إطار ساما للأمن السيبراني: ما يجب على الجهات الخاضعة للتنظيم إثباته

على من ينطبق الإطار

أصدر البنك المركزي السعودي (ساما) إطار ساما للأمن السيبراني لتعزيز المرونة السيبرانية في القطاع المالي. وينطبق على الجهات الأعضاء الخاضعة لرقابة ساما، بما فيها البنوك وشركات التأمين وإعادة التأمين وشركات التمويل وشركات المعلومات الائتمانية والبنية التحتية للأسواق المالية.

الإطار قائم على المبادئ. فهو يحدد ما يجب تحقيقه وكيف سيُحكم على النضج، ويترك للجهات تحديد كيفية تطبيق الضوابط المناسبة لحجمها ومخاطرها.

المجالات الأربعة

• قيادة الأمن السيبراني وحوكمته — الاستراتيجية، ووظيفة الأمن السيبراني، واللجنة، والسياسة، والأدوار، والأمن السيبراني في إدارة المشاريع والموارد البشرية.
• إدارة مخاطر الأمن السيبراني والامتثال — عمليات إدارة المخاطر، والامتثال التنظيمي، والامتثال للمعايير الدولية، ومراجعة الأمن السيبراني وتدقيقه.
• عمليات الأمن السيبراني والتقنية — إدارة الأصول، والمعمارية، والهوية والوصول، وأمن التطبيقات والتغيير والبنية التحتية، والتشفير، والأجهزة الشخصية، والإتلاف الآمن، وأنظمة الدفع، والخدمات المصرفية الإلكترونية، وإدارة الأحداث، وإدارة الحوادث، وإدارة التهديدات، وإدارة الثغرات.
• الأمن السيبراني للأطراف الثالثة — إدارة العقود والموردين، والإسناد، والحوسبة السحابية.

نموذج النضج

يُتوقع من الجهات الأعضاء تحقيق المستوى 3 على الأقل عبر الإطار. والمستويات الأعلى مناسبة حيث تتطلبها المخاطر أو الحجم أو الأهمية.

ما الذي يتطلبه «المستوى 3» فعلًا

كثيرًا ما يُفهم المستوى 3 خطأً على أنه هدف تقني. إنه هدف إضفاء الطابع الرسمي. ولكل مجال ضوابط يبحث المراجعون عن أربعة أمور:

• سياسة أو معيار أو إجراء موثّق
• اعتماد رسمي من الجهة المختصة
• تطبيق متسق على مستوى الجهة
• أدلة على أنه يعمل — سجلات وتذاكر وتقارير

الضابط الذي يعمل جيدًا لكنه غير موثّق هو في المستوى 2. والضابط الموثّق بإتقان لكنه غير مطبّق ليس في المستوى 3 أيضًا. فالنصفان مطلوبان.

بناء حزمة أدلة تصمد أمام المراجعة

• اربط كل متطلب بمالك ومجموعة من عناصر الأدلة.
• حافظ على حداثة الأدلة — فلقطات الشاشة غير المؤرخة والتقارير القديمة تضعف المصداقية.
• أظهر مسار الحوكمة: محاضر اللجان والاعتمادات والقرارات.
• أثبت متابعة ملاحظات التدقيق والتقييم.
• احتفظ بسجل واضح لتقييمات مخاطر الأطراف الثالثة والبنود الأمنية التعاقدية.
• واءم الحزمة مع متطلبات ساما ذات الصلة، مثل استمرارية الأعمال وحوكمة تقنية المعلومات، لتجنب تكرار الجهد.

أين تقصر الجهات عادةً

• تقييمات ذاتية للنضج متفائلة مقارنة بالأدلة.
• ضوابط تقنية قوية مع حوكمة وتوثيق ضعيفين.
• مراعاة الأمن السيبراني في وقت متأخر من المشاريع بدلًا من تضمينه.
• إشراف غير مكتمل على ترتيبات السحابة والإسناد.
• مؤشرات تُجمع لكنها لا تُستخدم أبدًا لدفع التحسين — ما يمنع التقدم بعد المستوى 3.

العمل مع الالتزامات المتداخلة

كثيرًا ما تخضع الجهات الخاضعة لرقابة ساما أيضًا للهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية وPCI DSS والمعايير الدولية. وتصميم إطار ضوابط واحد مربوط بها جميعًا يتيح لاختبار واحد استيفاء عدة متطلبات، ويمنح القيادة رؤية واحدة متماسكة للمخاطر السيبرانية بدلًا من رؤى متنافسة.

تجاوز المستوى 3

المستوى 3 هو الحد الأدنى المتوقع لا خط النهاية. والانتقال إلى المستوى 4 — المُدار والقابل للقياس — يعني أن الضوابط تُقاس وتُراجع وتُحسَّن بناءً على الأدلة. وعمليًا يتطلب ذلك مؤشرات أداء ومخاطر رئيسية لمجالات الضوابط المهمة، وتقارير منتظمة للجنة الأمن السيبراني، وقرارات موثّقة تُتخذ بناءً عليها.

وبالنسبة للمؤسسات الأكبر أو الأكثر أهمية، فإن بلوغ المستوى 4 في مجالات مثل إدارة الهوية والوصول وإدارة الثغرات ومراقبة الأحداث وأمن الأطراف الثالثة يمنح القيادة رؤية قابلة للقياس للمخاطر، ويثبت لساما أن البرنامج يُدار فعليًا لا يُوثَّق دوريًا فقط.

دورة عملية للحفاظ على النضج

• أجرِ تقييمًا ذاتيًا للنضج قائمًا على الأدلة مرة واحدة على الأقل سنويًا.
• اتفق مع لجنة الأمن السيبراني على مستويات النضج المستهدفة لكل مجال.
• تابع إجراءات المعالجة بمالكين وتواريخ، وأبلغ عن التقدم ربع سنويًا.
• حدّث السياسات والإجراءات عند تغير الأعمال أو التقنية أو التنظيم.
• اطلب مراجعة مستقلة دوريًا للتحقق من نتائج التقييم الذاتي.

الأسئلة الشائعة

فريق التحرير في NAZZTECكتبه وراجعه ممارسون من NAZZTEC. هذه الإحاطة إرشادات عامة وليست مشورة قانونية.