🔐 المسرد السيبراني

وثيقة تحدد القواعد والإرشادات لاستخدام موارد تقنية المعلومات في المؤسسة.

خوارزمية تشفير متماثلة أنشأها المعهد الوطني الأمريكي للمعايير والتقنية عام 2001، وتم اعتمادها على نطاق واسع كمعيار عالمي لتشفير البيانات الحساسة. يدعم AES أحجام مفاتيح 128 و192 و256 بت وهو مطلوب من قبل إطار الأمن السيبراني لمؤسسة النقد العربي السعودي لحماية البيانات المالية ومن الضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني لتأمين المعلومات الحكومية المصنفة.

ممارسة تشفير بيانات النسخ الاحتياطي لحمايتها من الوصول غير المصرح به في حال فقدان أو سرقة وسائط النسخ الاحتياطي.

طريقة مصادقة تستخدم الخصائص البيولوجية الفريدة مثل بصمات الأصابع أو التعرف على الوجه أو أنماط القزحية.

مسؤولية مجلس الإدارة في الإشراف على استراتيجية الأمن السيبراني وإدارة المخاطر في المؤسسة.

مجموعة موثقة من الإجراءات والمعلومات التي تمكن المؤسسة من الاستجابة للاضطرابات والحفاظ على وظائف الأعمال الحيوية واستعادة العمليات إلى مستويات محددة مسبقاً بعد وقوع كارثة أو حادث كبير. تحدد خطة استمرارية الأعمال العمليات التجارية الحرجة وأهداف وقت الاستعادة وأهداف نقطة الاستعادة والموارد المطلوبة للحفاظ على العمليات خلال الظروف المعاكسة.

عملية احتيال متطورة تستهدف المؤسسات التي تجري تحويلات مالية بانتظام، مستغلة حسابات البريد الإلكتروني المخترقة للمسؤولين.

نهج أمني استراتيجي يجمع بين الضوابط التقنية والتدريب على التوعية للمستخدمين وسياسات الحوكمة لمنع هجمات الاحتيال المتطورة عبر البريد الإلكتروني التي تستهدف المؤسسات. يشمل ذلك تنفيذ إجراءات التحقق للمعاملات المالية واكتشاف انتحال شخصية المسؤولين التنفيذيين وبروتوكولات الاستجابة للحوادث.

عملية تحدد وتقيم التأثيرات المحتملة لانقطاع العمليات التجارية الحساسة.

نقطة تطبيق سياسة أمنية موضوعة بين مستهلكي الخدمات السحابية ومزودي الخدمات السحابية للجمع بين سياسات أمن المؤسسة وإدراجها عند الوصول إلى الموارد السحابية. توفر وسطاء أمن الوصول السحابي رؤية شاملة لاستخدام التطبيقات السحابية وأمن البيانات والحماية من التهديدات ومراقبة الامتثال عبر بيئات البرمجيات كخدمة والمنصات كخدمة والبنية التحتية كخدمة. وتطبق سياسات أمنية مثل المصادقة والتفويض وتعيين بيانات الاعتماد والتشفير والترميز والتسجيل والتنبيه واكتشاف البرمجيات الخبيثة.

حل أمني آلي يراقب بشكل مستمر تكوينات البنية التحتية السحابية عبر البيئات متعددة السحابات والهجينة لتحديد الأخطاء في التكوين وانتهاكات الامتثال والمخاطر الأمنية. تقيّم أدوات إدارة الوضع الأمني السحابي الموارد السحابية مقابل أفضل الممارسات الأمنية والأطر التنظيمية، وتكتشف الانحرافات عن خطوط الأساس الأمنية، وتوفر إرشادات المعالجة، وتنشئ تقارير الامتثال. وتعالج تحديات الأمن السحابي الشائعة بما في ذلك حاويات التخزين المكشوفة وضوابط الوصول المفرطة في الأذونات ومخازن البيانات غير المشفرة وتكوينات الموارد غير المتوافقة.

عملية الحصول على إذن صريح من أصحاب البيانات وتسجيله وإدارته قبل جمع معلوماتهم الشخصية أو معالجتها أو مشاركتها، بما في ذلك آليات السحب ومسارات التدقيق كما تتطلب لوائح الخصوصية.

آلية أمنية للثقة المعدومة تتحقق باستمرار من هوية المستخدم وموثوقية الجهاز طوال الجلسة، بدلاً من التحقق فقط عند تسجيل الدخول الأولي. تراقب الأنماط السلوكية ووضع الجهاز والموقع والعوامل السياقية في الوقت الفعلي لاكتشاف الحالات الشاذة وتعديل امتيازات الوصول ديناميكياً أو إنهاء الجلسات عند تغير مستويات المخاطر.

مبدأ انعدام الثقة الذي يتطلب التحقق المستمر من هوية المستخدم وامتيازات الوصول طوال الجلسة، بدلاً من التحقق فقط عند تسجيل الدخول الأولي. يقيم باستمرار إشارات المخاطر مثل سلوك المستخدم ووضع الجهاز والموقع وحساسية البيانات لتعديل أذونات الوصول ديناميكياً في الوقت الفعلي.

التنسيق الشامل لاستجابة المؤسسة لأزمة تهدد المؤسسة أو أصحاب المصلحة.

قطاعات محددة حددتها الهيئة الوطنية للأمن السيبراني باعتبارها حيوية للأمن الوطني والاقتصاد والسلامة العامة في المملكة العربية السعودية، وتخضع للامتثال الإلزامي للضوابط الأساسية للأمن السيبراني. تشمل هذه القطاعات الطاقة والمياه والصحة والمالية والنقل والاتصالات والخدمات الحكومية وغيرها من الصناعات الاستراتيجية. يجب على المؤسسات العاملة في هذه القطاعات تنفيذ برامج أمن سيبراني شاملة متوافقة مع متطلبات الضوابط الأساسية، والخضوع لتقييمات منتظمة، والإبلاغ عن الحوادث السيبرانية للهيئة الوطنية للأمن السيبراني ضمن أطر زمنية محددة، والحفاظ على مستويات نضج أمن سيبراني مناسبة لدعم أهداف المرونة في رؤية المملكة 2030.

الأدوات القانونية والضمانات المطلوبة بموجب المادة 36 من نظام حماية البيانات الشخصية لنقل البيانات الشخصية خارج المملكة العربية السعودية، بما في ذلك قرارات الكفاية والبنود التعاقدية القياسية والقواعد المؤسسية الملزمة أو الموافقة الصريحة، لضمان أن البيانات المنقولة دوليًا تحافظ على معايير حماية مكافئة كما هو مطلوب داخل المملكة.

الإدارة الشاملة لدورة حياة مفاتيح التشفير بما في ذلك التوليد والتوزيع والتخزين والتدوير والنسخ الاحتياطي والاسترداد والإتلاف وفقاً لسياسات الأمن والمتطلبات التنظيمية. تعد إدارة مفاتيح التشفير الفعالة أمراً بالغ الأهمية للحفاظ على سرية وسلامة البيانات المشفرة وهي مطلوبة صراحة من قبل إطار الأمن السيبراني للبنك المركزي السعودي (CCC-4.1) والضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني (ECC-1-3.2) ومعيار ISO/IEC 27001:2022 (A.8.24). تشمل أفضل الممارسات استخدام وحدات الأمان للأجهزة (HSMs) وتنفيذ جداول تدوير المفاتيح والحفاظ على الفصل بين الواجبات وضمان الامتثال للمعايير الدولية مثل NIST SP 800-57 لإدارة المفاتيح. يجب على المؤسسات السعودية أيضاً مراعاة متطلبات توطين البيانات والإدارة السيادية للمفاتيح للبنية التحتية الوطنية الحرجة بموجب إرشادات الهيئة الوطنية للأمن السيبراني.

منتجات تأمين مصممة لمساعدة المؤسسات في تخفيف الخسائر المالية من حوادث الأمن السيبراني وانتهاكات البيانات.

واحد من خمسة فئات تنظيمية رئيسية ضمن إطار الضوابط الأساسية للأمن السيبراني تجمع الضوابط السيبرانية ذات الصلة: حوكمة الأمن السيبراني، والدفاع السيبراني، والمرونة السيبرانية، والأمن السيبراني للأطراف الثالثة والحوسبة السحابية، والأمن السيبراني لأنظمة التحكم الصناعي. يتناول كل مجال جوانب محددة من برنامج الأمن السيبراني للمؤسسة ويحتوي على فئات رقابية متعددة مع متطلبات تنفيذ تفصيلية.

إطار تقييم منظم ضمن الضوابط الأساسية للأمن السيبراني يقيس قدرات المنظمة في الأمن السيبراني عبر خمسة مستويات نضج: مبدئي، نامي، محدد، مُدار، ومُحسّن. يجب على المنظمات الخاضعة للضوابط الأساسية تقييم مستوى نضجها وتحسين وضعها الأمني السيبراني تدريجياً وفقاً للجداول الزمنية ومتطلبات الهيئة الوطنية للأمن السيبراني.

منهجية تقييم منظمة ضمن إطار الضوابط الأساسية للأمن السيبراني التابع للهيئة الوطنية للأمن السيبراني، تقيّم الوضع الأمني السيبراني للمؤسسة عبر خمسة مستويات تدريجية للنضج: المبدئي، النامي، المحدد، المُدار، والمُحسّن. يمكّن نموذج النضج المؤسسات من قياس قدراتها الحالية في الأمن السيبراني، وتحديد الفجوات مقابل متطلبات الضوابط الأساسية، ووضع خارطة طريق للتحسين المستمر. يجب على المؤسسات تحقيق والحفاظ على مستويات نضج مناسبة بناءً على تصنيف قطاعها وملف المخاطر الخاص بها، حيث تُطلب عادةً من جهات البنية التحتية الحيوية الوصول إلى المستويات المُدار أو المُحسّن.

مبدأ خصوصية يتطلب من المؤسسات جمع ومعالجة الحد الأدنى فقط من البيانات الشخصية اللازمة لتحقيق أغراض محددة ومشروعة، مما يقلل من مخاطر الخصوصية والتزامات الامتثال.

حق الأفراد في التحكم في كيفية جمع معلوماتهم الشخصية واستخدامها وتخزينها ومشاركتها من قبل المؤسسات، مع ضمان امتثال ممارسات معالجة البيانات للمتطلبات القانونية والتنظيمية مع حماية حقوق الخصوصية الفردية.

العمليات المنهجية والقدرات التقنية المطلوبة لتكريم الحقوق الفردية الممنوحة بموجب نظام حماية البيانات الشخصية، بما في ذلك الحق في الوصول إلى البيانات الشخصية، وتصحيح المعلومات غير الدقيقة، ومحو البيانات في ظروف محددة، وتقييد المعالجة، والاعتراض على أنشطة معالجة معينة، ونقل البيانات. يجب على المؤسسات وضع إجراءات موثقة للتحقق من هوية صاحب البيانات، والرد على الطلبات ضمن الأطر الزمنية المحددة قانونياً (عادة 30 يوماً بموجب النظام)، والاحتفاظ بسجلات تدقيق لجميع طلبات الحقوق والردود عليها، وتوفير آليات واضحة للأفراد لممارسة حقوقهم دون عبء غير مبرر. يشمل ذلك نماذج طلبات وقنوات اتصال باللغة العربية يمكن للمقيمين السعوديين الوصول إليها.

الممارسة المشتركة لجمع وحفظ وتحليل وتقديم الأدلة الرقمية من الحوادث السيبرانية مع احتواء التهديد ومعالجته في الوقت نفسه. يضمن سلامة الأدلة للإجراءات القانونية المحتملة مع تمكين التعافي السريع وتوثيق الدروس المستفادة.

عملية موثقة تركز بشكل خاص على استعادة أنظمة تقنية المعلومات والتطبيقات والبيانات والبنية التحتية التقنية بعد حدث كارثي أو اضطراب كبير. تعد خطة التعافي من الكوارث جزءاً من خطة استمرارية الأعمال الأوسع وتفصل إجراءات الاستعادة التقنية واستراتيجيات النسخ الاحتياطي وتسلسل استعادة النظام والأدوار والمسؤوليات لفرق استعادة تقنية المعلومات لتقليل وقت التوقف وفقدان البيانات.

منشأة ثانوية مادية أو سحابية مجهزة بالبنية التحتية والأنظمة والنسخ الاحتياطية للبيانات الضرورية التي تمكن المؤسسة من استئناف عمليات تقنية المعلومات الحرجة ووظائف الأعمال بعد اضطراب كبير أو هجوم سيبراني أو كارثة في الموقع الرئيسي.

بروتوكول مصادقة البريد الإلكتروني الذي يبني على إطار سياسة المرسل ومفاتيح تحديد هوية البريد لتوفير حماية لأصحاب النطاقات ضد الاستخدام غير المصرح به لنطاقهم في هجمات البريد الإلكتروني. يمكّن أصحاب النطاقات من تحديد كيفية تعامل خوادم البريد المستقبلة مع الرسائل التي تفشل في فحوصات المصادقة ويوفر آليات إعداد التقارير للمراقبة.

ممارسة إجراء البحث والتقييم الكافي قبل اتخاذ القرارات بشأن استثمارات الأمن أو الشراكات أو التعاقدات مع الموردين.

استراتيجية وتقنية أمنية تراقب وتكتشف وتمنع نقل المعلومات الحساسة عبر البريد الإلكتروني بما يخالف سياسات المؤسسة أو المتطلبات التنظيمية. يساعد منع فقدان البيانات عبر البريد الإلكتروني في منع خروقات البيانات العرضية أو المتعمدة من خلال فرض فحص المحتوى والضوابط القائمة على السياسات.

إطار حوكمة يحدد المتطلبات والإجراءات لتشفير اتصالات البريد الإلكتروني لحماية المعلومات الحساسة أثناء النقل وفي حالة السكون. تحدد هذه السياسة معايير طرق التشفير وإدارة المفاتيح والامتثال للوائح حماية البيانات مثل نظام حماية البيانات الشخصية.

حل أمني يقوم بتصفية ومراقبة حركة البريد الإلكتروني الواردة والصادرة للكشف عن المحتوى الضار والبريد العشوائي ومحاولات التصيد الاحتيالي وحظرها. يعمل كحاجز وقائي بين البنية التحتية للبريد الإلكتروني للمؤسسة والتهديدات الخارجية، مع فرض سياسات الأمن ومتطلبات الامتثال.

وثيقة حوكمة تحدد المدة التي يجب الاحتفاظ فيها برسائل البريد الإلكتروني وأرشفتها وحذفها في النهاية بناءً على المتطلبات التنظيمية والالتزامات القانونية واحتياجات العمل. تضمن هذه السياسة الامتثال لقوانين حماية البيانات مع إدارة موارد التخزين بفعالية.

برنامج منظم مصمم لتثقيف الموظفين حول التهديدات القائمة على البريد الإلكتروني مثل التصيد الاحتيالي والبرامج الضارة وهجمات الهندسة الاجتماعية. يعد هذا التدريب عنصراً حاسماً في حوكمة الأمن، مما يساعد المؤسسات على بناء جدار حماية بشري وتقليل مخاطر نجاح هجمات البريد الإلكتروني.

عملية تحويل البيانات النصية الواضحة إلى نص مشفر باستخدام خوارزميات ومفاتيح تشفير لحماية السرية ومنع الوصول غير المصرح به إلى المعلومات الحساسة أثناء التخزين أو النقل.

إدارة المفاتيح التشفيرية طوال دورة حياتها، بما في ذلك التوليد والتوزيع والتخزين والتدوير والنسخ الاحتياطي والإتلاف، مع ضمان ممارسات آمنة للتعامل مع المفاتيح للحفاظ على فعالية أنظمة التشفير.

طريقة أمنية يتم فيها تشفير البيانات على جهاز المرسل ولا يتم فك تشفيرها إلا على جهاز المستقبل، مما يضمن عدم تمكن أي أطراف وسيطة، بما في ذلك مزودي الخدمة، من الوصول إلى المحتوى النصي الواضح أثناء النقل.

طريقة أمان اتصالات يتم فيها تشفير البيانات على جهاز المرسل ولا يتم فك تشفيرها إلا على جهاز المستقبل، مما يمنع الوسطاء بما في ذلك مزودي الخدمة من الوصول إلى المحتوى النصي الواضح. يتوافق هذا النهج مع متطلبات المادة 18 من نظام حماية البيانات الشخصية لحماية البيانات الشخصية أثناء النقل وضوابط الهيئة الوطنية للأمن السيبراني للاتصالات الآمنة في قطاعات البنية التحتية الحيوية الداعمة للتحول الرقمي في رؤية 2030.

تقنية أمن سيبراني تراقب نقاط النهاية باستمرار لكشف التهديدات السيبرانية والاستجابة لها.

إطار شامل للأمن السيبراني تفرضه الهيئة الوطنية للأمن السيبراني في المملكة العربية السعودية، يحدد الضوابط الأمنية الأساسية للمؤسسات في القطاعات الحيوية. يتألف إطار الضوابط الأساسية من 114 ضابطاً منظمة في 5 مجالات و23 فئة، مصممة لحماية أنظمة المعلومات والشبكات والبيانات من التهديدات السيبرانية. الامتثال إلزامي للجهات العاملة في قطاعات البنية التحتية الحيوية وموصى به لجميع المؤسسات الداعمة لأهداف التحول الرقمي لرؤية السعودية 2030.

التبديل التلقائي إلى نظام أو خادم أو شبكة احتياطية عند فشل أو إنهاء غير طبيعي للنظام الأساسي.

تحليل عوامل مخاطر المعلومات — منهجية تحليل كمي للمخاطر لأمن المعلومات والمخاطر التشغيلية.

تقييم يقارن الوضع الأمني الحالي للمؤسسة مقابل معيار أو إطار مرغوب لتحديد المجالات التي تحتاج تحسين.

جهاز مخصص لإدارة وحماية المفاتيح الرقمية وتنفيذ العمليات التشفيرية.

مرفق حوسبة مكرر ومجهز بالكامل يمكن تفعيله فوراً في حالة وقوع كارثة.

منهجية منظمة ومجموعة من الإجراءات للكشف عن الحوادث السيبرانية وتحليلها واحتوائها والقضاء عليها والتعافي منها لتقليل التأثير واستعادة العمليات الطبيعية. بموجب إطار عمل SAMA CSF وإطار الضوابط الأساسية للأمن السيبراني NCA ECC، يجب على المؤسسات إنشاء قدرات موثقة للاستجابة للحوادث تشمل آليات الكشف وإجراءات التصعيد وبروتوكولات الاتصال والتحليل اللاحق للحوادث لتلبية المتطلبات التنظيمية للمرونة التشغيلية.

نهج موثق ومنظم يتضمن إجراءات تفصيلية لاكتشاف الحوادث السيبرانية والاستجابة لها والتعافي منها. يحدد الأدوار والمسؤوليات وبروتوكولات الاتصال والإجراءات خطوة بخطوة لتقليل الأضرار واستعادة العمليات الطبيعية بكفاءة.

مجموعة موثقة من الإجراءات وسير العمل المحددة مسبقاً التي ترشد فرق مركز العمليات الأمنية خلال عملية تحديد واحتواء والقضاء على أنواع محددة من الحوادث الأمنية والتعافي منها، مما يضمن إجراءات استجابة متسقة وفعالة.

الآثار الجنائية أو الأنماط القابلة للملاحظة على الشبكة أو نظام التشغيل والتي تشير بثقة عالية إلى اختراق حاسوبي أو نشاط ضار. تشمل مؤشرات الاختراق قيم التجزئة للملفات وعناوين IP وأسماء النطاقات وعناوين URL وعناوين البريد الإلكتروني ومفاتيح السجل.

مستوى المخاطر الموجودة قبل تطبيق أي ضوابط. يستخدم في تقييمات المخاطر لتحديد مستوى المخاطر الأساسي قبل تقييم فاعلية الضوابط الحالية.

خطر أمني ينشأ من داخل المؤسسة، عادةً من الموظفين الحاليين أو السابقين أو شركاء الأعمال.

تقييم مستقل يُجرى داخل المؤسسة لتقييم وتحسين فعالية إدارة المخاطر والرقابة والحوكمة.

تقنية أمن شبكات تراقب حركة مرور الشبكة وأنشطة النظام بحثاً عن سلوك ضار أو انتهاكات للسياسات، ويمكنها اتخاذ إجراءات تلقائية لحظر أو منع التهديدات المكتشفة. يجمع IDPS بين قدرات كشف التسلل (IDS) التي تحدد التهديدات وتنبه عنها مع قدرات منع التسلل (IPS) التي تحظر الهجمات بشكل فعال في الوقت الفعلي باستخدام الكشف القائم على التوقيع، وكشف الشذوذ، والتحليل السلوكي.

أداة أمن شبكات تراقب حركة المرور بحثًا عن التهديدات وتتخذ إجراءات تلقائية لمنعها.

إطار شامل من السياسات والإجراءات والضوابط التقنية للإنشاء الآمن والتوزيع والتخزين والتدوير والإلغاء والإتلاف لمفاتيح التشفير طوال دورة حياتها. تعد الإدارة الفعالة للمفاتيح أمراً بالغ الأهمية للحفاظ على أمان البيانات المشفرة وهي مطلوبة صراحة من قبل الإطار السيبراني لساما والضوابط الأساسية للأمن السيبراني للهيئة الوطنية والمعايير الدولية بما في ذلك ISO/IEC 27001:2022 ومعيار PCI DSS 4.0. يعالج نظام إدارة المفاتيح القوي الفصل بين الواجبات الرئيسية، وينفذ وحدات الأمان للأجهزة (HSMs) لحماية المفاتيح، ويفرض جداول تدوير منتظمة للمفاتيح، ويحتفظ بسجلات تدقيق مفصلة، ويضمن استمرارية الأعمال من خلال إجراءات النسخ الاحتياطي والاسترداد الآمنة للمفاتيح. بالنسبة للمؤسسات السعودية، تعد الإدارة السليمة للمفاتيح ضرورية للحفاظ على سيادة البيانات وتلبية المتطلبات التنظيمية، خاصة عند استخدام الخدمات السحابية أو إدارة التشفير عبر البيئات الهجينة.

مقياس يُستخدم لتوفير إشارة مبكرة عن تزايد التعرض للمخاطر في مختلف مجالات المؤسسة.

خدمة أمن سيبراني خارجية توفر قدرات مراقبة واكتشاف التهديدات والاستجابة لها.

إطار لتقييم الوضع الحالي ومسار تحسين قدرات الأمن السيبراني للمؤسسة عبر مستويات محددة.

أقصى فترة زمنية يمكن فيها تعطيل عملية أعمال دون التسبب في عواقب غير مقبولة.

متوسط الوقت المستغرق لاكتشاف حادث أمني من وقت حدوثه الأولي.

مؤشر أداء رئيسي يقيس متوسط الوقت الذي يستغرقه فريق مركز العمليات الأمنية لاكتشاف حادث أمني أو اختراق من لحظة حدوثه. يعتبر متوسط الوقت للكشف أمراً بالغ الأهمية لتقييم فعالية قدرات المراقبة الأمنية وضوابط الكشف، حيث تشير القيم المنخفضة إلى عمليات أمنية أكثر نضجاً.

متوسط الوقت المستغرق لاحتواء ومعالجة حادث أمني بعد اكتشافه.

تقنية أمنية للثقة المعدومة تقسم الشبكات إلى أجزاء صغيرة ومعزولة لاحتواء الاختراقات والحد من الحركة الجانبية. كل جزء له ضوابط الوصول وسياسات الأمان الخاصة به، مما يسمح للمؤسسات بتحديد محيطات أمنية دقيقة حول الأصول الحرجة وفرض فحص صارم لحركة المرور بين الأجزاء.

آلية أمنية تتطلب من المستخدمين تقديم عاملين أو أكثر من عوامل التحقق للوصول إلى مورد أو تطبيق أو نظام. تجمع المصادقة متعددة العوامل بين شيء يعرفه المستخدم (كلمة المرور)، وشيء يمتلكه المستخدم (رمز أمان أو جهاز محمول)، و/أو شيء يمثل المستخدم (التحقق البيومتري) لتقليل خطر الوصول غير المصرح به بشكل كبير.

نهج أمني يحاول توحيد أمن نقاط النهاية وإنفاذ الوصول للشبكة.

عملية توزيع وتطبيق التحديثات على البرمجيات لإصلاح الثغرات وتحسين الأمن.

أي عملية أو مجموعة عمليات تُجرى على البيانات الشخصية، بما في ذلك الجمع والتسجيل والتنظيم والهيكلة والتخزين والتكييف والاسترجاع والاستشارة والاستخدام والإفصاح والنقل والمحو أو الإتلاف، سواء كانت آلية أو يدوية.

النظام الشامل لحماية البيانات في المملكة العربية السعودية الصادر عام 2021 والذي يحكم جمع ومعالجة وتخزين ونقل البيانات الشخصية. يحدد حقوق أصحاب البيانات والتزامات مراقبي ومعالجي البيانات، مع عقوبات لعدم الامتثال تصل إلى 3 ملايين ريال سعودي.

عملية منهجية لتحديد وتقييم مخاطر الخصوصية المحتملة المرتبطة بأنشطة معالجة البيانات، خاصة عند تطبيق تقنيات أو أنظمة أو عمليات جديدة تتعامل مع البيانات الشخصية. بموجب متطلبات نظام حماية البيانات الشخصية والإطار السيبراني للبنك المركزي السعودي، يجب على المؤسسات إجراء تقييمات أثر الخصوصية قبل معالجة البيانات الشخصية عالية المخاطر لضمان الامتثال وتطبيق الضمانات المناسبة.

مجموعة فرعية من إدارة الهوية والوصول تركز على إدارة ومراقبة الحسابات ذات الصلاحيات المرتفعة، مثل مسؤولي الأنظمة ومسؤولي قواعد البيانات. توفر حلول إدارة الوصول المميز التحكم والمراقبة وتأمين بيانات الاعتماد المميزة لمنع الوصول غير المصرح به إلى الأنظمة الحساسة والبيانات الحساسة.

إطار عمل من السياسات والإجراءات والأجهزة والبرامج والأفراد المستخدمة لإنشاء وإدارة وتوزيع واستخدام وتخزين وإلغاء الشهادات الرقمية وإدارة تشفير المفتاح العام. تتيح البنية التحتية للمفتاح العام الاتصالات الإلكترونية الآمنة وهي مطلوبة من الضوابط الأساسية للأمن السيبراني للجهات الحكومية وإطار الأمن السيبراني لساما للمؤسسات المالية للمصادقة على المستخدمين وتشفير البيانات وضمان عدم إنكار المعاملات الرقمية.

الحد الأقصى المقبول لفقدان البيانات مقاساً بالوقت قبل حدوث اضطراب يمكن للمؤسسة تحمله. تحدد نقطة هدف الاستعادة تكرار النسخ الاحتياطي للبيانات وتعرّف مقدار البيانات التي يمكن فقدانها دون التسبب في ضرر كبير لعمليات الأعمال أو الامتثال التنظيمي.

الحد الأقصى المقبول من الوقت الذي يمكن أن تتوقف فيه عملية تجارية أو تطبيق أو نظام بعد كارثة أو اضطراب قبل أن تواجه المؤسسة عواقب غير مقبولة، ويستخدم لتحديد أولويات جهود التعافي وتخصيص الموارد.

مجموعة من المتخصصين الأمنيين المخولين بمحاكاة الهجمات الواقعية لاختبار دفاعات المؤسسة.

عملية معالجة وحل النتائج الأمنية أو الثغرات أو فجوات الامتثال المحددة.

المخاطر التي تبقى بعد تطبيق ضوابط الأمن.

عملية تعيين قيم نقدية للخسائر المحتملة من مخاطر الأمن السيبراني باستخدام الأساليب الإحصائية.

مستودع موثق للمخاطر المحددة وتحليلها وإجراءات الاستجابة المخطط لها.

تكوينات وبروتوكولات DNS التي تحمي من هجمات اختطاف وانتحال وتسميم ذاكرة التخزين المؤقت لنظام DNS.

حل يراقب رسائل البريد الإلكتروني المرسلة والمستلمة لمنع البريد غير المرغوب فيه بما في ذلك البريد العشوائي والتصيد والبرمجيات الخبيثة.

برنامج تعليمي مصمم لتقليل مخاطر الأمن السيبراني البشرية بتعليم الموظفين التعرف على التهديدات والاستجابة لها.

مجموعة المسؤوليات التي يمارسها مجلس الإدارة والإدارة التنفيذية لتوفير التوجيه الاستراتيجي والإشراف على الأمن السيبراني.

هيكل شامل من السياسات والإجراءات والضوابط التي تؤسس المساءلة والإشراف على أنشطة الأمن السيبراني في جميع أنحاء المؤسسة. يحدد الأدوار والمسؤوليات وعمليات اتخاذ القرار لضمان توافق أهداف الأمن مع أهداف العمل والمتطلبات التنظيمية.

حدث أو سلسلة من الأحداث التي تشير إلى خرق محتمل أو فعلي لسياسات أمن المعلومات، أو وصول غير مصرح به إلى الأنظمة أو البيانات، أو تعطيل الخدمات، أو أي حدث يهدد سرية أو سلامة أو توفر أصول المعلومات.

حل أمني شامل يوفر تحليلاً فورياً للتنبيهات والأحداث الأمنية الناتجة عن أجهزة الشبكة والتطبيقات. يجمع ويدمج ويربط ويحلل بيانات السجلات لاكتشاف التهديدات ودعم تقارير الامتثال وتمكين الاستجابة السريعة للحوادث.

حل شامل يوفر تحليلاً في الوقت الفعلي للتنبيهات الأمنية التي تنتجها التطبيقات والأجهزة الشبكية. تقوم أنظمة إدارة معلومات وأحداث الأمن السيبراني بجمع وتجميع وتحليل بيانات السجلات من جميع أنحاء البنية التحتية لتقنية المعلومات في المؤسسة لتحديد التهديدات الأمنية وضمان الامتثال ودعم التحقيق في الحوادث والطب الشرعي الرقمي.

قياسات قابلة للقياس تُستخدم لتتبع وتقييم فعالية برنامج الأمن في المؤسسة.

وحدة مركزية تتعامل مع القضايا الأمنية على المستوى التنظيمي والتقني، وهي مسؤولة عن المراقبة المستمرة والكشف والتحليل والاستجابة لحوادث الأمن السيبراني باستخدام مجموعة من الحلول التقنية والخبرات البشرية.

وثيقة رسمية تحدد القواعد والإرشادات والممارسات لإدارة وحماية أصول المعلومات في المؤسسة.

مقياس موضوعي وقابل للقياس للوضع الأمني السيبراني للمؤسسة يتم إنشاؤه بواسطة منصات تصنيف أمني مستقلة.

هيئة قيادية متعددة الوظائف مسؤولة عن توفير التوجيه الاستراتيجي والإشراف على برنامج الأمن السيبراني.

هجوم تصيد موجه يستهدف أفراداً أو مؤسسات محددة باستخدام معلومات شخصية لزيادة المصداقية.

تمرين قائم على النقاش حيث يستعرض الموظفون الرئيسيون سيناريو محاكى لاختبار الخطط وتحديد الثغرات.

الأنماط السلوكية والأساليب التي تستخدمها الجهات المهددة لتنفيذ الهجمات السيبرانية. تمثل التكتيكات أهداف الخصم (ما يريدون تحقيقه)، وتصف التقنيات كيفية تحقيق تلك الأهداف، والإجراءات هي تفاصيل التنفيذ المحددة. يمكّن فهم التكتيكات والتقنيات والإجراءات المؤسسات من تطوير استراتيجيات فعالة للكشف والوقاية متوافقة مع إطار MITRE ATT&CK والمطلوبة بموجب ضوابط إدارة التهديدات للهيئة الوطنية للدفاع ضد الهجمات المتطورة التي تستهدف البنية التحتية الحرجة والقطاعات المالية السعودية.

عملية تحليل والتحكم في المخاطر التي تمثلها الأطراف الثالثة على بيانات وعمليات المؤسسة.

فرد أو مجموعة أو كيان يقوم أو لديه نية للقيام بأنشطة سيبرانية ضارة ضد أنظمة المعلومات أو البيانات الخاصة بمنظمة. تُصنف الجهات الفاعلة للتهديد حسب الدافع (مالي، سياسي، تجسس) والقدرة (دولة قومية، جريمة منظمة، ناشطون إلكترونيون) وأنماط الاستهداف.

إطار عمل للأمن السيبراني يلغي الثقة الضمنية من خلال طلب التحقق المستمر من جميع المستخدمين والأجهزة وتدفقات الشبكة قبل منح الوصول إلى الموارد. تعمل الثقة المعدومة على مبدأ 'لا تثق أبداً، تحقق دائماً' وتفترض حدوث الاختراق كحالة افتراضية، مع تطبيق ضوابط الوصول بأقل الصلاحيات والتجزئة الدقيقة والمراقبة المستمرة بغض النظر عما إذا كانت الطلبات تأتي من داخل أو خارج محيط الشبكة.

إطار أمني يلغي الثقة الضمنية ويتطلب التحقق المستمر من كل مستخدم وجهاز يحاول الوصول إلى موارد الشبكة، بغض النظر عن موقعهم. يعمل الوصول الشبكي بدون ثقة على مبدأ 'عدم الثقة أبداً، التحقق دائماً' وينفذ ضوابط الوصول بأقل الصلاحيات مع التجزئة الدقيقة.

إطار أمني يلغي الثقة الضمنية ويتطلب التحقق المستمر من كل مستخدم وجهاز يحاول الوصول إلى موارد الشبكة، بغض النظر عن موقعهم داخل أو خارج محيط الشبكة. يعمل ZTNA على مبدأ 'عدم الثقة مطلقاً، التحقق دائماً' ويمنح وصولاً بأقل الصلاحيات بناءً على الهوية والسياق والامتثال للسياسات.