شرح ضوابط الأمن السيبراني للحوسبة السحابية (CCC) الصادرة عن الهيئة الوطنية للأمن السيبراني

ما ضوابط CCC

تصدر ضوابط الأمن السيبراني للحوسبة السحابية (CCC) عن الهيئة الوطنية للأمن السيبراني امتدادًا للضوابط الأساسية للأمن السيبراني. فبينما تضع الضوابط الأساسية الحد الأدنى الوطني، تضيف ضوابط CCC متطلبات خاصة بالحوسبة السحابية للجهات التي تقدم الخدمات السحابية وتلك التي تستخدمها.

كما في أطر الهيئة الأخرى، تأكد من الإصدار المنشور الحالي قبل التقييم؛ فالهيئة تراجع ضوابطها مع تطور التقنية والتهديدات.

جمهوران ومجموعتان من الالتزامات

ما المتوقع من المستأجرين

• صنّف البيانات قبل نقلها إلى السحابة، واختر الاستضافة وفقًا لذلك.
• اختر مزودين يستطيعون إثبات الضوابط وموقع الاستضافة الذي يتطلبه تصنيف بياناتك.
• احكم الهويات — مصادقة قوية، وأقل الصلاحيات، ومراجعة منتظمة لصلاحيات مسؤولي السحابة.
• احمِ البيانات — تشفير أثناء النقل والتخزين، مع إدارة مفاتيح تتناسب مع الحساسية.
• راقب — اجمع سجلات النشاط السحابي والأمن وراجعها.
• تعاقد بوضوح — ضمّن متطلبات الأمن السيبراني والإبلاغ عن الحوادث وحقوق التدقيق وأحكام الخروج.
• خطط للخروج — تأكد من إمكانية استرجاع البيانات وحذفها بأمان إذا انتهت العلاقة.

تصنيف البيانات وموقعها

تصنيف البيانات محوري لقرارات السحابة في المملكة. فنهج تصنيف البيانات الوطني يحدد مستويات للحساسية، وكلما زادت حساسية البيانات اشتدت التوقعات بشأن مكان استضافتها وكيفيتها. وبالنسبة لبيانات الجهات الحكومية والبنية التحتية الحرجة خصوصًا، كثيرًا ما تكون الاستضافة داخل المملكة مطلوبة.

وعمليًا يعني ذلك أن التصنيف يجب أن يحدث قبل الترحيل. فنقل البيانات أولًا وتصنيفها لاحقًا هو ما يجعل الجهات تجد نفسها مع استضافة غير ممتثلة يكلف تصحيحها كثيرًا.

جعل المسؤولية المشتركة حقيقية

تقسم كل خدمة سحابية المسؤوليات الأمنية بين المزود والمستأجر، ويتغير التقسيم بين خدمات البنية التحتية والمنصات والبرمجيات. ولا تكون ضوابط CCC فعالة إلا عندما يكون هذا التقسيم صريحًا. ولكل خدمة تستخدمها:

• وثّق الضوابط التي يشغّلها المزود وكيف يثبتها.
• وثّق الضوابط التي تشغّلها أنت، مع مالكين معيّنين.
• حدد أي ضوابط مشتركة وكيف يسهم كل طرف فيها.
• راجع الترتيب عند تغير الخدمات أو العقود أو الأنظمة.

كيف تتكامل ضوابط CCC مع الالتزامات الأخرى

تعمل ضوابط CCC إلى جانب الضوابط الأساسية وضوابط الأمن السيبراني للبيانات وقواعد النقل في نظام حماية البيانات الشخصية والتنظيمات القطاعية من جهات مثل ساما. وربطها جميعًا بخط أساس سحابي واحد للضوابط — يُفرض عبر السياسات كتعليمات برمجية في منطقة الهبوط — يحوّل الامتثال إلى تهيئة بدلًا من أوراق.

قائمة أدلة للمستأجرين

• سجلات تصنيف البيانات لكل عبء عمل مستضاف في السحابة.
• سجل للخدمات السحابية المستخدمة مع المزود ونموذج الخدمة وموقع الاستضافة.
• مصفوفة المسؤولية المشتركة لكل خدمة مع مالكين داخليين معيّنين.
• خطوط أساس التهيئة وأدلة فرضها، مثل تقارير السياسات كتعليمات برمجية.
• مراجعات الوصول المميز لمسؤولي السحابة.
• سجلات أمن السحابة محفوظة ومراجعة، مع التحقيق في التنبيهات.
• بنود تعاقدية تغطي المتطلبات الأمنية والإبلاغ عن الحوادث وحقوق التدقيق والخروج.
• إجراءات الخروج واسترجاع البيانات، مختبرة حيثما أمكن.

وحين يُحافظ على هذه الأدلة باستمرار، يصبح أي تقييم — من الهيئة أو جهة تنظيمية قطاعية أو مدقق — مراجعةً لا سباقًا مع الوقت.

فجوات شائعة نلاحظها

• خدمات سحابية تتبناها فرق الأعمال دون مراجعة أمنية أو تصنيف.
• حسابات مسؤولين دون مصادقة قوية أو مراجعة منتظمة.
• سجلات يحتفظ بها المزود لكن المستأجر لا يجمعها ولا يراقبها أبدًا.
• عقود لا تذكر شيئًا عن الإبلاغ عن الحوادث أو حقوق التدقيق أو الخروج.
• افتراض أن المزود يتولى ضوابط أمنية هي في الواقع مسؤولية المستأجر.

إصلاح كل منها سهل بمجرد اكتشافه. ومراجعة قصيرة لأمن السحابة وفق ضوابط CCC — تغطي التصنيف والهويات والسجلات والتهيئة والعقود — تكشفها عادةً خلال أسابيع قليلة وتنتج خطة مرتبة حسب الأولوية لإغلاقها.

الأسئلة الشائعة

فريق التحرير في NAZZTECكتبه وراجعه ممارسون من NAZZTEC. هذه الإحاطة إرشادات عامة وليست مشورة قانونية.