جهتان تنظيميتان وإطاران
يغطي الإطار التنظيمي للأمن السيبراني من البنك المركزي السعودي (SAMA CSF) والضوابط الأساسية للأمن السيبراني من الهيئة الوطنية للأمن السيبراني (NCA ECC) جزءاً كبيراً من المجالات نفسها، لكنهما يصدران عن جهتين مختلفتين، وينطبقان على جهات مختلفة، ويقيسان الالتزام بطريقتين مختلفتين.
| SAMA CSF | NCA ECC | |
|---|---|---|
| الجهة المُصدِرة | البنك المركزي السعودي (ساما) | الهيئة الوطنية للأمن السيبراني |
| نطاق التطبيق | الجهات الخاضعة لإشراف البنك المركزي: البنوك، وشركات التأمين، وشركات التمويل، ومقدّمو خدمات المدفوعات، وبقية المؤسسات المالية المنظّمة | الجهات الحكومية والشركات التابعة لها، وجهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها |
| الإصدار الحالي | الإصدار 1.0، مايو 2017 | ECC-2:2024، بديلاً عن ECC-1:2018 |
| الهيكل | 4 مجالات و32 مجالاً فرعياً | 4 مكونات أساسية و28 مكوناً فرعياً و108 ضوابط |
| طريقة القياس | مستويات نضج من 0 إلى 5، والحد الأدنى المستوى الثالث | الالتزام بكل ضابط |
| طريقة التقييم | تقييم ذاتي دوري يراجعه البنك المركزي ويدققه | تقييم ذاتي، وتقارير دورية لأدوات الالتزام، وزيارات ميدانية من الهيئة |
أيّ الإطارين ينطبق عليك
- جهة خاضعة لإشراف البنك المركزي، وليست جهة حكومية أو مشغّلاً لبنية تحتية حساسة. إطار SAMA CSF هو إطارك. وقد تصلك الضوابط الأساسية عبر العقود إذا كنت تخدم جهات حكومية أو مشغّلي بنى حساسة.
- مؤسسة مالية مصنّفة بنية تحتية وطنية حساسة، أو مملوكة للحكومة. ينطبق الإطاران. فالبنوك والبنى التحتية للأسواق المالية قد تُصنّف بنى تحتية حساسة، والجهات المالية المملوكة للحكومة تخضع للضوابط الأساسية مباشرة.
- جهة حكومية أو مشغّل لبنية تحتية حساسة خارج القطاع المالي. تنطبق الضوابط الأساسية، ولا ينطبق SAMA CSF.
- مورد تقني. لا ينطبق عليك أي منهما مباشرة، لكن كليهما يصلك عبر العقود. فالبنوك تنقل متطلبات الأطراف الخارجية في SAMA CSF إلى مورديها، والجهات الحكومية تنقل متطلبات الضوابط الأساسية إلى مورديها.
إذا لم تكن متأكداً من تصنيف جهتك بنيةً تحتية حساسة، فاستوضح من الهيئة ومن الجهة التنظيمية لقطاعك قبل تحديد نطاق البرنامج، لأن الإجابة تغيّر حجم العمل.
أين يلتقي الإطاران
يتقابل الإطاران مجالاً بمجال.
| SAMA CSF | NCA ECC-2:2024 | مجالات الضوابط المشتركة |
|---|---|---|
| القيادة والحوكمة؛ إدارة المخاطر والالتزام | 1. حوكمة الأمن السيبراني | الاستراتيجية، والسياسات، والأدوار، وإشراف اللجنة، وإدارة المخاطر، والالتزام، والمراجعة والتدقيق، والتوعية والتدريب |
| العمليات والتقنية | 2. تعزيز الأمن السيبراني | إدارة الأصول، والهويات والصلاحيات، وحماية الشبكات والأنظمة، والتشفير، والسجلات والمراقبة، وإدارة الحوادث والتهديدات والثغرات، والأمن المادي |
| العمليات والتقنية (عناصر الحوادث والاستمرارية) | 3. صمود الأمن السيبراني | الأمن السيبراني في استمرارية الأعمال |
| الأطراف الخارجية | 4. الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية | متطلبات الموردين، والإسناد، والحوسبة السحابية |
ويحقق معظم الضوابط متطلبات الإطارين معاً متى كُتب بدقة كافية: إجراء واحد لمراجعة الصلاحيات، ومعيار واحد لإدارة الثغرات، وخطة واحدة للاستجابة للحوادث.
أين يختلف الإطاران
- النضج مقابل الالتزام. يقيّم البنك المركزي كل مجال فرعي بمستوى نضج، فالضابط القائم غير المقيس يبقى عند المستوى الثالث. أما الهيئة فتسأل هل الضابط مطبّق أم لا. الأدلة نفسها تخدم الإطارين، لكن طريقة الإفادة مختلفة.
- المحتوى القطاعي. يتضمن SAMA CSF مجالات فرعية لأنظمة المدفوعات والخدمات المصرفية الإلكترونية، وتتضمن الضوابط الأساسية مكونات فرعية صريحة لحماية البريد الإلكتروني والأجهزة المحمولة واختبار الاختراق وحماية تطبيقات الويب.
- الاستمرارية. تخصص الضوابط الأساسية مكوّناً مستقلاً للأمن السيبراني في استمرارية الأعمال، بينما يغطي البنك المركزي استمرارية الأعمال بإطار مستقل لإدارة استمرارية الأعمال.
- الإفادة. جهتان تنظيميتان، ودورتا تقييم، وقناتان للتقديم.
كيف تطبّق الإطارين ببرنامج واحد
- ابنِ مكتبة ضوابط واحدة. اكتب كل ضابط مرة واحدة بصياغتك، وبمستوى تفصيل يستطيع المدقق اختباره.
- اربط كل ضابط بالإطارين. سجّل المجال الفرعي في SAMA CSF ورقم الضابط في الضوابط الأساسية اللذين يحققهما.
- طبّق المتطلب الأشد. حين يختلف الإطاران، كمدد الاحتفاظ أو تكرار الاختبار، طبّق الأشد فتستوفي الاثنين.
- احتفظ بمستودع أدلة واحد. يُحفظ كل دليل مرة واحدة، ويُشار إليه في كل إطار يدعمه.
- حدد مالكاً واحداً لكل ضابط. توزيع الملكية بحسب الإطار يصنع فريقين يؤديان العمل نفسه.
- قدّم الإفادتين من مصدر واحد. استخرج التقييم الذاتي للبنك المركزي وإفادة الهيئة من المكتبة نفسها، فلا تتعارضان.
وتمتد المكتبة نفسها لتشمل ضوابط الأمن السيبراني للحوسبة السحابية (CCC)، ونظام حماية البيانات الشخصية، وإطار مكافحة الاحتيال الصادر عن البنك المركزي. وهذا ما تبنيه خدمة الامتثال والتدقيق لدينا.
لتفاصيل كل إطار، اطّلع على صفحتي تطبيق إطار SAMA CSF وتطبيق ضوابط NCA ECC، ومقالنا عن ما الذي تغيّر في الإصدار ECC-2:2024.