ما هو إطار SAMA CSF
إطار SAMA CSF هو المعيار التنظيمي للأمن السيبراني الذي يصدره البنك المركزي السعودي للمؤسسات المالية الخاضعة لإشرافه. ويحدد التوقعات الأمنية للبنوك، وشركات التأمين وإعادة التأمين، وشركات التمويل، ومكاتب الائتمان، والبنية الأساسية للسوق المالية في المملكة.
الإطار ليس برنامج شهادات. فلا توجد جهة خارجية تمنح "شهادة SAMA CSF"، بل تُثبت الجهة التزامها من خلال تقييم ذاتي دوري يراجعه البنك المركزي ويدققه. ومستوى النضج الذي يحسب هو ما يؤكده البنك المركزي نفسه، لا ما تُظهره شريحة في عرض تقديمي.
من يشمله الإطار
يشمل إطار SAMA CSF كل مؤسسة يرخّصها البنك المركزي: البنوك، وشركات التمويل والتأجير، وشركات التأمين وإعادة التأمين، ومكاتب الائتمان، وواسطات الدفع. فإذا كان البنك المركزي هو جهة ترخيصك، فإن الإطار ينطبق عليك.
ولهذا يمسّ الإطار كثيراً من شركات التقنية المالية وشركات الدفع، لا البنوك الكبيرة فقط. فوسيطة الدفع المرخصة حديثاً ملزمة ببناء الإطار ضمن سنتها الأولى.
المجالات الأربعة
ينظَّم الإطار في أربعة مجالات، يحوي كلٌّ منها مجالات فرعية تحدد متطلبات الضوابط:
| المجال | ما يغطيه | المجالات الفرعية |
|---|---|---|
| 3.1 الحوكمة والقيادة للأمن السيبراني | مساءلة مجلس الإدارة، ولجنة أمن سيبراني، ومسؤول أمن معلومات مستقل عن قسم تقنية المعلومات | 7 |
| 3.2 إدارة مخاطر الأمن السيبراني والامتثال | سجل مخاطر مُدار، والامتثال التنظيمي، والاختبار والتدقيق | 5 |
| 3.3 عمليات وتقنيات الأمن السيبراني | الضوابط الهندسية: الصلاحيات، والبنية التحتية، والتطبيقات، والتشفير، والمراقبة، والاستجابة للحوادث | 17 |
| 3.4 أمن الأطراف الخارجية | الموردون، والاستعانة بالخدمات الخارجية، والحوسبة السحابية — ومنها موافقة البنك المركزي قبل السحابة العامة | 3 |
يرسم كل مجال فرعي مبدأً وهدفاً واعتبارات ضبط. والإطار قائم على المبادئ: فهو يحدد النتيجة التي يتوقعها البنك المركزي ويترك التصميم التقني لك. وقد تفي مؤسستان بنفس المجال الفرعي بأدوات مختلفة، لذا فما يرجّح الكفة في التقييم هو الأدلة، لا أسماء المنتجات.
مقياس النضج
يُقيَّم كل مجال فرعي على مقياس من 0 إلى 5، ويتوقع البنك المركزي أن تعمل الجهات عند المستوى الثالث أو أعلى. ولا يتحقق أي مستوى إلا باستيفاء جميع متطلبات المستويات التي قبله.
| المستوى | الاسم | الاختبار العملي |
|---|---|---|
| 0 | غير موجود | لا يوجد ضابط |
| 1 | اجتهادي | يؤدّي الأفراد العمل دون انتظام أو توثيق |
| 2 | متكرر لكنه غير رسمي | العمل يتم بانتظام لكنه غير محدد رسمياً أو مدعوم بالأدلة |
| 3 | منظّم ومعتمد رسمياً | محدد ومعتمد ومطبّق على نطاقه كاملاً ومدعوم بالأدلة. وهذا هو الحد الأدنى. |
| 4 | مُدار وقابل للقياس | يُقاس بمؤشرات أداء ويُحسَّن بناءً على النتائج |
| 5 | متكيّف | يتكيف باستمرار مع الحوادث والتهديدات |
ويصدر البنك المركزي كذلك متطلبات مستقلة للمستوى الرابع، فالمستوى الثالث أرضية لا خط نهاية.
كيف يُفرض الإطار
لا يمنح البنك المركزي شهادة، ولا يصدرها أي مدقق. بل:
- تُجري الجهة تقييماً ذاتياً وفق استبيان الإطار.
- يراجع البنك المركزي التقييم ويدققه.
- يؤكد البنك المركزي مستويات النضج ويتابع معالجة الفجوات.
والجهات الخاضعة أيضاً للهيئة الوطنية للأمن السيبراني تعمل مع الضوابط الأساسية (ECC) وضوابط الحوسبة السحابية (CCC) جنباً إلى جنب مع إطار SAMA CSF. ويتداخل المتطلبان في مواضع، والجهة الخاضعة لكليهما تشغّل سجل ضوابط واحداً يجيب عن الاثنين.
ماذا يعني التطبيق عملياً
الوصول بالإطار إلى المستوى الثالث في كل المجالات الفرعية برنامج تشغيل، لا ممارسة توثيق:
- عيّن المالكين. لكل مجال فرعي شخص محدد مسؤول عنه.
- سدّ الفجوة بين السياسة والتشغيل. خلف السياسات ضوابط إجرائية وتقنية مطبّقة فعلاً.
- اجعل الأدلة روتيناً. سجلات وموافقات واختبارات تُجمع باستمرار، لا في الأسبوع الذي يسبق التقديم.
- أدر الأطراف الخارجية. السحابة والاستعانة الخارجية والوصول عبر الموردين داخل نموذج الضوابط.
- اربطها بأدوات الاحتيال وغسل الأموال. يتوقع الإطار أن يكون الجانب الأمني لضوابط الجرائم المالية ضمن النطاق، لا في صومعة منفصلة.
فجوات شائعة نراها
- سياسات من دون ضابط مطبّق يلحقها.
- ملاك مسمّون على الورق دون حضور فعلي في التشغيل.
- أدلة تنحسر بين دورات المراجعة.
- المعالجة قائمة مهام، لا عمل هندسي.
- حوسبة سحابية عامة مشغّلة أو مخططة دون موافقة البنك المركزي التي يشترطها الإطار.
من أين تبدأ
ابدأ بتقييم جاهزية صادق، لا بقائمة أمنيات للمعالجة. حدد المجالات الفرعية المنطبقة على رخصتك، ومن يملكها، والوضع الحالي، وأين تنحسر الأدلة. تُظهر هذه القاعدة ما إذا كنت أقرب إلى العمل على الحوكمة، أو الهندسة، أو الأطراف الخارجية.
تنفّذ ليمـاز تقييمات جاهزية إطار SAMA CSF وأعمال التطبيق التي تليها، من ربط الضوابط حتى اكتمال الأدلة. تعرّف على خدمة تقييم وامتثال SAMA CSF، أو اقرأ خطة السنة الأولى لشركات التقنية المالية، وكيفية تقييم التقييم الذاتي.