📚 قاعدة المعرفة

لمراقبة فعالة للامتثال للضوابط السيبرانية الأساسية، يجب على المؤسسات تنفيذ: 1) منصات الحوكمة والمخاطر والامتثال (GRC) - لإدارة الضوابط المركزية وجمع الأدلة؛ 2) إدارة معلومات وأحداث الأمن (SIEM) - للمراقبة المستمرة واكتشاف الحوادث؛ 3) أدوات إدارة الثغرات - للفحص المنتظم وإدارة التحديثات؛ 4) حلول إدارة الهوية والوصول (IAM) - للتحكم في الوصول والمصادقة؛ 5) أنظمة منع فقدان البيانات (DLP) - لمراقبة حماية البيانات؛ 6) إدارة الوضع الأمني السحابي (CSPM) - لامتثال البيئة السحابية؛ 7) منصة اهتمام التابعة للهيئة - إلزامية لإعداد تقارير الامتثال الرسمية والتواصل مع الهيئة. يجب على المؤسسات دمج هذه الأدوات لأتمتة جمع الأدلة وإنشاء تقارير الامتثال والحفاظ على رؤية مستمرة لوضعها الأمني مقابل متطلبات الضوابط.

وفقاً للضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، تتبع الاستجابة للحوادث خمس مراحل رئيسية: 1) التحضير - إنشاء قدرات وفرق وإجراءات الاستجابة للحوادث؛ 2) الكشف والتحليل - تحديد وتقييم الحوادث الأمنية من خلال المراقبة والتحليل؛ 3) الاحتواء - الحد من نطاق الحادث وتأثيره؛ 4) الإزالة والاستعادة - إزالة التهديد واستعادة العمليات الطبيعية؛ 5) النشاط اللاحق للحادث - إجراء الدروس المستفادة وتحسين الوضع الأمني. يجب على المنظمات في المملكة العربية السعودية الإبلاغ عن الحوادث السيبرانية للهيئة الوطنية للأمن السيبراني ضمن الأطر الزمنية المحددة بناءً على خطورة الحادث.

يجب على المنظمات السعودية الإبلاغ عن الحوادث السيبرانية للهيئة الوطنية للأمن السيبراني بناءً على مستويات الخطورة: يجب الإبلاغ عن الحوادث الحرجة (التي تؤثر على الأمن الوطني أو البنية التحتية الحرجة أو تسبب اضطراباً شديداً) فوراً خلال ساعة واحدة من الاكتشاف. يجب الإبلاغ عن الحوادث عالية الخطورة خلال 24 ساعة. يجب الإبلاغ عن الحوادث متوسطة ومنخفضة الخطورة خلال 72 ساعة. يجب تقديم التقارير عبر منصة الإبلاغ الرسمية للهيئة وتشمل تفاصيل الحادث والأنظمة المتأثرة وتقييم التأثير وإجراءات الاستجابة الأولية. يجب على المنظمات الخاضعة لأنظمة الهيئة الاحتفاظ بسجلات مفصلة للحوادث وتقديم تقارير متابعة مع تطور الحادث. قد يؤدي عدم الإبلاغ عن الحوادث ضمن الأطر الزمنية المطلوبة إلى عقوبات بموجب الأنظمة السيبرانية السعودية.

يجب أن تتضمن خطة الاستجابة الشاملة للحوادث للمنظمات السعودية: 1) أدوار ومسؤوليات واضحة لفريق الاستجابة لحوادث أمن الحاسب؛ 2) معايير تصنيف الحوادث وتقييم الخطورة متوافقة مع إرشادات الهيئة الوطنية للأمن السيبراني؛ 3) بروتوكولات الاتصال بما في ذلك إجراءات التصعيد الداخلي والإبلاغ الخارجي للهيئة؛ 4) الإجراءات التقنية للاحتواء والحفاظ على الأدلة والتحليل الجنائي؛ 5) إجراءات استمرارية الأعمال والتعافي من الكوارث؛ 6) معلومات الاتصال بالموظفين الرئيسيين والهيئة ومقدمي الخدمات الخارجيين؛ 7) متطلبات التوثيق وإجراءات تسجيل الحوادث؛ 8) جداول الاختبار والتحديث المنتظمة؛ 9) التكامل مع الأنظمة السعودية بما في ذلك الإطار التنظيمي للحوسبة السحابية ومتطلبات تصنيف البيانات؛ 10) عمليات المراجعة اللاحقة للحادث والتحسين المستمر. يجب توثيق الخطة باللغة العربية واعتمادها من الإدارة العليا.

يجب أن يتبع جمع الأدلة والتحليل الجنائي في المملكة العربية السعودية إجراءات صارمة لضمان القبول القانوني والامتثال التنظيمي: 1) تنفيذ عملية موثقة لسلسلة الحفظ لجميع الأدلة؛ 2) استخدام أدوات منع الكتابة وإنشاء صور جنائية للأنظمة المتأثرة دون تغيير البيانات الأصلية؛ 3) جمع السجلات والتقاط حركة الشبكة ونسخ الذاكرة ولقطات النظام؛ 4) توثيق جميع الإجراءات المتخذة مع الطوابع الزمنية والموظفين المعنيين؛ 5) حفظ الأدلة في بيئات آمنة ومحكومة الوصول؛ 6) إشراك متخصصين جنائيين مؤهلين ومعتمدين في أطر معترف بها؛ 7) التنسيق مع السلطات السعودية عند الحاجة للتحقيقات الجنائية؛ 8) ضمان الامتثال لنظام حماية البيانات الشخصية السعودي عند التعامل مع البيانات الشخصية أثناء التحقيقات؛ 9) الاحتفاظ بالأدلة للفترات المحددة في أنظمة الهيئة الوطنية للأمن السيبراني والمتطلبات القانونية السعودية؛ 10) إعداد تقارير جنائية مفصلة يمكن أن تدعم الإجراءات القانونية إذا لزم الأمر. يجب على المنظمات إنشاء علاقات مع مقدمي الخدمات الجنائية المعتمدين مسبقاً.

تعتبر المراجعات اللاحقة للحوادث حاسمة لتحسين الوضع الأمني السيبراني في المنظمات السعودية: 1) إجراء جلسة رسمية للدروس المستفادة خلال أسبوعين من إغلاق الحادث، بمشاركة جميع أصحاب المصلحة المعنيين؛ 2) توثيق الجدول الزمني للحادث وتحليل السبب الجذري وفعالية إجراءات الاستجابة؛ 3) تحديد الثغرات في قدرات الكشف وإجراءات الاستجابة والضوابط الأمنية؛ 4) تحديث خطط الاستجابة للحوادث وكتيبات الإجراءات والسياسات الأمنية بناءً على النتائج؛ 5) تنفيذ الإجراءات التصحيحية وتعيين المسؤوليات مع المواعيد النهائية؛ 6) مشاركة معلومات الحوادث المجهولة مع نظراء الصناعة عبر القنوات المعتمدة من الهيئة لتحسين المرونة على مستوى القطاع؛ 7) توفير تدريب إضافي للموظفين بناءً على نقاط الضعف المحددة؛ 8) تحديث تقييمات المخاطر وتطبيقات الضوابط الأمنية؛ 9) الإبلاغ عن التحسينات والإجراءات التصحيحية للهيئة حسب الحاجة؛ 10) إجراء تمارين نظرية ومحاكاة لاختبار الإجراءات المحدثة؛ 11) الاحتفاظ بقاعدة معرفية للحوادث والاستجابات للرجوع إليها مستقبلاً. يجب أن تتوافق جميع الوثائق مع الضوابط الأساسية للأمن السيبراني للهيئة وأن تكون متاحة للمراجعات التنظيمية.

تتطلب متطلبات سيادة البيانات في المملكة العربية السعودية، خاصة للجهات الحكومية ومشغلي البنية التحتية الحيوية، تخزين ومعالجة البيانات السرية والحساسة داخل الحدود الجغرافية للمملكة. يؤثر هذا على اختيار الخدمات السحابية من خلال مطالبة الجهات الحكومية بـ: استخدام مزودي الخدمات السحابية الذين لديهم مراكز بيانات موجودة فعلياً في المملكة (مثل مناطق AWS البحرين/السعودية، مناطق Microsoft Azure السعودية، أو المزودين المحليين مثل stc وموبايلي وزين)، ضمان الامتثال لإقامة البيانات من خلال اتفاقيات تعاقدية، التحقق من أن مواقع النسخ الاحتياطي والتعافي من الكوارث موجودة أيضاً داخل الأراضي السعودية، والحصول على موافقة من السلطات المعنية قبل استخدام الخدمات السحابية الدولية. يشرف المكتب الوطني لإدارة البيانات على الامتثال، وقد تؤدي المخالفات إلى عقوبات كبيرة وتعليق الخدمة.

يتضمن إطار الضوابط الأساسية للأمن السيبراني الصادر عن الهيئة الوطنية للأمن السيبراني متطلبات محددة لتطبيقات الأمن السحابي في المملكة العربية السعودية: المجال الأول (حوكمة الأمن السيبراني) يتطلب سياسات أمن سحابي موثقة وإدارة مخاطر الأطراف الثالثة؛ المجال الثاني (الدفاع السيبراني) يفرض تجزئة الشبكة والتكوين الآمن للموارد السحابية والمراقبة المستمرة؛ المجال الثالث (المرونة السيبرانية) يتطلب استراتيجيات النسخ الاحتياطي مع نسخ موزعة جغرافياً واختبار التعافي من الكوارث؛ المجال الرابع (الأمن السيبراني للأطراف الثالثة) يطالب بتقييمات أمنية لمزودي الخدمات السحابية والتزامات أمنية تعاقدية؛ المجال الخامس (الأمن السيبراني السحابي) يتناول على وجه التحديد نماذج المسؤولية المشتركة ووسطاء أمن الوصول السحابي وأمن الحاويات وحماية الحوسبة بدون خادم. يجب على المؤسسات تطبيق الضوابط المناسبة لمستوى تصنيفها (1-5) والخضوع لعمليات تدقيق امتثال منتظمة.

تعترف المملكة العربية السعودية بعدة شهادات ومعايير دولية وإقليمية لأمن الحوسبة السحابية لأغراض الامتثال: ISO/IEC 27001 (إدارة أمن المعلومات) إلزامي لمزودي الخدمات السحابية؛ ISO/IEC 27017 (ضوابط الأمن السحابي) وISO/IEC 27018 (حماية المعلومات الشخصية في السحابة) موصى بها بشدة؛ تقارير SOC 2 Type II لضوابط المؤسسات الخدمية؛ شهادة CSA STAR (تحالف أمن السحابة للأمن والثقة والضمان والمخاطر)؛ PCI DSS لبيانات بطاقات الدفع في البيئات السحابية؛ والامتثال لإطار الأمن السيبراني لمؤسسة النقد العربي السعودي (ساما) لنشر السحابة في القطاع المالي. بالإضافة إلى ذلك، يجب على مزودي الخدمات السحابية إثبات الامتثال لإطار الضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني والإطار التنظيمي للحوسبة السحابية لهيئة الاتصالات. يجب على المؤسسات التحقق من أن مزودي الخدمات السحابية يحافظون على الشهادات الحالية ويخضعون لعمليات تدقيق منتظمة من طرف ثالث، مع توفر الوثائق للمراجعة التنظيمية.

يجب على المؤسسات في المملكة العربية السعودية تطبيق إدارة شاملة للوصول والهوية السحابية وفقاً لإرشادات الهيئة الوطنية للأمن السيبراني وهيئة الاتصالات: نشر المصادقة متعددة العوامل لجميع عمليات الوصول إلى الخدمات السحابية، خاصة للحسابات المميزة؛ تطبيق إدارة الهوية والوصول مع التحكم في الوصول على أساس الأدوار وفقاً لمبدأ الامتياز الأقل؛ استخدام تسجيل الدخول الموحد المتكامل مع خدمات دليل المؤسسة؛ فرض سياسات كلمات مرور قوية متوافقة مع متطلبات الهيئة الوطنية للأمن السيبراني (12 حرفاً كحد أدنى، التعقيد، التدوير المنتظم)؛ تطبيق إدارة الوصول المميز للحسابات الإدارية؛ استخدام وسطاء أمن الوصول السحابي لمراقبة والتحكم في استخدام التطبيقات السحابية؛ تمكين المصادقة المستمرة وسياسات الوصول المشروط بناءً على سلوك المستخدم والموقع ووضع أمان الجهاز؛ الاحتفاظ بسجلات وصول مفصلة لأغراض التدقيق؛ ومراجعة وإلغاء الأذونات غير الضرورية بانتظام. يوصى بالتكامل مع أنظمة الهوية الوطنية مثل أبشر لخدمات المواطنين حيثما ينطبق ذلك.

يجب على المؤسسات في المملكة العربية السعودية حساب المخاطر السيبرانية باستخدام معادلة موحدة: المخاطر = الاحتمالية × التأثير. يجب تقييم الاحتمالية بناءً على معلومات التهديدات، وتقييمات الثغرات، وبيانات الحوادث التاريخية. يجب أن يأخذ التأثير في الاعتبار الخسائر المالية، والاضطراب التشغيلي، والعقوبات التنظيمية، والأضرار بالسمعة، والآثار على الأمن الوطني. توصي الهيئة الوطنية للأمن السيبراني باستخدام مصفوفة مخاطر بثلاثة مستويات على الأقل (منخفض، متوسط، عالي) أو خمسة مستويات (منخفض جداً، منخفض، متوسط، عالي، حرج) للتصنيف. يجب إعطاء الأولوية للمخاطر التي تؤثر على البنية التحتية الوطنية الحرجة، أو البيانات الشخصية بموجب نظام حماية البيانات الشخصية، أو الأنظمة الخاضعة لمتطلبات الضوابط الأساسية للأمن السيبراني. يجب على المؤسسات توثيق قرارات قبول المخاطر، وتنفيذ خطط المعالجة للمخاطر العالية والحرجة ضمن أطر زمنية محددة، والإبلاغ عن المخاطر الكبيرة للهيئة الوطنية للأمن السيبراني كما تتطلب اللوائح الخاصة بالقطاع.

تتطلب أنظمة الأمن السيبراني السعودية توثيقاً شاملاً لتقييمات المخاطر بما في ذلك: ملخص تنفيذي للنتائج والتوصيات؛ وجرد تفصيلي للأصول مع التصنيفات؛ والتهديدات والثغرات والضوابط الموجودة المحددة؛ ومنهجية حساب المخاطر والنتائج؛ وخطط معالجة المخاطر مع الجداول الزمنية والأطراف المسؤولة؛ وبيانات قبول المخاطر المتبقية الموقعة من الإدارة العليا. يجب على المؤسسات الخاضعة للضوابط الأساسية للأمن السيبراني الاحتفاظ بتقارير تقييم المخاطر لمدة خمس سنوات على الأقل وتحديثها سنوياً أو عند حدوث تغييرات كبيرة. يجب على القطاعات الحرجة تقديم ملخصات تقييم المخاطر إلى الهيئة الوطنية للأمن السيبراني من خلال قنوات الإبلاغ المحددة. يجب أن تكون الوثائق باللغة العربية أو ثنائية اللغة (العربية والإنجليزية)، ومخزنة بشكل آمن مع ضوابط الوصول، ومتاحة لعمليات تدقيق الهيئة الوطنية للأمن السيبراني. يجب على المؤسسات أيضاً الاحتفاظ بسجل للمخاطر يتتبع جميع المخاطر المحددة وحالتها وتقدم المعالجة كجزء من متطلبات الامتثال المستمرة.

توصي الهيئة الوطنية للأمن السيبراني في المملكة العربية السعودية بمنهجية شاملة لتقييم المخاطر متوافقة مع إطار الضوابط الأساسية للأمن السيبراني. تتضمن هذه المنهجية: تحديد الأصول الحيوية وأنظمة المعلومات، وتحديد التهديدات والثغرات المحتملة، وتحليل احتمالية وتأثير الحوادث الأمنية، وحساب مستويات المخاطر باستخدام الأساليب النوعية أو الكمية، وترتيب المخاطر حسب الأولوية بناءً على شدتها. يجب على المؤسسات إجراء تقييمات المخاطر بانتظام وتوثيق النتائج وفقاً لإرشادات الهيئة الوطنية للأمن السيبراني لضمان الامتثال للأنظمة السيبرانية السعودية.

يجب على المؤسسات في المملكة العربية السعودية تحديد وتصنيف الأصول وفقاً لإرشادات الهيئة الوطنية للأمن السيبراني من خلال إنشاء جرد شامل للأصول يتضمن جميع أنظمة المعلومات والبيانات والأجهزة والبرامج ومكونات الشبكة. يجب تصنيف الأصول بناءً على أهميتها الحيوية للعمليات التجارية، وحساسية البيانات التي تعالجها أو تخزنها، والتأثير المحتمل في حالة اختراقها. يتبع التصنيف عادةً فئات مثل: حرجة (أساسية للعمليات والأمن الوطني)، ومهمة (تأثير كبير على العمليات)، وعادية (تأثير محدود). يجب تعيين مالك لكل أصل مسؤول عن أمنه، ويجب أن يتوافق التصنيف مع متطلبات تصنيف البيانات بموجب أنظمة حماية البيانات السعودية ونظام حماية البيانات الشخصية.

بالنسبة لقطاعات البنية التحتية الحرجة في المملكة العربية السعودية (الطاقة، والمياه، والصحة، والمالية، والنقل، والحكومة)، يجب أن تتضمن نمذجة التهديدات كلاً من الأطر الدولية والتهديدات الخاصة بالمنطقة. تشمل الأساليب الموصى بها: منهجية STRIDE (الانتحال، والتلاعب، والإنكار، والكشف عن المعلومات، وحجب الخدمة، ورفع الامتيازات) للتحديد المنهجي للتهديدات؛ وتحليل شجرة الهجوم لرسم مسارات الهجوم المحتملة؛ ودمج معلومات التهديدات مع التركيز على الجهات الفاعلة في التهديدات السيبرانية في الشرق الأوسط وتكتيكاتها. يجب على المؤسسات النظر في التهديدات الخاصة بالسياق السعودي بما في ذلك التهديدات السيبرانية الجيوسياسية، والجهات الفاعلة من الدول القومية، ومجموعات التهديد الإقليمية، والتهديدات للأنظمة باللغة العربية. يجب الرجوع إلى إطار معلومات التهديدات السيبرانية للهيئة الوطنية للأمن السيبراني، ويجب على المؤسسات المشاركة في تبادل المعلومات من خلال المركز الوطني للعمليات السيبرانية.

يتناول المجال الرابع من الضوابط السيبرانية الأساسية على وجه التحديد الأمن السيبراني للجهات الخارجية والحوسبة السحابية بضوابط مخصصة تتطلب: 1) تقييمات شاملة لمخاطر الموردين قبل التعاقد ومراجعات دورية؛ 2) متطلبات أمنية تعاقدية تشمل حماية البيانات وإخطار الحوادث وحقوق التدقيق؛ 3) الامتثال لتوطين البيانات لضمان بقاء البيانات الحساسة داخل المملكة أو الولايات القضائية المعتمدة؛ 4) تقييم مقدمي الخدمات السحابية وفقاً للمعايير المعترف بها (ISO 27001، CSA STAR)؛ 5) المراقبة المستمرة للوضع الأمني للجهات الخارجية وأدائها؛ 6) التعامل الآمن مع البيانات أثناء الترحيل والمعالجة والحذف؛ 7) الحق في تدقيق واختبار اختراق أنظمة الجهات الخارجية؛ 8) آليات تنسيق الاستجابة للحوادث. يجب على المنظمات الاحتفاظ بقائمة موردين معتمدة، وإجراء العناية الواجبة، وتنفيذ تصنيف البيانات، وضمان توافق تكوينات السحابة مع الضوابط التقنية عبر إدارة الهوية والتشفير والتسجيل وأمن الشبكات.

يتطلب الامتثال للضوابط السيبرانية الأساسية عمليات تدقيق وتقييم صارمة: 1) التقييم الذاتي - يجب على المنظمات إجراء تقييمات داخلية باستخدام القوالب المقدمة من الهيئة وتوثيق حالة تنفيذ الضوابط؛ 2) التقييم المستقل - التعاقد مع مقدمي خدمات الأمن السيبراني المرخصين من الهيئة لإجراء عمليات تدقيق امتثال موضوعية؛ 3) جمع الأدلة - الاحتفاظ بتوثيق شامل يشمل السياسات والإجراءات والتكوينات التقنية والسجلات وسجلات التدريب؛ 4) إعداد تقارير الامتثال - تقديم نتائج التقييم عبر منصة إدارة الامتثال التابعة للهيئة ضمن الأطر الزمنية المحددة؛ 5) تخطيط المعالجة - تطوير خطط إجراءات تصحيحية للفجوات المحددة مع جداول زمنية؛ 6) إعادة التقييم الدورية - إجراء مراجعات سنوية أو بعد تغييرات كبيرة في الأنظمة أو العمليات التجارية؛ 7) التحقق من الهيئة - عمليات تفتيش محتملة في الموقع من قبل مدققي الهيئة للجهات الحيوية. يجب على المنظمات تحقيق الحد الأدنى من عتبات الامتثال بناءً على مستوى تصنيفها والحفاظ على برامج مراقبة الامتثال المستمرة.

يمنح نظام حماية البيانات الشخصية الأفراد (أصحاب البيانات) عدة حقوق أساسية فيما يتعلق ببياناتهم الشخصية: (1) حق الوصول - يمكن للأفراد طلب معلومات حول البيانات الشخصية التي تتم معالجتها والحصول على نسخ منها؛ (2) حق التصحيح - القدرة على تصحيح البيانات غير الدقيقة أو غير الكاملة؛ (3) حق المحو - طلب حذف البيانات الشخصية في ظروف معينة؛ (4) حق الاعتراض - الاعتراض على المعالجة بناءً على المصالح المشروعة أو للتسويق المباشر؛ (5) حق تقييد المعالجة - الحد من كيفية استخدام البيانات في ظروف محددة؛ (6) حق نقل البيانات - الحصول على البيانات الشخصية بتنسيق منظم ونقلها إلى مراقب آخر؛ (7) حق سحب الموافقة - إلغاء الموافقة الممنوحة سابقاً في أي وقت. يجب على المراقبين الرد على هذه الطلبات في غضون 30 يوماً وتوفير آليات واضحة لممارسة هذه الحقوق.

يضع نظام حماية البيانات الشخصية عقوبات كبيرة للمخالفات لضمان الامتثال. يمكن أن تصل الغرامات المالية إلى 5 ملايين ريال سعودي حسب خطورة وطبيعة المخالفة. تشمل المخالفات المحددة: (1) معالجة البيانات الشخصية دون أساس قانوني - حتى 2 مليون ريال؛ (2) عدم تطبيق تدابير الأمان المناسبة - حتى 3 ملايين ريال؛ (3) نقل البيانات خارج المملكة دون ضمانات مناسبة - حتى 2 مليون ريال؛ (4) عدم الإبلاغ عن اختراقات البيانات للهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) ضمن الإطار الزمني المطلوب - حتى 2 مليون ريال؛ (5) عرقلة أنشطة التفتيش أو التحقيق لسدايا - حتى مليون ريال. قد تفرض الجهة المختصة أيضاً عقوبات إضافية تشمل تعليق أنشطة معالجة البيانات والإجراءات التصحيحية الإلزامية ونشر المخالفات. يواجه المخالفون المتكررون عقوبات مشددة، وفي الحالات الخطيرة التي تنطوي على مخالفات متعمدة تسبب ضرراً كبيراً، قد تتم الملاحقة الجنائية بموجب القانون السعودي.

يتطلب نظام حماية البيانات الشخصية من المؤسسات تنفيذ تدابير أمنية تقنية وتنظيمية شاملة تتناسب مع المخاطر المرتبطة بمعالجة البيانات. تشمل متطلبات الأمان: (1) تشفير البيانات الشخصية الحساسة أثناء النقل والتخزين؛ (2) ضوابط الوصول لضمان وصول الموظفين المصرح لهم فقط للبيانات الشخصية؛ (3) تقييمات ومراجعات أمنية منتظمة؛ (4) تدريب الموظفين على ممارسات حماية البيانات؛ (5) خطط الاستجابة للحوادث واستمرارية الأعمال؛ (6) تقليل البيانات واستخدام الأسماء المستعارة حيثما أمكن. بالنسبة لانتهاكات البيانات، يجب على المؤسسات إخطار سدايا في غضون 72 ساعة من علمها بانتهاك يشكل مخاطر على حقوق الأفراد. يجب أن يتضمن الإخطار: طبيعة الانتهاك، وفئات وعدد تقريبي للأفراد المتأثرين، والعواقب المحتملة، والتدابير المتخذة أو المقترحة لمعالجة الانتهاك. إذا شكل الانتهاك مخاطر عالية على الأفراد، يجب على المؤسسات أيضاً إخطار أصحاب البيانات المتأثرين دون تأخير لا مبرر له، مع توفير معلومات واضحة حول الانتهاك والتدابير الوقائية التي يجب عليهم اتخاذها. قد يؤدي عدم تطبيق الأمان الكافي أو الإبلاغ عن الانتهاكات إلى عقوبات تصل إلى 3 ملايين ريال سعودي.