الامتثال والتنظيم
ضوابط الأمن السيبراني للبيانات (DCC): حماية البيانات حسب تصنيفها
توسّع ضوابط DCC الضوابط الأساسية بضوابط تتدرج حسب تصنيف البيانات. ما الذي تتطلبه وكيف تواءمها مع نظام حماية البيانات الشخصية وقواعد إدارة البيانات الوطنية.
أبرز النقاط
- ISO 27001 نظام إدارة قائم على المخاطر، بينما الضوابط الأساسية خط أساس وطني إلزامي للضوابط.
- تتقاطع كثير من الضوابط التقنية بشكل كبير.
- تتجاوز متطلبات الحوكمة الخاصة بالمملكة — مثل وظيفة الأمن السيبراني والتوظيف السعودي — ما يتطلبه ISO.
- إطار ضوابط واحد مربوط يتجنب تكرار الجهد.
مختلفان في التصميم
ISO/IEC 27001 معيار دولي قابل للاعتماد لنظام إدارة أمن المعلومات، يتيح للجهات اختيار الضوابط بناءً على المخاطر. أما الضوابط الأساسية فتضع حدًا أدنى إلزاميًا من الضوابط للجهات الخاضعة لنطاقها في المملكة، بمرونة أقل.
أين يتقاطعان
| المجال | ISO 27001 (الملحق A) | NCA ECC |
|---|---|---|
| السياسات والأدوار | الضوابط التنظيمية | حوكمة الأمن السيبراني |
| إدارة الأصول | الجرد والاستخدام المقبول | إدارة الأصول |
| ضبط الوصول | ضوابط الهوية والوصول | إدارة الهوية والوصول |
| التشفير | استخدام التشفير | التشفير |
| العمليات | السجلات والمراقبة والثغرات | سجلات الأحداث والثغرات واختبار الاختراق |
| الموردون | العلاقات مع الموردين | الأمن السيبراني للأطراف الخارجية والحوسبة السحابية |
| الاستمرارية | جاهزية تقنية المعلومات والاتصالات للاستمرارية | صمود الأمن السيبراني |
أين تذهب الضوابط الأساسية أبعد
- وظيفة أمن سيبراني مستقلة ترتبط برئيس الجهة أو من ينيبه.
- متطلبات لـمواطنين سعوديين مؤهلين في القيادة والأدوار الحرجة للأمن السيبراني.
- توقعات محددة لـاختبار الاختراق الدوري ومراجعات الأمن السيبراني والتقارير للهيئة.
- تغطية إضافية لـأنظمة التحكم الصناعي حيثما ينطبق.
تشغيل برنامج واحد
ابنِ مكتبة ضوابط موحدة تربط كل ضابط بـ ISO 27001 والضوابط الأساسية وإطار ساما ونظام حماية البيانات حسب الانطباق. قيّم مرة واحدة، واجمع الأدلة مرة واحدة، وأبلغ لكل إطار. ويوفر نظام إدارة ISO 27001 — تقييم المخاطر والتدقيق الداخلي ومراجعة الإدارة — محركًا تشغيليًا ممتازًا للامتثال للضوابط الأساسية.
خطوات عملية
- اربط بيان قابلية التطبيق بالضوابط الأساسية.
- حدد متطلبات الضوابط الأساسية التي لا مقابل لها في ISO.
- أغلق فجوات الحوكمة مبكرًا — فالتوظيف يستغرق وقتًا.
- وسّع مكتبة الأدلة لتلبي الاحتياجات الخاصة بالضوابط الأساسية.
- جدول تقييمات ذاتية دورية للضوابط الأساسية إلى جانب التدقيقات الداخلية لـ ISO.
أدلة تخدم الإطارين
تستوفي عناصر أدلة كثيرة الإطارين معًا عند إعدادها مع مراعاتهما: سياسة معتمدة لضبط الوصول، وسجلات مراجعة الصلاحيات ربع السنوية، وتقارير فحص الثغرات مع متابعة المعالجة، وسجلات الحوادث، وتقييمات الموردين. ووسّم كل عنصر دليل بكل ضابط يدعمه لتجنب جمعه مرتين.
كيف تساعدك NAZZTEC
نربط نظام إدارة أمن المعلومات لديك بمتطلبات الضوابط الأساسية، ونغلق فجوات الحوكمة الخاصة بالمملكة، ونعدّ مكتبات الأدلة، وندير الإطارين في NAZZTEC AI GRC بمكتبة ضوابط مشتركة.
الخطوة التالية: اقرأ دليلنا للامتثال لضوابط NCA ECC أو اطّلع على NAZZTEC AI GRC.
الأسئلة الشائعة
هل يعني اعتماد ISO 27001 أننا ممتثلون للضوابط الأساسية؟
لا. فهو يساعد كثيرًا، لكن يجب معالجة المتطلبات الخاصة بالضوابط الأساسية وإثباتها بشكل منفصل.
بأيهما نبدأ؟
إذا كانت الضوابط الأساسية تنطبق عليك، فأعطها الأولوية كمتطلب إلزامي، مستخدمًا نظام الإدارة في ISO 27001 لتشغيلها.
هل يمكن لمنصة حوكمة واحدة إدارة الإطارين؟
نعم. تتيح مكتبات الضوابط المربوطة التقييم مرة واحدة ورفع التقارير وفق الإطارين.
فريق التحرير في NAZZTECكتبه وراجعه ممارسون من NAZZTEC. هذه الإحاطة إرشادات عامة وليست مشورة قانونية.
