فهم متطلبات إطار SAMA لأمن السيبر

يضع إطار أمن السيبر بالبنك المركزي السعودي (SAMA) نظام امتثال قائم على المخاطر وموجه نحو الضوابط لجميع المؤسسات المالية العاملة في المملكة. على عكس قوائم المراجعة الموصوفة بدقة، يطلب الإطار من المنظمات إثبات فهم ناضج لمشهدها التهديدي وشهيتها للمخاطر والضوابط المحددة المنتشرة لتخفيف مخاطر السيبر الجوهرية.

تستند توقعات SAMA إلى ثلاث ركائز: الحوكمة والإشراف وإدارة المخاطر والمرونة وأمن العمليات والتقنيات. تحتوي كل ركيزة على مجالات متعددة، ويتم قياس الامتثال ليس بالموافقة على الصناديق بل بإنتاج أدلة موثوقة على أن الضوابط مصممة ومنفذة ومراقبة وتحسن بشكل مستمر.

الحوكمة والإشراف: الأساس

يطلب SAMA أن تكون حوكمة أمن السيبر مدمجة على مستوى مجلس الإدارة والإدارة التنفيذية. هذا يعني:

  • استراتيجية موثقة لأمن السيبر متوافقة مع الأهداف التجارية وموافق عليها من مجلس الإدارة
  • المساءلة الواضحة: كبير مسؤول أمن المعلومات (CISO) أو ما يعادله مع إبلاغ مباشر للإدارة العليا
  • إبلاغ منتظم على مستوى مجلس الإدارة عن وضع مخاطر السيبر والحوادث وتقدم العلاج
  • سياسات رسمية تغطي التحكم في الوصول وحماية البيانات والاستجابة للحوادث وإدارة مخاطر الأطراف الثالثة

متطلب الإثبات: الحفاظ على محاضر مجلس الإدارة التي تؤكد مناقشة مخاطر السيبر والسياسات الموثقة الموقعة مع التحكم في الإصدار وسجل حالي لمقاييس مخاطر السيبر المتتبعة شهريًا. سيطلب مفتشو SAMA هذه أثناء الفحوصات.

إدارة المخاطر والمرونة

يفوض SAMA نهجًا منظمًا لتحديد وتقييم وإدارة مخاطر السيبر. يتضمن هذا:

  • تقييمات سنوية لمخاطر السيبر تخطط الأصول الحرجة والتهديدات والثغرات
  • خطط استمرارية الأعمال وخطط التعافي من الكوارث المختبرة سنويًا على الأقل
  • إجراءات الاستجابة للحوادث الموثقة والمدروسة
  • إدارة مخاطر الأطراف الثالثة: العناية الواجبة على البائعين ومقدمي الخدمات والوظائف المستعانة بها

متطلب الإثبات: الحفاظ على تقارير تقييم المخاطر المؤرخة ونتائج الاختبار مع التوقيع وكتيبات الاستجابة للحوادث وسجل مخاطر الأطراف الثالثة. توثيق العلاج من الثغرات المحددة مع الجداول الزمنية والمساءلة الصاحبة.

أمن العمليات والتقنيات

يتوافق الإطار مع المعايير الدولية—خاصة ISO/IEC 27001:2022 و NIST Cybersecurity Framework 2.0—ويتوقع من المنظمات تنفيذ ضوابط عبر:

  • إدارة الهوية والوصول: المصادقة متعددة العوامل والتحكم في الوصول القائم على الأدوار وإدارة الوصول المميز
  • حماية البيانات: التشفير أثناء الراحة والنقل وتصنيف البيانات والتخلص الآمن
  • أمن الشبكة: جدران الحماية والكشف/الوقاية من الاختراق وتقسيم الشبكة
  • حماية نقاط النهاية: مكافحة البرامج الضارة وإدارة التصحيحات والكشف والاستجابة على نقطة النهاية (EDR)
  • مراقبة الأمان: مركز عمليات الأمان (SOC) أو ما يعادله وتجميع السجلات والذكاء التهديدي

متطلب الإثبات: الحفاظ على جرد تفصيلي للضوابط يرسم كل ضابط إلى مجالات SAMA والمعايير الدولية. توثيق خطوط الأساس للتكوين وجداول التصحيح وقوائم الوصول وإجراءات تنبيهات SOC. توفير سجلات التدقيق التي تثبت المراقبة المستمرة.

إثبات الامتثال: خطوات عملية

1. إنشاء خريطة طريق الامتثال SAMA
خريطة حالتك الحالية مقابل مجالات SAMA CSF. حدد الثغرات وحدد أولويات العلاج بناءً على المخاطر والوزن التنظيمي.

2. بناء مستودع أدلة الضوابط
مركزية التوثيق: السياسات والإجراءات لقطات الشاشة قوائم الوصول وتقارير الاختبار وسجلات التدقيق. استخدم منصة الحوكمة والمخاطر والامتثال (GRC) لتتبع ملكية الضابط وحالة العلاج.

3. الانخراط مع مقيمي الأطراف الثالثة
تكليف تقييم أمن سيبر مستقل متوافق مع ISO/IEC 27001:2022 أو NIST CSF 2.0. يقدر SAMA التحقق الخارجي وسيراجع تقارير التدقيق من جهات خارجية أثناء الفحوصات.

4. محاذاة مع المعايير الوطنية
تأكد من أن ضوابطك تفي أيضًا بمتطلبات الهيئة الوطنية للأمن السيبراني (NCA) الضوابط الأساسية للسيبر (ECC) والامتثال لقانون حماية البيانات الشخصية السعودي (PDPL) واللوائح التنفيذية له، خاصة حيث تكون بيانات العملاء متورطة.

5. إنشاء مراقبة مستمرة
تنفيذ التسجيل والتنبيه والاختبار الضابط الشهري الآلي. توثيق أدلة فعالية الضابط—ليس فقط وجوده.

الوجبة الرئيسية

امتثال SAMA ليس تدقيقًا لمرة واحدة؛ إنها عملية عرض مستمر لنضج السيبر. يجب على قادة الأمن الانتقال من عقلية الامتثال إلى عقلية المرونة: بناء ضوابط تحمي المنظمة وتوثيقها بدقة واختبارها بانتظام وكن مستعدًا لشرحها للمنظمين. يكافئ الإطار المنظمات التي تعامل أمن السيبر كوظيفة تجارية استراتيجية وليس صندوق تقني.