يُعدّ الامتثال للأمن السيبراني مسؤولية مهمة للجهات الحكومية والمنظمات التي تشغّل بنى تحتية حساسة في المملكة العربية السعودية.
وتضع الهيئة الوطنية للأمن السيبراني ضوابط للأمن السيبراني تهدف إلى حماية أنظمة المعلومات والأصول الرقمية والخدمات الأساسية في المملكة.
وبالنسبة للمنظمات التي تستعد لاستيفاء متطلبات الامتثال لضوابط NCA ECC في السعودية، فإن فهم الضوابط المنطبقة وتوقعات التطبيق وآلية التقييم أمر أساسي.
يشرح هذا الدليل الضوابط الأساسية للأمن السيبراني ECC-2:2024، ونطاق تطبيقها، ومكوناتها الأساسية الأربعة، والخطوات العملية اللازمة للاستعداد لتقييمات الامتثال.
ما الضوابط الأساسية للأمن السيبراني ECC-2:2024؟
الضوابط الأساسية للأمن السيبراني (ECC-2:2024) هي متطلبات للأمن السيبراني وضعتها الهيئة الوطنية للأمن السيبراني في المملكة العربية السعودية.
ويحدّد الإطار الحد الأدنى من الضوابط المصممة لحماية سرية أصول المعلومات والتقنية في المنظمة وسلامتها وتوافرها.
وتحلّ ECC-2:2024 محل الإصدار السابق ECC-1:2018، وتتضمن:
- 4 مكونات أساسية للأمن السيبراني
- 28 مكوناً فرعياً
- 108 ضوابط أساسية
- 92 ضابطاً فرعياً
من يجب عليه الامتثال لضوابط NCA ECC في السعودية؟
وفقاً للإطار، تنطبق الضوابط الأساسية للأمن السيبراني على:
- الجهات الحكومية والوزارات والهيئات السعودية
- الشركات والجهات التابعة للجهات الحكومية المعنية، بما في ذلك العاملة خارج المملكة
- منظمات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها
وتحثّ الهيئة المنظمات الواقعة خارج النطاق الإلزامي على تبنّي هذه الضوابط بوصفها أفضل الممارسات في الأمن السيبراني.
كما قد تنطبق أنظمة أخرى للأمن السيبراني خاصة ببعض القطاعات.
المكونات الأساسية الأربعة لضوابط NCA ECC
تُنظَّم الضوابط الأساسية للأمن السيبراني في أربعة مكونات رئيسية.
| المكوّن | أبرز المتطلبات |
|---|---|
| 1. حوكمة الأمن السيبراني | استراتيجية الأمن السيبراني، والسياسات، والمسؤوليات، وإدارة المخاطر، والتوعية، والإشراف على الالتزام |
| 2. تعزيز الأمن السيبراني | حماية الأصول، وإدارة الوصول، وأمن الشبكات، وإدارة الثغرات، والمراقبة، والاستجابة للحوادث |
| 3. صمود الأمن السيبراني | جوانب الأمن السيبراني في استمرارية الأعمال والتعافي والصمود التشغيلي |
| 4. الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية | الأمن السيبراني للموردين، والخدمات المُسندة، وضوابط أمن الحوسبة السحابية المنطبقة |
حوكمة الأمن السيبراني
يجب على المنظمات وضع ترتيبات مناسبة لإدارة الأمن السيبراني، وسياسات معتمدة، ومسؤوليات محددة، وممارسات لإدارة المخاطر.
ويتناول الإطار أيضاً التوعية بالأمن السيبراني، والمراجعات الدورية، والتدقيق المستقل.
تعزيز الأمن السيبراني
يركّز هذا المكوّن على حماية الأنظمة والمعلومات والشبكات والبنية التحتية التقنية.
وتتناول الضوابط ذات الصلة إدارة الهويات والوصول، وأمن الأجهزة الطرفية، والتشفير، وإدارة الثغرات، ومراقبة الأحداث الأمنية، والتعامل مع الحوادث.
صمود الأمن السيبراني
يجب على المنظمات دمج متطلبات الأمن السيبراني في إدارة استمرارية الأعمال لدعم التعافي من الحوادث السيبرانية المعطِّلة.
أمن الأطراف الخارجية والحوسبة السحابية
يجب على المنظمات إدارة مخاطر الأمن السيبراني المرتبطة بالموردين والخدمات المُسندة والحوسبة السحابية. وتعتمد الضوابط المحددة على أنشطة المنظمة وبيئتها التقنية.
ويخضع موردو أرامكو السعودية كذلك لمتطلبات منفصلة خاصة بالأطراف الثالثة، وتشرح قائمة متطلبات أرامكو CCC كيفية الاستعداد لها.
قائمة الجاهزية للامتثال لضوابط NCA ECC
يتطلب الاستعداد للامتثال لمتطلبات الهيئة الوطنية للأمن السيبراني توثيقاً وأدلة على التطبيق الفعّال معاً.
1. حدّد مدى انطباق الإطار
تأكّد مما إذا كانت الضوابط الأساسية إلزامية لمنظمتك، وحدّد أي ضوابط إضافية صادرة عن الهيئة تنطبق على أنظمتك أو عملياتك.
2. أجرِ تقييماً لفجوات الأمن السيبراني
قيّم سياساتك وإجراءاتك وضماناتك التقنية الحالية مقابل ضوابط ECC-2:2024 المنطبقة. ووثّق وضع الامتثال الحالي، والمتطلبات غير المستوفاة، والمخاطر ذات الأولوية.
3. أرسِ الحوكمة وإدارة المخاطر
طوّر أو راجع استراتيجية الأمن السيبراني، وترتيبات الحوكمة، ومنهجية تقييم المخاطر، والسياسات، والمسؤوليات المسندة. وتأكّد من توثيق موافقات الإدارة اللازمة.
4. طبّق الضوابط الأمنية التقنية
راجع تطبيق الضمانات المنطبقة، ومنها:
- إدارة الهويات والصلاحيات المميزة
- حماية الأجهزة الطرفية والشبكات
- إدارة الثغرات والتحديثات الأمنية
- تسجيل الأحداث الأمنية ومراقبتها
- ترتيبات النسخ الاحتياطي والاستعادة
- إجراءات الاستجابة للحوادث
5. نظّم أدلة الامتثال
احتفظ بسجلات موثوقة تثبت أن ضوابط الأمن السيبراني مطبّقة وتعمل كما هو مطلوب. وينبغي أن تكون الأدلة حديثة وقابلة للتتبع وذات صلة بالضوابط محل التقييم.
6. أجرِ مراجعة داخلية للجاهزية
راجع فعالية الضوابط المطبّقة، ووثّق الملاحظات القائمة، وتحقّق من الإجراءات التصحيحية قبل التقييم التنظيمي المنطبق.
المستندات والأدلة المطلوبة للامتثال لضوابط NCA ECC
تعتمد المستندات المطلوبة بدقة على الضوابط المنطبقة وبيئة المنظمة. وقد تشمل قائمة الامتثال العملية ما يلي:
| المستند | الغرض |
|---|---|
| استراتيجية الأمن السيبراني وسياساته | إثبات ترتيبات الحوكمة المعتمدة |
| سجل مخاطر الأمن السيبراني | تسجيل المخاطر المحددة وقرارات معالجتها |
| سجل أصول المعلومات | تحديد الأصول التقنية ذات الصلة وإدارتها |
| سجلات إدارة الوصول والأمن | إثبات تطبيق الضوابط التقنية |
| تقارير تقييم الثغرات | دعم أنشطة إدارة الثغرات |
| سجلات الاستجابة للحوادث والتعافي | إثبات الجاهزية التشغيلية |
| تقارير التدقيق الداخلي والامتثال | توثيق الملاحظات والإجراءات التصحيحية |
وقد يطلب المقيّمون أدلة إضافية بحسب المتطلبات المنطبقة.
ولا يكفي الاحتفاظ بالسياسات دون تطبيق الضوابط المرتبطة بها لإثبات الامتثال.
فجوات شائعة في الامتثال لمتطلبات الهيئة الوطنية للأمن السيبراني
قد تواجه المنظمات التي تستعد لتقييمات الهيئة عدداً من التحديات المتكررة:
- مسؤوليات غير واضحة: عدم تحديد ملكية الأمن السيبراني وترتيبات الإبلاغ بصورة كافية.
- تقييمات مخاطر غير مكتملة: عدم تحديد المخاطر التقنية أو توثيقها أو مراجعتها باستمرار.
- ضعف أدلة التطبيق: وجود أدوات وسياسات أمنية مع غياب السجلات التشغيلية الداعمة.
- قصور الإشراف على الأطراف الخارجية: عدم تقييم مخاطر الأمن السيبراني المرتبطة بالموردين والحوسبة السحابية بصورة كافية.
- ملاحظات تدقيق غير معالجة: بقاء نقاط الضعف المحددة مفتوحة دون إجراءات تصحيحية موثّقة.
ويمكن أن يساعد تقييم الفجوات المنظم المنظماتِ على ترتيب أولويات التحسين وفق المتطلبات التنظيمية ومخاطر الأمن السيبراني.
كيف يُقيَّم الامتثال لضوابط NCA ECC؟
تقيّم الهيئة الوطنية للأمن السيبراني الامتثال من خلال آليات مثل التقييم الذاتي للمنظمات، وتقارير الامتثال، والتدقيق الميداني، وفق إجراءاتها المنطبقة.
وتدعم بوابة الخدمات الوطنية للأمن السيبراني "حصين" إجراءات تقييم الأمن السيبراني ذات الصلة للجهات المسجّلة.
وينبغي للمنظمات الاحتفاظ بسجلات امتثال محدّثة ومعالجة الملاحظات من خلال أنشطة معالجة موثّقة.
والضوابط الأساسية للأمن السيبراني إطار ضوابط تنظيمي، وليست برنامج شهادات تقليدياً على غرار شهادات ISO. ولا ينبغي للمنظمات افتراض أن إتمام تقييم استشاري يؤدي إلى إصدار شهادة امتثال من الهيئة.
استعد للامتثال لضوابط NCA ECC مع Nour Solutions
يتطلب استيفاء متطلبات الهيئة الوطنية للأمن السيبراني أكثر من توثيق السياسات؛ إذ تحتاج المنظمات إلى ضوابط أمنية فعّالة، وحوكمة واضحة، وأدلة موثوقة، وإدارة مستمرة للامتثال.
تدعم Nour Solutions المنظمات في أنحاء المملكة العربية السعودية في تقييم فجوات الأمن السيبراني، وإعداد مستندات الامتثال، وإدارة المخاطر، وتطبيق الضوابط، والاستعداد للتقييم. ويبقى التقييم الرسمي للامتثال من اختصاص الهيئة.
ومن مقرنا في الخبر، ندعم المنشآت والمنظمات في الدمام والجبيل والرياض وجدة وغيرها من المدن السعودية.
اطّلع على خدمات الامتثال للأمن السيبراني وفق متطلبات NCA وSAMA وCST وخدمات تقييم الأمن السيبراني والتدقيق لتعرف كيف يمكننا تعزيز جاهزية منظمتك للامتثال.
الأسئلة الشائعة
هل الامتثال لضوابط NCA ECC إلزامي لجميع الشركات في السعودية؟
لا. فالإطار إلزامي للمنظمات الواقعة ضمن نطاقه المحدد، بما في ذلك الجهات الحكومية المعنية ومنظمات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. أما المنظمات الأخرى فيُشجَّع تبنّيها لهذه الضوابط.
ما الفرق بين ECC-1:2018 وECC-2:2024؟
ECC-2:2024 هو الإصدار المحدّث من الضوابط الأساسية للأمن السيبراني، ويتضمن تعديلات على الإطار السابق ومتطلباته.
ما تقييم فجوات الأمن السيبراني وفق متطلبات الهيئة؟
هو تقييم منظم يقارن ضوابط الأمن السيبراني القائمة في المنظمة بمتطلبات الهيئة المنطبقة، بهدف تحديد الفجوات وترتيب أولويات المعالجة.
هل تتطلب ضوابط NCA ECC توثيقاً للأمن السيبراني؟
نعم. تتطلب الضوابط المنطبقة سياسات وإجراءات موثّقة، وترتيبات حوكمة، وأدلة داعمة على التطبيق.
هل يمكن لجهة استشارية في الأمن السيبراني دعم تطبيق ضوابط NCA ECC؟
نعم. يمكن للاستشاريين المساعدة في مراجعة انطباق الإطار، وتقييم الفجوات، وإعداد السياسات، والمعالجة التقنية، وإعداد الأدلة، والاستعداد للتقييم. أما التقييمات التنظيمية الرسمية فتتبع إجراءات الهيئة المنطبقة.