التقنيات والشركاء
تقنيات ننفّذها ضمن هذه الخدمة
01
ما متطلبات المرونة السيبرانية الأساسية؟
تقدم متطلبات البنك المركزي السعودي الأساسية للمرونة السيبرانية (CRFR) مجموعة تأسيسية من التوقعات الموجهة للجهات في مراحلها المبكرة ضمن النطاق المنطبق. وتركز على بناء قدرة أساسية للاستعداد للاضطراب السيبراني ومقاومته والاستجابة له والتعافي منه. لا تعني كلمة «أساسية» أنها اختيارية أو أنها تنطبق على الجميع؛ بل يجب التحقق من النطاق الرسمي والتوجيه الرقابي الحالي.
تربط المرونة السيبرانية ضوابط الأمن باستمرارية الخدمات المهمة. فالوقاية مهمة لكنها لا تزيل كل المخاطر. تحتاج الجهة إلى فهم الخدمات الحيوية والاعتماديات وحدود تحمل الانقطاع ومسارات القرار، ثم إعداد الأشخاص والتقنية للمحافظة على العمليات ذات الأولوية أو استعادتها. لذلك ينبغي أن تكون إدارة استمرارية الأعمال (BCM) جزءاً من المرونة إلى جانب الاستجابة والتعافي التقني.
قد تشمل القدرات التأسيسية مسؤولية واضحة وصورة للمخاطر والأصول والاعتماديات وحماية أساسية وتنسيق الحوادث والتعافي والتمارين والدروس المستفادة. ويجب أخذ نص CRFR ومتطلباته الدقيقة من منشور SAMA الرسمي الحالي. تساعد الاستشارة على تنظيم الأدلة والتحسينات، لكنها لا تمنح موافقة أو شهادة.
02
من الذي ينبغي أن يراجع CRFR؟
على الجهة التحقق من انطباق وصف المرحلة المبكرة والنطاق الرسمي للمتطلبات عليها. وقد يرتبط الانطباق بالصفة الإشرافية أو النشاط أو توجيه محدد. لا تفترض أن كل شركة تقنية جديدة أو تقنية مالية أو جهة خاضعة لـ SAMA مشمولة بالطريقة نفسها. وثّق قرار الانطباق مع مسؤولي القانون والالتزام وراجع المصدر الحالي.
حتى إن لم تنطبق CRFR مباشرة، يمكن أن تساعد موضوعات المرونة جهة ناشئة على تأسيس ممارسات مناسبة. ويمكن للجهات الأكثر نضجاً استخدام المتطلبات الأساسية كخط بداية، لا بديلاً عن الالتزامات الأوسع. ينبغي إشراك الأعمال والتقنية والأمن والمخاطر والاستمرارية وملاك الموردين لأن الاضطراب يتجاوز حدود الإدارات.
03
كيف نبني أسس المرونة؟
ابدأ بسياق الخدمات: حدد الخدمات المهمة للعملاء والمنشأة والأنظمة والبيانات والأشخاص والمرافق والأطراف الثالثة التي تدعمها. وثّق الاعتماديات والمسؤولين، بما فيها الخدمات السحابية والمشتركة، واتفق على طريقة تقدير الأهمية. يدعم هذا السجل ترتيب مخاطر الأمن والتخطيط لاستمرارية الأعمال.
راجع الحوكمة والمخاطر. عيّن راعياً مسؤولاً ومسار تصعيد وصلاحيات القرار أثناء الحوادث والتعافي. احتفظ بسجل مخاطر موجز يربط التهديدات ونقاط الضعف بالخدمات. حدد تدابير حماية عملية للهوية والوصول والإعدادات والأجهزة والبيانات بما يتناسب مع الأنظمة والمتطلبات الحالية.
اربط الاستجابة للحوادث بإدارة استمرارية الأعمال والتعافي من الكوارث. وضح من يعلن الحادث ومن يتواصل مع أصحاب المصلحة وكيف تستمر الخدمات ذات الأولوية وما تسلسل الاستعادة المعتمد. ينبغي أن تتناول الخطط البدائل اليدوية الممكنة ومسؤوليات النسخ الاحتياطي واعتماديات الاستعادة والتحقق من الأنظمة المستعادة. تحدد الجهة أهداف التعافي عبر تحليل أثر الأعمال، لا بتقديرات عامة يفرضها مقيم خارجي.
اختبر الخطط بتمارين واقعية، مثل تعطل مورد أو برمجية فدية أو فقدان منصة مهمة حيث ينطبق. سجّل القرارات والاتصالات والتوقيت والعوائق. حسّن الخطط بعد التمارين والحوادث وتأكد من صلاحية قوائم الاتصال والنسخ الاحتياطية والوصول. ينبغي أن تدعم العقود وأدلة الموردين الاستمرارية، لا أن تحل محل قرارات الجهة.
04
المخرجات والمدة التقديرية
قد تتضمن مراجعة الأساس وثيقة انطباق وخريطة للخدمات والاعتماديات وقائمة أدلة CRFR وتقييم فجوات المرونة واستمرارية الأعمال وملاحظات خطط الحوادث والتعافي وخطة تمارين وخارطة إجراءات مرتبة. ويمكن الاتفاق على ورش وتمارين استمرارية وإعادة اختبار. حدد طريقة حفظ المعلومات التشغيلية الحساسة في قنوات معتمدة.
قد يستغرق التشخيص المحدود عدة أسابيع، بينما يطول العمل عند حصر الخدمات والتنسيق مع الموردين وتنفيذ التمارين. يعتمد الوقت على تعقيد الخدمات وجودة الأدلة وتوفر أصحاب المصلحة والحاجة إلى اختبار الخطط. التقدير مرتبط بالنطاق ولا يضمن المرونة أو القبول التنظيمي.
05
المصدر الرسمي
راجع كتاب قواعد SAMA والمنشور الرسمي الحالي لمتطلبات CRFR للتحقق من النص والحالة والنطاق: https://rulebook.sama.gov.sa/en/ . لا تستنتج الانطباق من عبارة «مرحلة مبكرة» وحدها؛ بل احصل على تحديد يخص الكيان.
إجابات عملية
الأسئلة الشائعة
ما المقصود بـ CRFR؟
تعني CRFR المتطلبات الأساسية للمرونة السيبرانية. وهي مختلفة عن اختصارات متطلبات مكافحة الاحتيال المتشابهة، لذا استخدم الاسم الكامل في سجلات الحوكمة. راجع كتاب قواعد SAMA الحالي للتحقق من المسمى والحالة والنطاق والنص الرسمي قبل استخدامها كمعايير للتقييم، وحدد النسخة التي بُني عليها العمل.
هل تنطبق المتطلبات على كل جهة خاضعة لـ SAMA؟
لا تفترض انطباقها على الجميع. تستهدف المتطلبات الجهات في مراحلها المبكرة ضمن النطاق الرسمي الذي تحدده SAMA. تحقق من انطباق ذلك على الكيان ونشاطه وأي توجيه إشرافي. وقد يكون تقييم المرونة التأسيسي مفيداً طوعاً، لكنه لا يجعل المتطلبات منطبقة رسمياً.
لماذا تشمل الأعمال استمرارية الأعمال؟
قد تعطل الحوادث السيبرانية الخدمات حتى مع وجود ضوابط أمنية. تساعد إدارة استمرارية الأعمال على تحديد الخدمات ذات الأولوية والاعتماديات وقرارات الاستجابة والتعافي. وينبغي ربطها باستجابة الحوادث والتعافي التقني. يحدد أصحاب الأعمال الأولويات وأهداف التعافي عبر تحليلهم، لا عبر أرقام عامة مفترضة.
هل تثبت النسخة الاحتياطية نجاح الاستعادة؟
لا. النسخ الاحتياطي اعتماد واحد ضمن عملية الاستعادة. يجب اختبار الاسترجاع وحماية الوصول والتحقق من سلامة البيانات وفهم الترتيب. يعتمد التعافي أيضاً على الأشخاص والاعتمادات والمنصات والموردين والتحقق التجاري. توثق التمارين العوائق العملية وتؤدي إلى تحسينات، ولا تكتفي بتقرير حالة النسخ.
هل تستطيع جدر إصدار شهادة امتثال لـ CRFR؟
لا. تقدم جدر دعماً استشارياً وتنفيذياً محدد النطاق، لكنها لا تصدر موافقة أو شهادة من SAMA ولا تضمن نتيجة تنظيمية. تظل الجهة مسؤولة عن تحديد الانطباق وتشغيل الضوابط وقبول المخاطر وتقديم أي تقارير أو إفادات رسمية عبر مسؤوليها المخولين. راجع التفسير الرسمي عند وجود غموض.