-2:2024 مكوناً من 4 مجالات و28 مجالاً فرعياً و108 ضوابط أساسية و92 ضابطاً فرعياً. وانتقل المجال الخامس في ECC-1:2018، الخاص بأنظمة التحكم الصناعي، إلى ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC). كما حُذف ضابط توطين البيانات من مجال الحوسبة السحابية وأُحيل إلى مكتب إدارة البيانات الوطنية في سدايا، وأجرت CCC-2:2024 التعديل ذاته.
تمنحك شهادة ISO 27001 نظام إدارة أمن معلومات فعّالاً يرتبط جزء كبير منه بالضوابط الأساسية، لكن الهيئة تقيّم وفق ضوابطها هي، ومنها متطلبات وطنية مثل إدارة أمن سيبراني مستقلة عن تقنية المعلومات، وكفاءات سعودية متفرغة، والإبلاغ عن الحوادث للهيئة، وحفظ السجلات 12 شهراً. اربط أدلة ISO بكل ضابط وعالج الفجوات الوطنية.
تشترط ECC-2:2024 حفظ سجلات أحداث الأمن السيبراني مدة لا تقل عن 12 شهراً، وأن تشمل السجلات والمراقبة الأصول المعلوماتية الحساسة، والحسابات ذات الصلاحيات الهامة، والوصول عن بُعد. راجع إعدادات الحفظ في نظام SIEM ومنصات السحابة، فالإعدادات الافتراضية تقل عن هذا الحد في حالات كثيرة.
هل لديك متطلب تريد تنفيذه؟
شاركنا النظام أو الضابط أو المتطلب التنظيمي، وسنعود إليك بخطوة تالية واضحة.