الأمن السيبراني

معظم المنشآت في المملكة لا تواجه متطلبًا سيبرانيًا واحدًا. فالشركة الموردة لأرامكو السعودية تلتزم بـ SACS-210 من خلال برنامج شهادة الالتزام السيبراني. والمؤسسة المالية مسؤولة أمام البنك المركزي السعودي. ومقدّم خدمات الاتصالات أو تقنية المعلومات المرخَّص مسؤول أمام هيئة الاتصالات والفضاء والتقنية. والجهة المرتبطة بالقطاع الحكومي مسؤولة أمام ضوابط الهيئة الوطنية للأمن السيبراني. والأطر متقاربة إلى حد كبير، والعمل العملي هو بناء بيئة ضوابط واحدة تُلبّي كل ما يسري منها عليك.

يبدأ التحضير لشهادة CCC وCCC+ من تصنيف الطرف الثالث المتفق عليه مع أرامكو والجهة الراعية، لأن التصنيف هو ما يحدّد ضوابط SACS-210 المشمولة بالنطاق، وما إذا كان التقييم تقييمًا ذاتيًا مع تحقق عن بُعد أم تقييمًا ميدانيًا كاملًا. ومن هناك يكون العمل تقييم فجوات ومعالجة مخاطر وسياسات ومعالجة تقنية وأدلة يستطيع المدقّق تتبّعها. أما التقييم الرسمي وإصدار الشهادة فهما من مسؤولية مكتب تدقيق معتمد من أرامكو.

ويُعالَج الالتزام بمتطلبات الهيئة الوطنية للأمن السيبراني والبنك المركزي السعودي وهيئة الاتصالات والفضاء والتقنية بالطريقة نفسها: تقييم فجوات ونضج مقابل الإطار المنطبق، وتقييم مخاطر سيبرانية، ووثائق حوكمة يستطيع الناس اتباعها فعلًا، وتطبيق الضوابط ومعالجتها، وحزمة أدلة منظّمة للتدقيق. وحيث يسري أكثر من إطار، تُربَط الضوابط مرة واحدة وتُدعَم بالأدلة مرة واحدة بدلًا من إدارتها بالتوازي.

واستشارات الحوكمة والمخاطر والالتزام هي ما يُبقي ذلك قائمًا بعد التدقيق: إطار حوكمة، وسجل مخاطر يُراجَع لا يُحفَظ، وسياسات وإجراءات، وإدارة مخاطر الأطراف الثالثة، ومؤشرات أداء ومخاطر، وتقارير للإدارة التنفيذية، ودعم استشاري مستمر حيث لا توجد قيادة أمنية داخلية. أما تقييم وتدقيق الأمن السيبراني فيوفّر الرأي المستقل: تدقيق داخلي، ومراجعة جاهزية، واختبار ضوابط قبل التقييم الرسمي.

ويقع ISO/IEC 27001 في هذه المجموعة لا إلى جانب معايير الأيزو الأخرى، لأن نظام إدارة أمن المعلومات المبني على ISO/IEC 27001:2022 يحمل جزءًا كبيرًا من الأدلة التي تطلبها الأطر السعودية. وللمنشأة التي تواجه عدة متطلبات في الوقت نفسه، يكون غالبًا أوفر نقطة انطلاق.

والمنشآت التي نعمل معها تأتي عادةً من أحد ثلاثة اتجاهات: مشترٍ جعل الشهادة شرطًا لاستمرار التوريد، أو جهة تنظيمية حدّدت موعدًا نهائيًا، أو تقييم أنتج بالفعل ملاحظات تحتاج إلى إغلاق. تختلف نقطة البداية، ويبقى العمل هو بيئة الضوابط نفسها، مبنية بحيث لا يبدأ المتطلب التالي من الصفر.

وتعتمد التكلفة والمدة على الأطر المشمولة بالنطاق، وحجم البيئة وتعقيدها، وما هو موجود أصلًا من حوكمة مكتوبة، وما إذا كانت هناك معالجة لازمة قبل أن يصبح التقييم ممكنًا واقعيًا. ونحدّد النطاق بعد تقييم الفجوات لا قبله، لأن أي رقم يُذكر قبل ذلك تخمين يُقدَّم في صورة عرض سعر.

تُهيّئ نور سوليوشنز المنشآت للتقييم. وتتولى جهات منح الشهادات ومكاتب التدقيق المعتمدة والجهات التنظيمية إجراء التقييمات وإصدار الشهادات، وتبقى نتائج الالتزام من اختصاصها.