الخلاصة

أصدرت الهيئة الوطنية للأمن السيبراني النسخة الثانية من الضوابط الأساسية للأمن السيبراني (ECC-2:2024) لتحل محل الإصدار ECC-1:2018. جاء الهيكل أكثر إحكاماً، وانتقلت بعض الالتزامات إلى تنظيمات أخرى.

العنصرECC-1:2018ECC-2:2024
المكونات الأساسية54
المكونات الفرعية2928
الضوابط الأساسية114108
أنظمة التحكم الصناعيالمكوّن الخامسحُذف من الضوابط الأساسية، وتخضع التقنيات التشغيلية لضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC)
استضافة البيانات داخل المملكةمنصوص عليها في الضوابطلم تعد ضمن نص الضوابط، وتحكمها قواعد إدارة البيانات الوطنية لدى سدايا
التوطينللقيادات والوظائف الرئيسيةيشمل جميع وظائف الأمن السيبراني

إذا كان برنامجك مبنياً على الإصدار الأول، فمعظم ضوابطك ما زالت صالحة. المطلوب إعادة ربط، لا إعادة بناء.

على من تنطبق الضوابط

الالتزام بالضوابط الأساسية إلزامي على:

  • الجهات الحكومية في المملكة، من وزارات وهيئات ومؤسسات عامة، والشركات والجهات التابعة لها داخل المملكة وخارجها؛
  • جهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها.

وتصل الضوابط أيضاً إلى شركات لا تشملها مباشرة. فالجهات الملزمة تنقل متطلبات الضوابط إلى مورديها عبر مكوّن الأطراف الخارجية، ولذلك على مورد البرمجيات أو الخدمات لوزارة أو لمشغّل بنية تحتية حساسة أن يتوقع بنوداً من الضوابط في عقوده وطلبات لأدلة الالتزام.

المكونات الأساسية الأربعة في ECC-2:2024

المكوّنالمكونات الفرعيةما يغطيه
1. حوكمة الأمن السيبراني10الاستراتيجية، وإدارة الأمن السيبراني، والسياسات، والأدوار، وإدارة المخاطر، والأمن السيبراني في مشاريع التقنية، والالتزام بالتشريعات، والمراجعة الدورية، والموارد البشرية، والتوعية والتدريب
2. تعزيز الأمن السيبراني15إدارة الأصول، والهويات والصلاحيات، وحماية الأنظمة والبريد الإلكتروني والشبكات والأجهزة المحمولة، وحماية البيانات، والتشفير، والنسخ الاحتياطي، وإدارة الثغرات، واختبار الاختراق، وسجلات الأحداث والمراقبة، وإدارة الحوادث والتهديدات، والأمن المادي، وحماية تطبيقات الويب
3. صمود الأمن السيبراني1جوانب الأمن السيبراني في إدارة استمرارية الأعمال
4. الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية2متطلبات الأمن السيبراني للأطراف الخارجية، وللحوسبة السحابية والاستضافة

يحمل مكوّن التعزيز معظم العمل التقني، ويحمل مكوّن الحوكمة معظم الأدلة.

ما الذي تغيّر على أرض الواقع

حذف مكوّن أنظمة التحكم الصناعي

تضمّن الإصدار الأول مكوّناً خامساً لأنظمة التحكم الصناعي، وحذفه الإصدار الثاني. وأصبحت الجهات التي تشغّل تقنيات تشغيلية، كالمرافق والمصانع وأنظمة المباني، تطبّق هذه الضوابط عبر OTCC. أما الجهات التي تقتصر بيئتها على تقنية المعلومات فلا يلزمها شيء هنا.

خروج استضافة البيانات من نص الضوابط

نصّ الإصدار الأول على استضافة البيانات داخل المملكة، ولم يعد الإصدار الثاني يتضمن هذا المتطلب مباشرة. وأصبح موقع البيانات محكوماً بقواعد إدارة البيانات الوطنية الصادرة عن مكتب إدارة البيانات الوطنية لدى سدايا، وبلائحة نقل البيانات الشخصية، وبمتطلبات الجهات التنظيمية القطاعية. لا تحذف ضوابط الاستضافة. اربطها بهذه المصادر من جديد. ويشرح مقالنا عن نقل البيانات الشخصية خارج المملكة جانب نظام حماية البيانات الشخصية.

التوطين يشمل كل وظائف الأمن السيبراني

وسّع الإصدار الثاني اشتراط شغل وظائف الأمن السيبراني بكفاءات سعودية مؤهلة، فلم يعد مقصوراً على القيادات بل يشمل جميع وظائف الأمن السيبراني. راجع هيكلك التنظيمي وعقود الخدمات الأمنية المُدارة على هذا الأساس.

تغيّر الصياغة والترقيم

دُمجت ضوابط، وأُعيدت صياغة أخرى، وتغيّر الترقيم. وسياساتك ومكتبة ضوابطك وفهرس أدلتك وتقارير التدقيق كلها تشير إلى أرقام الإصدار الأول، وكل إشارة منها تحتاج إلى تحديث، وإلا تحوّل التقييم القادم إلى عملية ترجمة بين إصدارين.

كيف تحدّث برنامجاً مبنياً على الإصدار الأول

  1. اعتمد النص الرسمي للإصدار ECC-2:2024 بالعربية والإنجليزية من الهيئة، واجعل النسخة العربية هي المرجع.
  2. أعدّ جدول مقابلة. صنّف كل ضابط في الإصدار الأول: دون تغيير، أو معاد الصياغة، أو مدموج، أو منقول، أو محذوف، وسجّل رقمه في الإصدار الثاني.
  3. أعد فهرسة الأدلة. اربط كل دليل برقم الضابط الجديد، فمعظم الأدلة تنتقل كما هي.
  4. أعد تقييم ما تغيّر فقط. طبّق تقييم الفجوات على الضوابط المعاد صياغتها والمدموجة بدلاً من تكرار التقييم كاملاً.
  5. حدّث السياسات والمعايير التي تستشهد بترقيم الإصدار الأول أو ببند الاستضافة القديم.
  6. حدّث عقود الموردين لتشير بنود الأطراف الخارجية إلى الإصدار الثاني.
  7. ارفع تقاريرك عبر قنوات الهيئة. تتحقق الهيئة من الالتزام عبر التقييم الذاتي للجهات، والتقارير الدورية لأدوات الالتزام، والزيارات الميدانية، وتوفّر أداة لتقييم الالتزام بالإصدار الثاني وقياسه.

أين تتعثر البرامج خلال الانتقال

  • تشغيل مكتبتين للضوابط، واحدة لكل إصدار، وإعداد الأدلة لكلتيهما.
  • حذف ضوابط استضافة البيانات لأن البند خرج من الضوابط، مع أن المتطلبات القطاعية ما زالت تشترطها.
  • التعامل مع الضوابط كعمل توثيقي. فضوابط التعزيز تُقيَّم بالتشغيل: نتائج الفحص، ومدة الاحتفاظ بالسجلات، ومراجعات الصلاحيات، واختبار النسخ الاحتياطية.
  • إبقاء الموردين على صياغة عقود الإصدار الأول.

الضوابط الأساسية مع SAMA CSF وضوابط الحوسبة السحابية

تلتزم المؤسسات المالية المصنّفة بنى تحتية وطنية حساسة بالضوابط الأساسية وبالإطار التنظيمي للأمن السيبراني من البنك المركزي معاً. وتخضع الجهات التي تستخدم الخدمات السحابية كذلك لضوابط الأمن السيبراني للحوسبة السحابية (CCC). شغّل مكتبة ضوابط واحدة مرتبطة بالأطر الثلاثة، ونشرح ذلك في مقال SAMA CSF أم NCA ECC.

تطبّق ليمـاز الضوابط الأساسية وضوابط الحوسبة السحابية بمالكين محددين وضوابط عاملة وأدلة مكتملة. تعرّف على خدمة تطبيق ضوابط NCA ECC.