📚 قاعدة المعرفة
أسئلة وأجوبة شاملة في الأمن السيبراني والامتثال للأنظمة السعودية
إطار الأمن السيبراني لمؤسسة النقد العربي السعودي (SAMA CSF) هو إطار تنظيمي شامل صادر عن البنك المركزي السعودي (المعروف سابقاً بمؤسسة النقد) يحدد متطلبات الأمن السيبراني الإلزامية لجميع الجهات العاملة في القطاع المالي بالمملكة العربية السعودية. ينطبق الإطار على البنوك وشركات التأمين وشركات التمويل ومقدمي خدمات الدفع وشركات المعلومات الائتمانية والجهات الأخرى المرخصة أو الخاضعة لإشراف البنك المركزي. يتكون الإطار من خمسة مجالات أساسية: حوكمة الأمن السيبراني، والدفاع السيبراني، والمرونة السيبرانية، والأمن السيبراني للأطراف الثالثة، والامتثال للأمن السيبراني. يحتوي كل مجال على ضوابط ومتطلبات محددة يجب على المؤسسات تنفيذها بناءً على ملف المخاطر والسياق التشغيلي الخاص بها. الامتثال إلزامي، ويجري البنك المركزي تقييمات ومراجعات منتظمة للتحقق من الالتزام. قد يؤدي عدم الامتثال إلى عقوبات تنظيمية وغرامات مالية وأضرار بالسمعة. يتماشى الإطار مع المعايير الدولية مثل ISO/IEC 27001:2022 وNIST CSF 2.0، مع معالجة المتطلبات الخاصة بالقطاع المالي السعودي. يجب على المؤسسات إجراء تقييمات ذاتية سنوية والإبلاغ عن الحوادث السيبرانية ضمن أطر زمنية محددة والحفاظ على الامتثال المستمر للمتطلبات المتطورة. يدعم الإطار أهداف رؤية السعودية 2030 من خلال تعزيز مرونة وموثوقية البنية التحتية المالية للمملكة.
يتطلب تحقيق والحفاظ على الامتثال لإطار SAMA CSF نهجاً منظماً ومستمراً عبر مستويات تنظيمية متعددة. تشمل الخطوات الرئيسية: (1) إجراء تحليل شامل للفجوات مقابل جميع مجالات الإطار الخمسة لتحديد حالة الامتثال الحالية وأوجه القصور. ربط الضوابط الحالية بمتطلبات البنك المركزي وتحديد أولويات المعالجة بناءً على المخاطر والأهمية التنظيمية. (2) إنشاء حوكمة قوية للأمن السيبراني مع إشراف على مستوى مجلس الإدارة وأدوار ومسؤوليات محددة وقيادة مخصصة للأمن السيبراني ترفع تقاريرها مباشرة للإدارة العليا. تطوير واعتماد سياسات ومعايير وإجراءات الأمن السيبراني متوافقة مع متطلبات البنك المركزي. (3) تنفيذ الضوابط التقنية والتشغيلية عبر جميع المجالات، بما في ذلك تقسيم الشبكات والتشفير وإدارة الوصول وإدارة الثغرات والمراقبة الأمنية وقدرات الاستجابة للحوادث. التأكد من أن الضوابط تغطي البيئات المحلية والسحابية. (4) تطوير برنامج شامل لإدارة مخاطر الأطراف الثالثة يتضمن العناية الواجبة والمتطلبات الأمنية التعاقدية والمراقبة المستمرة والتزامات الإخطار بالحوادث لجميع الموردين ومقدمي الخدمات. (5) إنشاء آليات المراقبة والإبلاغ المستمرة، بما في ذلك قدرات مركز العمليات الأمنية (SOC) وإدارة السجلات ودمج معلومات التهديدات وأدوات مراقبة الامتثال الآلية. (6) إجراء برامج تدريب وتوعية منتظمة لجميع الموظفين، مع تدريب متخصص لفرق الأمن السيبراني والإدارة العليا. (7) إجراء تقييمات ذاتية سنوية باستخدام منهجية التقييم الخاصة بالبنك المركزي وتقديم التقارير المطلوبة ضمن المواعيد المحددة. (8) إشراك مدققين مستقلين من طرف ثالث للتحقق من الامتثال وتحديد فرص التحسين. (9) الحفاظ على خطة الاستجابة للحوادث مع إجراءات تصعيد محددة والتأكد من الإبلاغ عن الحوادث للبنك المركزي ضمن الأطر الزمنية المطلوبة (عادة ساعة واحدة للحوادث الحرجة). (10) البقاء على اطلاع بتعاميم البنك المركزي وتحديثات الإرشادات والتوقعات التنظيمية المتطورة من خلال التواصل المنتظم مع الجهة التنظيمية والمنتديات الصناعية. يخلق التكامل مع ISO/IEC 27001:2022 والتوافق مع متطلبات الضوابط الأساسية للأمن السيبراني الوطني (NCA ECC) تآزراً للمؤسسات الخاضعة لأطر متعددة.
يتكامل الامتثال لإطار SAMA CSF مع اللوائح السيبرانية السعودية الأخرى من خلال المتطلبات المتداخلة والأهداف التكميلية، مما يمكّن المؤسسات من تطوير برامج امتثال موحدة. تضع الضوابط الأساسية للأمن السيبراني الوطني (NCA ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني متطلبات أمنية أساسية لجميع الجهات في المملكة، بينما يوفر إطار SAMA CSF متطلبات خاصة بالقطاع المالي. يجب على الجهات المالية الامتثال لكلا الإطارين، لكن يوجد توافق كبير في مجالات مثل التحكم في الوصول والتشفير وإدارة الثغرات والاستجابة للحوادث والمراقبة الأمنية. يمكن للمؤسسات ربط الضوابط عبر الإطارين لتجنب الازدواجية وتحقيق الكفاءة. يضع نظام حماية البيانات الشخصية (PDPL) ولوائحه التنفيذية متطلبات لمعالجة البيانات الشخصية، بما في ذلك معلومات العملاء المالية. يتضمن المجال الثاني (الدفاع السيبراني) والمجال الثالث (المرونة السيبرانية) من إطار SAMA CSF ضوابط تدعم الامتثال لنظام حماية البيانات الشخصية، مثل تصنيف البيانات والتشفير وضوابط الوصول وإجراءات الإخطار بالاختراقات. يجب على المؤسسات المالية التأكد من أن برنامج الامتثال لإطار SAMA CSF يعالج متطلبات نظام حماية البيانات الشخصية لحقوق أصحاب البيانات وإدارة الموافقات ونقل البيانات عبر الحدود وتقييمات أثر الخصوصية. تشمل استراتيجيات التكامل: (1) تطوير هيكل حوكمة موحد يعالج جميع اللوائح المعمول بها مع ملكية ومساءلة واضحة. (2) إنشاء إطار ضوابط موحد يربط المتطلبات عبر SAMA CSF وNCA ECC ونظام حماية البيانات الشخصية، وتنفيذ الضوابط مرة واحدة لتلبية التزامات متعددة. (3) إنشاء عمليات تقييم مخاطر متكاملة تأخذ في الاعتبار المخاطر المالية والتشغيلية والسيبرانية ومخاطر الخصوصية بشكل شامل. (4) تنفيذ إجراءات استجابة موحدة للحوادث تعالج التزامات الإبلاغ للبنك المركزي والهيئة الوطنية للأمن السيبراني والهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) حسب الحاجة. (5) إجراء تقييمات ومراجعات امتثال مشتركة لتحسين الموارد وتقليل التكرار. (6) الحفاظ على مستودعات وثائق وأدلة مركزية يمكن الوصول إليها لمراجعات تنظيمية متعددة. يتماشى هذا النهج المتكامل مع أهداف التحول الرقمي لرؤية 2030 مع ضمان الحماية الشاملة للبنية التحتية المالية للمملكة وبيانات المواطنين.
وفقاً لإطار ساما للأمن السيبراني والضوابط الأساسية للأمن السيبراني للهيئة الوطنية، يجب أن يستوفي اختبار الاختراق عدة متطلبات أساسية: 1) التكرار - إجراء الاختبارات سنوياً على الأقل للأنظمة الحرجة، بعد التغييرات الكبيرة، وبعد الحوادث الأمنية؛ 2) النطاق - يشمل اختبار الشبكة الخارجية والداخلية، وتطبيقات الويب، والتطبيقات المحمولة، والشبكات اللاسلكية، وتقييمات الهندسة الاجتماعية؛ 3) المنهجية - اتباع معايير معترف بها مثل OWASP أو PTES أو إرشادات NIST؛ 4) المؤهلات - يجب أن يحمل المختبرون شهادات معترف بها (CEH، OSCP، GPEN) وأن يكونوا مستقلين عن مطوري النظام؛ 5) التوثيق - الاحتفاظ بتقارير مفصلة تشمل ملخصات تنفيذية، ونتائج تقنية، وتصنيفات المخاطر، وتوصيات المعالجة؛ 6) المعالجة - يجب معالجة الثغرات الحرجة خلال 30 يوماً، والعالية المخاطر خلال 90 يوماً؛ 7) الموافقة - الحصول على التفويض المناسب وقواعد الاشتباك قبل الاختبار؛ 8) حماية البيانات - ضمان عدم المساس بالبيانات الشخصية بموجب نظام حماية البيانات الشخصية. يجب إبلاغ النتائج للإدارة العليا والجهات المعنية عند الحاجة.
يتكون إطار الأمن السيبراني لساما من خمسة مجالات أساسية: 1) حوكمة الأمن السيبراني - إنشاء القيادة والسياسات وهياكل المساءلة؛ 2) الدفاع السيبراني - تنفيذ الضوابط التقنية لاكتشاف التهديدات والوقاية منها والاستجابة لها؛ 3) المرونة السيبرانية - ضمان استمرارية الأعمال والتعافي من الكوارث وقدرات إدارة الحوادث؛ 4) الأمن السيبراني للأطراف الثالثة - إدارة المخاطر من الموردين ومقدمي الخدمات والخدمات المستعان بمصادر خارجية؛ 5) عمليات الأمن السيبراني - الحفاظ على المراقبة الأمنية المستمرة وإدارة الثغرات والعمليات الأمنية. يحتوي كل مجال على ضوابط ومتطلبات محددة يجب على المؤسسات المالية تنفيذها بناءً على ملف المخاطر الخاص بها. يجب على المؤسسات إجراء تقييمات منتظمة والحفاظ على الوثائق وإثبات الامتثال المستمر لجميع الضوابط المطبقة عبر هذه المجالات.
يشكل إطار ساما للأمن السيبراني والضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني وقانون حماية البيانات الشخصية نظاماً تنظيمياً متكاملاً في المملكة العربية السعودية. إطار ساما خاص بقطاع المؤسسات المالية ويتضمن متطلبات تتداخل مع الضوابط الأساسية للأمن السيبراني ولكنها تتجاوزها، والتي تنطبق على جميع البنى التحتية الحيوية والجهات الحكومية. يجب على المؤسسات المالية الامتثال لكلا الإطارين حيثما ينطبق ذلك. الامتثال لقانون حماية البيانات الشخصية إلزامي لجميع المؤسسات التي تعالج البيانات الشخصية، بما في ذلك المؤسسات المالية، ويعالج خصوصية البيانات والموافقة وحقوق الأفراد. يتضمن إطار ساما متطلبات حماية البيانات التي تتوافق مع مبادئ قانون حماية البيانات الشخصية. يجب على المؤسسات تنفيذ نهج حوكمة موحد يعالج الأطر الثلاثة في وقت واحد، حيث تشترك في أهداف مشتركة حول إدارة المخاطر وحماية البيانات والاستجابة للحوادث والضوابط الأمنية. يدعم هذا النهج المتكامل أهداف التحول الرقمي لرؤية السعودية 2030 مع ضمان الحماية الشاملة للأمن السيبراني والخصوصية.
يجب على المؤسسات المالية إجراء استعداد شامل لتقييمات إطار الأمن السيبراني لساما من خلال عدة خطوات رئيسية: 1) تحليل الفجوات: إجراء تقييم مفصل مقابل جميع الضوابط الـ 114 لتحديد فجوات الامتثال. 2) تخطيط المعالجة: تطوير خطط عمل ذات أولوية مع جداول زمنية وتخصيص الموارد. 3) التوثيق: إعداد السياسات والإجراءات وأدلة التنفيذ ومستندات الامتثال لكل ضابط. 4) التقييم الذاتي: إكمال استبيان التقييم الذاتي لساما بدقة مع الأدلة الداعمة. 5) التدقيق الداخلي: إجراء تدقيق داخلي مستقل للتحقق من الامتثال قبل مراجعة ساما. 6) المراقبة المستمرة: تنفيذ آليات المراقبة والإبلاغ المستمر للامتثال. تتطلب ساما تقييمات ذاتية سنوية تُقدم عبر بوابتها، مع إجراء تقييمات ميدانية بشكل دوري. يجب على المؤسسات تحقيق درجات امتثال دنيا: تتطلب الضوابط الأساسية امتثالاً فورياً، بينما قد يكون للضوابط المتقدمة تنفيذ تدريجي. يجب معالجة النتائج الحرجة خلال 90 يوماً، بينما تتطلب النتائج عالية المخاطر خطط عمل خلال 180 يوماً. يجب على المؤسسات الحفاظ على لوحات معلومات الامتثال، وإجراء مراجعات ربع سنوية، وضمان الإشراف على مستوى مجلس الإدارة. يضمن التكامل مع متطلبات الضوابط الأساسية للهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية التوافق التنظيمي الشامل الداعم لأهداف الأمن السيبراني للقطاع المالي في المملكة العربية السعودية.
إطار الأمن السيبراني لساما (SAMA CSF) هو إطار تنظيمي شامل أصدره البنك المركزي السعودي (ساما سابقاً) لحماية القطاع المالي من التهديدات السيبرانية. وهو إلزامي لجميع المؤسسات المالية العاملة في المملكة العربية السعودية، بما في ذلك البنوك وشركات التأمين وشركات التقنية المالية. يتكون الإطار من 114 ضابطاً للأمن السيبراني عبر 5 مجالات: حوكمة الأمن السيبراني، والدفاع السيبراني، والمرونة السيبرانية، والأمن السيبراني للأطراف الثالثة، والامتثال للأمن السيبراني. الامتثال أمر بالغ الأهمية لأنه يضمن احتفاظ المؤسسات المالية بوضع أمني قوي، وحماية بيانات العملاء، وضمان استمرارية الأعمال، وتجنب العقوبات التنظيمية. يتماشى إطار ساما مع المعايير الدولية مثل NIST وISO 27001 مع معالجة المخاطر المحددة في القطاع المالي السعودي، ودعم أهداف التحول الرقمي لرؤية 2030.
يتكون إطار الأمن السيبراني لساما من خمسة مجالات حيوية: 1) حوكمة الأمن السيبراني (1.0) - تؤسس الرقابة من خلال المساءلة على مستوى مجلس الإدارة، واستراتيجية الأمن السيبراني، وإطار إدارة المخاطر، والسياسات. يتطلب تعيين مسؤول أمن المعلومات الرئيسي (CISO) وتقديم تقارير منتظمة للإدارة العليا. 2) الدفاع السيبراني (2.0) - ينفذ ضوابط الحماية بما في ذلك إدارة الأصول، والتحكم في الوصول، وأمن الشبكات، وإدارة الثغرات، والاستخبارات التهديدية، ومراقبة الأمن. 3) المرونة السيبرانية (3.0) - تضمن استمرارية الأعمال من خلال خطط الاستجابة للحوادث، والتعافي من الكوارث، وتخطيط استمرارية الأعمال، والاختبار المنتظم. يفرض الإبلاغ عن الحوادث لساما ضمن أطر زمنية محددة. 4) الأمن السيبراني للأطراف الثالثة (4.0) - يدير المخاطر من الموردين ومقدمي الخدمات والاستعانة بمصادر خارجية من خلال العناية الواجبة والعقود مع متطلبات الأمن والمراقبة المستمرة. 5) الامتثال للأمن السيبراني (5.0) - يتطلب تقييمات منتظمة وعمليات تدقيق مستقلة وتقارير الامتثال لساما وبرامج التحسين المستمر. يحتوي كل مجال على ضوابط محددة يجب تنفيذها بناءً على ملف المخاطر للمؤسسة.