📚 قاعدة المعرفة

بموجب إطار SAMA CSF (إطار الأمن السيبراني لمؤسسة النقد العربي السعودي)، يجب على المؤسسات المالية تنفيذ برامج شاملة لإدارة الثغرات الأمنية تشمل التقييمات المنتظمة للثغرات، والتصحيح في الوقت المناسب، والمراقبة المستمرة. يتطلب SAMA CSF من المؤسسات تحديد الثغرات وتصنيفها ومعالجتها بناءً على شدة المخاطر، مع معالجة الثغرات الحرجة ضمن أطر زمنية محددة. يفرض إطار NCA ECC (الضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني) على المؤسسات الحفاظ على جرد محدث للأصول، وإجراء فحوصات منتظمة للثغرات (ربع سنوية على الأقل للأنظمة المواجهة للخارج وشهرية للأصول الحرجة)، وإجراء اختبارات الاختراق سنوياً أو بعد التغييرات الكبيرة، وإنشاء عملية لإدارة التصحيحات مع اتفاقيات مستوى خدمة محددة. يتطلب كلا الإطارين من المؤسسات تحديد أولويات الثغرات بناءً على قابلية الاستغلال والأثر على الأعمال والمعلومات الاستخبارية عن التهديدات. يجب على المؤسسات الاحتفاظ بوثائق إدارة الثغرات، وتتبع تقدم المعالجة، والإبلاغ عن الثغرات الكبيرة للسلطات المعنية. للامتثال لأهداف التحول الرقمي في رؤية 2030، يجب على المؤسسات اعتماد أدوات فحص الثغرات الآلية، ودمج بيانات الثغرات مع أنظمة SIEM، وتنفيذ نهج قائم على المخاطر يأخذ في الاعتبار مشهد التهديدات السعودي، بما في ذلك التهديدات التي تستهدف البنية التحتية الحرجة والخدمات المالية.

يجب على المؤسسات العاملة في المملكة العربية السعودية إنشاء إطار لتحديد أولويات الثغرات قائم على المخاطر ومتوافق مع SAMA CSF وNCA ECC والمعايير الدولية مثل ISO/IEC 27001:2022. يجب أن تأخذ عملية تحديد الأولويات في الاعتبار عوامل متعددة: درجات CVSS (نظام تسجيل الثغرات الشائع)، وقابلية الاستغلال في البرية، وأهمية الأصول، وحساسية البيانات (خاصة البيانات الشخصية بموجب نظام حماية البيانات الشخصية)، والأثر على الأعمال، والمعلومات الاستخبارية عن التهديدات الخاصة بالمملكة ومنطقة الخليج. تشمل أفضل الممارسات للجداول الزمنية للمعالجة: الثغرات الحرجة (CVSS 9.0-10.0) التي تؤثر على الأنظمة المواجهة للإنترنت أو التي تحتوي على بيانات شخصية يجب معالجتها خلال 7-15 يوماً؛ الثغرات عالية الخطورة (CVSS 7.0-8.9) خلال 30 يوماً؛ متوسطة الخطورة (CVSS 4.0-6.9) خلال 90 يوماً؛ والثغرات منخفضة الخطورة تُعالج خلال دورات الصيانة المنتظمة. بالنسبة للثغرات التي يتم استغلالها بنشاط أو التي تؤثر على الأنظمة التي تعالج بيانات حساسة بموجب نظام حماية البيانات الشخصية، يجب تفعيل إجراءات التصحيح الطارئة فوراً. يجب على المؤسسات تنفيذ ضوابط تعويضية (مثل تجزئة الشبكة، أو قواعد WAF، أو توقيعات IPS) عندما لا يكون التصحيح الفوري ممكناً بسبب القيود التشغيلية. يجب أن يتكامل برنامج إدارة الثغرات مع عمليات إدارة التغيير لضمان اختبار التصحيحات قبل النشر، خاصة للأنظمة التجارية الحرجة. يجب أن تتضمن التقارير المنتظمة للإدارة العليا ومجلس الإدارة مقاييس الثغرات، وتقدم المعالجة، والمخاطر المتبقية. بالنسبة للمؤسسات المالية الخاضعة لإشراف ساما، قد تكون تقارير إدارة الثغرات مطلوبة كجزء من الفحوصات التنظيمية. يجب على المؤسسات الاحتفاظ بسجل للثغرات، وتوثيق الاستثناءات مع قبول المخاطر من قبل السلطات المناسبة، وإجراء مراجعات دورية لضمان بقاء إطار تحديد الأولويات فعالاً ضد التهديدات المتطورة التي تستهدف المؤسسات السعودية.

يجب على المؤسسات في المملكة العربية السعودية تنفيذ نهج متعدد الطبقات لتقييم الثغرات يجمع بين أدوات الفحص الآلي والاختبار اليدوي لتلبية متطلبات SAMA CSF وNCA ECC ونظام حماية البيانات الشخصية. تشمل الممارسات الموصى بها: نشر ماسحات ثغرات على مستوى المؤسسات (مثل Qualys أو Tenable Nessus أو Rapid7 InsightVM أو OpenVAS للمؤسسات ذات الميزانية المحدودة) للفحص المستمر أو المجدول للبنية التحتية للشبكة والخوادم وقواعد البيانات والتطبيقات. تنفيذ الفحص المصادق عليه للكشف عن الثغرات التي تتطلب وصولاً على مستوى النظام، مما يوفر نتائج أكثر شمولاً من الفحوصات غير المصادق عليها. إجراء فحص تطبيقات الويب باستخدام أدوات مثل Burp Suite أو OWASP ZAP أو Acunetix لتحديد الثغرات في التطبيقات المخصصة وواجهات برمجة التطبيقات، والتي تعتبر حرجة للمؤسسات التي تخضع للتحول الرقمي في إطار رؤية 2030. إجراء اختبارات اختراق منتظمة من قبل محترفين مؤهلين (سنوياً على الأقل أو بعد التغييرات الكبيرة) للتحقق من نتائج الثغرات وتقييم قابلية الاستغلال في سيناريوهات العالم الحقيقي. بالنسبة لبيئات السحابة (التي أصبحت شائعة بشكل متزايد مع اعتماد المؤسسات السعودية للخدمات السحابية)، استخدم أدوات الأمان السحابية الأصلية وحلول إدارة وضع الأمان السحابي (CSPM) لتحديد الأخطاء في التكوين والثغرات في نشر IaaS وPaaS وSaaS. دمج بيانات الثغرات مع أنظمة إدارة معلومات الأمان والأحداث (SIEM) ومنصات المعلومات الاستخبارية عن التهديدات لربط الثغرات بالتهديدات النشطة التي تستهدف المؤسسات السعودية. تنفيذ فحص أمان الحاويات وKubernetes للمؤسسات التي تعتمد معماريات التطبيقات الحديثة. إجراء اختبار أمان تطبيقات الهاتف المحمول للتطبيقات المواجهة للعملاء لحماية البيانات الشخصية بموجب نظام حماية البيانات الشخصية. يجب على المؤسسات التأكد من تحديث أدوات الفحص بانتظام بأحدث توقيعات الثغرات وتكوينها لتقليل النتائج الإيجابية الكاذبة من خلال التحقق والضبط. إنشاء جداول فحص توازن بين احتياجات الأمان والأثر التشغيلي: الفحص المستمر للأصول الحرجة، والفحوصات الأسبوعية للأنظمة المواجهة للإنترنت، والفحوصات الشهرية للبنية التحتية الداخلية. للامتثال لمتطلبات NCA ECC، احتفظ بتقارير الفحص، وتتبع اتجاهات الثغرات، ووثق أنشطة المعالجة. فكر في إشراك مزودي خدمات الأمن السيبراني المقيمين في المملكة أو ذوي الخبرة الإقليمية الذين يفهمون مشاهد التهديدات المحلية والمتطلبات التنظيمية. تأكد من امتثال أنشطة تقييم الثغرات لنظام حماية البيانات الشخصية عند فحص الأنظمة التي تحتوي على بيانات شخصية، واحصل على الموافقات المناسبة قبل إجراء الاختبارات التدخلية.

بموجب إطار الأمن السيبراني لمؤسسة النقد العربي السعودي (SAMA CSF)، يجب على المؤسسات المالية تنفيذ برنامج شامل لإدارة الثغرات الأمنية يتضمن: (1) إجراء تقييمات ومسح منتظم للثغرات الأمنية لجميع الأنظمة والتطبيقات والبنية التحتية للشبكة على الأقل كل ربع سنة وبعد أي تغييرات كبيرة؛ (2) تحديد أولويات الثغرات الأمنية على أساس المخاطر باستخدام أنظمة التصنيف المعتمدة في الصناعة مثل CVSS؛ (3) تحديد جداول زمنية للمعالجة بناءً على مستويات الخطورة - يجب معالجة الثغرات الحرجة خلال 15 يومًا، والثغرات عالية الخطورة خلال 30 يومًا، والثغرات متوسطة الخطورة خلال 90 يومًا؛ (4) توثيق إجراءات وسير عمل إدارة الثغرات الأمنية؛ (5) التكامل مع عمليات إدارة التحديثات؛ (6) تتبع وإعداد تقارير عن حالة معالجة الثغرات الأمنية للإدارة العليا؛ (7) إجراء اختبارات التحقق بعد المعالجة؛ و(8) الاحتفاظ بقاعدة بيانات للثغرات الأمنية والمقاييس. يؤكد الإطار على المراقبة المستمرة ويتطلب من المؤسسات الاحتفاظ بأدلة على أنشطة إدارة الثغرات الأمنية لأغراض التدقيق، بما يتماشى مع نهج مؤسسة النقد القائم على المخاطر للأمن السيبراني.

يفرض إطار الضوابط الأساسية للأمن السيبراني التابع للهيئة الوطنية للأمن السيبراني (NCA ECC) ضوابط شاملة لإدارة الثغرات الأمنية لمشغلي البنية التحتية الحرجة في المملكة العربية السعودية، لا سيما ضمن المجال الخامس (المرونة السيبرانية). تشمل المتطلبات الرئيسية: (1) إنشاء أدوات آلية لمسح الثغرات الأمنية للتقييم المستمر لبيئات تقنية المعلومات والتقنية التشغيلية؛ (2) إجراء عمليات مسح موثقة لتحديد نقاط الضعف في التكوين والتحديثات المفقودة؛ (3) إجراء اختبارات الاختراق سنويًا للأنظمة الحرجة وبعد التغييرات الكبيرة؛ (4) تنفيذ نهج معالجة قائم على المخاطر مع معالجة الثغرات الحرجة خلال 7 أيام للأنظمة المتصلة بالإنترنت و14 يومًا للأنظمة الداخلية؛ (5) الاحتفاظ بجرد للأصول لضمان التغطية الشاملة؛ (6) التنسيق مع الهيئة الوطنية للأمن السيبراني للحصول على معلومات التهديدات حول الثغرات الناشئة؛ (7) إنشاء عمليات استثناء وضوابط تعويضية للثغرات التي لا يمكن معالجتها فورًا؛ (8) توثيق النتائج الإيجابية الخاطئة والمخاطر المقبولة بموافقة الإدارة؛ و(9) دمج بيانات الثغرات الأمنية مع أنظمة SIEM للربط مع الأحداث الأمنية. يدعم الإطار أهداف التحول الرقمي لرؤية السعودية 2030 مع ضمان مرونة البنية التحتية الحرجة.

يتضمن تنفيذ برنامج إدارة الثغرات الأمنية الذي يلبي متطلبات إطار الأمن السيبراني لمؤسسة النقد (SAMA CSF) ونظام حماية البيانات الشخصية (PDPL): (1) تصنيف الأصول: تحديد وتصنيف جميع الأنظمة التي تعالج البيانات الشخصية بموجب PDPL، مع إعطاء الأولوية لتلك التي تتعامل مع المعلومات المالية والشخصية الحساسة؛ (2) المسح الآلي: نشر ماسحات الثغرات الأمنية على مستوى المؤسسة مع عمليات مسح مجدولة (أسبوعيًا للأنظمة الحرجة، وشهريًا للأنظمة الأخرى) وقدرات المراقبة المستمرة؛ (3) تحديد الأولويات على أساس المخاطر: استخدام درجات CVSS مع أهمية الأصول وحساسية البيانات لتحديد أولويات المعالجة - الأنظمة التي تعالج البيانات الشخصية تتطلب تصحيحًا سريعًا؛ (4) سير عمل المعالجة: إنشاء ملكية واضحة واتفاقيات مستوى الخدمة (حرج: 7-15 يومًا، عالي: 30 يومًا، متوسط: 90 يومًا) وإجراءات التصعيد مع التتبع من خلال أنظمة التذاكر؛ (5) الضوابط التعويضية: للأنظمة التي لا يمكن تصحيحها فورًا، تنفيذ تجزئة الشبكة أو قواعد WAF أو المراقبة المعززة كما يتطلب كلا الإطارين؛ (6) الاختبار والتحقق: إجراء اختبارات ما قبل النشر في بيئات غير إنتاجية وعمليات مسح التحقق بعد المعالجة؛ (7) التوثيق وإعداد التقارير: الاحتفاظ بسجلات شاملة تشمل نتائج المسح وأدلة المعالجة ونماذج قبول المخاطر ولوحات المعلومات التنفيذية لعمليات تدقيق SAMA وإثباتات الامتثال لـ PDPL؛ (8) إدارة الأطراف الثالثة: توسيع تقييمات الثغرات الأمنية لتشمل البائعين ومقدمي الخدمات الذين يتعاملون مع البيانات الشخصية؛ (9) التكامل مع الحوادث: ربط بيانات الثغرات الأمنية مع إجراءات الاستجابة للحوادث لتحديد محاولات الاستغلال؛ و(10) التحسين المستمر: إجراء مراجعات ربع سنوية للبرنامج وتحديث الإجراءات بناءً على التهديدات الناشئة وتوفير التدريب المنتظم لفرق تقنية المعلومات. يضمن هذا النهج المتكامل حماية البيانات الشخصية مع تلبية الالتزامات التنظيمية.

يجب على المؤسسات المالية تنفيذ إدارة الثغرات الأمنية وفقاً لمتطلبات إطار الأمن السيبراني لمؤسسة النقد العربي السعودي، وتحديداً ضمن المجال 1-4 (إدارة الثغرات والتحديثات). تشمل المتطلبات الرئيسية: (1) وضع سياسة رسمية لإدارة الثغرات الأمنية معتمدة من الإدارة العليا؛ (2) إجراء تقييمات مستمرة للثغرات باستخدام أدوات مؤهلة لجميع الأنظمة الحرجة ومنصات الدفع والتطبيقات الموجهة للعملاء؛ (3) تنفيذ ترتيب الأولويات على أساس المخاطر باستخدام درجات CVSS مع معالجة الثغرات الحرجة (CVSS 9.0-10.0) خلال 7 أيام، والعالية (7.0-8.9) خلال 30 يوماً؛ (4) الحفاظ على قائمة جرد كاملة للأصول متكاملة مع أنظمة تتبع الثغرات؛ (5) إجراء اختبارات الاختراق سنوياً للأنظمة المتصلة بالإنترنت وبعد التغييرات الكبيرة؛ (6) إنشاء عملية لإدارة التحديثات مع الاختبار في بيئات غير إنتاجية قبل النشر؛ (7) تنفيذ ضوابط تعويضية وتقسيم الشبكة عندما لا يكون التحديث الفوري ممكناً؛ (8) الإبلاغ عن مقاييس الثغرات إلى ساما ربع سنوياً بما في ذلك متوسط الوقت للمعالجة؛ و(9) التنسيق مع المدفوعات السعودية لثغرات نظام الدفع. وهذا يضمن حماية البيانات المالية ويدعم الامتثال لنظام حماية البيانات الشخصية لأمن معلومات العملاء.

يتطلب إنشاء برنامج للإفصاح عن الثغرات الأمنية في المملكة العربية السعودية التوافق مع إرشادات الهيئة الوطنية للأمن السيبراني ومتطلبات حماية البيانات في نظام حماية البيانات الشخصية. تشمل أفضل الممارسات: (1) نشر سياسة واضحة للإفصاح عن الثغرات باللغتين العربية والإنجليزية على موقعك الإلكتروني، مع تحديد النطاق وطرق التقديم والجداول الزمنية للاستجابة؛ (2) إنشاء جهة اتصال أمنية مخصصة (security@domain.sa) والتسجيل لدى فريق الاستجابة لطوارئ الحاسب الآلي السعودي؛ (3) تحديد نطاق البرنامج بوضوح، باستثناء الأنظمة التي تحتوي على بيانات شخصية ما لم يتبع الباحثون متطلبات المادة 21 من نظام حماية البيانات الشخصية للبحث الأمني؛ (4) تنفيذ عملية فرز للإقرار بالتقديمات خلال 48 ساعة وتقديم تحديثات الحالة كل 7-14 يوماً؛ (5) تحديد اتفاقيات مستوى الخدمة للمعالجة: الثغرات الحرجة خلال 30 يوماً، العالية خلال 60 يوماً، المتوسطة خلال 90 يوماً؛ (6) وضع أحكام الملاذ الآمن لحماية الباحثين حسني النية من الإجراءات القانونية بموجب نظام مكافحة الجرائم المعلوماتية السعودي؛ (7) تنفيذ جدول زمني للإفصاح المسؤول (عادة 90 يوماً) قبل الإفصاح العام؛ (8) التنسيق مع الهيئة الوطنية للأمن السيبراني للثغرات التي تؤثر على البنية التحتية الوطنية الحرجة؛ (9) الاحتفاظ بسجلات مفصلة لجميع التقديمات والتقييمات وإجراءات المعالجة؛ (10) النظر في برنامج مكافآت الأخطاء للمؤسسات الناضجة؛ و(11) ضمان امتثال جميع عمليات معالجة تقارير الثغرات لمتطلبات السرية في نظام حماية البيانات الشخصية. يدعم هذا النهج أهداف الابتكار في رؤية 2030 مع الحفاظ على الأمن.

بموجب الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، يجب على المؤسسات تنفيذ برنامج شامل لإدارة الثغرات الأمنية يتضمن: (1) إجراء تقييمات ومسح منتظم للثغرات الأمنية لجميع الأنظمة والشبكات والتطبيقات على الأقل كل ربع سنة وبعد التغييرات الكبيرة؛ (2) تحديد أولويات الثغرات الأمنية بناءً على المخاطر باستخدام أنظمة تسجيل موحدة مثل CVSS؛ (3) جداول زمنية للمعالجة بناءً على الخطورة - الثغرات الحرجة خلال 15 يوماً، العالية خلال 30 يوماً، المتوسطة خلال 90 يوماً؛ (4) الحفاظ على جرد للأصول لضمان التغطية الكاملة؛ (5) إجراءات موثقة لتحديد الثغرات وتقييمها ومعالجتها والتحقق منها؛ (6) التنسيق مع فريق الاستجابة لطوارئ الحاسب الآلي CERT-SA للحصول على معلومات التهديدات وإشعارات الثغرات؛ (7) تقديم تقارير منتظمة للإدارة حول حالة الثغرات وتقدم المعالجة. يجب أيضاً أن تغطي إدارة الثغرات الخدمات السحابية والأجهزة المحمولة وأجهزة إنترنت الأشياء وأنظمة الأطراف الثالثة. وهذا يتماشى مع المجالات 5 (إدارة مخاطر الأمن السيبراني) و6 (الأمن السيبراني للأطراف الثالثة والحوسبة السحابية) من الضوابط.

يتطلب إطار الأمن السيبراني لساما من المؤسسات المالية إنشاء برنامج قوي لإدارة الثغرات الأمنية يتماشى مع المجال 2-4 (إدارة الثغرات والتحديثات الأمنية). تشمل المتطلبات الرئيسية: (1) نشر أدوات مسح آلية للثغرات عبر جميع البنية التحتية لتقنية المعلومات، بما في ذلك الشبكات والخوادم وقواعد البيانات والتطبيقات ونقاط النهاية؛ (2) المراقبة المستمرة مع عمليات مسح مصادق عليها شهرياً على الأقل للأنظمة الداخلية وأسبوعياً للأصول المتصلة بالإنترنت؛ (3) التكامل مع موجزات معلومات التهديدات لتحديد الثغرات الناشئة التي تؤثر على الخدمات المالية؛ (4) تحديد الأولويات بناءً على المخاطر مع مراعاة أهمية الأعمال وحساسية البيانات وقابلية الاستغلال؛ (5) إجراءات موثقة لإدارة التحديثات مع جداول زمنية معجلة للأنظمة المالية الحرجة - التحديثات الحرجة خلال 7 أيام، عالية المخاطر خلال 14 يوماً؛ (6) التكامل مع إدارة التغيير لضمان عدم تعطيل التحديثات للعمليات؛ (7) ضوابط تعويضية للأنظمة التي لا يمكن تحديثها فوراً؛ (8) اختبار الاختراق سنوياً على الأقل وبعد التغييرات الكبيرة؛ (9) برنامج للإفصاح عن الثغرات للإبلاغ المسؤول؛ (10) تقديم تقارير على مستوى مجلس الإدارة حول مقاييس الثغرات والتعرض لمخاطر الأمن السيبراني. يجب أيضاً على المؤسسات المالية إجراء تقييمات للثغرات قبل نشر أنظمة جديدة والاحتفاظ بالأدلة لعمليات تدقيق ساما.

لدعم التحول الرقمي لرؤية 2030 مع الحفاظ على الامتثال لنظام حماية البيانات الشخصية، يجب على المؤسسات تنفيذ أفضل ممارسات إدارة الثغرات التالية: (1) اكتشاف الأصول وتصنيفها: الحفاظ على جرد ديناميكي لجميع الأصول الرقمية، وتصنيف الأنظمة بناءً على معالجة البيانات الشخصية لتحديد أولويات الأنظمة ذات الصلة بنظام حماية البيانات؛ (2) التكامل مع الخصوصية بالتصميم: تضمين تقييمات أثر الخصوصية في معالجة الثغرات لضمان عدم إنشاء التحديثات لمخاطر جديدة لتعرض البيانات الشخصية؛ (3) الأمن السحابي الأصلي: تنفيذ مسح الحاويات وتحليل أمان البنية التحتية كرمز واختبار ثغرات واجهات برمجة التطبيقات للخدمات السحابية الداعمة للمبادرات الرقمية؛ (4) التكامل مع DevSecOps: دمج اختبار الأمان في خطوط CI/CD مع المسح الآلي SAST وDAST والتبعيات لتحديد الثغرات قبل النشر في الإنتاج؛ (5) إدارة مخاطر الأطراف الثالثة: تقييم وضع أمان الموردين وطلب اتفاقيات مستوى الخدمة لإدارة الثغرات في العقود، خاصة للمعالجين الذين يتعاملون مع البيانات الشخصية بموجب النظام؛ (6) الاستجابة للثغرات الصفرية: وضع إجراءات استجابة سريعة للثغرات الصفرية، بما في ذلك بروتوكولات التحديث الطارئ والتحديث الافتراضي عبر WAF/IPS؛ (7) تطوير المهارات: تدريب المتخصصين السعوديين في الأمن السيبراني على تقنيات تقييم الثغرات، دعماً لأهداف التوطين في رؤية 2030؛ (8) المقاييس ومؤشرات الأداء: تتبع متوسط وقت الاكتشاف ومتوسط وقت المعالجة وكثافة الثغرات ومعدلات الامتثال للتحديثات؛ (9) معلومات التهديدات: الاشتراك في موجزات التهديدات الإقليمية والمشاركة في تبادل المعلومات مع CERT-SA؛ (10) ربط الامتثال: توثيق كيفية استيفاء ضوابط إدارة الثغرات للمادة 21 من نظام حماية البيانات (التدابير الأمنية) ومتطلبات الضوابط الأساسية للأمن السيبراني. يتيح هذا النهج الشامل التحول الرقمي الآمن مع حماية حقوق البيانات الشخصية.