🔐 المسرد السيبراني

خوارزمية تشفير متماثلة أنشأها المعهد الوطني الأمريكي للمعايير والتقنية عام 2001، وتم اعتمادها على نطاق واسع كمعيار عالمي لتشفير البيانات الحساسة. يدعم AES أحجام مفاتيح 128 و192 و256 بت وهو مطلوب من قبل إطار الأمن السيبراني لمؤسسة النقد العربي السعودي لحماية البيانات المالية ومن الضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني لتأمين المعلومات الحكومية المصنفة.

عملية إزالة المعلومات الشخصية من البيانات بحيث لا يمكن تحديد هوية الأفراد.

طريقة مصادقة تستخدم الخصائص البيولوجية الفريدة مثل بصمات الأصابع أو التعرف على الوجه أو أنماط القزحية.

نقطة تطبيق سياسة أمنية موضوعة بين مستهلكي الخدمات السحابية ومزودي الخدمات السحابية للجمع بين سياسات أمن المؤسسة وإدراجها عند الوصول إلى الموارد السحابية. توفر وسطاء أمن الوصول السحابي رؤية شاملة لاستخدام التطبيقات السحابية وأمن البيانات والحماية من التهديدات ومراقبة الامتثال عبر بيئات البرمجيات كخدمة والمنصات كخدمة والبنية التحتية كخدمة. وتطبق سياسات أمنية مثل المصادقة والتفويض وتعيين بيانات الاعتماد والتشفير والترميز والتسجيل والتنبيه واكتشاف البرمجيات الخبيثة.

حل أمني آلي يراقب بشكل مستمر تكوينات البنية التحتية السحابية عبر البيئات متعددة السحابات والهجينة لتحديد الأخطاء في التكوين وانتهاكات الامتثال والمخاطر الأمنية. تقيّم أدوات إدارة الوضع الأمني السحابي الموارد السحابية مقابل أفضل الممارسات الأمنية والأطر التنظيمية، وتكتشف الانحرافات عن خطوط الأساس الأمنية، وتوفر إرشادات المعالجة، وتنشئ تقارير الامتثال. وتعالج تحديات الأمن السحابي الشائعة بما في ذلك حاويات التخزين المكشوفة وضوابط الوصول المفرطة في الأذونات ومخازن البيانات غير المشفرة وتكوينات الموارد غير المتوافقة.

إشارة حرة ومحددة ومستنيرة وصريحة بموافقة صاحب البيانات على معالجة بياناته الشخصية.

عملية الحصول على إذن صريح من أصحاب البيانات وتسجيله وإدارته قبل جمع معلوماتهم الشخصية أو معالجتها أو مشاركتها، بما في ذلك آليات السحب ومسارات التدقيق كما تتطلب لوائح الخصوصية.

آلية أمنية للثقة المعدومة تتحقق باستمرار من هوية المستخدم وموثوقية الجهاز طوال الجلسة، بدلاً من التحقق فقط عند تسجيل الدخول الأولي. تراقب الأنماط السلوكية ووضع الجهاز والموقع والعوامل السياقية في الوقت الفعلي لاكتشاف الحالات الشاذة وتعديل امتيازات الوصول ديناميكياً أو إنهاء الجلسات عند تغير مستويات المخاطر.

مبدأ انعدام الثقة الذي يتطلب التحقق المستمر من هوية المستخدم وامتيازات الوصول طوال الجلسة، بدلاً من التحقق فقط عند تسجيل الدخول الأولي. يقيم باستمرار إشارات المخاطر مثل سلوك المستخدم ووضع الجهاز والموقع وحساسية البيانات لتعديل أذونات الوصول ديناميكياً في الوقت الفعلي.

نقل البيانات الشخصية من دولة إلى أخرى، وهو خاضع لقيود قانونية ومتطلبات الكفاية.

الأدوات القانونية والضمانات المطلوبة بموجب المادة 36 من نظام حماية البيانات الشخصية لنقل البيانات الشخصية خارج المملكة العربية السعودية، بما في ذلك قرارات الكفاية والبنود التعاقدية القياسية والقواعد المؤسسية الملزمة أو الموافقة الصريحة، لضمان أن البيانات المنقولة دوليًا تحافظ على معايير حماية مكافئة كما هو مطلوب داخل المملكة.

المجال الأول من إطار ساما للأمن السيبراني الذي يحدد متطلبات القيادة التنظيمية والمساءلة والإشراف الاستراتيجي على برامج الأمن السيبراني داخل المؤسسات المالية. يفرض هذا المجال الإشراف على الأمن السيبراني على مستوى مجلس الإدارة، وتعيين مسؤولي أمن معلومات رئيسيين مؤهلين مع خطوط إبلاغ مباشرة للإدارة العليا، وتطوير استراتيجيات شاملة للأمن السيبراني متوافقة مع أهداف العمل، وإنشاء أطر إدارة المخاطر، وتخصيص الموارد الكافية. يؤكد على دمج الأمن السيبراني في إدارة مخاطر المؤسسة ويتطلب تقديم تقارير منتظمة إلى ساما حول وضع الأمن السيبراني للمؤسسة.

متطلب إلزامي بموجب إطار الأمن السيبراني للبنك المركزي يُلزم المؤسسات المالية بالإبلاغ عن حوادث الأمن السيبراني الجوهرية إلى البنك المركزي ضمن أطر زمنية محددة. يجب على المؤسسات إخطار البنك المركزي بالحوادث المهمة التي تؤثر على سرية أو سلامة أو توافر الأنظمة المالية أو بيانات العملاء، عادةً خلال 72 ساعة من اكتشاف الحوادث الحرجة. يجب أن يتضمن الإبلاغ تصنيف الحادث وتقييم الأثر والأنظمة المتأثرة وتأثير العملاء وإجراءات الاحتواء وخطط المعالجة. يضمن هذا الالتزام الرقابة التنظيمية ويتيح تبادل معلومات التهديدات على مستوى القطاع ويدعم الاستجابة المنسقة للتهديدات السيبرانية النظامية التي تؤثر على استقرار القطاع المالي السعودي.

الجهة التي تحدد أغراض ووسائل معالجة البيانات الشخصية.

نهج قائم على السياسات لإدارة تدفق البيانات خلال دورة حياتها من الإنشاء والتخزين إلى الحذف.

مبدأ خصوصية يتطلب من المؤسسات جمع ومعالجة الحد الأدنى فقط من البيانات الشخصية اللازمة لتحقيق أغراض محددة ومشروعة، مما يقلل من مخاطر الخصوصية والتزامات الامتثال.

حق أصحاب البيانات في الحصول على بياناتهم الشخصية بتنسيق منظم وشائع الاستخدام وقابل للقراءة آلياً.

حق الأفراد في التحكم في كيفية جمع معلوماتهم الشخصية واستخدامها وتخزينها ومشاركتها من قبل المؤسسات، مع ضمان امتثال ممارسات معالجة البيانات للمتطلبات القانونية والتنظيمية مع حماية حقوق الخصوصية الفردية.

عملية منهجية لتحديد وتقليل مخاطر الخصوصية المرتبطة بمعالجة البيانات الشخصية، خاصة عند تطبيق تقنيات أو أنظمة جديدة. يقيم هذا التقييم التأثيرات المحتملة على حقوق خصوصية الأفراد ويحدد الضمانات وتدابير التخفيف المناسبة.

جهة تعالج البيانات الشخصية نيابة عن المتحكم بالبيانات.

عملية لتحديد وتقليل مخاطر حماية البيانات لمشروع أو نظام.

شخص معين مسؤول عن الإشراف على استراتيجية حماية البيانات والامتثال داخل المؤسسة.

مفهوم أن البيانات تخضع لقوانين وهياكل الحوكمة داخل الدولة التي تم جمعها أو معالجتها فيها.

العمليات المنهجية والقدرات التقنية المطلوبة لتكريم الحقوق الفردية الممنوحة بموجب نظام حماية البيانات الشخصية، بما في ذلك الحق في الوصول إلى البيانات الشخصية، وتصحيح المعلومات غير الدقيقة، ومحو البيانات في ظروف محددة، وتقييد المعالجة، والاعتراض على أنشطة معالجة معينة، ونقل البيانات. يجب على المؤسسات وضع إجراءات موثقة للتحقق من هوية صاحب البيانات، والرد على الطلبات ضمن الأطر الزمنية المحددة قانونياً (عادة 30 يوماً بموجب النظام)، والاحتفاظ بسجلات تدقيق لجميع طلبات الحقوق والردود عليها، وتوفير آليات واضحة للأفراد لممارسة حقوقهم دون عبء غير مبرر. يشمل ذلك نماذج طلبات وقنوات اتصال باللغة العربية يمكن للمقيمين السعوديين الوصول إليها.

الممارسة المشتركة لجمع وحفظ وتحليل وتقديم الأدلة الرقمية من الحوادث السيبرانية مع احتواء التهديد ومعالجته في الوقت نفسه. يضمن سلامة الأدلة للإجراءات القانونية المحتملة مع تمكين التعافي السريع وتوثيق الدروس المستفادة.

منشأة ثانوية مادية أو سحابية مجهزة بالبنية التحتية والأنظمة والنسخ الاحتياطية للبيانات الضرورية التي تمكن المؤسسة من استئناف عمليات تقنية المعلومات الحرجة ووظائف الأعمال بعد اضطراب كبير أو هجوم سيبراني أو كارثة في الموقع الرئيسي.

استراتيجية وتقنية أمنية تراقب وتكتشف وتمنع نقل المعلومات الحساسة عبر البريد الإلكتروني بما يخالف سياسات المؤسسة أو المتطلبات التنظيمية. يساعد منع فقدان البيانات عبر البريد الإلكتروني في منع خروقات البيانات العرضية أو المتعمدة من خلال فرض فحص المحتوى والضوابط القائمة على السياسات.

إطار حوكمة يحدد المتطلبات والإجراءات لتشفير اتصالات البريد الإلكتروني لحماية المعلومات الحساسة أثناء النقل وفي حالة السكون. تحدد هذه السياسة معايير طرق التشفير وإدارة المفاتيح والامتثال للوائح حماية البيانات مثل نظام حماية البيانات الشخصية.

وثيقة حوكمة تحدد المدة التي يجب الاحتفاظ فيها برسائل البريد الإلكتروني وأرشفتها وحذفها في النهاية بناءً على المتطلبات التنظيمية والالتزامات القانونية واحتياجات العمل. تضمن هذه السياسة الامتثال لقوانين حماية البيانات مع إدارة موارد التخزين بفعالية.

عملية تحويل البيانات النصية الواضحة إلى نص مشفر باستخدام خوارزميات ومفاتيح تشفير لحماية السرية ومنع الوصول غير المصرح به إلى المعلومات الحساسة أثناء التخزين أو النقل.

إدارة المفاتيح التشفيرية طوال دورة حياتها، بما في ذلك التوليد والتوزيع والتخزين والتدوير والنسخ الاحتياطي والإتلاف، مع ضمان ممارسات آمنة للتعامل مع المفاتيح للحفاظ على فعالية أنظمة التشفير.

طريقة أمنية يتم فيها تشفير البيانات على جهاز المرسل ولا يتم فك تشفيرها إلا على جهاز المستقبل، مما يضمن عدم تمكن أي أطراف وسيطة، بما في ذلك مزودي الخدمة، من الوصول إلى المحتوى النصي الواضح أثناء النقل.

طريقة أمان اتصالات يتم فيها تشفير البيانات على جهاز المرسل ولا يتم فك تشفيرها إلا على جهاز المستقبل، مما يمنع الوسطاء بما في ذلك مزودي الخدمة من الوصول إلى المحتوى النصي الواضح. يتوافق هذا النهج مع متطلبات المادة 18 من نظام حماية البيانات الشخصية لحماية البيانات الشخصية أثناء النقل وضوابط الهيئة الوطنية للأمن السيبراني للاتصالات الآمنة في قطاعات البنية التحتية الحيوية الداعمة للتحول الرقمي في رؤية 2030.

إطار شامل للأمن السيبراني تفرضه الهيئة الوطنية للأمن السيبراني في المملكة العربية السعودية، يحدد الضوابط الأمنية الأساسية للمؤسسات في القطاعات الحيوية. يتألف إطار الضوابط الأساسية من 114 ضابطاً منظمة في 5 مجالات و23 فئة، مصممة لحماية أنظمة المعلومات والشبكات والبيانات من التهديدات السيبرانية. الامتثال إلزامي للجهات العاملة في قطاعات البنية التحتية الحيوية وموصى به لجميع المؤسسات الداعمة لأهداف التحول الرقمي لرؤية السعودية 2030.

منهجية منظمة ومجموعة من الإجراءات للكشف عن الحوادث السيبرانية وتحليلها واحتوائها والقضاء عليها والتعافي منها لتقليل التأثير واستعادة العمليات الطبيعية. بموجب إطار عمل SAMA CSF وإطار الضوابط الأساسية للأمن السيبراني NCA ECC، يجب على المؤسسات إنشاء قدرات موثقة للاستجابة للحوادث تشمل آليات الكشف وإجراءات التصعيد وبروتوكولات الاتصال والتحليل اللاحق للحوادث لتلبية المتطلبات التنظيمية للمرونة التشغيلية.

تقنية أمن شبكات تراقب حركة مرور الشبكة وأنشطة النظام بحثاً عن سلوك ضار أو انتهاكات للسياسات، ويمكنها اتخاذ إجراءات تلقائية لحظر أو منع التهديدات المكتشفة. يجمع IDPS بين قدرات كشف التسلل (IDS) التي تحدد التهديدات وتنبه عنها مع قدرات منع التسلل (IPS) التي تحظر الهجمات بشكل فعال في الوقت الفعلي باستخدام الكشف القائم على التوقيع، وكشف الشذوذ، والتحليل السلوكي.

آلية أمنية تتطلب من المستخدمين تقديم عاملين أو أكثر من عوامل التحقق للوصول إلى مورد أو تطبيق أو نظام. تجمع المصادقة متعددة العوامل بين شيء يعرفه المستخدم (كلمة المرور)، وشيء يمتلكه المستخدم (رمز أمان أو جهاز محمول)، و/أو شيء يمثل المستخدم (التحقق البيومتري) لتقليل خطر الوصول غير المصرح به بشكل كبير.

أي عملية أو مجموعة عمليات تُجرى على البيانات الشخصية، بما في ذلك الجمع والتسجيل والتنظيم والهيكلة والتخزين والتكييف والاسترجاع والاستشارة والاستخدام والإفصاح والنقل والمحو أو الإتلاف، سواء كانت آلية أو يدوية.

عملية منهجية لتحديد وتقييم مخاطر الخصوصية المحتملة المرتبطة بأنشطة معالجة البيانات، خاصة عند تطبيق تقنيات أو أنظمة أو عمليات جديدة تتعامل مع البيانات الشخصية. بموجب متطلبات نظام حماية البيانات الشخصية والإطار السيبراني للبنك المركزي السعودي، يجب على المؤسسات إجراء تقييمات أثر الخصوصية قبل معالجة البيانات الشخصية عالية المخاطر لضمان الامتثال وتطبيق الضمانات المناسبة.

معالجة البيانات الشخصية بحيث لا يمكن نسبها لصاحب بيانات محدد دون استخدام معلومات إضافية.

الحد الأقصى المقبول لفقدان البيانات مقاساً بالوقت قبل حدوث اضطراب يمكن للمؤسسة تحمله. تحدد نقطة هدف الاستعادة تكرار النسخ الاحتياطي للبيانات وتعرّف مقدار البيانات التي يمكن فقدانها دون التسبب في ضرر كبير لعمليات الأعمال أو الامتثال التنظيمي.

الحد الأقصى المقبول من الوقت الذي يمكن أن تتوقف فيه عملية تجارية أو تطبيق أو نظام بعد كارثة أو اضطراب قبل أن تواجه المؤسسة عواقب غير مقبولة، ويستخدم لتحديد أولويات جهود التعافي وتخصيص الموارد.

حق الأفراد في محو بياناتهم الشخصية عندما لا تعود ضرورية للغرض الذي جُمعت من أجله.

حق صاحب البيانات بموجب PDPL في طلب حذف بياناته الشخصية التي تحتفظ بها مؤسسة في ظروف محددة، بما في ذلك سحب الموافقة.

إطار تنظيمي شامل صادر عن البنك المركزي السعودي يحدد الضوابط والمتطلبات الإلزامية للأمن السيبراني لجميع المؤسسات المالية العاملة في المملكة العربية السعودية. يتناول الإطار الحوكمة وإدارة المخاطر والضوابط التقنية والاستجابة للحوادث وإدارة مخاطر الأطراف الثالثة، بما يتماشى مع المعايير الدولية مع مراعاة البيئة التنظيمية السعودية وأهداف التحول الرقمي لرؤية 2030.

حدث أو سلسلة من الأحداث التي تشير إلى خرق محتمل أو فعلي لسياسات أمن المعلومات، أو وصول غير مصرح به إلى الأنظمة أو البيانات، أو تعطيل الخدمات، أو أي حدث يهدد سرية أو سلامة أو توفر أصول المعلومات.

حل أمني شامل يوفر تحليلاً فورياً للتنبيهات والأحداث الأمنية الناتجة عن أجهزة الشبكة والتطبيقات. يجمع ويدمج ويربط ويحلل بيانات السجلات لاكتشاف التهديدات ودعم تقارير الامتثال وتمكين الاستجابة السريعة للحوادث.

وحدة مركزية تتعامل مع القضايا الأمنية على المستوى التنظيمي والتقني، وهي مسؤولة عن المراقبة المستمرة والكشف والتحليل والاستجابة لحوادث الأمن السيبراني باستخدام مجموعة من الحلول التقنية والخبرات البشرية.

المجال الرابع من إطار ساما للأمن السيبراني الذي يحدد متطلبات شاملة لإدارة مخاطر الأمن السيبراني المرتبطة بمزودي الخدمات من الأطراف الثالثة والموردين وشركاء الأعمال للمؤسسات المالية. يفرض هذا المجال تقييمات العناية الواجبة قبل التعاقد، والالتزامات التعاقدية للأمن السيبراني بما في ذلك بنود حماية البيانات والإخطار بالحوادث، والمراقبة المستمرة لوضع أمن الأطراف الثالثة، وأحكام الحق في التدقيق، ومتطلبات الإشراف على الأطراف الرابعة (المقاولين من الباطن). يتناول على وجه التحديد مزودي الخدمات السحابية، وشراكات التكنولوجيا المالية، ومعالجي المدفوعات، وخدمات تكنولوجيا المعلومات المُسندة، مع مطالبة بالتوافق مع متطلبات حماية البيانات في نظام حماية البيانات الشخصية وضمان احتفاظ الأطراف الثالثة بضوابط أمنية معادلة لمعايير المؤسسة المالية نفسها.

إطار عمل للأمن السيبراني يلغي الثقة الضمنية من خلال طلب التحقق المستمر من جميع المستخدمين والأجهزة وتدفقات الشبكة قبل منح الوصول إلى الموارد. تعمل الثقة المعدومة على مبدأ 'لا تثق أبداً، تحقق دائماً' وتفترض حدوث الاختراق كحالة افتراضية، مع تطبيق ضوابط الوصول بأقل الصلاحيات والتجزئة الدقيقة والمراقبة المستمرة بغض النظر عما إذا كانت الطلبات تأتي من داخل أو خارج محيط الشبكة.

إطار أمني يلغي الثقة الضمنية ويتطلب التحقق المستمر من كل مستخدم وجهاز يحاول الوصول إلى موارد الشبكة، بغض النظر عن موقعهم. يعمل الوصول الشبكي بدون ثقة على مبدأ 'عدم الثقة أبداً، التحقق دائماً' وينفذ ضوابط الوصول بأقل الصلاحيات مع التجزئة الدقيقة.

إطار أمني يلغي الثقة الضمنية ويتطلب التحقق المستمر من كل مستخدم وجهاز يحاول الوصول إلى موارد الشبكة، بغض النظر عن موقعهم داخل أو خارج محيط الشبكة. يعمل ZTNA على مبدأ 'عدم الثقة مطلقاً، التحقق دائماً' ويمنح وصولاً بأقل الصلاحيات بناءً على الهوية والسياق والامتثال للسياسات.