الالتزام بالأمن السيبراني في المملكة العربية السعودية

ما أطر الأمن السيبراني المطبقة في المملكة العربية السعودية؟

البداية من الهيئة الوطنية للأمن السيبراني. الضوابط الأساسية للأمن السيبراني هي خط الأساس للجهات الحكومية والشركات المملوكة للدولة ومشغلي البنى التحتية الحساسة. حل الإصدار ECC-2:2024 محل إصدار 2018، ويتكون من 4 مكونات رئيسية و28 مكوناً فرعياً و108 ضوابط أساسية و92 ضابطاً فرعياً. ونُقل مكون أنظمة التحكم الصناعي إلى ضوابط الأنظمة التشغيلية، لذلك فإن الصفحات التي ما زالت تصف خمسة مكونات تصف الإصدار الملغى.

وفوق الضوابط الأساسية تضيف الهيئة ضوابط متخصصة للحوسبة السحابية والبيانات والأنظمة الحساسة والأنظمة التشغيلية. ثم تضيف الجهات القطاعية متطلباتها: البنك المركزي السعودي للبنوك والمدفوعات، وهيئة الاتصالات والفضاء والتقنية لمقدمي خدمات الاتصالات وتقنية المعلومات، وهيئة السوق المالية لمؤسسات السوق المالية.

هل أصبحت ضوابط الهيئة تنطبق على الشركات الخاصة؟

نعم، وبشكل متزايد. توسع ضوابط NCNICC-1:2025 نطاق ضوابط الهيئة الإلزامية ليشمل جهات القطاع الخاص غير المصنفة بنية تحتية حساسة، بعد أن تبلغها الهيئة. على الفئة (أ)، أي أكثر من 250 موظفاً أو إيرادات تتجاوز 200 مليون ريال، 65 ضابطاً إلزامياً. وعلى الفئة (ب)، من 6 إلى 249 موظفاً أو إيرادات من 3 إلى 200 مليون ريال، 26 ضابطاً. وتُستثنى المنشآت متناهية الصغر والجهات الحكومية ومشغلو البنى التحتية الحساسة لأنهم مشمولون بأطر أخرى.

تُنشر ضوابط NCNICC حالياً باللغة العربية فقط. وتعرضها GRCLens بالعربية والإنجليزية جنباً إلى جنب، وهذا مهم حين يكون النص الملزم عربياً ويعمل فريق الأمن بالإنجليزية.

ما علاقة نظام حماية البيانات الشخصية بضوابط الهيئة؟

علاقة مباشرة. تلزم المادة 23 من اللائحة التنفيذية للنظام جهات التحكم بالالتزام بضوابط الهيئة الوطنية للأمن السيبراني عند حماية البيانات الشخصية، وتحدد المادة 24 مهلة 72 ساعة للإبلاغ عن التسرب. لذلك فإن برنامج حماية البيانات في المملكة هو جزئياً برنامج للأمن السيبراني، ويمكن للأدلة المجمعة للضوابط الأساسية أو لضوابط NCNICC أن تدعم متطلبات النظام في الوقت نفسه.

كيف تتحقق الهيئة من الالتزام؟

تقيّم الهيئة من خلال التقييم الذاتي وتقارير أدواتها والزيارات الميدانية. وتنفذ الجهات التقييم الذاتي عبر منصة حصين، البوابة الوطنية لخدمات الأمن السيبراني. وتدير سدايا منصة منفصلة لحوكمة البيانات للتقييم الذاتي ضمن نظام حماية البيانات وتقييم الأثر والإبلاغ عن التسرب.

هذه المنصات هي مكان تقديم النتائج. أما GRCLens فهي المكان الذي يتم فيه العمل الذي يسبقها: ملكية الضوابط والأدلة ومتابعة المعالجة وسجل التدقيق، بحيث تستند كل نتيجة تقدمها إلى سجلات يمكنك إبرازها عند الطلب.

هل النص العربي أم الإنجليزي هو الملزم؟

النص العربي. تنشر الهيئة الضوابط الأساسية باللغتين، وتنص النسخة الإنجليزية على أن النص العربي هو المعتمد. وبعض الوثائق الأحدث، ومنها NCNICC، متاحة بالعربية فقط. وتعمل واجهة GRCLens ومكتبة الضوابط والسجلات والتقارير بالعربية والإنجليزية، بما في ذلك الاتجاه من اليمين إلى اليسار.

كيف تدير GRCLens الأطر السعودية معاً

تعمل جميع الأطر أعلاه على نموذج ضوابط مشترك واحد، فيحمل الضابط الواحد، مثل إدارة الصلاحيات المميزة، الأدلة للضوابط الأساسية وNCNICC وإطار ساما ونظام حماية البيانات معاً بدلاً من اختباره أربع مرات. ويمكن تشغيل GRCLens كخدمة سحابية أو في سحابة خاصة أو داخل منشآتك بالكامل داخل المملكة، بما في ذلك البيئات المعزولة، مع تشغيل ميزات الذكاء الاصطناعي على نموذج مستضاف داخل بنيتك التحتية.

البوابات والمنشورات الرسمية

• حصين، البوابة الوطنية لخدمات الأمن السيبراني
• منصة حوكمة البيانات، سدايا