المصطلحات
تعريفات موجزة للمصطلحات التي تتكرر في الأنظمة السعودية وأعمال الامتثال، مع رابط لدليل مفصّل لكل منها.
استدراج الأشخاص، لا اختراق الأنظمة، للحصول على معلومات أو دفعهم إلى تصرف معيّن، كمشاركة رمز التحقق أو اعتماد تحويل مالي. ومن أشهر صورها اتصال ينتحل فيه المحتال صفة بنك أو جهة حكومية. وتواجهها المؤسسات بتوعية العملاء، وطلب تحقق إضافي عند الطلبات غير المعتادة، ومراقبة تكشف تصرّف العميل تحت الضغط.
نظام مكافحة الاحتيال المالي وإطار سامارسالة أو موقع ينتحل هوية جهة موثوقة لسرقة بيانات الدخول أو بيانات البطاقات أو رموز التحقق. يصل عبر البريد الإلكتروني أو الرسائل النصية أو وسائل التواصل، وكثيراً ما يمهّد للاستيلاء على الحساب. وتجمع الحماية منه بين حماية البريد والنطاقات، والتحقق متعدد العوامل، وتوعية الموظفين والعملاء.
الهندسة الأمنيةأن يسيطر محتال على حساب عميل حقيقي، غالباً ببيانات دخول مسروقة أو جلسة مختطفة أو شريحة اتصال مستبدلة، ثم يغيّر بيانات التواصل ويحوّل الأموال. ويعتمد كشفه على الجهاز والموقع والسلوك المصاحب لعملية الدخول أو الدفع، لا على كلمة المرور وحدها.
نيزاحسابات، أو أصحابها، تُستخدم لاستقبال أموال مسروقة أو غير مشروعة وتمريرها. وهي الحلقة التي تربط الاحتيال بغسل الأموال، فالحساب الذي يستقبل تحويل ضحية الاحتيال هو أول خطوة في غسل تلك الأموال. ومن علاماتها تحويلات واردة كثيرة من مرسلين لا تربطهم صلة، تليها مدفوعات صادرة فورية.
نظام مكافحة غسل الأموال لشركات التقنية الماليةإضفاء صفة المشروعية على أموال متحصّلة من جريمة. ويُوصف عادة في ثلاث مراحل: الإيداع، حين تدخل الأموال غير المشروعة النظام المالي؛ والتمويه، حين تُنقل عبر تحويلات وحسابات متعددة لإخفاء مصدرها؛ والدمج، حين تعود إلى الاقتصاد في صورة أموال نظيفة. ويجرّمه في المملكة نظام مكافحة غسل الأموال.
نظام مكافحة غسل الأموال لشركات التقنية الماليةالتعرف على العميل والتحقق من هويته قبل بدء العلاقة وطوال مدتها: من هو، ومن يملكه أو يسيطر عليه، وما النشاط المتوقع منه. ويعتمد التحقق من هوية الأفراد في المملكة عادة على الهوية الرقمية الوطنية. ويمثّل اعرف عميلك نقطة البداية في العناية الواجبة تجاه العملاء.
نيزاالعناية الواجبة تجاه العملاء هي مجموعة الإجراءات التي تطبّقها المؤسسة على كل عميل: التحقق من هويته، وتحديد المستفيد الحقيقي، وفهم الغرض من العلاقة، ومراقبتها باستمرار. أما العناية الواجبة المعززة فتضيف إجراءات أشد على العملاء مرتفعي المخاطر، كالتحقق من مصدر الأموال والحصول على موافقة الإدارة العليا.
نظام مكافحة غسل الأموال لشركات التقنية الماليةمن يشغل أو شغل وظيفة عامة بارزة، إضافة إلى أفراد أسرته والمقربين منه. ولا يُمنع التعامل معهم، لكن موقعهم يرفع مخاطر الفساد، فتطبّق عليهم المؤسسات العناية الواجبة المعززة.
نيزامطابقة العملاء والمستفيدين الحقيقيين والأطراف المقابلة مع قوائم العقوبات المعمول بها، عند التسجيل وعند تحديث القوائم وقبل تنفيذ المدفوعات. ويتطلب الفحص الجيد التعامل مع اختلاف كتابة الأسماء، فللاسم العربي صيغ كثيرة بالحروف اللاتينية، والمطابقة الضعيفة إما تفوّت التطابق الحقيقي أو تغرق المحللين بتنبيهات خاطئة.
نيزابلاغ تقدّمه المؤسسة المالية حين تشتبه، أو تتوفر لديها أسباب معقولة للاشتباه، في ارتباط أموال بجريمة. ويُرفع البلاغ في المملكة إلى الإدارة العامة للتحريات المالية، ولا يجوز إخطار العميل بتقديمه.
نظام مكافحة غسل الأموال لشركات التقنية الماليةمراجعة عمليات العملاء لحظياً أو لاحقاً لاكتشاف أي نشاط لا يتسق مع ملف العميل أو يطابق أنماطاً معروفة للاحتيال وغسل الأموال. وتصل التنبيهات إلى المحللين، فيحققون فيها ويوثّقون قرارهم ويبلّغون عند الحاجة.
أنظمة مكافحة الاحتيال وغسل الأموالالشخص الطبيعي الذي يملك العميل أو يسيطر عليه في نهاية المطاف، أو الذي تُنفَّذ العملية لمصلحته. وفي حالة الشركات، يعني تحديده تتبّع طبقات الملكية حتى الوصول إلى الأشخاص الحقيقيين خلفها.
نظام مكافحة غسل الأموال لشركات التقنية الماليةالبيانات الشخصية في نظام حماية البيانات الشخصية هي كل بيان يحدد هوية الفرد بصورة مباشرة أو غير مباشرة. أما البيانات الحساسة ففئة أضيق تخضع لقواعد أشد، وتشمل البيانات الصحية والوراثية والحيوية والائتمانية وبيانات الموقع وغيرها.
الامتثال لنظام حماية البيانات الشخصيةجهة التحكم هي التي تحدد الغرض من معالجة البيانات الشخصية وطريقتها، وتتحمل المسؤولية الأولى وفق نظام حماية البيانات الشخصية. أما جهة المعالجة فتعالج البيانات نيابة عن جهة التحكم بموجب عقد. فالبنك جهة تحكم في بيانات عملائه، ومزوّد خدماته السحابية جهة معالجة.
الامتثال لنظام حماية البيانات الشخصيةتقييم للمخاطر التي يُحدثها نشاط المعالجة على خصوصية الأفراد، يُجرى قبل بدء المعالجة. وتشترطه اللائحة التنفيذية لنظام حماية البيانات الشخصية في حالات منها معالجة البيانات الحساسة، أو ربط بيانات من مصادر مختلفة، أو المراقبة المستمرة، أو استخدام تقنيات جديدة، أو الاعتماد الكامل على القرارات الآلية.
اللائحة التنفيذية لنظام حماية البيانات الشخصيةالشخص المسؤول عن متابعة التزام الجهة بنظام حماية البيانات الشخصية. ويلزم تعيينه في الجهات العامة التي تعالج البيانات على نطاق واسع، وفي الجهات التي تقوم أنشطتها الأساسية على مراقبة الأفراد بصورة منتظمة ومنهجية أو على معالجة البيانات الحساسة. ويجوز أن يكون موظفاً لدى الجهة أو متعاقداً من خارجها.
الامتثال لنظام حماية البيانات الشخصيةتقسيم بيانات الجهة إلى مستويات بحسب حساسيتها، وتعتمد الضوابط الوطنية في المملكة أربعة مستويات: سري للغاية، وسري، ومقيد، وعام. ولكل مستوى قواعد تعامل تحدد من يصل إلى البيانات، وأين تُحفظ، وكيف تُحمى، فتأتي ضوابط الخصوصية والأمن على قدر حساسية البيانات.
تصنيف البياناتحماية الشبكات والأنظمة والتطبيقات والبيانات من الهجمات والأضرار والوصول غير المصرّح به. وفي المملكة تضع الهيئة الوطنية للأمن السيبراني المتطلبات الوطنية، كالضوابط الأساسية للأمن السيبراني، وتضيف الجهات التنظيمية القطاعية متطلباتها، كالإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي للمؤسسات المالية.
الامتثال والتدقيقالأصول والأنظمة والشبكات التي يُلحق تعطّلها ضرراً جسيماً بالأمن الوطني أو الاقتصاد أو الخدمات العامة. وتلتزم جهات القطاع الخاص التي تملكها أو تشغّلها أو تستضيفها بالضوابط الأساسية للأمن السيبراني.
تطبيق ضوابط NCA ECCدرجة تبيّن مدى رسوخ الضابط، من التطبيق الاجتهادي إلى القياس والتحسين المستمر. ويستخدم الإطار التنظيمي للأمن السيبراني من البنك المركزي السعودي ستة مستويات، من 0 (غير موجود) إلى 5 (متكيّف)، ويتوقع أن تعمل الجهات عند المستوى الثالث، المنظّم والمعتمد رسمياً، أو أعلى.
التقييم الذاتي لإطار SAMA CSFضوابط تحكم الحسابات القادرة على تعديل الأنظمة أو الوصول إلى البيانات الحساسة، كحسابات مديري الأنظمة وحسابات الخدمات. وتحدد من يحمل هذه الصلاحيات، وتمنحها عند الحاجة فقط، وتسجّل الجلسات المميّزة، وتغيّر بيانات الدخول دورياً.
إدارة الهويات والصلاحياتهجوم محاكى ومصرّح به على الأنظمة أو التطبيقات لاكتشاف الثغرات قبل أن يكتشفها المهاجمون. وتُرتَّب النتائج بحسب خطورتها، وتُعالج، ثم يُعاد اختبارها. وتتضمن الضوابط الأساسية للأمن السيبراني اختبار الاختراق ضمن متطلباتها.
الهندسة الأمنيةمنظومة تضع بها الجهة توجهاتها وسياساتها (الحوكمة)، وتحدد مخاطرها وتعالجها (المخاطر)، وتثبت التزامها بالأنظمة واللوائح والمعايير (الامتثال). ويربط برنامج الحوكمة والمخاطر والامتثال كل متطلب بضابط ومالك وأدلة.
المخاطر السيبرانية والحوكمةالمخاطر الناتجة عن الموردين وشركاء الإسناد ومزوّدي الخدمات السحابية الذين يحتفظون ببياناتك أو يشغّلون خدماتك. ويشترط كل من إطار SAMA CSF والضوابط الأساسية للأمن السيبراني تضمين المتطلبات الأمنية في العقود، والتقييم قبل التعاقد، والمراجعة الدورية بعد ذلك.
المخاطر السيبرانية والحوكمةشاركنا النظام أو الضابط أو المتطلب التنظيمي، وسنعود إليك بخطوة تالية واضحة.
