الامتثال والتنظيم
ضوابط الأمن السيبراني للبيانات (DCC): حماية البيانات حسب تصنيفها
توسّع ضوابط DCC الضوابط الأساسية بضوابط تتدرج حسب تصنيف البيانات. ما الذي تتطلبه وكيف تواءمها مع نظام حماية البيانات الشخصية وقواعد إدارة البيانات الوطنية.
أبرز النقاط
- تضع الضوابط الأساسية للأمن السيبراني الحد الأدنى الوطني للأمن السيبراني الصادر عن الهيئة الوطنية للأمن السيبراني.
- تنطبق على الجهات الحكومية وعلى الجهات الخاصة التي تملك بنية تحتية وطنية حساسة أو تشغّلها أو تستضيفها.
- متطلبات الحوكمة — وظيفة أمن سيبراني مستقلة يقودها مختصون سعوديون — لا تقل أهمية عن الضوابط التقنية.
- قيّم دائمًا وفق الإصدار المنشور الحالي؛ فالهيئة تحدّث أطرها.
ما الضوابط الأساسية للأمن السيبراني
الضوابط الأساسية للأمن السيبراني (ECC) هي الحد الأدنى من متطلبات الأمن السيبراني التي تضعها الهيئة الوطنية للأمن السيبراني، الجهة المختصة بالأمن السيبراني في المملكة. وقد نُشرت أول مرة عام 2018، وتحدد الأساس الذي تُبنى عليه أطر الهيئة الأخرى — للسحابة والأنظمة الحساسة والبيانات والعمل عن بُعد والتقنيات التشغيلية.
حدّثت الهيئة الضوابط الأساسية منذ إصدارها الأول. وقبل التخطيط لأي برنامج، تأكد من الإصدار المنطبق وقيّم وفق النسخة المنشورة الحالية؛ فقد يختلف ترقيم الضوابط وصياغتها بين الإصدارات.
من يجب أن يمتثل
- الجهات الحكومية في المملكة — الوزارات والهيئات والمؤسسات وغيرها — والشركات والجهات التابعة لها.
- جهات القطاع الخاص التي تملك بنية تحتية وطنية حساسة أو تشغّلها أو تستضيفها.
- ويُشجَّع بقوة الجهات الأخرى على تبني الضوابط الأساسية كممارسة جيدة، ويطلب كثير من العملاء اليوم من مورديهم إثبات التوافق.
كيف تُبنى الضوابط
تُنظَّم الضوابط الأساسية في خمسة مكونات رئيسية:
- حوكمة الأمن السيبراني — الاستراتيجية، ووظيفة الأمن السيبراني، والسياسات، والأدوار، وإدارة المخاطر، والامتثال، والموارد البشرية، والتوعية.
- تعزيز الأمن السيبراني — إدارة الأصول، والهوية والوصول، وحماية الأنظمة، والبريد الإلكتروني، والشبكات، والأجهزة المحمولة، والبيانات والتشفير، والنسخ الاحتياطي، وإدارة الثغرات، واختبار الاختراق، والسجلات والمراقبة، وإدارة الحوادث، والأمن المادي، وأمن تطبيقات الويب.
- صمود الأمن السيبراني — جوانب الأمن السيبراني في استمرارية الأعمال.
- الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية — إدارة مخاطر الموردين والسحابة.
- الأمن السيبراني لأنظمة التحكم الصناعي — للجهات التي تشغّل بيئات التقنيات التشغيلية.
متطلبات الحوكمة التي تتعثر فيها الجهات
تركز جهات كثيرة على التقنية وتقلل من شأن مكون الحوكمة. وعمليًا يدقق المقيّمون في ما إذا كان الأمن السيبراني مؤسسًا كوظيفة بشكل صحيح. توقّع أن تُثبت:
- وظيفة أمن سيبراني مستقلة عن تقنية المعلومات، ترتبط مباشرة برئيس الجهة أو من ينيبه.
- أن رئيس وظيفة الأمن السيبراني والأدوار الحرجة يشغلها مختصون سعوديون مؤهلون بدوام كامل.
- استراتيجية وسياسات وإجراءات معتمدة للأمن السيبراني تُراجع دوريًا.
- لجنة توجيهية للأمن السيبراني بصلاحيات واضحة.
- متطلبات الأمن السيبراني مضمّنة في عمليات الموارد البشرية وإدارة المشاريع.
يستغرق استيفاء هذه المتطلبات وقتًا — خاصة التوظيف. فابدأ بها مبكرًا.
كيف تبدو الأدلة الجيدة
يجب أن يكون الامتثال قابلًا للإثبات. ولكل ضابط يتوقع المقيّمون أدلة على أنه:
- موثّق — في سياسة أو معيار أو إجراء معتمد
- مطبّق — تهيئة وسجلات ولقطات شاشة تُظهر أنه يعمل
- له مالك — شخص أو فريق مسؤول معيّن بالاسم
- مراجَع — سجلات مراجعة دورية ومتابعة للملاحظات
خارطة طريق مرحلية
| المرحلة | التركيز | المدة المعتادة |
|---|---|---|
| 1. التقييم | تقييم الفجوات وفق الإصدار الحالي، ومراجعة الأدلة، وملاحظات مرتبة حسب الأولوية | 4–6 أسابيع |
| 2. الحوكمة | وظيفة الأمن السيبراني والاستراتيجية والسياسات واللجنة والملكية | 6–10 أسابيع |
| 3. المعالجة | ضوابط تقنية وإجرائية مرتبة حسب المخاطر | 3–9 أشهر |
| 4. الأدلة | مكتبة أدلة مربوطة بكل ضابط | مستمر |
| 5. الاستدامة | تقييم ذاتي دوري ومراقبة وتحسين مستمر | مستمر |
ملاحظات شائعة
- سياسات معتمدة غير مطبقة، أو مطبقة دون اعتماد قط.
- سجلات أصول غير مكتملة، تقوّض كل الضوابط اللاحقة.
- وصول مميز غير مُدار أو غير مراجَع.
- سجلات مفعّلة لكنها غير مراقبة.
- غياب متطلبات الأمن السيبراني للأطراف الثالثة من العقود.
- اختبارات اختراق تُجرى دون متابعة المعالجة حتى الإغلاق.
ما بعد الضوابط الأساسية
الضوابط الأساسية هي الأساس. وحسب بيئتك قد تنطبق أطر أخرى للهيئة — ضوابط الأمن السيبراني للحوسبة السحابية (CCC)، والأنظمة الحساسة (CSCC)، والبيانات (DCC)، والعمل عن بُعد (TCC)، والأنظمة التشغيلية (OTCC). وإطار ضوابط واحد مربوط يتجنب تكرار الجهد عبرها، وعبر متطلبات ساما ونظام حماية البيانات الشخصية وISO.
الاستعداد للتقييم
- عيّن منسقًا واحدًا يملك مكتبة الأدلة والجدول الزمني للتقييم.
- اربط كل ضابط بمالك وبعناصر أدلته ومكان حفظها.
- حدّث الأدلة لتكون حديثة ومؤرخة ومرتبطة بوضوح بالضابط الذي تدعمه.
- أجرِ تقييمًا داخليًا مسبقًا وأغلق المكاسب السريعة قبل المراجعة الرسمية.
- جهّز سردًا قصيرًا لأي ضابط غير مستوفى بالكامل، مع خطة المعالجة والتاريخ المستهدف.
- وجّه مالكي الضوابط ليتمكنوا من شرح كيفية عمل ضوابطهم.
تسير التقييمات بسلاسة عندما تستطيع الجهة أن تُظهر ليس الامتثال فحسب، بل نظامًا عاملًا للحفاظ عليه.
الأسئلة الشائعة
هل الامتثال لضوابط NCA ECC إلزامي للشركات الخاصة؟
إنه إلزامي لجهات القطاع الخاص التي تملك بنية تحتية وطنية حساسة أو تشغّلها أو تستضيفها. ولغيرها يُوصى به، وتطلبه الجهات الحكومية والمؤسسات بشكل متزايد.
كيف يُقيَّم الامتثال للضوابط الأساسية؟
يُتوقع من الجهات تقييم نفسها دوريًا ورفع التقارير وفق ما تطلبه الهيئة، وقد تقيّم الهيئة الامتثال مباشرة. ويجب أن تدعم الأدلة كل ادعاء.
كم يستغرق الامتثال للضوابط الأساسية؟
يعتمد ذلك كثيرًا على نقطة البداية. فأسس الحوكمة تستغرق غالبًا من شهرين إلى ثلاثة أشهر، والمعالجة التقنية عبر مجموعة الضوابط الكاملة تستغرق عادةً من ستة إلى اثني عشر شهرًا.
فريق التحرير في NAZZTECكتبه وراجعه ممارسون من NAZZTEC. هذه الإحاطة إرشادات عامة وليست مشورة قانونية.
