قيّم ضوابطك وطبّقها بثقة

يسري الإطار التنظيمي للأمن السيبراني من البنك المركزي السعودي (SAMA CSF) على كل بنك عامل في المملكة، والمستوى الثالث من النضج هو الحد الأدنى. وتلتزم البنوك المُصدِرة للبطاقات أو القابلة لمدفوعاتها بمعيار PCI DSS v4.0.1. وتنطبق الضوابط الأساسية ECC-2:2024، ومعها CCC-2:2024 للخدمات السحابية، متى كان البنك مالكاً لبنية تحتية وطنية حساسة أو مشغّلاً لها أو مستضيفاً لها. أما شهادة ISO 27001 فاختيارية. ومكتبة ضوابط موحّدة تتيح للبنك استيفاءها جميعاً بمجموعة أدلة واحدة.

ينص إطار SAMA CSF صراحة على شمول شركات التمويل. وتلتزم شركات خدمات المدفوعات المرخّصة بمتطلبات الأمن السيبراني الصادرة عن البنك المركزي بموجب اللائحة التنفيذية لنظام المدفوعات وخدماتها. وتحتاج الشركات التي تحفظ بيانات البطاقات أو تعالجها أو تنقلها إلى PCI DSS أيضاً. وتبني ليمـاز الضوابط على إطار ساما منذ البداية، فتستند مراجعات الترخيص والعناية الواجبة من الشركاء إلى الأدلة ذاتها.

الضوابط الأساسية ECC-2:2024 هي الحد الأدنى الوطني للجهات الحكومية وجهات القطاع الخاص المالكة للبنى التحتية الوطنية الحساسة، وتتكوّن من 4 مجالات رئيسية و28 مجالاً فرعياً و108 ضوابط رئيسية و92 ضابطاً فرعياً، ويُقاس فيها الامتثال. أما SAMA CSF فإطار البنك المركزي للبنوك وشركات التأمين والتمويل والمعلومات الائتمانية والبنية التحتية للسوق المالية، ويتكوّن من أربعة مجالات ويُقاس بمستويات نضج من 0 إلى 5. ولتداخلهما الكبير، تخدمهما مجموعة ضوابط موحّدة واحدة.

لا. تشهد ISO 27001 بأن نظام إدارة أمن المعلومات (ISMS) لديك يستوفي معياراً دولياً، ويتداخل كثير من ضوابط ملحقها (أ) مع ECC وإطار ساما. لكن الأطر السعودية تضيف متطلبات خاصة بها، كاشتراط ECC أن تقع مراكز عمليات الأمن السيبراني المُدارة التي تستخدم الوصول عن بُعد داخل المملكة بالكامل، واشتراط ساما بلوغ المستوى الثالث من النضج. ومكتبة الضوابط الموحّدة تسدّ هذا الفارق.

تقيّم الهيئة الامتثال عبر التقييم الذاتي الذي تجريه الجهة، والتقارير الدورية من أداة التقييم وقياس الامتثال للضوابط الأساسية ECC-2:2024، والزيارات الميدانية. ويُلزم المكوّن الفرعي 1-8 الجهة كذلك بمراجعة تطبيقها للضوابط دورياً وبتدقيق ضوابط الأمن السيبراني من طرف مستقل. ويجب أن تثبت الأدلة أن كل ضابط موثّق ومعتمد ومطبّق وفعّال.

يطلب المدقق ثلاثة أمور لكل ضابط: سياسة أو إجراء معتمداً، وإثباتاً على إعداده في النظام الفعلي، وسجلات تبيّن أنه عمل طوال فترة التدقيق. ومن أمثلتها مراجعات الصلاحيات الموقّعة، وسجل فحص الثغرات، وطلبات التغيير، وسجلات الحوادث، وإتمام التدريب. ويجب أن يكون كل دليل مؤرخاً، ومنسوباً إلى مالك، وقابلاً للتتبّع إلى المتطلب الذي يدعمه.

يتوقع البنك المركزي السعودي أن تبلغ الجهات الخاضعة لإشرافه المستوى الثالث (منظّم ورسمي) فأعلى. ويتدرج النموذج من المستوى 0 (غير موجود)، مروراً بالمستوى العشوائي، ثم المتكرر غير الرسمي، ثم المنظّم والرسمي، ثم المُدار والقابل للقياس، وصولاً إلى المستوى 5 (متكيّف). وفي المستوى الثالث تكون الضوابط موثّقة ومعتمدة ومطبّقة باتساق، ويضيف المستوى الرابع قياس فاعليتها.