فهم نطاق ومتطلبات إطار عمل SAMA CSF

ينطبق إطار عمل البنك المركزي السعودي للأمن السيبراني (SAMA CSF) على جميع المؤسسات المالية العاملة في المملكة العربية السعودية، بما في ذلك البنوك وشركات التأمين ومقدمو خدمات الدفع. على عكس الأطر الطموحة، فإن SAMA CSF وصفي وقابل للتطبيق. يجب على المؤسسات إثبات ليس فقط وجود الضوابط، بل أنها تعمل بفعالية وتولد نتائج قابلة للقياس.

يتوافق SAMA CSF مع المعايير الدولية—خاصة NIST CSF 2.0 و ISO/IEC 27001:2022—مع دمج أولويات الهيئات التنظيمية السعودية، بما في ذلك حماية البيانات بموجب قانون حماية البيانات الشخصية (PDPL) والتوافق مع ضوابط الأمن السيبراني الأساسية (NCA ECC) للهيئة الوطنية للأمن السيبراني.

فئات الأدلة الأساسية المطلوبة

الحوكمة وإدارة المخاطر

تتوقع SAMA هياكل حوكمة موثقة تسند مسؤولية واضحة عن الأمن السيبراني. تشمل الأدلة:

  • استراتيجية أمن سيبراني معتمدة من مجلس الإدارة وتقييمات مخاطر سنوية
  • محاضر اجتماعات لجنة الأمن السيبراني تظهر المراجعة المنتظمة للتهديدات والحوادث وفعالية الضوابط
  • مصفوفات الأدوار والمسؤوليات تحدد المسؤولية عن كل مجال تحكم في SAMA
  • سياسات إدارة مخاطر الأطراف الثالثة مع أدلة تدقيق لتقييمات البائعين
  • خطط الاستجابة للحوادث مع تمارين طاولة موثقة ومراجعات ما بعد الحادث

توضح هذه الأدلة أن الأمن السيبراني يعتبر وظيفة عمل وليس مجرد تحقق تقني.

الضوابط التقنية والعمارة

تتطلب SAMA أدلة على حماية الأنظمة الحرجة من خلال ضوابط موثقة متعددة الطبقات:

  • مخططات معمارية للشبكة توضح التقسيم والدفاعات المحيطة وضوابط تدفق البيانات
  • خطوط الأساس للتكوين وسجلات إدارة التغيير للأنظمة الحرجة
  • جرد التشفير يغطي البيانات المخزنة والمرسلة، مع إجراءات إدارة المفاتيح
  • مصفوفات التحكم في الوصول تظهر تطبيق مبدأ أقل امتياز وسجلات المراجعة الدورية
  • تقارير إدارة الثغرات: نتائج الفحص والجداول الزمنية للعلاج وأدلة الإغلاق
  • نتائج اختبار النسخ الاحتياطي واستعادة الكوارث مع أهداف وقت الاسترجاع (RTO) وأهداف نقطة الاسترجاع (RPO) موثقة

يتوقع المدققون رؤية ليس فقط السياسات، بل السجلات التشغيلية التي تثبت أن الضوابط نشطة ومراقبة بشكل مستمر.

الكشف والاستجابة والمرونة

تفوض SAMA مركز عمليات أمان (SOC) وظيفي أو قدرة مراقبة معادلة. تشمل الأدلة المطلوبة:

  • سجلات مراقبة SOC وسجلات ضبط التنبيهات ومقاييس تقليل الإيجابيات الكاذبة
  • سجلات الحوادث مع توثيق الجدول الزمني وتحليل السبب الجذري والإجراءات التصحيحية
  • سجلات تكامل الذكاء التهديدي تظهر كيفية استخدام بيانات التهديدات الخارجية لإبلاغ قواعد الكشف
  • خطط استمرارية الأعمال واستعادة الكوارث، الإصدارات والجداول الزمنية للاختبار والنتائج
  • سجلات إكمال التدريب لفرق الاستجابة للحوادث والوعي الأمني لجميع الموظفين

التوثيق وأفضل ممارسات مسار التدقيق

عادة ما تطلب عمليات التدقيق من SAMA أدلة تغطي 12 إلى 24 شهراً. يجب على المؤسسات الحفاظ على:

  • مصفوفات الضوابط تربط كل متطلب SAMA بالضوابط المنفذة والفرق المسؤولة وموقع الأدلة
  • جداول التدقيق تظهر التقييمات الداخلية والخارجية المنتظمة، مع تتبع النتائج للإغلاق
  • سجلات التغيير للسياسات والتكوينات وأدوات الأمان، مع مسارات الموافقة
  • لوحات معلومات الامتثال محدثة شهرياً، تظهر حالة الضابط وتقدم العلاج
  • تقييمات الفجوات التي تجرى سنوياً، مع خطط عمل والرعاية التنفيذية

يجب تركيز التوثيق في منصة الحوكمة والمخاطر والامتثال (GRC) أو نظام معادل لضمان الاتساق والقابلية للتدقيق.

التوافق مع NCA ECC و PDPL

يتداخل الامتثال لـ SAMA CSF بشكل كبير مع ضوابط الأمن السيبراني الأساسية (NCA ECC) للهيئة الوطنية للأمن السيبراني ومتطلبات حماية البيانات وإخطار الخروقات بموجب PDPL. يجب على المؤسسات مطابقة ضوابط SAMA مع NCA ECC والتأكد من توثيق اتفاقيات معالجة البيانات المفروضة بموجب PDPL وتقييمات تأثير الخصوصية وإجراءات إخطار الخروقات واختبارها بانتظام.

التحضير لفحص SAMA

يجب على المؤسسات المالية إجراء تقييمات ذاتية قبل الفحص باستخدام قائمة التحقق من ضوابط SAMA CSF، والتعاقد مع المدققين الخارجيين للتحقق من جودة الأدلة، والحفاظ على تراكم العلاج بجداول زمنية واقعية. تتوقع SAMA التحسين المستمر وليس الكمال؛ الأدلة على عملية حوكمة ناضجة وسريعة الاستجابة أكثر قيمة من موقف امتثال ثابت.