فهم إطار عمل الهيئة السعودية للبيانات والذكاء الاصطناعي للأمن السيبراني الحالي

يحدد إطار عمل الهيئة السعودية للبيانات والذكاء الاصطناعي (SAMA) للأمن السيبراني مستوى الأمان الأساسي المطلوب من جميع المؤسسات المالية والبنوك ومزودي خدمات الدفع العاملين في المملكة. يتوافق الإطار مع المعايير المعترف بها دولياً، خاصة إطار عمل NIST للأمن السيبراني 2.0 ومعيار ISO/IEC 27001:2022، مع دمج البيئة التنظيمية المحددة للمملكة العربية السعودية، بما في ذلك قانون حماية البيانات الشخصية السعودي (PDPL) واللوائح المنفذة له.

ينظم إطار عمل SAMA حول خمس وظائف أساسية: الحوكمة والحماية والكشف والاستجابة والتعافي. تحتوي كل وظيفة على أهداف ونتائج محددة يجب على المؤسسات معالجتها من خلال السياسات والعمليات والتكنولوجيا.

دعائم الامتثال الرئيسية ومتطلبات الإثبات

1. الحوكمة وإدارة المخاطر

تتوقع SAMA هياكل حوكمة أمن سيبراني موثقة، بما في ذلك:

  • الإشراف على مخاطر الأمن السيبراني على مستوى مجلس الإدارة والمساءلة
  • استراتيجية أمن سيبراني مكتوبة متوافقة مع الأهداف التجارية
  • تقييم المخاطر وخطط المعالجة التي تغطي جميع الأصول الحرجة
  • سياسات إدارة مخاطر الأطراف الثالثة وسلسلة التوريد
  • خطط الاستجابة للحوادث والاستمرارية في العمل التي يتم اختبارها سنوياً

الإثبات: محاضر مجلس الإدارة وميثاق الحوكمة وسجلات المخاطر وتقارير التدقيق والتصديقات الموقعة من الإدارة العليا.

2. إدارة الأصول والوصول

يجب على المؤسسات الحفاظ على جرد موثوق للأصول المعلوماتية وفرض ضوابط الهوية والوصول:

  • جرد أصول شامل (الأجهزة والبرامج والبيانات والخدمات السحابية)
  • التحكم في الوصول القائم على الأدوار (RBAC) مع فرض مبدأ أقل امتياز
  • المصادقة متعددة العوامل (MFA) لجميع الوصول عن بعد والامتيازات
  • مراجعات الوصول المنتظمة وإجراءات إلغاء الوصول

الإثبات: قواعد بيانات إدارة التكوين (CMDB) ومصفوفات التحكم في الوصول وسجلات MFA وتوقيعات مراجعة الوصول ربع السنوية وسجلات تدقيق إدارة الحسابات المتميزة (PAM).

3. حماية البيانات والخصوصية

يتطلب الامتثال لقانون حماية البيانات الشخصية السعودي (PDPL):

  • تصنيف البيانات وإجراءات المعالجة
  • تشفير البيانات أثناء النقل والباقية
  • سياسات الاحتفاظ بالبيانات والتخلص الآمن منها
  • تقييمات تأثير الخصوصية للأنظمة الجديدة
  • إجراءات إخطار الانتهاك المتوافقة مع جداول زمنية PDPL

الإثبات: مصفوفات تصنيف البيانات وجرد التشفير وشهادات الحذف وسجلات تقييمات تأثير الخصوصية وسجلات إخطار الانتهاك.

4. كشف التهديدات والمراقبة

تفرض SAMA المراقبة الأمنية المستمرة:

  • مركز عمليات الأمن (SOC) أو خدمات SOC المدارة
  • تجميع السجلات والمراقبة المركزية للأحداث
  • أنظمة كشف/منع الاختراق (IDS/IPS)
  • برامج فحص الثغرات وإدارة التصحيحات
  • حملات التوعية الأمنية ومحاكاة التصيد الاحتيالي

الإثبات: إجراءات تشغيل SOC ولوحات معلومات SIEM وتكوينات التنبيهات وتقارير فحص الثغرات وسجلات نشر التصحيحات ومقاييس إكمال التدريب.

5. الاستجابة للحوادث والتعافي

إمكانيات إدارة الحوادث الموثقة والمختبرة:

  • خطة الاستجابة للحوادث مع تحديد الأدوار ومسارات التصعيد
  • تمارين الطاولة المستديرة والمحاكاة السنوية
  • خطط استرجاع الكوارث واستمرارية الأعمال مع أهداف وقت الاسترجاع (RTOs)
  • اختبار النسخ الاحتياطية والاستعادة المنتظمة

الإثبات: إجراءات الاستجابة للحوادث وتقارير التمارين مع تتبع النتائج والإجراءات التصحيحية وسجلات اختبار النسخ الاحتياطية وسجلات التحقق من وقت الاسترجاع.

إثبات الامتثال في الممارسة العملية

يتطلب جمع الأدلة الفعال:

  • التوثيق: الحفاظ على السياسات والإجراءات الحالية والمراقبة للإصدار؛ ضمان التوقيع على مستوى مجلس الإدارة والإدارة
  • الأتمتة: استخدام SIEM وإدارة الثغرات وأدوات إدارة التكوين لإنشاء سجلات وتقارير جاهزة للتدقيق
  • التحقق من طرف ثالث: تعيين المدققين المستقلين للتقييمات السنوية؛ النظر في شهادة ISO/IEC 27001 لإثبات الضوابط المنهجية
  • التحسين المستمر: تتبع فعالية الضوابط من خلال المقاييس؛ معالجة الفجوات بسرعة وتوثيق الإجراءات التصحيحية

التوافق مع المشهد التنظيمي الأوسع

يكمل إطار عمل SAMA اللوائح السعودية الأخرى: الهيئة الوطنية للأمن السيبراني (NCA) والضوابط الأساسية للأمن السيبراني (ECC) للبنية التحتية الحرجة، والمتطلبات الخاصة بالقطاع من البنك المركزي السعودي لأنظمة الدفع. يجب على المؤسسات ربط ضوابطها بجميع المعايير المعمول بها لتجنب التكرار وضمان التغطية الشاملة.

من خلال اعتماد نهج منظم قائم على الأدلة للامتثال لـ SAMA، تعزز المؤسسات المالية موقفها الأمني بينما تثبت المساءلة تجاه المنظمين وأصحاب المصلحة.