📚 قاعدة المعرفة

يجب على المؤسسات السعودية تتبع مقاييس مراكز عمليات الأمن التالية المتوافقة مع متطلبات الهيئة الوطنية للأمن السيبراني: 1) متوسط الوقت للكشف ومتوسط الوقت للاستجابة للحوادث، مع أهداف تستند إلى خطورة الحادث والجداول الزمنية لإبلاغ الهيئة، 2) نسبة الامتثال للضوابط الأساسية للأمن السيبراني من خلال عمليات التدقيق المنتظمة، 3) عدد الحوادث المكتشفة مقابل المفقودة (السلبيات الكاذبة)، 4) معدل الإيجابيات الكاذبة لقياس دقة التنبيهات، 5) الوقت للامتثال لمتطلبات الإبلاغ عن الحوادث للهيئة خلال 72 ساعة، 6) نسبة تغطية الأصول المراقبة وفقاً لتصنيف الأصول بموجب نظام حماية البيانات الشخصية، 7) معدل ربط الأحداث الأمنية واستخدام معلومات التهديدات، 8) معدلات إكمال تدريب الموظفين وحالة الشهادات، 9) وقت معالجة الثغرات متوافق مع متطلبات إدارة التصحيحات للهيئة، 10) نسبة الأنظمة الحرجة ذات المراقبة المستمرة، 11) معدلات إكمال التدريبات والتمارين، و12) تتبع نتائج التدقيق والمعالجة. يجب الإبلاغ عن هذه المقاييس للإدارة التنفيذية ربع سنوياً وإدراجها في تقارير الامتثال السنوية للهيئة الوطنية للأمن السيبراني.

يجب على المؤسسات السعودية تنفيذ مشاركة معلومات التهديدات من خلال: 1) المشاركة في منصات تبادل المعلومات التابعة للمركز الوطني للأمن السيبراني والاشتراك في نشرات التهديدات الصادرة عن الهيئة، 2) الانضمام إلى مراكز تبادل وتحليل المعلومات الخاصة بالقطاعات مثل مجموعات القطاع المالي المنسقة من قبل مؤسسة النقد، 3) تنفيذ بروتوكولات STIX/TAXII لتبادل معلومات التهديدات الآلي مع ضمان امتثال تصنيف البيانات لنظام حماية البيانات الشخصية، 4) إنشاء اتفاقيات مشاركة ثنائية مع شركاء موثوقين تتضمن بنوداً حول حماية البيانات والسرية، 5) المساهمة بمؤشرات التهديدات المجهولة في قواعد البيانات الوطنية مع حماية المعلومات التنظيمية الحساسة، 6) استهلاك مصادر معلومات التهديدات الإقليمية التي تركز على التهديدات باللغة العربية والجهات الفاعلة في التهديدات بالشرق الأوسط، 7) التنسيق مع فريق الاستجابة لطوارئ الحاسب الآلي السعودي لمشاركة المعلومات المتعلقة بالحوادث، 8) تنفيذ بروتوكول إشارة المرور لتصنيف المعلومات، 9) ضمان امتثال جميع المعلومات المشتركة لمتطلبات سيادة البيانات السعودية وعدم الكشف عن تفاصيل البنية التحتية الحيوية، و10) المشاركة المنتظمة في ورش عمل معلومات التهديدات ومنتديات الأمن السيبراني التي تنظمها الهيئة الوطنية للأمن السيبراني.

وفقاً لضوابط الأمن السيبراني الأساسية للهيئة الوطنية للأمن السيبراني، يجب على المؤسسات في المملكة العربية السعودية تنفيذ إطار شامل للاستجابة للحوادث يتكون من ست مراحل رئيسية: 1) التحضير - إنشاء فرق الاستجابة للحوادث والسياسات والأدوات؛ 2) التحديد - اكتشاف وتحديد نطاق الحوادث الأمنية؛ 3) الاحتواء - الحد من الأضرار ومنع المزيد من الاختراق؛ 4) الإزالة - إزالة التهديد من البيئة؛ 5) الاستعادة - استعادة الأنظمة والخدمات إلى العمليات الطبيعية؛ و6) الدروس المستفادة - إجراء تحليل ما بعد الحادث وتحسين التدابير الأمنية. يجب على المؤسسات توثيق هذه الإجراءات باللغتين العربية والإنجليزية، والحفاظ على قدرات الاستجابة للحوادث على مدار الساعة للبنية التحتية الحرجة، والإبلاغ عن الحوادث الكبيرة للهيئة الوطنية للأمن السيبراني ضمن الأطر الزمنية المحددة.

يجب على المؤسسات في المملكة العربية السعودية الامتثال لمتطلبات الإبلاغ الصارمة عن الحوادث كما تفرضها الهيئة الوطنية للأمن السيبراني. يجب الإبلاغ عن الحوادث الحرجة التي تؤثر على الخدمات الأساسية أو البنية التحتية الحرجة أو التي تتضمن اختراقات بيانات كبيرة للهيئة خلال ساعة واحدة من اكتشافها. يجب الإبلاغ عن الحوادث متوسطة الخطورة خلال 24 ساعة، بينما يجب الإبلاغ عن الحوادث منخفضة الخطورة خلال 72 ساعة. يجب أن يتضمن التقرير الأولي تصنيف الحادث والأنظمة المتأثرة والتقييم الأولي للأثر والإجراءات الفورية المتخذة. يجب على المؤسسات تقديم تقارير متابعة تفصيلية تتضمن تحليل السبب الجذري والتقييم الكامل للأثر وتدابير المعالجة. قد يؤدي عدم الإبلاغ عن الحوادث ضمن الأطر الزمنية المحددة إلى عقوبات بموجب أنظمة الأمن السيبراني السعودية. يجب تقديم التقارير عبر بوابة الإبلاغ الرسمية للهيئة وتتضمن التوثيق باللغتين العربية والإنجليزية.

يجب أن يتضمن فريق الاستجابة لحوادث الأمن السيبراني في المؤسسات السعودية أدواراً ومسؤوليات محددة بوضوح ومتوافقة مع متطلبات الهيئة الوطنية للأمن السيبراني. يشمل أعضاء الفريق الأساسيون: 1) مدير فريق الاستجابة - ينسق أنشطة الاستجابة ويتواصل مع الإدارة التنفيذية والهيئة؛ 2) محللو الأمن - يقومون باكتشاف وتحليل والتحقيق في الحوادث؛ 3) متخصصو الطب الشرعي الرقمي - يجمعون ويحفظون الأدلة الرقمية وفقاً للمتطلبات القانونية السعودية؛ 4) مسؤولو الأنظمة - ينفذون تدابير الاحتواء والاستعادة؛ 5) المستشارون القانونيون - يضمنون الامتثال لقوانين الأمن السيبراني السعودية وأنظمة حماية البيانات؛ 6) مسؤولو الاتصالات - يديرون الاتصالات الداخلية والخارجية بالعربية والإنجليزية؛ و7) متخصصو استمرارية الأعمال - يضمنون استعادة الخدمة. يجب أن يكون لدى الفريق إجراءات تصعيد موثقة، والحفاظ على التوافر على مدار الساعة للأنظمة الحرجة، وإجراء التدريب والتمارين المنتظمة، والحفاظ على قنوات اتصال آمنة. يجب أن يحمل جميع أعضاء الفريق التصاريح الأمنية المناسبة عند التعامل مع البيانات الحكومية السرية أو الحساسة.

يجب على المؤسسات في المملكة العربية السعودية اتباع إجراءات صارمة للطب الشرعي الرقمي وحفظ الأدلة التي تتوافق مع نظام مكافحة جرائم المعلوماتية السعودي وإرشادات الهيئة الوطنية للأمن السيبراني. تشمل المتطلبات الرئيسية: 1) تنفيذ عملية موثقة لسلسلة الحفظ باللغة العربية لجميع الأدلة الرقمية؛ 2) استخدام أدوات وطرق سليمة من الناحية الشرعية تحافظ على سلامة البيانات؛ 3) إنشاء نسخ بت بت من الأنظمة المتأثرة دون تغيير الأدلة الأصلية؛ 4) توثيق جميع الأنشطة الشرعية بطوابع زمنية متزامنة مع التوقيت العربي السعودي؛ 5) تخزين الأدلة في بيئات آمنة ومحكومة الوصول مع التشفير؛ 6) الاحتفاظ بالأدلة للفترة المطلوبة قانونياً (عادة 5-10 سنوات)؛ 7) التنسيق مع جهات إنفاذ القانون السعودية والهيئة عند الاشتباه في نشاط إجرامي؛ 8) ضمان حصول محققي الطب الشرعي على الشهادات والتدريب المناسب في المتطلبات القانونية السعودية؛ و9) إعداد تقارير الأدلة باللغتين العربية والإنجليزية. يجب على المؤسسات أيضاً التأكد من أن إجراءات الطب الشرعي تحترم قوانين الخصوصية ومتطلبات توطين البيانات لبيانات المواطنين السعوديين.

يجب على المؤسسات السعودية تنفيذ أنشطة شاملة لما بعد الحادث كما يتطلب إطار ضوابط الأمن السيبراني الأساسية للهيئة الوطنية. تشمل هذه: 1) إجراء اجتماع مراجعة رسمي بعد الحادث خلال 5 أيام عمل يشمل جميع أصحاب المصلحة، موثق باللغة العربية؛ 2) إجراء تحليل السبب الجذري لتحديد كيفية حدوث الحادث ولماذا فشلت الضوابط؛ 3) تقييم فعالية عملية الاستجابة للحوادث وتحديد مجالات التحسين؛ 4) توثيق الدروس المستفادة بما في ذلك الجدول الزمني للأحداث والإجراءات المتخذة والنتائج؛ 5) تحديث خطط الاستجابة للحوادث وكتيبات الإجراءات بناءً على النتائج؛ 6) تنفيذ الإجراءات التصحيحية والتحسينات الأمنية لمنع التكرار؛ 7) إجراء تدريب إضافي للموظفين على الثغرات المحددة؛ 8) مشاركة معلومات التهديدات المجهولة مع المؤسسات القطاعية السعودية ذات الصلة عبر القنوات المعتمدة من الهيئة؛ 9) تحديث تقييمات المخاطر وتحليلات تأثير الأعمال؛ 10) تقديم تقرير نهائي للحادث للهيئة مع التوصيات؛ و11) تتبع المقاييس مثل وقت الاكتشاف ووقت الاستجابة ووقت الاستعادة لقياس التحسين. يجب الاحتفاظ بجميع الوثائق وفقاً للمتطلبات التنظيمية السعودية وإتاحتها لعمليات تدقيق الهيئة.

يجب على فرق مراكز عمليات الأمن السيبراني في المملكة العربية السعودية اتباع إجراءات تصعيد منظمة: 1) تصنيف الحوادث وفقاً لمستويات الخطورة المحددة من الهيئة الوطنية للأمن السيبراني (حرج، عالي، متوسط، منخفض)، 2) الإبلاغ عن الحوادث السيبرانية الحرجة للهيئة الوطنية خلال ساعة واحدة من اكتشافها كما هو مطلوب، 3) الاحتفاظ بسجلات مفصلة للحوادث باللغتين العربية والإنجليزية، 4) اتباع دورة حياة الاستجابة للحوادث: الاكتشاف، التحليل، الاحتواء، الإزالة، الاستعادة، والدروس المستفادة، 5) التنسيق مع أصحاب المصلحة المعنيين بما في ذلك الإدارة والفرق القانونية والجهات التنظيمية، 6) استخدام بوابة الإبلاغ الخاصة بالهيئة الوطنية للأمن السيبراني للإخطارات الإلزامية، 7) توثيق جميع الإجراءات المتخذة أثناء معالجة الحوادث لعمليات التدقيق، و8) إجراء مراجعات ما بعد الحوادث لتحسين عمليات المركز وتحديث خطط العمل وفقاً لمشهد التهديدات المحلي.

يجب على مراكز عمليات الأمن السيبراني السعودية دمج مصادر متعددة لمعلومات التهديدات: 1) تنبيهات ومصادر التهديدات من الهيئة الوطنية للأمن السيبراني الخاصة بالمملكة، 2) معلومات التهديدات الإقليمية من فريق الاستجابة لطوارئ الحاسب الآلي لدول مجلس التعاون الخليجي والمنظمات الإقليمية العربية للأمن السيبراني، 3) منصات معلومات التهديدات التجارية العالمية، 4) مصادر المعلومات مفتوحة المصدر مثل AlienVault OTX و MISP، 5) مراكز تبادل وتحليل المعلومات الخاصة بالقطاعات ذات الصلة مثل المالية والطاقة والرعاية الصحية، 6) معلومات التهديدات الخاصة بالموردين من مصنعي منتجات الأمن، 7) مراقبة الويب المظلم للتهديدات باللغة العربية وأنشطة الجهات المهددة الإقليمية، و8) منصات التعاون مع المؤسسات السعودية الأخرى لتبادل مؤشرات الاختراق مع الحفاظ على السرية والامتثال لأنظمة حماية البيانات.

يجب على مراكز عمليات الأمن السيبراني السعودية تتبع مؤشرات الأداء الرئيسية التالية: 1) متوسط الوقت للكشف (MTTD) - متوسط الوقت لتحديد الحوادث الأمنية، مستهدفاً أقل من 15 دقيقة للتهديدات الحرجة، 2) متوسط الوقت للاستجابة (MTTR) - الوقت من الاكتشاف إلى الاحتواء، بهدف الامتثال للجداول الزمنية للاستجابة للحوادث المحددة من الهيئة الوطنية، 3) متوسط الوقت للحل - وقت حل الحادث بالكامل، 4) معدل الإيجابيات الخاطئة - نسبة التنبيهات التي ليست تهديدات فعلية، بشكل مثالي أقل من 20%، 5) حجم التنبيهات ومعدل الفرز - عدد التنبيهات المعالجة والمصنفة يومياً، 6) معدل الامتثال - الالتزام بالضوابط الأساسية ومتطلبات الهيئة الوطنية، مستهدفاً 100%، 7) تغطية كشف التهديدات - نسبة نواقل الهجوم المراقبة، 8) الامتثال للإبلاغ عن الحوادث - الإبلاغ في الوقت المناسب للهيئة الوطنية ضمن الأطر الزمنية المحددة، 9) إنتاجية محللي المركز - التذاكر المعالجة لكل محلل، و10) فعالية أدوات الأمن - معدلات الكشف للحلول الأمنية المنشورة. يجب الإبلاغ عن هذه المقاييس للإدارة ربع سنوياً ومواءمتها مع أهداف النضج السيبراني السعودي.

يجب على المؤسسات السعودية تنفيذ برامج تدريب شاملة لمحللي مراكز عمليات الأمن السيبراني تشمل: 1) الشهادات الأساسية مثل CompTIA Security+ أو CEH أو GIAC Security Essentials كمتطلبات أساسية، 2) الشهادات المتقدمة مثل GCIH أو GCIA أو CISSP للمحللين الأقدم، 3) التدريب المتخصص على الأنظمة السعودية بما في ذلك إطار الضوابط الأساسية ونظام حماية البيانات الشخصية وإرشادات الهيئة الوطنية، 4) إتقان اللغتين العربية والإنجليزية للتوثيق والتواصل، 5) التدريب العملي على منصات SIEM وأدوات EDR وتقنيات البحث عن التهديدات المستخدمة في المؤسسة، 6) تمارين محاكاة منتظمة للحوادث ذات الصلة بمشهد التهديدات السعودي (مثل برامج الفدية ومجموعات التهديدات المستمرة المتقدمة التي تستهدف المنطقة)، 7) المشاركة في مؤتمرات الأمن السيبراني السعودية وورش عمل المركز الوطني للأمن السيبراني، 8) التدريب المتقاطع في الاستجابة للحوادث والطب الشرعي الرقمي وتحليل البرمجيات الخبيثة، 9) برامج الإرشاد لربط المحللين المبتدئين بأعضاء الفريق ذوي الخبرة، و10) التعلم المستمر من خلال إحاطات معلومات التهديدات حول التهديدات الإقليمية. يجب على المؤسسات تخصيص 40 ساعة على الأقل سنوياً لكل محلل للتدريب ومواءمة التطوير مع أهداف رؤية السعودية 2030 للتحول الرقمي وتطوير القوى العاملة في الأمن السيبراني.

يمنح نظام حماية البيانات الشخصية أصحاب البيانات حقوقاً شاملة: 1) حق الوصول - الحصول على تأكيد معالجة البيانات والوصول إلى بياناتهم؛ 2) حق التصحيح - تصحيح البيانات غير الدقيقة أو غير الكاملة؛ 3) حق المحو - طلب الحذف في ظروف معينة؛ 4) حق تقييد المعالجة - الحد من كيفية استخدام البيانات؛ 5) حق نقل البيانات - تلقي البيانات بصيغة منظمة ونقلها؛ 6) حق الاعتراض - معارضة المعالجة بناءً على المصالح المشروعة؛ 7) حق سحب الموافقة - إلغاء الموافقة في أي وقت؛ 8) حق تقديم الشكاوى - تقديم شكاوى إلى هيئة حماية البيانات الشخصية السعودية. يجب على المؤسسات الرد على الطلبات خلال 30 يوماً ووضع إجراءات واضحة لممارسة هذه الحقوق بسهولة.

إطار الضوابط السيبرانية الأساسية إلزامي لجميع الجهات الحكومية في المملكة العربية السعودية، بالإضافة إلى المنظمات العاملة في قطاعات البنية التحتية الحرجة بما في ذلك الطاقة والمياه والصحة والمالية والنقل والاتصالات وتقنية المعلومات والخدمات الحكومية. قد يُطلب أيضاً من منظمات القطاع الخاص التي تقدم خدمات أساسية أو تتعامل مع بيانات حكومية حساسة الامتثال للإطار. تصنف الهيئة الوطنية للأمن السيبراني الجهات إلى ثلاثة مستويات (1 و2 و3) بناءً على أهميتها الحرجة، حيث يكون المستوى 1 الأكثر أهمية ويتطلب أعلى مستوى من الامتثال. يجب على المنظمات إجراء تقييم ذاتي وتطبيق الضوابط المناسبة لمستوى تصنيفها.

تم تصميم إطار الضوابط السيبرانية الأساسية ليتوافق مع معايير الأمن السيبراني المعترف بها دولياً مع معالجة السياق التنظيمي والثقافي الخاص بالمملكة العربية السعودية. يتضمن الإطار عناصر من معايير ISO/IEC 27001/27002 لإدارة أمن المعلومات، وإطار NIST للأمن السيبراني لمناهج إدارة المخاطر، ومعيار IEC 62443 لأمن أنظمة التحكم الصناعية. يسهل هذا التوافق على المنظمات الممتثلة بالفعل للمعايير الدولية ربط ضوابطها الحالية بمتطلبات الضوابط السيبرانية الأساسية، مما يقلل من ازدواجية الجهد. ومع ذلك، تتضمن الضوابط متطلبات محددة فريدة للبيئة التنظيمية السعودية، مثل أحكام توطين البيانات، ومتطلبات اللغة العربية للوثائق، وجداول زمنية محددة للإبلاغ عن الحوادث للهيئة. يمكن للمنظمات الاستفادة من الشهادات الحالية مثل ISO 27001 كدليل على الامتثال الجزئي، ولكن يجب معالجة الضوابط الخاصة بالإطار والخضوع لعمليات تقييم الهيئة.

وفقاً للضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية (الضابط الخامس)، يتضمن تنفيذ برنامج إدارة الثغرات الأمنية في المملكة: 1) اكتشاف الأصول وجردها - الحفاظ على جرد كامل لجميع أصول تقنية المعلومات بما في ذلك الأجهزة والبرمجيات وأجهزة الشبكة؛ 2) فحص الثغرات - إجراء فحوصات آلية منتظمة باستخدام أدوات معتمدة لتحديد نقاط الضعف الأمنية؛ 3) تقييم المخاطر - تحديد أولويات الثغرات بناءً على الخطورة وقابلية الاستغلال والتأثير على الأعمال باستخدام أطر مثل CVSS؛ 4) المعالجة - تطبيق التحديثات أو تغييرات التكوين أو الضوابط التعويضية ضمن أطر زمنية محددة (الثغرات الحرجة خلال 15 يوماً وفقاً لمتطلبات الهيئة)؛ 5) التحقق - تأكيد نجاح المعالجة من خلال إعادة الفحص؛ 6) إعداد التقارير - توثيق النتائج وإجراءات المعالجة لأغراض الامتثال والتدقيق. يجب على المؤسسات أيضاً دمج معلومات التهديدات ذات الصلة بالسياق السعودي والتنسيق مع فريق الاستجابة للطوارئ السيبرانية التابع للهيئة للثغرات الحرجة التي تؤثر على البنية التحتية الوطنية.

يجب على المؤسسات في المملكة العربية السعودية تنفيذ أدوات فحص الثغرات التي تتوافق مع متطلبات الهيئة الوطنية للأمن السيبراني والمعايير الدولية. تشمل الأساليب الموصى بها: 1) ماسحات الثغرات الآلية - أدوات مثل Qualys وTenable Nessus وRapid7 InsightVM أو OpenVAS لفحص الشبكات والأنظمة؛ 2) ماسحات تطبيقات الويب - OWASP ZAP وBurp Suite أو Acunetix للتطبيقات المواجهة للويب؛ 3) ماسحات أمن السحابة - أدوات أصلية مثل AWS Inspector وAzure Security Center لبيئات السحابة؛ 4) تكرار الفحص - فحوصات أسبوعية للأنظمة المواجهة للإنترنت، وشهرية للشبكات الداخلية، وفحوصات فورية بعد التغييرات الكبيرة؛ 5) الفحوصات المصادق عليها مقابل غير المصادق عليها - يجب إجراء كلا النوعين للحصول على تغطية شاملة؛ 6) اختبار الاختراق - اختبارات سنوية أو نصف سنوية من قبل محترفين معتمدين أو موردين معتمدين من الهيئة. يجب على المؤسسات التأكد من تكوين أدوات الفحص لاكتشاف الثغرات ذات الصلة بالبنية التحتية السعودية، ودعم إعداد التقارير باللغة العربية عند الحاجة، والتكامل مع أنظمة إدارة معلومات وأحداث الأمن (SIEM) للمراقبة المركزية كما تتطلب ضوابط الهيئة.

تحدد الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية جداول زمنية صارمة للمعالجة يجب على المؤسسات اتباعها: 1) الثغرات الحرجة (CVSS 9.0-10.0) - يجب معالجتها خلال 15 يوماً من الاكتشاف؛ 2) الثغرات العالية (CVSS 7.0-8.9) - خلال 30 يوماً؛ 3) الثغرات المتوسطة (CVSS 4.0-6.9) - خلال 90 يوماً؛ 4) الثغرات المنخفضة (CVSS 0.1-3.9) - خلال 180 يوماً. يجب أن يأخذ تحديد الأولويات في الاعتبار: قابلية الاستغلال في البرية، وأهمية الأصول لعمليات الأعمال، وحساسية البيانات، والتعرض للإنترنت، وتوفر التحديثات. بالنسبة للأنظمة التي لا يمكن تحديثها فوراً، يجب على المؤسسات تنفيذ ضوابط تعويضية مثل تقسيم الشبكة أو قيود الوصول أو جدران حماية تطبيقات الويب. يلزم وجود عملية استثناء رسمية معتمدة من الإدارة العليا للثغرات التي لا يمكن أن تلبي الجداول الزمنية للمعالجة. يجب على المؤسسات الحفاظ على لوحة معلومات لإدارة الثغرات تتتبع حالة المعالجة، والتكامل مع عمليات إدارة التغيير، وتقديم تقارير ربع سنوية للهيئة حول مقاييس الثغرات وفعالية المعالجة لقطاعات البنية التحتية الحرجة.

يجب أن يتضمن دمج معلومات التهديدات في مركز العمليات الأمنية في المملكة العربية السعودية: 1) الاشتراك في موجزات التهديدات والتنبيهات الخاصة بالمركز الوطني للأمن السيبراني والمتعلقة بالبنية التحتية السعودية، 2) دمج معلومات التهديدات الإقليمية التي تغطي الجهات الفاعلة في مجال التهديدات والحملات في الشرق الأوسط (مجموعات APT التي تستهدف منطقة الخليج)، 3) المشاركة في مراكز تبادل وتحليل المعلومات القطاعية السعودية للخدمات المصرفية والطاقة والرعاية الصحية، 4) تنفيذ بروتوكولات STIX/TAXII لمشاركة معلومات التهديدات الآلية، 5) وضع معلومات التهديدات العالمية في سياق البيئة السعودية ومؤشرات اللغة العربية، 6) مراقبة التهديدات الخاصة بالتقنيات السعودية والموردين المستخدمين بشكل شائع في المملكة، 7) التكامل مع إطار عمل MITRE ATT&CK المرتبط بالتهديدات الملاحظة في الشبكات السعودية، 8) إحاطات منتظمة حول التهديدات تتضمن السياق الجيوسياسي الذي يؤثر على المملكة العربية السعودية، 9) برامج البحث عن التهديدات بناءً على معلومات حول الخصوم الذين يستهدفون المؤسسات السعودية، و10) الامتثال لمتطلبات سيادة البيانات السعودية عند مشاركة معلومات التهديدات دولياً.

يجب أن تتضمن مجموعة التقنيات الشاملة لمركز العمليات الأمنية السعودي: 1) منصة SIEM بدعم اللغة العربية والاحتفاظ بالسجلات المحلية بما يتوافق مع لوائح البيانات السعودية (سنة واحدة كحد أدنى)، 2) حلول الكشف والاستجابة لنقاط النهاية (EDR) التي تغطي أنظمة Windows وLinux والأجهزة المحمولة الشائعة في المؤسسات السعودية، 3) أدوات تحليل حركة مرور الشبكة (NTA) لمراقبة حركة المرور الشرقية-الغربية، 4) منصة تنسيق وأتمتة واستجابة الأمن (SOAR) للتعامل مع أحجام التنبيهات العالية، 5) منصة معلومات التهديدات المتكاملة مع الموجزات الإقليمية، 6) نظام إدارة الثغرات متوافق مع متطلبات إدارة الثغرات للهيئة الوطنية للأمن السيبراني، 7) نظام إدارة الحالات لتتبع الحوادث والإبلاغ للهيئة الوطنية، 8) أدوات منع فقدان البيانات (DLP) لحماية البيانات الحساسة بموجب نظام حماية البيانات الشخصية، 9) مراقبة أمن السحابة لـ AWS وAzure ومزودي السحابة المحليين، 10) أدوات الطب الشرعي للتحقيق في الحوادث، 11) نظام التذاكر المتكامل مع عمليات ITSM، و12) لوحات المعلومات وأدوات إعداد التقارير لرؤية الإدارة. يجب أن تدعم جميع الأدوات متطلبات إقامة البيانات ونشرها في مراكز البيانات السعودية حيثما تفرضه اللوائح.

وفقاً للضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، يجب على المؤسسات السعودية إجراء التدريب على الوعي الأمني بشكل منتظم ومنهجي. توصي أفضل الممارسات بـ: 1) تدريب شامل أولي لجميع الموظفين الجدد أثناء التوظيف؛ 2) تدريب تنشيطي سنوي لجميع أعضاء الفريق؛ 3) تحديثات ربع سنوية أو شهرية للتوعية الأمنية تغطي التهديدات الناشئة والحوادث الأخيرة؛ 4) تدريب مستهدف فوري بعد وقوع حوادث أمنية أو عند ظهور تهديدات جديدة؛ 5) تدريب خاص بالأدوار للموظفين الذين يتعاملون مع البيانات الحساسة أو الأنظمة الحيوية، يُجرى نصف سنوياً؛ 6) تمارين محاكاة للتصيد الاحتيالي على الأقل ربع سنوياً لاختبار وتعزيز التعلم. يجب على المؤسسات في القطاعات المنظمة مثل البنوك والرعاية الصحية والحكومة اتباع جداول زمنية أكثر صرامة كما تفرضها الجهات التنظيمية المعنية مثل البنك المركزي السعودي أو وزارة الصحة.