إطار الأمن السيبراني للبنك المركزي السعودي

01

ما إطار الأمن السيبراني لدى البنك المركزي السعودي؟

يضع إطار الأمن السيبراني لدى البنك المركزي السعودي (SAMA) توقعات الأمن السيبراني للجهات الواقعة ضمن نطاق إشرافه. ويوفر بنية مشتركة للحوكمة وإدارة المخاطر والعمليات الأمنية ومتابعة الأطراف الخارجية. الهدف هو دعم ممارسات متسقة، لا استبدال تقدير الجهة لمخاطرها أو التزاماتها القانونية والرقابية الأخرى.

يتكون الإطار من أربعة مجالات: القيادة والحوكمة، والمخاطر والالتزام، والعمليات والتقنية، والأمن السيبراني للأطراف الثالثة. تربط هذه المجالات مسؤولية الإدارة والسياسات بالضوابط التشغيلية التي تحمي المعلومات والأنظمة والخدمات. لذلك لا يكتفي التقييم المفيد بوجود سياسة؛ بل يتحقق من المسؤولية والتنفيذ والأدلة والمتابعة وفاعلية الضوابط في البيئة الفعلية.

يستخدم الإطار خمسة مستويات للنضج: المستوى الأول ابتدائي، والثاني قابل للتكرار لكنه يعتمد على الاجتهاد، والثالث محدد، والرابع مُدار وقابل للقياس، والخامس محسّن. ويمكن تسجيل المستوى صفر، أي غياب الممارسة، كخط أساس عند الحاجة، لكنه ليس ضمن المستويات الخمسة. يصف التقييم الممارسة المرصودة وفق نطاق ومعايير محددة، ولا يعد شهادة أو ضمان امتثال.

02

من الذي يحتاج إلى تقييم الإطار؟

ينبغي للبنوك وشركات التمويل ومقدمي خدمات الدفع والجهات المالية الأخرى التحقق أولاً من انطباق الإطار على الكيان القانوني وأنشطته. المرجع هو القواعد والتعاميم والتوجيهات الإشرافية الحالية وأي تحديد رسمي للنطاق، لا التفسيرات العامة. وفي المجموعات، من المهم تحليل مسؤوليات الشركة الأم والتابعة والخدمات المشتركة والمورّدين كلٌّ على حدة.

على شركات التأمين التحقق من التزاماتها الحالية لدى هيئة التأمين ومستشاريها القانونيين. لا تفترض أن كل شركة تأمين خاضعة لإشراف SAMA؛ فالجهة المنظمة والمتطلبات قد تختلف بحسب النشاط والترتيبات الحالية. ويمكن للموردين دعم تنفيذ الضوابط، لكن مسؤولية الالتزام تبقى على الجهة الخاضعة للتنظيم.

03

كيف ننفذ التقييم؟

نبدأ بورشة لتحديد الكيانات القانونية والخدمات والمواقع والأصول الحيوية والاعتماد على الأطراف الخارجية، ثم نتفق على نسخة الإطار والمراجع الإشرافية ذات الصلة. بعد ذلك نراجع السياسات وسجلات المخاطر ومحاضر الحوكمة وسجلات الحوادث والبنية التقنية والعقود وأعمال التحقق السابقة. وتوضح مقابلات المسؤولين وأصحاب الضوابط كيفية تطبيق الإجراءات فعلياً.

نربط الأدلة بكل متطلب منطبق، ونسجل حالة التنفيذ والفجوات والاعتماديات ونقاط القوة. نتفق مسبقاً على العينات والتحقق التقني بما يتناسب مع المخاطر؛ فالتقييم ليس تلقائياً اختبار اختراق أو تدقيقاً مستقلاً. نراجع الوقائع مع أصحابها، ونرتب النتائج حسب المخاطر، ثم نحوّلها إلى إجراءات معالجة متسلسلة تراعي الاعتماديات والموارد.

يعرض التقرير للإدارة الوقائع المرصودة وحدود الأدلة والتوصيات بوضوح. ويمكن استخدام خارطة الطريق لتحديد المسؤولين والتمويل ونقاط المتابعة، ثم إعادة قياس النضج أو اختبار ضوابط مختارة. تقدم جدر الدعم الاستشاري والتنفيذي، بينما تحتفظ الجهة بسلطة القرار والاعتماد وأي تواصل رسمي مع الجهة المنظمة.

04

المخرجات المعتادة

تُحدد الحزمة في نطاق العمل وتعتمد على إمكانية الوصول وجودة الأدلة. وقد تشمل:

• وثيقة للنطاق والانطباق وقائمة الأدلة ومصفوفة تقييم لكل متطلب.
• ملف نضج للمجالات الأربعة يوضح المبررات ومراجع الأدلة والحدود.
• سجل فجوات مرتب حسب المخاطر وخارطة معالجة تراعي المسؤوليات والاعتماديات.
• ملخصاً تنفيذياً وتقريراً فنياً مناسبين للمراجعة الداخلية.
• ورش عمل أو تصميم ضوابط أو تجهيز أدلة أو دعم تنفيذ، بنطاق مستقل.

05

المدة التقديرية والتخطيط

قد يستغرق التقييم المحدود عدة أسابيع، فيما قد تحتاج المراجعة متعددة الكيانات أو برنامج المعالجة إلى مدة أطول. يعتمد الوقت على عدد الكيانات والخدمات وتوفر أصحاب الضوابط وجودة الأدلة والموافقات وعمق العينات والتحقق التقني. المدة تقديرية وليست موعداً مضموناً أو ضماناً لنتيجة تنظيمية.

قبل البدء، اتفق على جدول الأدلة والمقابلات ومسؤول القرار ومسار التصعيد. إذا كان الدليل مفقوداً أو الضابط مطبقاً جزئياً، نسجل ذلك بوضوح ولا نعامل الإجراء المخطط له كأنه مكتمل. وتُراجع المدة إذا تغير النطاق أو الوصول، مع توثيق الافتراضات.

06

المصادر الرسمية

يرجى الرجوع إلى القواعد الرسمية للبنك المركزي السعودي والمراجع الإشرافية ذات الصلة لتحديد الانطباق والنص المعتمد: https://rulebook.sama.gov.sa/en/entiresection/3726 . قد تتغير النصوص التنظيمية؛ فتحقق من النسخة الحالية وأي توجيه خاص بالجهة.