خدمات الالتزام بمتطلبات أرامكو السعودية CCC و CCC+
ابنِ جاهزيتك لمعيار SACS-210. عزّز أمنك. واستعد للتقييم.
الجاهزية السيبرانية
لمتطلبات أرامكو.
تساعد Nour Solutions موردي أرامكو السعودية ومقاوليها وغيرهم من الأطراف الثالثة المنطبق عليها على الاستعداد لمتطلبات شهادة الالتزام بالأمن السيبراني CCC و CCC+ وفق معيار أرامكو الساري للأمن السيبراني للأطراف الثالثة SACS-210.
وندعم رحلة الاستعداد من تحديد النطاق وتقييم الفجوات، مروراً بمعالجة المخاطر والسياسات والضوابط التقنية والأدلة ومراجعات الجاهزية الداخلية، وصولاً إلى تنسيق التقييم. أما التقييم الرسمي وإصدار الشهادة فيقوم بهما مكتب تدقيق معتمد من أرامكو.
يأتي الاستعداد لشهادة CCC عادةً مرتبطاً بأعمال التوريد. فحيث لا تزال إجراءات الانضمام إلى موردي أرامكو جارية، يغطي تسجيل الموردين والتأهيل المسبق ذلك الجانب، ويحمل نظام إدارة أمن المعلومات وفق ISO/IEC 27001 جزءاً كبيراً من الأدلة نفسها بصيغة يعرفها مشترون آخرون كذلك.
ما المقصود بشهادة أرامكو CCC؟
برنامج شهادة الالتزام بالأمن السيبراني لدى أرامكو السعودية مصمّم للتحقق من التزام الأطراف الثالثة المنطبق عليها بمعيار SACS-210. وتتطلب الإجراءات السارية لدى أرامكو أن يسجّل الطرف الثالث عبر إجراءات الموردين المنطبقة، ويستكمل خطوات التصنيف ذات الصلة، ويطبّق الضوابط المنطبقة على نطاقه، ثم يستكمل التقييم المطلوب عبر مكتب تدقيق معتمد.
وبالنسبة للمنشآت التي تعمل مع أرامكو السعودية أو إحدى شركات المجموعة، يرتبط الاستعداد لهذه الشهادة ارتباطاً وثيقاً بجاهزية المورّد وحوكمة الأمن السيبراني والقدرة على إثبات الضوابط المطبّقة والأدلة المؤيِّدة لها.
ضوابط معيار SACS-210
يحدّد معيار SACS-210 ثلاثة وثلاثين (33) ضابطاً للأمن السيبراني للأطراف الثالثة المنطبق عليها، تغطي مجالات مثل الحوكمة والسياسات، وإدارة الأصول والوصول، وأمن الشبكات والأجهزة الطرفية، والإعداد الآمن، والتسجيل والمراقبة، وإدارة الثغرات والتحديثات، والنسخ الاحتياطي والاستعادة، والاستجابة للحوادث، وأمن الأطراف الثالثة والعاملين.
وليست كل الضوابط بالوزن نفسه لكل مورّد. فالمجموعة المنطبقة، وعمق الأدلة المتوقعة مقابلها، يتبعان تصنيف الطرف الثالث المتفق عليه مع أرامكو — ولهذا نوصي بتأكيد التصنيف قبل بدء المعالجة. وأرامكو هي من يحفظ المعيار ويمكن أن تُحدّثه، لذا ينبغي دائماً تأكيد مجموعة الضوابط المشمولة بالنطاق مقابل الإصدار الساري من SACS-210 لا مقابل إصدار سابق.
أما الشهادة نفسها فتصدر بعد تقييم يجريه مكتب تدقيق معتمد من أرامكو. وتُهيّئ Nour Solutions المنشأة لذلك التقييم ولا تجريه.
الفرق بين CCC و CCC+
| المجال | CCC | CCC+ |
|---|---|---|
| نموذج التقييم | تقييم ذاتي يتبعه تحقق عن بُعد من مكتب تدقيق معتمد من أرامكو. | تقييم ميداني في الموقع من مكتب تدقيق معتمد من أرامكو. |
| نطاق الانطباق | التصنيفات المنطبقة التي لا تندرج ضمن تصنيفات CCC+ الحالية. | تحدّد أرامكو حالياً تصنيفَي الاتصال الشبكي ومعالج البيانات الحساسة لـ CCC+. |
| متطلبات الاستعداد | ضوابط SACS-210 ضمن النطاق والأدلة والجاهزية للتقييم. | استعداد بمستوى ضمان أعلى للنطاق المنطبق وللتقييم الميداني. |
ويعتمد نوع الشهادة الدقيق على تصنيفك الحالي لدى أرامكو ونطاقك. ونوصي بتأكيد التصنيف قبل البدء في أعمال المعالجة.
خدماتنا في الالتزام بمتطلبات CCC و CCC+
تحديد النطاق وتقييم الجاهزية
نراجع علاقتك التجارية وأنظمتك وتعاملك مع البيانات واتصالك الشبكي وضوابطك الأمنية الحالية لتحديد النطاق المنطبق ونقطة البداية.
- مراجعة النطاق والمتطلبات
- مراجعة نضج الأمن السيبراني
- تقييم جاهزية الضوابط
- تحديد الفجوات الأولية
تقييم الفجوات مقابل المعيار
نطابق متطلبات SACS-210 ذات الصلة مع سياساتك وعملياتك وضوابطك التقنية الحالية، ثم نرتّب أولويات الفجوات التي تستلزم معالجة.
- الحوكمة والسياسات
- إدارة الهويات والوصول
- أمن الشبكات والأجهزة الطرفية
- حفظ السجلات والمراقبة
- إدارة الثغرات والتحديثات الأمنية
- الاستجابة للحوادث
- أمن الأطراف الثالثة
- جاهزية الأدلة
تقييم المخاطر السيبرانية ومعالجتها
نقيّم المخاطر السيبرانية، ونوثّق الأثر والاحتمالية، ونحدّد المسؤوليات، ونبني خطة معالجة عملية مرتبطة بأولويات المعالجة.
- تحديد الأصول والتهديدات
- تحليل الثغرات والمخاطر
- تقدير درجة المخاطر
- تقييم الأثر على الأعمال
- تخطيط معالجة المخاطر
- ملكية المخاطر ومتابعتها
السياسات والإجراءات وتوثيق الحوكمة
نطوّر أو نحسّن الحوكمة والتوثيق اللازمين لدعم برنامج التزام فعّال بالمعيار.
- سياسة أمن المعلومات
- إجراءات التحكم في الوصول وإدارة الهويات
- الاستجابة للحوادث والإبلاغ عنها
- حماية البيانات وتصنيفها
- النسخ الاحتياطي والتعافي واستمرارية الأعمال
- أمن الأطراف الثالثة
- إدارة الأصول والثغرات والتحديثات الأمنية
الضوابط الأمنية التقنية والمعالجة
حين تُرصد فجوات تقنية، ندعم تطبيق الضوابط المناسبة أو تحسينها.
- الجدار الناري وأمن الشبكة
- تجزئة الشبكة وتحصينها
- حماية الأجهزة الطرفية وأنظمة الكشف والاستجابة
- المصادقة متعددة العوامل
- ضوابط الوصول الآمن
- أنظمة إدارة الأحداث الأمنية وحفظ السجلات مركزياً
- فحص الثغرات
- ضوابط النسخ الاحتياطي والتعافي
إعداد الأدلة وتقارير الالتزام
الضابط المتوافق يحتاج كذلك إلى إمكانية إثباته. ولذلك ننظّم أدلة واضحة وحديثة وقابلة للتتبّع حتى يتمكن فريقك من بيان كيفية تطبيق الضوابط والحفاظ عليها.
- السياسات والإجراءات
- أدلة الإعدادات والأنظمة
- السجلات وتقارير المراقبة
- سجلات المخاطر
- سجلات التدريب
- مراجعات الوصول
- تقارير الثغرات والنسخ الاحتياطي
- مواءمة الضوابط بالأدلة
مراجعة الجاهزية الداخلية والتقييم التجريبي
قبل التقييم الرسمي، نراجع التوثيق والضوابط والأدلة وجاهزية الفريق لتحديد الفجوات المتبقية وتقليل إعادة العمل الممكن تفاديها.
- مراجعة ضابطاً بضابط
- التحقق من الأدلة
- مراجعة التوثيق
- فحوص الضوابط التقنية
- التحضير للمقابلات
- تحديد الملاحظات المحتملة
تنسيق التدقيق وإغلاق الملاحظات
ندعم التواصل والتحضير المتعلقين بالتقييم الرسمي، ونساعد في تحليل الملاحظات وتعريف الإجراءات التصحيحية وتنظيم الأدلة اللازمة للإغلاق.
ويبقى التقييم الرسمي وإصدار الشهادة من مسؤولية مكتب التدقيق المعتمد من أرامكو.
منهجنا في الالتزام بمعيار SACS-210
- الفهم — تحديد العلاقة مع أرامكو والتصنيف والنطاق والأنظمة والوضع الأمني الحالي.
- التقييم — مراجعة متطلبات المعيار المنطبقة وتحديد الفجوات.
- التخطيط — ترتيب أولويات المخاطر وتحديد المسؤوليات ووضع خارطة طريق المعالجة.
- التطبيق — تعزيز السياسات والعمليات والضوابط التقنية.
- الأدلة — تنظيم السجلات المؤيِّدة ومواءمة الأدلة بالضوابط المنطبقة.
- التحقق — إجراء مراجعة جاهزية داخلية وتهيئة الفريق للتقييم.
- التقييم والمعالجة — دعم إجراءات التقييم الرسمي ومعالجة الملاحظات المنطبقة.
- الاستمرارية — إبقاء الضوابط والتوثيق والأدلة محدّثة بعد الحصول على الشهادة.
فهم إجراءات الحصول على شهادة CCC
تتضمن الإجراءات المنشورة السارية لدى أرامكو عدة خطوات قبل التقييم نفسه. إذ يسجّل الطرف الثالث المنطبق عليه عبر إجراءات الموردين ذات الصلة، ويعمل مع الإدارة المعنية في أرامكو لاستكمال نموذج تصنيف الأطراف الثالثة، ويؤكّد التصنيف، ويطبّق ضوابط SACS-210 المنطبقة، ثم يستكمل حزمة تقييم الالتزام المطلوبة مع مكتب تدقيق معتمد.
وبوابة CCC هي القناة المخصصة لطلب الشهادة، ويمكن استخدامها كذلك للتواصل مع مكتب التدقيق المعتمد وللطلبات المتعلقة برفع الحجب لدى وحدة إدارة التهديدات.
وتفيد أرامكو حالياً بأن الشهادة سارية لمدة سنتين من تاريخ إصدارها ما لم يتغيّر تصنيف الطرف الثالث. ولا يستوجب عقد جديد ضمن التصنيف نفسه الحصول على شهادة جديدة تلقائياً؛ بينما قد يستوجب تغيّر التصنيف تقييماً إضافياً.
فجوات الجاهزية الشائعة
- سياسات قائمة لكنها غير مطبّقة باتساق.
- ضوابط مطبّقة لكن أدلتها ناقصة أو يصعب تتبّعها.
- عدم مراجعة صلاحيات المستخدمين والوصول المتميز بصورة دورية.
- عدم اتساق إدارة الثغرات والتحديثات الأمنية.
- عدم إدارة حفظ السجلات والمراقبة مركزياً.
- عدم اختبار إجراءات الاستجابة للحوادث.
- غموض في مسؤوليات أمن الأطراف الثالثة.
- سجلات مخاطر وخطط معالجة غير مكتملة.
- ضوابط تقنية لا تطابق المتطلبات الأمنية الموثّقة.
من ندعم
- موردو أرامكو السعودية ومقاولوها
- شركات الهندسة والتنفيذ والخدمات الصناعية
- مزوّدو تقنية المعلومات والبرمجيات والخدمات المُدارة
- مزوّدو الخدمات السحابية والتقنية
- المصنّعون والموردون الصناعيون
- المنشآت التي تستعد لتقييم الأمن السيبراني لدى أرامكو
- الشركات التي تستجيب لمتطلب أمن سيبراني أو التزام من أرامكو
لماذا تختار Nour Solutions؟
- دعم للأمن السيبراني والالتزام متخصص في السوق السعودي.
- قدرات الالتزام والقدرات التقنية ضمن علاقة خدمة واحدة.
- استعداد قائم على الأدلة لا على التوثيق وحده.
- معالجة عملية مبنية على بيئتك الفعلية.
- منهج منظّم للجاهزية للتقييم.
- دعم مستمر بعد التقييم الأولي عند الحاجة.
ما الذي تقدّمه Nour Solutions وما الذي لا تصدره
تقدّم Nour Solutions استشارات الأمن السيبراني وتقييم الجاهزية ودعم التطبيق والمعالجة والتوثيق والتحضير للتقييم. ولا نصدر شهادة أرامكو CCC أو CCC+.
فالتقييم الرسمي وإصدار الشهادة يتولّاهما مكتب تدقيق معتمد من أرامكو. وهذا الفصل يحافظ على وضوح الحدّ بين النطاق الاستشاري وعملية التقييم المستقلة.
تكلفة الالتزام بمتطلبات أرامكو CCC
لا توجد أتعاب استشارية ثابتة واحدة، لأن الجهد يعتمد على نضج الأمن السيبراني لديك وتصنيفك لدى أرامكو وعدد الأنظمة والمواقع ونطاق البيئة ونضج التوثيق والمعالجة التقنية المطلوبة.
- نضج الأمن والالتزام الحالي
- عدد المواقع والأنظمة والمستخدمين
- نطاق المعيار والتصنيف المنطبقان
- السياسات والأدلة القائمة
- متطلبات المعالجة التقنية
- الحاجة إلى تقنيات أمنية إضافية
- أتعاب مكتب التقييم، وهي منفصلة عن خدمات Nour Solutions
ويبقى تقييم الجاهزية أفضل نقطة بداية لتحديد النطاق وإعداد عرض واضح.
هل تستعد لمتطلبات CCC أو CCC+؟
ابدأ برؤية واضحة لنطاقك وضوابطك الحالية وفجواتك ذات الأولوية. وتستطيع Nour Solutions مساعدتك على بناء خارطة طريق قائمة على الأدلة نحو الجاهزية للتقييم وفق المعيار.
لديك سؤال عن هذه الخدمة؟
تحدّث مع مستشار حول متطلباتك.
الأسئلة
الشائعة.
ما شهادة أرامكو CCC؟
هي شهادة الالتزام بالأمن السيبراني ضمن برنامج أرامكو لتقييم الأطراف الثالثة المنطبق عليها مقابل معيار الأمن السيبراني للأطراف الثالثة SACS-210.
ما معيار SACS-210؟
هو معيار أرامكو السعودية للأمن السيبراني للأطراف الثالثة، ويحدّد متطلبات الأمن السيبراني المنطبقة على الأطراف الثالثة ضمن البرنامج.
ما الفرق بين CCC و CCC+؟
تعتمد CCC على تقييم ذاتي يتبعه تحقق عن بُعد من مكتب تدقيق معتمد للتصنيفات المنطبقة. أما CCC+ فتستلزم تقييماً ميدانياً من مكتب تدقيق معتمد، وتنطبق حالياً على تصنيفات محددة بمستوى ضمان أعلى مثل الاتصال الشبكي ومعالج البيانات الحساسة.
هل تصدر Nour Solutions شهادة أرامكو CCC؟
لا. تُعِدّ Nour Solutions المنشآت للتقييم. أما التقييم الرسمي وإصدار الشهادة فيتولّاهما مكتب تدقيق معتمد من أرامكو.
ما مدة صلاحية الشهادة؟
تفيد أرامكو حالياً بمدة صلاحية تبلغ سنتين، ما لم يتغيّر تصنيف الطرف الثالث.
هل أحتاج شهادة جديدة لكل عقد مع أرامكو؟
ليس بالضرورة. فأرامكو تفيد بأن العقد الجديد ضمن التصنيف نفسه لا يستوجب شهادة جديدة. وقد يستوجب تغيّر التصنيف تقييماً إضافياً.
هل يمكنكم المساعدة إذا وردتنا ملاحظات تدقيق بالفعل؟
نعم. يمكننا المساعدة في تحليل الملاحظات وتعريف الإجراءات التصحيحية وتنفيذ المعالجة وتنظيم الأدلة اللازمة لإجراءات المتابعة المنطبقة.
هل يمكنكم المساعدة في طلبات رفع الحجب لدى إدارة التهديدات؟
يمكننا دعم أعمال المعالجة الأمنية والتوثيق المرتبطة بالإجراء. وتبقى الطلبات المقدّمة عبر بوابة CCC خاضعة لإجراءات أرامكو ومتطلباتها.