📚 قاعدة المعرفة

يجب على المؤسسات تحديد أولويات ضوابط الضوابط الأساسية للأمن السيبراني بناءً على فئة تصنيفها (1-5) وملف المخاطر الخاص بها. يجب على مؤسسات الفئة الأولى (البنية التحتية الحرجة) تنفيذ جميع الضوابط المطبقة مع إعطاء الأولوية القصوى لضوابط المجال الأول (حوكمة الأمن السيبراني) والمجال الثاني (الدفاع السيبراني). ابدأ بالضوابط الأساسية مثل إدارة الأصول (1.1.1)، والتحكم في الوصول (2.1)، وإدارة الحوادث (3.1). يجب على مؤسسات الفئة 2-3 التركيز على الضوابط الأساسية التي تعالج مشهد التهديدات المحدد لها. يمكن للفئة 4-5 اعتماد نهج تدريجي يعطي الأولوية للضوابط الأساسية أولاً. يجب على جميع المؤسسات إعطاء الأولوية لـ: وضع سياسات وإجراءات الأمن السيبراني، وتنفيذ ضوابط أمن الشبكات، ونشر حماية نقاط النهاية، وإنشاء قدرات النسخ الاحتياطي والاستعادة، وإنشاء خطط الاستجابة للحوادث. يجب أن تأخذ الأولوية القائمة على المخاطر في الاعتبار: تأثير الأعمال، والمواعيد النهائية التنظيمية، والثغرات الحالية، والموارد المتاحة، والترابط بين الضوابط.

يجب على المؤسسات الاحتفاظ بوثائق شاملة لإثبات الامتثال للضوابط الأساسية للأمن السيبراني بما في ذلك: 1) وثائق الحوكمة - سياسات الأمن السيبراني والإجراءات والمعايير وتقارير تقييم المخاطر وخطط معالجة المخاطر وتقارير الأمن السيبراني على مستوى مجلس الإدارة، 2) الأدلة التقنية - تكوينات النظام ومخططات الشبكة وقوائم التحكم في الوصول وتقارير فحص الثغرات ونتائج اختبار الاختراق وسجلات إدارة التصحيحات وتكوينات أدوات الأمان، 3) السجلات التشغيلية - سجلات الاستجابة للحوادث وسجلات إدارة التغيير وتقارير التحقق من النسخ الاحتياطي وسجلات التدريب على الوعي الأمني وتقييمات أمن الأطراف الثالثة، 4) مخرجات الامتثال - أدلة تنفيذ الضوابط وتقارير تحليل الفجوات وتتبع المعالجة ونتائج التدقيق السابقة مع أدلة الإغلاق. يجب أن تكون الوثائق باللغة العربية أو الإنجليزية ومحدثة بانتظام ومضبوطة الإصدار ومتاحة لمراجعة الهيئة الوطنية للأمن السيبراني. يجب على المؤسسات تنفيذ منصة مركزية للحوكمة والمخاطر والامتثال لإدارة جمع الأدلة والحفاظ على سجلات التدقيق وإنشاء تقارير الامتثال. يجب أن يتبع الاحتفاظ بالأدلة متطلبات الهيئة الوطنية للأمن السيبراني وسياسات الاحتفاظ بالبيانات التنظيمية.