ضوابط الأمن السيبراني للشركات المتوسطة: من أين تبدأ

في نهاية هذا الدليل ستعرف ثلاثة أمور: هل تُلزم الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني شركتَك، وأي مجموعة ضوابط تنطبق عليك إن لم تكن ملزمًا بها، وما الأعمال الخمسة الأولى التي تنقلك من ملف سياسات على الرف إلى أدلة يقبلها المقيّم.

السؤال الأول: هل تنطبق عليك الضوابط الأساسية؟

نطاق الضوابط الأساسية للأمن السيبراني ECC-2:2024 محدد بدقة. تنطبق الضوابط على الجهات الحكومية في المملكة، من وزارات وهيئات ومؤسسات وغيرها، وعلى الشركات والجهات التابعة لها داخل المملكة وخارجها، وعلى جهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. وتشجع الهيئة بقية الجهات على الاستفادة منها كأفضل ممارسة. والإصدار الساري منشور على صفحة الضوابط لدى الهيئة.

عمليًا، تجد الشركة المتوسطة نفسها في واحدة من أربع حالات:

وضع شركتك	ما ينطبق عليها
شركة مملوكة للحكومة أو تابعة لجهة حكومية	الضوابط الأساسية مباشرة
تملك بنية تحتية وطنية حساسة أو تشغّلها أو تستضيفها	الضوابط الأساسية مباشرة
شركة خاصة ليست ضمن البنى الحساسة وتورّد لجهات حكومية	متطلبات الضوابط الأساسية تصلك عبر العقود، إضافة إلى NCNICC إذا عمّمتها الهيئة عليك
شركة خاصة ليست ضمن البنى الحساسة ولا تعمل مع الحكومة	ضوابط NCNICC-1:2025 إذا عمّمتها الهيئة عليك، والضوابط الأساسية كأفضل ممارسة

مسار المورّد

هذا المسار هو الذي تغفل عنه الشركات المتوسطة غالبًا. يُلزم المكوّن الفرعي 4-1 كل جهة ضمن النطاق بتضمين متطلبات الأمن السيبراني في عقودها مع الأطراف الخارجية. وتشمل هذه المتطلبات في حدها الأدنى بنود المحافظة على سرية المعلومات والحذف الآمن لبيانات الجهة عند انتهاء الخدمة، وإجراءات التواصل عند وقوع حادثة سيبرانية، وإلزام الطرف الخارجي بتطبيق متطلبات الجهة وسياساتها في الأمن السيبراني (الضابط 4-1-2).

إذا كنت تقدم خدمات تقنية أو خدمات مُدارة أو إسنادًا لوزارة أو هيئة أو برنامج مدينة ذكية، فتوقع هذه البنود في عقدك القادم، وتوقع أن تُطالَب بالأدلة. وفي خدمات الإسناد والخدمات المُدارة تشترط الضوابط أيضًا تقييم مخاطر الأمن السيبراني قبل التعاقد، وأن تكون مراكز عمليات الأمن السيبراني المُدارة التي تستخدم الدخول عن بُعد موجودة بالكامل داخل المملكة (الضابط 4-1-3).

مسار القطاع الخاص من غير البنى الحساسة

أصدرت الهيئة ضوابط الأمن السيبراني لجهات القطاع الخاص من غير ذات البنى التحتية الحساسة NCNICC-1:2025. بُنيت هذه الضوابط على الضوابط الأساسية، وتقسّم الجهات إلى فئتين وفق تعريف الهيئة العامة للمنشآت الصغيرة والمتوسطة (منشآت):

• الفئة أ، الجهات الكبيرة: أكثر من 250 موظفًا بدوام كامل، أو إيرادات سنوية تتجاوز 200 مليون ريال. ثلاثة مكونات أساسية، و22 مكونًا فرعيًا، و65 ضابطًا أساسيًا ملزمًا.
• الفئة ب، الجهات الصغيرة والمتوسطة: من 6 إلى 249 موظفًا بدوام كامل، أو إيرادات سنوية بين 3 ملايين و200 مليون ريال. مكوّن أساسي واحد، و13 مكونًا فرعيًا، و26 ضابطًا أساسيًا ملزمًا.

وتنص الوثيقة على أن ضوابط كل فئة ملزمة للجهات التي تعمّمها الهيئة عليها، وأن للهيئة إلزام الجهة بضوابط إضافية متى دعت الحاجة. معظم الشركات التي تصف نفسها بالمتوسطة تقع في الفئة ب. وإذا كنت قريبًا من الحد الفاصل أو في مرحلة نمو، فخطط على أساس الفئة أ.

ماذا تتضمن الضوابط الأساسية ECC-2:2024؟

حلّ الإصدار ECC-2:2024 محل ECC-1:2018، ويتكون من 4 مكونات أساسية، و28 مكونًا فرعيًا، و108 ضوابط أساسية، و92 ضابطًا فرعيًا. ونقل التحديث مكوّن الأنظمة الصناعية السابق إلى ضوابط الأمن السيبراني للأنظمة التشغيلية، كما يوضح الملحق الخاص بالتحديثات في الوثيقة.

المكوّن الأساسي	ما يغطيه
1. حوكمة الأمن السيبراني	الاستراتيجية، والإدارة، والسياسات، والأدوار، وإدارة المخاطر، والأمن في مشاريع التقنية، والالتزام بالتشريعات، والمراجعة والتدقيق الدوري، والموارد البشرية، والتوعية والتدريب
2. تعزيز الأمن السيبراني	الأصول، والهويات والصلاحيات، وحماية الأنظمة، والبريد الإلكتروني، والشبكات، والأجهزة المحمولة، وحماية البيانات، والتشفير، والنسخ الاحتياطي، وإدارة الثغرات، واختبار الاختراق، والسجلات والمراقبة، والحوادث، والأمن المادي، وحماية تطبيقات الويب
3. صمود الأمن السيبراني	جوانب الأمن السيبراني في إدارة استمرارية الأعمال
4. الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية	عقود الموردين، والحوسبة السحابية والاستضافة

وضوابط الحوسبة السحابية (4-2) ملزمة للجهات التي تستخدم خدمات الحوسبة السحابية والاستضافة أو تخطط لاستخدامها. فإذا كانت أنظمتك مستضافة لدى مزود خدمة، فاطّلع أيضًا على ضوابط الأمن السيبراني للحوسبة السحابية.

من أين تبدأ؟ خمسة أعمال

1. اعرف ما الذي تحميه

ابدأ بسجل الأصول كما يطلب المكوّن الفرعي 2-1: الأنظمة، والبيانات، والمالك، ومكان الاستضافة، والخدمات المكشوفة على الإنترنت. ثم صنّف الأصول ورمّزها وفق المتطلبات التنظيمية (2-1-5). كل ضابط لاحق يُقاس على هذا السجل، وتقييم الفجوات بدونه تخمين.

2. أرسِ الحوكمة

الحوكمة هي أطول مسافة تقطعها الشركة المتوسطة، لأن الضوابط تطلب هيكلًا لا أدوات فقط:

• استراتيجية للأمن السيبراني يعتمدها رئيس الجهة ويدعمها (1-1-1)
• إدارة للأمن السيبراني مستقلة عن إدارة تقنية المعلومات (1-2-1)
• شغل وظائف الأمن السيبراني بمواطنين سعوديين متفرغين ومؤهلين (1-2-2)
• لجنة إشرافية للأمن السيبراني يكون رئيس إدارة الأمن السيبراني أحد أعضائها (1-2-3)
• سياسات وإجراءات معتمدة تدعمها معايير تقنية (1-3)
• منهجية موثقة لإدارة المخاطر تُطبق في بداية المشاريع التقنية وقبل التغييرات الجوهرية (1-5)

في ضوابط NCNICC يقل عدد هذه البنود الملزمة للفئة ب. فمثلًا، ضوابط المكوّن الفرعي 1-1 الخاص بإدارة الأمن السيبراني ملزمة للفئة أ فقط. اقرأ عمود قابلية التطبيق لكل ضابط ولا تفترض.

3. أغلق الثغرات التي يبدأ بها المهاجم

ابدأ حيث سينظر المقيّم والمهاجم معًا. كل بند أدناه ضابط في ECC-2:2024:

• التحقق متعدد العناصر للدخول عن بُعد وللحسابات ذات الصلاحيات الهامة (2.2.3.2)، وإدارة الصلاحيات الهامة (2.2.3.4)
• تقييم دوري للثغرات ومعالجتها حسب خطورتها مع اختبار التحديثات قبل تثبيتها (2-10-3)
• اختبار اختراق يغطي كل خدمة تقدمها عبر الإنترنت (2-11-3)
• تفعيل سجلات الأحداث للأصول الحساسة والحسابات ذات الصلاحيات الهامة والدخول عن بُعد (2-12-3)
• نسخ احتياطي مع اختبار دوري لفعالية الاستعادة (2-9-3)

4. أصلح عقودك في الاتجاهين

احصر مورديك الذين يصلون إلى أنظمتك أو بياناتك، وراجع عقودهم مقابل الضابط 4-1-2. ثم راجع العقود التي تكون فيها أنت المورّد، وجهّز الأدلة التي سيطلبها عملاؤك الحكوميون.

5. أثبِت، ثم راجِع

تطلب الضوابط مراجعة دورية من إدارة الأمن السيبراني (1-8-1)، ومراجعة مستقلة من أطراف أخرى غير إدارة الأمن السيبراني (1-8-2)، مع عرض النتائج على اللجنة الإشرافية وصاحب الصلاحية (1-8-3). وتقيّم الهيئة الالتزام عبر التقييم الذاتي، وتقارير أداة الالتزام، والزيارات الميدانية. اجمع الأدلة أولًا بأول: الاعتمادات، والإعدادات، وتذاكر العمل، وتقارير الاختبار.

ترتيب واقعي للعمل

المرحلة	المخرَج
تحديد النطاق	قرار الانطباق: الضوابط الأساسية، أو فئة NCNICC، والتزامات العقود
تقييم الفجوات	حالة كل ضابط مع الدليل، مرتبة حسب المخاطر
خطة المعالجة	مالك وموعد وبند ميزانية لكل فجوة، والحوكمة أولًا
المعالجة التقنية	التحقق متعدد العناصر، والتحديثات، والسجلات، واختبار اختراق الخدمات المكشوفة
مراجعة الجاهزية	ملف أدلة مطابَق مع كل ضابط منطبق

لا تحاول إغلاق جميع الضوابط دفعة واحدة. ابدأ بالحوكمة وبالخدمات المكشوفة على الإنترنت، فهي الأعلى مخاطرة والأثقل وزنًا في التدقيق.

ماذا يجب أن يقدم لك تقرير تقييم الفجوات؟

• قرار الانطباق والمبررات التي بُني عليها
• حالة كل ضابط منطبق: مطبّق، أو مطبّق جزئيًا، أو غير مطبّق، أو غير منطبق
• الأدلة التي رُوجعت لكل حالة
• تصنيف مخاطر لكل فجوة وترتيب مقترح للعمل
• خارطة معالجة بأسماء المسؤولين
• قائمة الأدلة التي ما زال عليك إعدادها

أسئلة تطرحها على من يساعدك

• كيف حددتم الضوابط المنطبقة علينا؟ وهل يمكن أن نرى المبررات؟
• هل ستعرضون الدليل وراء كل حالة، لا مجرد نسبة امتثال؟
• هل تختبرون الضوابط التقنية فعليًا، أم تكتفون بقراءة السياسات؟
• من سيعيد الاختبار بعد المعالجة؟

كيف تساعدك تقنِ

تقدم ممارسة الأمن السيبراني في تقنِ خدمات الجاهزية للامتثال لضوابط الهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية وأطر البنك المركزي السعودي، إلى جانب اختبارات الاختراق وتقييم الثغرات ومراجعة الإعدادات السحابية وإعادة الاختبار. عملنا مصمم لدعم متطلبات نظام حماية البيانات الشخصية والهيئة الوطنية للأمن السيبراني، ويبقى قرار الامتثال لك وللجهة التنظيمية. ولموردي الوزارات والهيئات وبرامج المدن الذكية، اطّلع على صفحة الجهات الحكومية والمدن الذكية. ولجانب الاختبار، اقرأ اختبار الاختراق في السعودية: النطاق والمراحل وما يتضمنه التقرير.

ابدأ بمراجعة الوضع الأمني

امنحنا 30 دقيقة وقائمة الأنظمة التي ترى أنها ضمن النطاق. نخبرك بمجموعة الضوابط التي نرى أنها تنطبق عليك، وأين يُرجح أن تكون أكبر فجواتك، وبماذا تبدأ. المراجعة مجانية. احجز مراجعة الوضع الأمني.