📚 قاعدة المعرفة
أسئلة وأجوبة شاملة في الأمن السيبراني والامتثال للأنظمة السعودية
بموجب إطار الأمن السيبراني لساما، يجب على المؤسسات المالية إنشاء قدرة شاملة للاستجابة للحوادث تشمل: (1) خطة موثقة للاستجابة للحوادث مع أدوار ومسؤوليات وإجراءات تصعيد واضحة؛ (2) فريق استجابة للحوادث مع موظفين مدربين متاحين على مدار الساعة؛ (3) آليات تصنيف وترتيب أولويات الحوادث بناءً على التأثير والخطورة؛ (4) الإبلاغ الإلزامي لساما ضمن أطر زمنية محددة للحوادث الجوهرية؛ (5) قدرات حفظ الأدلة والتحليل الجنائي؛ (6) بروتوكولات الاتصال لأصحاب المصلحة الداخليين والخارجيين؛ (7) عمليات المراجعة بعد الحادث والدروس المستفادة؛ (8) الاختبار والتحديث المنتظم لإجراءات الاستجابة للحوادث من خلال التمارين المكتبية والمحاكاة. يجب على المؤسسات أيضاً الاحتفاظ بسجلات الحوادث وإظهار التحسين المستمر لقدرات الاستجابة للحوادث بما يتماشى مع ضوابط الأمن السيبراني لساما.
بموجب الضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني، يجب على المنظمات الإبلاغ عن حوادث الأمن السيبراني للهيئة وفقاً لمتطلبات محددة: (1) يجب الإبلاغ عن الحوادث الحرجة فوراً (خلال ساعة واحدة من الاكتشاف) من خلال قنوات الإبلاغ الرسمية للهيئة؛ (2) يجب الإبلاغ عن الحوادث عالية الخطورة خلال 24 ساعة؛ (3) تتطلب الحوادث متوسطة ومنخفضة الخطورة الإبلاغ خلال 72 ساعة؛ (4) يجب أن تتضمن التقارير وصف الحادث والأنظمة المتأثرة والتأثير المحتمل وإجراءات الاحتواء المتخذة ووقت الاسترداد المقدر؛ (5) يجب على المنظمات تقديم تحديثات حول حالة الحادث وتقدم الحل؛ (6) ينطبق الإبلاغ على جميع الجهات الخاضعة لولاية الهيئة، بما في ذلك الجهات الحكومية ومشغلي البنية التحتية الحيوية ومقدمي الخدمات الأساسية. يجب على المنظمات أيضاً الاحتفاظ بسجلات مفصلة للحوادث لأغراض التدقيق والمشاركة في مبادرات تبادل معلومات التهديدات للهيئة. قد يؤدي عدم الإبلاغ عن الحوادث ضمن الأطر الزمنية المطلوبة إلى عقوبات وإجراءات تنظيمية بموجب أنظمة الأمن السيبراني السعودية.
بموجب نظام حماية البيانات الشخصية في المملكة العربية السعودية، يجب على المنظمات اتباع إجراءات محددة عند التعامل مع انتهاكات البيانات الشخصية: (1) التقييم الفوري لتحديد ما إذا تم اختراق البيانات الشخصية، بما في ذلك طبيعة ونطاق وحساسية البيانات المتأثرة؛ (2) الإخطار لهيئة البيانات والذكاء الاصطناعي السعودية دون تأخير لا مبرر له وخلال 72 ساعة من معرفة الانتهاك؛ (3) توثيق جميع تفاصيل الانتهاك بما في ذلك الجدول الزمني والأفراد المتأثرين وفئات البيانات والعواقب المحتملة وإجراءات المعالجة؛ (4) الإخطار المباشر لأصحاب البيانات المتأثرين عندما يشكل الانتهاك خطراً عالياً على حقوقهم وحرياتهم، بلغة واضحة وبسيطة؛ (5) تنفيذ إجراءات الاحتواء والتخفيف الفورية لمنع المزيد من الوصول غير المصرح به؛ (6) التعاون مع هيئة البيانات والذكاء الاصطناعي أثناء التحقيقات وتقديم المعلومات المطلوبة؛ (7) الاحتفاظ بسجلات الانتهاكات للمراجعة التنظيمية؛ (8) إجراء تحليل ما بعد الانتهاك لمنع التكرار. يجب على المنظمات دمج متطلبات نظام حماية البيانات الشخصية في خطط الاستجابة للحوادث والتأكد من تدريب فرق الاستجابة للحوادث على التزامات حماية البيانات. يتماشى هذا مع أهداف التحول الرقمي لرؤية 2030 مع حماية حقوق خصوصية المواطنين.
يتطلب إطار الأمن السيبراني الصادر عن ساما من المؤسسات المالية تنفيذ إطار منظم للاستجابة للحوادث يتضمن: (1) مرحلة الإعداد: إنشاء فريق الاستجابة للحوادث بتوفر على مدار الساعة طوال أيام الأسبوع، وتطوير أدلة إجراءات لأنواع مختلفة من الحوادث (برامج الفدية، اختراقات البيانات، هجمات حجب الخدمة)، والحفاظ على قوائم اتصال محدثة للفرق الداخلية وساما والشركاء الخارجيين؛ (2) الكشف والتحليل: تنفيذ المراقبة المستمرة من خلال حلول إدارة معلومات وأحداث الأمن، وتحديد مؤشرات الحوادث والعتبات، ووضع قواعد الربط للكشف عن التهديدات؛ (3) الاحتواء: تنفيذ الاحتواء الفوري قصير المدى (عزل الأنظمة المتأثرة) واستراتيجيات الاحتواء طويلة المدى مع الحفاظ على الأدلة للتحليل الجنائي؛ (4) الإزالة والاستعادة: إزالة الجهات المهددة والبرامج الضارة، واستعادة الأنظمة من النسخ الاحتياطية النظيفة، والتحقق من سلامة النظام قبل العودة للإنتاج؛ (5) الأنشطة اللاحقة للحادث: إجراء تحليل السبب الجذري، وتوثيق الدروس المستفادة، وتحديث الضوابط الأمنية، والإبلاغ لساما ضمن الأطر الزمنية المطلوبة؛ (6) الاحتفاظ بسجلات الحوادث لمدة 5 سنوات على الأقل؛ و(7) إجراء تمارين سنوية للاستجابة للحوادث وتحديث الإجراءات بناءً على التهديدات الناشئة. يضمن ذلك الامتثال لمتطلبات إدارة المخاطر لدى ساما ويحمي استقرار القطاع المالي بالمملكة.
بموجب نظام حماية البيانات الشخصية السعودي، يجب على المؤسسات دمج متطلبات محددة للإخطار بخرق البيانات في إجراءات الاستجابة للحوادث: (1) تقييم الخرق: عند اكتشاف خرق محتمل للبيانات الشخصية، يجب على المؤسسات تقييم ما إذا كان الخرق يشكل مخاطر على حقوق وحريات الأفراد فوراً، مع مراعاة عوامل مثل حساسية البيانات وحجم السجلات المتأثرة والضرر المحتمل؛ (2) إخطار السلطة: يجب على المؤسسات إخطار الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) بالخروقات المؤهلة خلال 72 ساعة من العلم بها، بما في ذلك تفاصيل حول طبيعة الخرق وفئات وعدد تقريبي لأصحاب البيانات المتأثرين والعواقب المحتملة والتدابير المتخذة أو المقترحة؛ (3) إخطار الأفراد: عندما يكون الخرق من المحتمل أن يؤدي إلى مخاطر عالية على حقوق وحريات الأفراد، يجب على المؤسسات إخطار أصحاب البيانات المتأثرين دون تأخير لا مبرر له، باستخدام لغة واضحة وبسيطة لوصف الخرق والعواقب المحتملة والتدابير الوقائية الموصى بها؛ (4) التوثيق: الاحتفاظ بسجلات شاملة لجميع خروقات البيانات (سواء كانت قابلة للإبلاغ أم لا)، بما في ذلك الوقائع والآثار والإجراءات العلاجية المتخذة؛ (5) الاعتبارات عبر الحدود: بالنسبة للمؤسسات التي تتعامل مع نقل البيانات عبر الحدود، تنسيق الإخطارات مع السلطات الدولية ذات الصلة؛ (6) التكامل مع الإبلاغ للهيئة الوطنية للأمن السيبراني: التأكد من الإبلاغ عن حوادث خرق البيانات أيضاً للهيئة الوطنية عندما تشكل حوادث أمن سيبراني؛ و(7) التدابير الوقائية: تنفيذ تدابير تقنية وتنظيمية مثل التشفير والأسماء المستعارة وضوابط الوصول لتقليل احتمالية الخرق وتأثيره. تدعم هذه المتطلبات أهداف التحول الرقمي لرؤية 2030 مع حماية حقوق الخصوصية للأفراد في المملكة.