التقنيات والشركاء
تقنيات ننفّذها ضمن هذه الخدمة
01
ما ضوابط الأمن السيبراني للهيئة الوطنية؟
تنشر الهيئة الوطنية للأمن السيبراني (NCA) أطر ضوابط ووثائق تنظيمية للجهات والبيئات بحسب النطاق المحدد في كل وثيقة. توفر الضوابط الأساسية للأمن السيبراني (ECC) متطلبات أساسية للجهات الحكومية المشمولة وغيرها بحسب ما تحدده الهيئة. وتتناول مجموعات إضافية الحوسبة السحابية والبيانات والعمل عن بعد والتقنية التشغيلية والأنظمة الحساسة. يجب أن يستند تحديد الانطباق إلى الوثيقة الرسمية الحالية، لا إلى قائمة عامة.
لكل مجموعة مجالها: ECC هي الضوابط الأساسية للأمن السيبراني، وCCC ضوابط الأمن السيبراني للحوسبة السحابية، وDCC ضوابط الأمن السيبراني للبيانات، وTCC ضوابط الأمن السيبراني للعمل عن بعد، وOTCC ضوابط الأمن السيبراني للتقنية التشغيلية، وCSCC ضوابط الأمن السيبراني للأنظمة الحساسة. وقد تنطبق مجموعات متعددة معاً. فخدمة سحابية تدعم نظاماً حساساً تتطلب مراجعة الانطباق لكل مجموعة بدلاً من اختيار واحدة فقط.
قد تتغير الإرشادات والنسخ المنشورة. لذلك يوثق التقييم النسخة وتاريخها والكيان والأنظمة وأساس الاستثناءات. كما يميز بين متطلب NCA والسياسة الداخلية أو ضوابط إطار آخر. تساعد المطابقة بين الأطر على تقليل تكرار جمع الأدلة، لكنها لا تلغي ضرورة تلبية كل متطلب في سياقه.
ECC — الضوابط الأساسية للأمن السيبراني
استخدم ECC كخط أساس عندما ينص نطاق الهيئة الحالي على انطباقه. حدّد الحوكمة وإدارة المخاطر والممارسات الأمنية للجهات المشمولة، واربط الأدلة بنسخة ECC المنطبقة.
CCC — ضوابط الأمن السيبراني للحوسبة السحابية
تتناول CCC البيئات السحابية والمسؤوليات المرتبطة بالخدمات. راجع واجبات مقدم الخدمة والعميل معاً، بما فيها البنية والبيانات والوصول والرصد والخروج من الخدمة، وتحقق من نطاق الوثيقة الرسمية.
DCC — ضوابط الأمن السيبراني للبيانات
تركز DCC على ضوابط الأمن السيبراني للبيانات. اربط التصنيف والتعامل بالوصول والتخزين والمشاركة والحماية والإتلاف، ثم قارن المتطلبات الحالية بالبيانات والكيانات المشمولة.
TCC — ضوابط الأمن السيبراني للعمل عن بُعد
تتناول TCC اعتبارات الأمن السيبراني للعمل عن بُعد. راجع الوصول والأجهزة وممارسات المستخدم والخدمات الداعمة، وتحقق مما ينطبق على ترتيبات العمل عن بُعد الفعلية وفق الوثيقة الحالية.
OTCC — ضوابط الأمن السيبراني للتقنية التشغيلية
تخص OTCC بيئات التقنية التشغيلية. نسق مع فرق الهندسة والسلامة، وافهم الاعتماديات التشغيلية، وتحقق من الضوابط دون تعطيل العمليات؛ ويتطلب الاختبار المؤثر موافقة وخطة آمنة.
CSCC — ضوابط الأمن السيبراني للأنظمة الحساسة
تتناول CSCC الأنظمة المصنفة حساسة وفق المعايير المنطبقة. تحقق أولاً من تصنيف النظام وحدوده، ثم قيّم أدلة الحماية والتشغيل واعتماديات البيئة وفق النص الحالي.
02
من يحدد الانطباق؟
على الجهات الحكومية والمنظمات المحددة أو المشمولة بوثيقة ضوابط أن تتحقق من نص النطاق وأي توجيه صادر عن الجهة. كما ينبغي لمشغلي الأنظمة الحساسة ومقدمي الخدمات السحابية وحافظي البيانات والجهات التي تعتمد العمل عن بعد مراجعة المجموعة ذات الصلة. قد يعتمد الانطباق على نوع الجهة أو تصنيف النظام أو دور الخدمة أو توجيه تعاقدي أو تنظيمي.
ابدأ بمسؤولي الشؤون القانونية والتنظيمية وملاك الأنظمة والمشتريات وقيادة الأمن. حدد حدود المؤسسة والخدمات والاستضافة وتصنيف البيانات والتقنية التشغيلية والأطراف الثالثة. إذا كان النطاق غير واضح، وثّق السؤال واطلب تفسيراً من الجهة المختصة بدلاً من افتراض أن قائمة عامة أو إفادة مورد تحسمه.
03
خطوات التقييم والتنفيذ
أولاً، اتفق على النطاق والنسخ ذات الصلة من ECC وCCC وDCC وTCC وOTCC وCSCC. أنشئ مصفوفة انطباق تسجل سبب إدراج كل مجموعة أو استبعادها والكيانات والخدمات والاعتماديات المشمولة. وقارنها بسجلات الأصول وتصنيف البيانات وبنية السحابة والوصول عن بعد والأنظمة الحساسة.
ثم اطلب السياسات والإجراءات وتقييمات المخاطر والبنية والإعدادات والعقود والسجلات والتدريب والحوادث والاستمرارية. قابل أصحاب الضوابط واختر عينات تناسب المخاطر. اختبر التصميم والتنفيذ والتشغيل، وسجل مراجع الأدلة وحدود العينة والقيود. لا تصنف الضابط ممتثلاً لمجرد وجود سياسة أو شهادة لدى المورد.
تحقق من النتائج مع الملاك، وقدّر المخاطر وفق معايير متفق عليها، واجمع الفجوات المترابطة. ينبغي أن تفرق خارطة المعالجة بين خفض المخاطر العاجل والعمل الهندسي الأطول، وتحدد المتطلبات السابقة والمسؤولين وأدلة الإغلاق. وإذا امتدت الضوابط إلى خدمة خارجية، فسجل مسؤولية الجهة عن المتابعة والأدلة وتقاسم المسؤوليات.
في دعم التنفيذ، حوّل المتطلبات إلى إجراءات عملية وتصاميم تقنية ومهام تشغيلية قابلة للقياس. اختبر التغييرات في بيئة مناسبة، وخذ الموافقات ودرّب المستخدمين واحتفظ بسجلات التغيير. أعد اختبار الضوابط المهمة بعد التنفيذ. وتبقى الإدارة مسؤولة عن قبول المخاطر والتقارير التنظيمية.
04
ما الذي ستحصل عليه؟
يُتفق على النطاق والنسخة مسبقاً، وقد تشمل المخرجات:
- مصفوفة انطباق تغطي ECC وCCC وDCC وTCC وOTCC وCSCC بحسب الحاجة.
- تقييماً موثقاً بالأدلة للفجوات وملاحظات النضج وسجل النتائج حسب المخاطر.
- خارطة معالجة عملية بأصحاب مسؤولية واعتماديات وأدلة إغلاق.
- تقريراً تنفيذياً وفنياً، مع ورش عمل ودعم تنفيذ اختياري.
05
المدة التقديرية
قد تستغرق مراجعة الضوابط المحدودة أسابيع، بينما قد تحتاج النطاقات متعددة المواقع أو السحابية أو التشغيلية والحساسة مدة أطول. يتأثر الجهد بعدد المجموعات والأصول والعينات والأطراف الخارجية وإمكانية الوصول وجودة الأدلة والموافقات. تُراجع المدة بعد الاكتشاف؛ ولا تضمن قبول الجهة المنظمة أو فاعلية الضوابط.
خطط مبكراً للمقابلات وجمع الأدلة، خصوصاً مع الفرق التشغيلية أو نوافذ التغيير المحدودة. في بيئات التقنية التشغيلية، نسق مع الملاك وتجنب الاختبارات المؤثرة دون موافقة صريحة. اتفق على نقاط تقارير مرحلية لتصعيد المخاطر الناشئة قبل التقرير النهائي.
06
مصادر الهيئة الرسمية
تنشر الهيئة الوطنية الوثائق والضوابط عبر https://nca.gov.sa/en/regulatory-documents/controls-list/ . راجع الصفحات الرسمية الحالية لـ ECC وCCC وDCC وTCC وOTCC وCSCC بما فيها نطاق التطبيق وتاريخ النسخة.
إجابات عملية
الأسئلة الشائعة
هل تنطبق مجموعات NCA الست على كل جهة؟
لا. يختلف الانطباق باختلاف الجهة والنظام والخدمة والنطاق الوارد في الوثيقة الرسمية أو التوجيه. قد تنطبق عدة مجموعات على جهة واحدة، وقد لا ينطبق بعضها على جهات أخرى. وثّق أساس القرار واستشر الجهة أو المختصين القانونيين والتنظيميين عند عدم الوضوح.
ما الفرق بين CCC وECC؟
تخص CCC ضوابط الأمن السيبراني للحوسبة السحابية، بينما تمثل ECC الضوابط الأساسية للأمن السيبراني. لكل منهما سياق انطباق ومتطلبات رسمية مستقلة. لا يعني استخدام السحابة الاستغناء تلقائياً عن الالتزامات الأساسية؛ بل يجب تحديد المسؤوليات المشتركة بين الجهة ومقدم الخدمة وتوثيق الأدلة المرتبطة بكل متطلب.
هل تقييم الضوابط هو اختبار اختراق؟
لا. يراجع تقييم الضوابط الحوكمة والأدلة والتنفيذ مقابل المتطلبات المتفق عليها. وقد يضاف تحقق تقني إذا أُدرج صراحة في النطاق وبموافقة آمنة. لا يثبت اختبار الاختراق وحده فاعلية السياسات والرقابة والتشغيل، كما أن مراجعة الضوابط لا تختبر تلقائياً قابلية الاستغلال.
هل يمكن تقييم OTCC وCSCC معاً؟
يمكن أن يشملهما مشروع واحد عندما يكون النطاق والخبرة مناسبين، لكن لكل مجموعة تحديد انطباق وربط أدلة مستقل. نسّق مع ملاك التشغيل واحترم قيود السلامة والتوافر، ولا تنفذ تحققاً مؤثراً دون موافقة مكتوبة. يمكن مشاركة بعض الأدلة مع الحفاظ على اختلاف المتطلبات والاستنتاجات.
كم مرة ينبغي إعادة التقييم؟
تحدد الوتيرة وفق التوجيه التنظيمي والسياسة الداخلية للمخاطر والتغيرات الجوهرية. قد تستدعي الأنظمة الجديدة أو الاستحواذ أو الحوادث أو تعديل الضوابط أو تغيير المورد مراجعة مبكرة. تساعد الدورة الدورية، لكنها لا تغني عن إعادة التقييم عند وقوع تغيير أو المراقبة المستمرة.