📚 قاعدة المعرفة
أسئلة وأجوبة شاملة في الأمن السيبراني والامتثال للأنظمة السعودية
يضع نظام حماية البيانات الشخصية متطلبات شاملة للإخطار بخرق البيانات تكمل أطر الإطار السيبراني لساما والضوابط الأساسية للأمن السيبراني: 1) الإخطار للهيئة السعودية للبيانات والذكاء الاصطناعي - يجب على مراقبي البيانات إخطار الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) بخروقات البيانات الشخصية خلال 72 ساعة من العلم بها، بما في ذلك طبيعة الخرق وفئات البيانات المتأثرة والعواقب المحتملة والتدابير العلاجية، 2) إخطار أصحاب البيانات - إذا شكل الخرق خطراً عالياً على حقوق وحريات الأفراد، يجب إخطار أصحاب البيانات المتأثرين دون تأخير لا مبرر له بلغة واضحة وبسيطة، 3) متطلبات التوثيق - الاحتفاظ بسجلات تفصيلية لجميع الخروقات، بما في ذلك الوقائع والآثار والإجراءات العلاجية المتخذة، 4) تقييم المخاطر - إجراء تقييم فوري لشدة الخرق والتأثير المحتمل، 5) التوافق مع الإطار السيبراني لساما - يجب على المؤسسات المالية أيضاً الامتثال لمتطلبات الإبلاغ عن الحوادث لساما (خلال ساعة واحدة للحوادث الحرجة)، مما يخلق التزامات إبلاغ مزدوجة، 6) التكامل مع الضوابط الأساسية للأمن السيبراني - يجب الإبلاغ عن الخروقات التي تؤثر على البنية التحتية الحيوية للهيئة الوطنية للأمن السيبراني وفقاً لضوابط إدارة الحوادث ECC-1، و7) الاعتبارات عبر الحدود - قد تكون هناك حاجة لإخطارات إضافية إذا تضمن الخرق عمليات نقل بيانات دولية. يجب على المؤسسات تنفيذ إجراءات موحدة للاستجابة للحوادث تلبي متطلبات نظام حماية البيانات الشخصية والإطار السيبراني لساما والضوابط الأساسية للأمن السيبراني في وقت واحد، دعماً لأهداف الأمن السيبراني لرؤية 2030.
يضع نظام حماية البيانات الشخصية متطلبات شاملة للإخطار بخرق البيانات التي تكمل التزامات الإبلاغ عن الحوادث في الضوابط الأساسية للأمن السيبراني والإطار السيبراني لمؤسسة النقد. يجب على المؤسسات: 1) إخطار الجهة المختصة (سدايا) في غضون 72 ساعة من معرفة خرق البيانات الشخصية الذي يشكل مخاطر على حقوق وحريات الأفراد؛ 2) تقديم معلومات مفصلة بما في ذلك طبيعة الخرق وفئات وعدد تقريبي لأصحاب البيانات المتأثرين والعواقب المحتملة والتدابير المتخذة أو المقترحة؛ 3) إخطار الأفراد المتأثرين دون تأخير لا مبرر له عندما يكون من المحتمل أن يؤدي الخرق إلى مخاطر عالية على حقوقهم، باستخدام لغة واضحة وبسيطة؛ 4) توثيق جميع خروقات البيانات، بما في ذلك الحقائق والآثار والإجراءات العلاجية المتخذة. يجب على المؤسسات المالية أيضاً الامتثال للجداول الزمنية للإبلاغ عن الحوادث في الإطار السيبراني (الحوادث الحرجة خلال ساعة واحدة). يجب أن يتضمن الإخطار توصيات للأفراد للتخفيف من الآثار السلبية المحتملة. يجب على المؤسسات الاحتفاظ بخطط الاستجابة للحوادث، وإجراء تمارين محاكاة منتظمة للخرق، وتنفيذ أنظمة الكشف والمراقبة المتوافقة مع ضوابط الهيئة الوطنية للأمن السيبراني، وإنشاء بروتوكولات الاتصال. قد يؤدي عدم الامتثال إلى غرامات تصل إلى 5 ملايين ريال سعودي. تدعم هذه المتطلبات أهداف رؤية 2030 للأمن السيبراني من خلال ضمان الشفافية والمساءلة في ممارسات حماية البيانات.
يفرض نظام حماية البيانات الشخصية متطلبات محددة للإخطار بخرق البيانات: 1) إخطار الجهة المختصة - يجب على المؤسسات إخطار الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) خلال 72 ساعة من علمها بخرق يشكل مخاطر على حقوق أصحاب البيانات؛ 2) إخطار الأفراد - إذا شكل الخرق خطراً عالياً على الأفراد، يجب إخطار أصحاب البيانات المتأثرين دون تأخير غير مبرر بلغة واضحة وبسيطة؛ 3) توثيق الخرق - الاحتفاظ بسجلات مفصلة لجميع الخروقات بما في ذلك الوقائع والآثار والإجراءات العلاجية؛ 4) محتوى الإخطار - تضمين طبيعة الخرق والعواقب المحتملة والتدابير المتخذة/المقترحة ونقطة الاتصال للمعلومات. يجب على المؤسسات تنفيذ خطط الاستجابة للحوادث متوافقة مع المجال الخامس من الضوابط الأساسية للأمن السيبراني (إدارة حوادث الأمن السيبراني) وضوابط إطار الأمن السيبراني للبنك المركزي السعودي. تشمل خطوات الاستجابة: الاحتواء والتقييم والقضاء والتعافي والدروس المستفادة. يجب على المؤسسات المالية أيضاً الامتثال لمتطلبات الإبلاغ عن الخروقات الخاصة بالبنك المركزي السعودي. تدعم الإدارة الفعالة للخروقات أهداف المرونة السيبرانية في رؤية 2030 وتحافظ على ثقة الجمهور في الخدمات الرقمية.