أرامكو CCC مقابل CCC+‎: ما الفرق بينهما؟

أطلقت أرامكو السعودية برنامج الالتزام بالأمن السيبراني للأطراف الثالثة للتحقق من تطبيق الموردين والمقاولين ضوابط الأمن السيبراني المنطبقة على عملياتهم.

وتُقيَّم كلتا الشهادتين وفق معيار SACS-210، وهو معيار أرامكو السعودية للأمن السيبراني للأطراف الثالثة الذي جرى تحديثه في فبراير 2026.

ويكمن الفرق الرئيسي في طريقة التحقق من الالتزام:

• أرامكو CCC: يُجري المورد تقييماً ذاتياً للأمن السيبراني، ثم يتحقق منه مكتب تدقيق معتمد من أرامكو عن بُعد.
• أرامكو CCC+‎: يُجري مكتب تدقيق معتمد من أرامكو تقييماً ميدانياً للالتزام بالأمن السيبراني.

ويعتمد نوع الشهادة المنطبق على التصنيف الرسمي للمورد في الأمن السيبراني، لا على حجم الشركة أو قطاعها فحسب.

تلخّص المقارنة التالية أبرز الفروق بين مساري الشهادة.

تحدد أرامكو السعودية متطلبات الأمن السيبراني من خلال إجراءات تصنيف الأطراف الثالثة.

ويحدد معيار SACS-210 الصادر في فبراير 2026 تصنيفات منها:

• المتطلبات العامة (General Requirement): ضوابط الأمن السيبراني الأساسية المنطبقة على جميع الأطراف الثالثة.
• الاتصال بالشبكة (Network Connectivity): الموردون الذين لديهم اتصال بالشبكة مع أنظمة أرامكو.
• الخدمات المُسندة والمُدارة (Outsourced & Managed Services): الشركات التي تدير أو تدعم البنية التحتية والخدمات المُسندة.
• معالج البيانات الحرجة (Critical Data Processor): الموردون الذين يصلون إلى بيانات الشركة الحساسة أو يعالجونها.
• البرمجيات المخصّصة (Customized Software): مقدمو الخدمات الذين يطوّرون أو يستضيفون برمجيات وتطبيقات مخصّصة.
• الحوسبة السحابية (Cloud Computing): مقدمو البنية التحتية والمنصات والبرمجيات السحابية.
• التقنيات التشغيلية (Operational Technology): الموردون العاملون مع أنظمة التحكم الصناعية والتقنيات المرتبطة بها.

ووفق الأسئلة الشائعة لبرنامج الشهادة لدى أرامكو، يتطلب تصنيفا الاتصال بالشبكة ومعالج البيانات الحرجة شهادة CCC+‎، بينما تتبع التصنيفات الأخرى عادةً مسار تقييم CCC. غير أن جدول التصنيف في صفحة أرامكو نفسها يُدرج الاتصال بالشبكة ضمن CCC، لذا ينبغي للموردين في هذا التصنيف تحديداً التأكد من نوع الشهادة المنطبق.

وفي جميع الأحوال، يجب على الموردين التأكد من نوع الشهادة المنطبق مع الجهة الراعية لدى أرامكو ومكتب التدقيق المعتمد.

ماذا لو انطبق أكثر من تصنيف؟

قد يندرج المورد تحت أكثر من تصنيف للأمن السيبراني.

فعلى سبيل المثال، قد يقدّم مقاول تقنية معلومات خدمات مُدارة ويعالج في الوقت نفسه معلومات سرية.

وفي هذه الحالات، يجب على المنشأة تطبيق ضوابط الأمن السيبراني المنطبقة على جميع التصنيفات ذات الصلة، وعندما تُشترط شهادة CCC+‎ يجب أن يغطي التقييم النطاق المنطبق.

أياً كان نوع الشهادة، يبدأ الاستعداد بفهم متطلبات SACS-210 المنطبقة. وتشرح قائمة التحقق لمتطلبات أرامكو CCC كل خطوة من خطوات الاستعداد بمزيد من التفصيل.

الخطوة 1: تأكّد من تصنيفك

تواصل مع الإدارة المعنية أو الجهة الراعية لدى أرامكو لإكمال نموذج تصنيف الأطراف الثالثة.

وجهّز خطاب تأكيد التصنيف، وحدّد الضوابط المنطبقة.

الخطوة 2: أجرِ تقييماً لفجوات الأمن السيبراني

راجع ممارسات الأمن السيبراني الحالية مقارنةً بمتطلبات SACS-210 المنطبقة.

ومن المجالات الرئيسية:

• حوكمة الأمن السيبراني وسياساته
• إدارة الأصول وضوابط الوصول
• المصادقة متعددة العوامل
• حماية الأجهزة الطرفية والشبكات
• حماية البيانات والتشفير
• إدارة الثغرات والتحديثات الأمنية
• المراقبة الأمنية والاستجابة للحوادث

وتعتمد الضوابط الإضافية على تصنيف المورد.

الخطوة 3: جهّز المستندات والأدلة

نظّم مستندات الأمن السيبراني المطلوبة لإثبات الالتزام.

وقد تشمل الأدلة الداعمة السياسات المعتمدة، وسجلات حصر الأصول، وإعدادات الأمن، ومراجعات صلاحيات الوصول، وسجلات المراقبة، وسجلات توعية الموظفين.

وينبغي أن تكون الأدلة واضحة وحديثة ومؤرخة بختم زمني ومنسوبة بوضوح إلى المورد.

الخطوة 4: عالج فجوات الالتزام

طبّق الإجراءات التصحيحية للضوابط الناقصة أو الأدلة غير المكتملة قبل التقييم الرسمي.

ويمكن أن تساعد مراجعة الجاهزية الداخلية على اكتشاف الملاحظات المحتملة وتقليل التأخير غير الضروري.

الخطوة 5: أكمل التقييم المعتمد

اختر مكتب تدقيق معتمداً من أرامكو عبر بوابة CCC الرسمية.

فبالنسبة لشهادة CCC، قدّم التقييم الذاتي المكتمل والأدلة الداعمة للتحقق عن بُعد.

وبالنسبة لشهادة CCC+‎، نسّق التقييم الميداني المطلوب مع مكتب التدقيق المعتمد.

وبعد نجاح التحقق وإصدار الشهادة، ارفع الشهادة وتقرير الالتزام عبر نظام السوق الإلكتروني لأرامكو، وهي المنصة نفسها المستخدمة في تسجيل الموردين لدى أرامكو السعودية.

تسري شهادة أرامكو CCC عادةً لمدة سنتين من تاريخ إصدارها، بشرط بقاء تصنيف المورد في الأمن السيبراني دون تغيير.

وينبغي للموردين المحافظة على ضوابط الأمن السيبراني والأدلة الداعمة طوال مدة سريان الشهادة.

وإذا تضمّن عقد جديد تصنيفاً للأمن السيبراني لا تغطيه الشهادة الحالية، فقد يلزم إجراء تقييم إضافي وتحديث الشهادة.

ويساعد الاستعداد للتجديد قبل انتهاء الصلاحية على تجنّب انقطاع حالة الالتزام.

يُعدّ فهم الفروق بين أرامكو CCC و CCC+‎ أمراً أساسياً للموردين الذين يستعدون لاستيفاء متطلبات الأمن السيبراني لدى أرامكو السعودية.

تدعم Nour Solutions المقاولين والموردين ومقدمي الخدمات في مختلف أنحاء المملكة العربية السعودية، بما في ذلك الخبر والدمام والظهران والجبيل والرياض.

وتشمل خدماتنا الاستشارية في الأمن السيبراني تقييم الفجوات وفق SACS-210، وتوثيق الالتزام، وإرشادات المعالجة التقنية، ودعم الجاهزية للتدقيق.

اطّلع على خدمات الالتزام بمتطلبات أرامكو CCC و CCC+‎ لتعرف كيف يمكننا مساعدة منشأتك في الاستعداد لتقييم الشهادة المنطبق.

• أرامكو السعودية — برنامج شهادة الالتزام بالأمن السيبراني للأطراف الثالثة — أنواع الشهادات والتصنيف وآلية التقييم.
• معيار الأمن السيبراني للأطراف الثالثة SACS-210 (فبراير 2026) — النص الكامل للمعيار بصيغة PDF.