انتقل إلى المحتوى
Limaz

خدمة امتثال

قيّم ضوابط SAMA CSF وطبّقها

نقيّم جاهزيتك، ونربط الضوابط المنطبقة بالأنظمة والمسؤولين، ثم ندعم التطبيق ونبني نموذج الأدلة ونتحقق من التقدم، للمؤسسات الخاضعة لإشراف البنك المركزي السعودي.

ناقش معنا تطبيق SAMA CSF

ما تقدّمه ليمـاز

  • تقييم الجاهزية والفجوات وفق إطار SAMA CSF
  • تحديد الضوابط المنطبقة ومسؤوليها والوضع المستهدف
  • خارطة تنفيذ ومعالجة مرتبة حسب المخاطر
  • تطبيق عملي للضوابط الإجرائية والتقنية
  • نموذج للأدلة والتحقق وتقارير التقدم

تعريف إطار الأمن السيبراني من ساما

يحدد الإطار توقعات الأمن السيبراني للمؤسسات الخاضعة لإشراف البنك المركزي السعودي. وهو إطار ضوابط وحوكمة، وليس منتجاً برمجياً ولا قائمة تُستوفى في ورشة عمل واحدة.

ويتطلب التطبيق مجموعة ضوابط مستهدفة، ومسؤولين محددين، وتغييرات تقنية وإجرائية، وأدلة محدّثة جاهزة للمراجعة.

كيف نطبّق إطار ساما

  1. تحديد النطاق

    نحدد الضوابط المنطبقة على ترخيصك وأنشطتك، والأنظمة والمسؤولين المرتبطين بها.

  2. رسم الوضع الحالي

    نراجع السياسات والأنظمة والمسؤولين والأدلة والفجوات القائمة اليوم.

  3. تصميم الوضع المستهدف

    معمارية الضوابط، وصلاحيات القرار، وما يجب تغييره في الإجراءات والتقنية.

  4. ترتيب العمل

    سجل تنفيذ يحدد المسؤولين والاعتماديات والأولويات ومعايير القبول.

  5. ربط الأدلة

    سجلات وموافقات واختبارات مرتبطة بمسؤوليها، حتى لا تبدأ كل مراجعة من الصفر.

  6. التحقق والمعالجة

    نثبت فاعلية الضوابط، ثم نعالج المخاطر المتبقية بأعمال قابلة للقياس.

فجوات تنفيذ شائعة

  • سياسات قائمة دون ضوابط تقنية أو إجرائية مطبّقة.
  • مسؤولون مسمَّون في الوثائق فقط، دون مهام تشغيلية دورية.
  • أدلة تُجمع لأسبوع المراجعة ثم تتقادم.
  • قوائم معالجة لم تتحول إلى عمل هندسي مرتّب.
  • صلاحيات الأطراف الخارجية خارج نموذج الضوابط.
  • أدوات الاحتيال وغسل الأموال منفصلة عن منظومة الضوابط السيبرانية.

المجالات الأربعة

3.1 القيادة والحوكمة للأمن السيبراني
سبعة مجالات فرعية: الحوكمة، والاستراتيجية، والسياسة، والأدوار والمسؤوليات، والأمن السيبراني في إدارة المشاريع، والتوعية، والتدريب. وفي هذا المجال يبحث البنك المركزي عن مساءلة واضحة على مستوى مجلس الإدارة، ولجنة للأمن السيبراني، ورئيس لأمن المعلومات (CISO) يقود وظيفة مستقلة عن تقنية المعلومات.
3.2 إدارة المخاطر والالتزام
خمسة مجالات فرعية: إدارة مخاطر الأمن السيبراني، والالتزام التنظيمي، والالتزام بالمعايير الوطنية والدولية، ومراجعة الأمن السيبراني، وتدقيق الأمن السيبراني. وفيه تتحول المخاطر إلى سجل مُدار له مسؤولون، ويصبح الالتزام أمراً يُختبر بانتظام لا افتراضاً.
3.3 العمليات والتقنية
سبعة عشر مجالاً فرعياً: الموارد البشرية، والأمن المادي، وإدارة الأصول، ومعمارية الأمن السيبراني، وإدارة الهويات والصلاحيات (IAM)، وأمن التطبيقات، وإدارة التغيير، وأمن البنية التحتية، والتشفير، واستخدام الأجهزة الشخصية (BYOD)، والإتلاف الآمن للأصول المعلوماتية، وأنظمة المدفوعات، والخدمات المصرفية الإلكترونية، وإدارة الأحداث، وإدارة الحوادث، وإدارة التهديدات، وإدارة الثغرات. وهنا يتركز معظم العمل الهندسي.
3.4 الأمن السيبراني للأطراف الخارجية
ثلاثة مجالات فرعية: إدارة العقود والموردين، والإسناد الخارجي، والحوسبة السحابية. ويشترط المجال الفرعي 3.4.3 أن تحصل المؤسسة على موافقة البنك المركزي قبل استخدام الخدمات السحابية العامة أو الهجينة، أو قبل توقيع عقدها.
بنية كل مجال فرعي
يتضمن كل مجال فرعي مبدأً وهدفاً واعتبارات للضوابط. فالإطار قائم على المبادئ: يحدد النتيجة التي يتوقعها البنك المركزي، ويترك لجهتك التصميم التقني. ولهذا يستوفي بنكان المجال الفرعي نفسه بأدوات مختلفة، وتبقى الأدلة هي الفيصل لا أسماء المنتجات.

مستويات النضج، وما يتطلبه المستوى الثالث فعلاً

يقيس الإطار التنظيمي للأمن السيبراني من البنك المركزي السعودي، في إصداره 1.0 الصادر في مايو 2017، نضج كل مجال فرعي على ستة مستويات من 0 إلى 5. ويتوقع البنك المركزي أن تعمل المؤسسات الخاضعة لإشرافه عند المستوى الثالث أو أعلى، وكل مستوى يشمل ما دونه. كما نشر البنك المركزي متطلبات مستقلة للمستوى الرابع في دليله التنظيمي (SAMA Rulebook)، فالمستوى الثالث حدٌّ أدنى وليس نهاية الطريق.

  1. المستوى 0: غير موجود

    لا توثيق ولا إدراك للضابط، والضابط غير مطبّق.

  2. المستوى 1: اجتهادي

    الضابط غير معرّف أو معرّف جزئياً، ويعتمد تنفيذه على الأفراد ويختلف من إدارة إلى أخرى.

  3. المستوى 2: متكرر لكنه غير رسمي

    يُنفَّذ الضابط بالطريقة نفسها في كل مرة، لكن الممارسة غير مكتوبة، وتستمر ما دام الأشخاص أنفسهم في مواقعهم.

  4. المستوى 3: منظّم ورسمي

    الضوابط معرّفة ومعتمدة ومطبّقة بصورة منظمة ورسمية، ويمكن إثبات تطبيقها. السياسات والمعايير والإجراءات مكتوبة ومعتمدة، ومتابعة الالتزام بها قائمة، ويُفضَّل أن تجري عبر أداة للحوكمة والمخاطر والالتزام (GRC). ومؤشرات الأداء الرئيسية (KPIs) محددة ومتابَعة ومرفوعة في تقارير دورية. وعملياً: لكل مجال فرعي وثيقة معتمدة، ومسؤول مسمّى، وضابط يعمل، ومؤشر أداء له نتائج حديثة.

  5. المستوى 4: مُدار وقابل للقياس

    تُقاس فاعلية الضوابط وتُراجع في دورة ثابتة، وتكشف مؤشرات المخاطر الرئيسية (KRIs) وتقارير الاتجاهات أين تتحسن الضوابط وأين تتراجع.

  6. المستوى 5: متكيّف

    تتحسن الضوابط باستمرار وفق خطة تحسين موثقة، متكاملة مع إدارة المخاطر المؤسسية.

التقييم الذاتي، وما يطلبه مراجعو ساما

يخضع تطبيق الإطار لتقييم ذاتي دوري تجريه المؤسسة وفق استبيان يصدره البنك المركزي السعودي، ثم يراجع البنك المركزي النتائج ويدققها ليحدد مستوى الالتزام ومستوى النضج. ولا يمنح البنك المركزي شهادة لهذا الإطار، فقوة تقييمك من قوة الأدلة التي تسند كل إجابة. وهذه هي الأدلة التي يحملها ملف التقييم المتين.

وثائق معتمدة

سياسات ومعايير وإجراءات لكل مجال فرعي، معتمدة من الجهة المخوّلة، ولها سجل إصدارات وتاريخ مراجعة ساري.

سجلات الحوكمة

محاضر مجلس الإدارة ولجنة الأمن السيبراني، واستراتيجية الأمن السيبراني المعتمدة، وقرار تعيين رئيس أمن المعلومات، وخط الارتباط الذي يحفظ استقلال الأمن السيبراني عن تقنية المعلومات.

إثبات التشغيل

عينات تثبت أن الضوابط تعمل: مراجعات الصلاحيات، وطلبات التغيير، ونتائج فحص الثغرات وتواريخ معالجتها، وسجلات الحوادث، واختبارات استعادة النسخ الاحتياطية.

مؤشرات أداء بنتائجها

مؤشرات لكل مجال فرعي، بقيم مقيسة حديثة، مع اسم اللجنة التي ناقشتها. والمؤشر الذي لا بيانات له إجابةٌ من المستوى الثاني.

المخاطر والاستثناءات

سجل مخاطر الأمن السيبراني، وخطط المعالجة، والاستثناءات المعتمدة بمسؤوليها وتواريخ انتهائها.

ملفات الأطراف الخارجية والسحابة

عقود تتضمن بنوداً أمنية، وتقييمات الموردين، وسجلات الإسناد الخارجي، وموافقات البنك المركزي على الخدمات السحابية.

فجوات شائعة في البنوك وشركات التقنية المالية

  • وظيفة الأمن السيبراني تتبع إدارة تقنية المعلومات، فيغيب الاستقلال الذي يتوقعه الإطار.
  • لجنة الأمن السيبراني قائمة على الورق، لا تجتمع بانتظام ولا تتابع قراراتها.
  • السياسات معتمدة، لكن المعايير والإجراءات التي تحتها ناقصة، فيتعذر إثبات المستوى الثالث.
  • مؤشرات الأداء تغطي بعض المجالات الفرعية وتغيب عن بقيتها.
  • خدمات سحابية بدأ تشغيلها، أو وُقّعت عقودها، قبل وصول موافقة البنك المركزي.
  • الأمن يدخل المشروع في نهايته، فيبقى المجال الفرعي 3.1.5 (الأمن السيبراني في إدارة المشاريع) دون استيفاء.
  • حملات التوعية منتظمة، أما التدريب المتخصص لفرق التقنية والمطورين وأصحاب الصلاحيات المميّزة فغائب.
  • سجل الأصول غير مكتمل، فلا يمكن إثبات تغطية فحص الثغرات والتحديثات.
  • إتلاف الأجهزة والأقراص والسجلات الورقية يجري بلا أثر موثّق.
  • شركات تقنية مالية بنت ضوابطها على المتطلبات الأساسية للمرونة السيبرانية عند الترخيص، ثم لم ترتقِ بها إلى الإطار الكامل.

إطار ساما مقابل الضوابط الأساسية (SAMA CSF وNCA ECC)

الجهة المُصدِرة
يصدر الإطار التنظيمي للأمن السيبراني عن البنك المركزي السعودي (ساما)، وتصدر الضوابط الأساسية للأمن السيبراني (ECC) عن الهيئة الوطنية للأمن السيبراني.
النطاق
إطار ساما: المؤسسات الخاضعة لإشراف البنك المركزي، ويسمّي النص البنوك وشركات التأمين وإعادة التأمين وشركات التمويل وشركات المعلومات الائتمانية والبنية التحتية للسوق المالية، وقد انتقل الإشراف على قطاع التأمين لاحقاً إلى هيئة التأمين. الضوابط الأساسية: الجهات الحكومية وشركاتها، وجهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها.
الإصدار الحالي
الإصدار 1.0 من إطار ساما، الصادر في مايو 2017، هو النص النافذ. وحلّ الإصدار ECC-2:2024 محل ECC-1:2018.
البنية
إطار ساما: 4 مجالات و32 مجالاً فرعياً، لكل منها مبدأ وهدف واعتبارات للضوابط. ECC-2:2024: أربعة مجالات رئيسية، و28 مجالاً فرعياً، و108 ضوابط أساسية، و92 ضابطاً فرعياً.
طريقة القياس
يقيس إطار ساما النضج من 0 إلى 5 لكل مجال فرعي، والمستوى الثالث حدّ أدنى. أما الضوابط الأساسية فتُقيَّم ضابطاً ضابطاً مقابل متطلباتها.
الأطراف الخارجية والسحابة
يغطي إطار ساما الموردين والإسناد الخارجي والحوسبة السحابية في المجال 3.4، ومنها موافقة البنك المركزي على استخدام السحابة. وتغطيها الضوابط الأساسية في مجالها الرابع، وتتوسع فيها ضوابط الأمن السيبراني للحوسبة السحابية (CCC).
تطبيق الإطارين معاً
تحتفظ الجهة الخاضعة للإطارين بمكتبة ضوابط واحدة مربوطة بكل إطار، ومجموعة أدلة واحدة، وتقريرين منفصلين. ومعظم الأدلة تخدم الإطارين، لأنهما يتقاطعان في الحوكمة والمخاطر والصلاحيات والعمليات والأطراف الخارجية.

برنامج المعالجة

التسلسل الذي ينقل المؤسسة إلى المستوى الثالث في المجالات الفرعية الـ32 كلها، ويحافظ عليه.

  1. قيّم كل مجال فرعي

    حدّد مستوى النضج الحالي للمجالات الفرعية الـ32 وفق تعريفات المستويات، واستند إلى الأدلة إلى جانب المقابلات. والنتيجة خريطة واضحة لكل ما هو دون المستوى الثالث.

  2. ابدأ بالحوكمة

    شكّل لجنة الأمن السيبراني، وثبّت تعيين رئيس أمن المعلومات، وامنح وظيفة الأمن السيبراني خط ارتباط مستقلاً. فبقية المجالات الفرعية تُبنى على هذه القرارات.

  3. أكمل هرم الوثائق

    اكتب السياسات والمعايير والإجراءات لكل مجال فرعي أو أصلحها، واعتمدها، واربط كل وثيقة بالمجال الفرعي الذي تستوفيه.

  4. طبّق الضوابط

    أغلق الفجوات التقنية في الهويات والصلاحيات، والسجلات ومراقبة الأحداث، وإدارة الثغرات، والتشفير، وأمن التطبيقات. وأدِر كل فجوة عملاً هندسياً له مسؤول ومعايير قبول.

  5. أدخل الأطراف الخارجية والسحابة في النموذج

    أضف البنود الأمنية إلى العقود، وقيّم الموردين الحرجين، وسجّل ترتيبات الإسناد الخارجي، واحصل على موافقة البنك المركزي على الخدمات السحابية قبل التشغيل.

  6. قِس بمؤشرات الأداء

    حدّد مؤشرات أداء لكل مجال فرعي، وغذّها من الأنظمة الفعلية، وتابعها في أداة GRC. فهذه الخطوة هي التي تنقل الضابط المطبّق إلى المستوى الثالث.

  7. تدرّب على التقييم الذاتي

    أجب عن استبيان البنك المركزي داخلياً، وأرفق دليلاً بكل إجابة، ودع مراجعاً مستقلاً يختبرها قبل مراجعة البنك المركزي.

  8. خطّط للمستوى الرابع

    أضف مؤشرات المخاطر الرئيسية وتقارير الاتجاهات لتصبح فاعلية الضوابط مقيسة، واعتمد متطلبات المستوى الرابع التي نشرها البنك المركزي في ترتيب الأولويات.

الصلة بمكافحة الاحتيال ومخاطر الأطراف الخارجية

يعمل الإطار ضمن منظومة مترابطة من متطلبات البنك المركزي السعودي، والبرنامج الناضج يديرها منظومةَ ضوابط واحدة.

تبدأ مخاطر الأطراف الخارجية من المجال 3.4 في الإطار، وتمتد إلى قواعد الإسناد الخارجي التي أصدرها البنك المركزي للبنوك في ديسمبر 2019، وإلى قواعد مستقلة للإسناد الخارجي لشركات التمويل. ويحكم استمراريةَ الأعمال إطارُ إدارة استمرارية الأعمال (BCM) الصادر في فبراير 2017. أما الجهات الجديدة فتنطلق من المتطلبات الأساسية للمرونة السيبرانية (CRFR) التي نشرها البنك المركزي في يناير 2022 للجهات الراغبة في دخول البيئة التجريبية التشريعية أو الحصول على ترخيص.

والاحتيال هو الوجه الآخر للخطر نفسه. فإطار مكافحة الاحتيال من البنك المركزي، في إصداره 1.0 الصادر في أكتوبر 2022، ينطبق على القطاع المصرفي ويقوم على الحوكمة والوقاية والكشف والاستجابة. والاستيلاء على الحسابات والهندسة الاجتماعية واحتيال المدفوعات تستغل مواطن الضعف نفسها في الهوية والصلاحيات والمراقبة التي يعالجها إطار الأمن السيبراني، ولهذا تتقاطع الضوابط والأدلة.

وهنا تتولى نيزا، منصة ليمـاز لقرارات الاحتيال ومكافحة غسل الأموال، جانب الاحتيال. تجمع نيزا إشارات الهوية والوثائق، وذكاء الأجهزة والسلوك، ومراقبة المعاملات، وفحص قوائم مكافحة غسل الأموال في طبقة قرار واحدة، وتحفظ نتيجة كل قاعدة وإجراء كل مراجع وسجل كل حالة في المسار نفسه. فيحصل فريق الاحتيال على القرار لحظة فتح الحساب أو تنفيذ الدفع، ويحصل المدقق على سجل قابل للتتبع. ثم تربط ليمـاز هذه الطبقة بنموذج ضوابط الإطار لديك، لتصب ضوابط الاحتيال والأمن السيبراني والأطراف الخارجية في مجموعة أدلة واحدة.

مقالات ذات صلة

إطار SAMA CSF لشركات التقنية المالية: ما الذي تبنيه في السنة الأولى

لا تستطيع شركة تقنية مالية حديثة الترخيص أن تطبّق 32 مجالاً فرعياً دفعة واحدة. هذا هو الترتيب الذي نوصي به، والأدلة التي تثبت أن كل ضابط يعمل فعلاً.

SAMA CSF أم NCA ECC: أيّ الإطارين ينطبق على جهتك، وكيف تطبّقهما معاً

تلتزم مؤسسات مالية سعودية كثيرة بالإطارين معاً. وأقصر طريق إلى ذلك مكتبة ضوابط واحدة بربطين، لا برنامجان متوازيان.

التقييم الذاتي لإطار SAMA CSF: كيف تقيس مستوى النضج الثالث وتثبته

يراجع البنك المركزي تقييمك الذاتي ويدققه. والدرجة التي لا تسندها الأدلة أكلف من فجوة معلنة بوضوح. نشرح هنا كيف تقيّم كل مجال فرعي تقييماً صحيحاً.

صفحات ذات صلة

الهندسة السيبرانية والتنظيمية

البرنامج الهندسي لتطبيق ضوابط ساما والهيئة.

تطبيق ضوابط NCA ECC وCCC

حين تنطبق أيضاً ضوابط الهيئة الوطنية للأمن السيبراني.

نيزا من ليمـاز

قرارات الاحتيال وغسل الأموال عند حركة الأموال.

تنفيذ الضوابط الأمنية

الضوابط التقنية التي تجعل الإطار مطبّقاً فعلاً.

أسئلة شائعة

  • إطار ضوابط وحوكمة للأمن السيبراني يصدره البنك المركزي السعودي للمؤسسات الخاضعة لإشرافه، وهو إطار تنظيمي وليس منتجاً برمجياً.

هل لديك متطلب تريد تنفيذه؟

شاركنا النظام أو الضابط أو المتطلب التنظيمي، وسنعود إليك بخطوة تالية واضحة.

تواصل معنا