فهم نطاق إطار SAMA للأمن السيبراني

يحدد إطار الأمن السيبراني الصادر عن مؤسسة النقد العربي السعودي (SAMA) ضوابط أمان أساسية ومتقدمة لجميع المؤسسات المالية العاملة في المملكة، بما في ذلك البنوك وشركات التأمين وشركات التكنولوجيا المالية ومقدمي خدمات الدفع. يتوافق الإطار مع المعايير الدولية مثل ISO/IEC 27001:2022 وإطار NIST للأمن السيبراني 2.0، مع دمج السياق التنظيمي السعودي والالتزامات بموجب قانون حماية البيانات الشخصية السعودي (PDPL).

يجب على المؤسسات المالية الآن إثبات أن الضوابط لا تُطبق فقط، بل تُشغل وتُراقب وتُحسّن بشكل مستمر. ينتظر المنظمون الأدلة—وليس الوعود.

الركائز الأساسية لإثبات امتثال SAMA

1. الحوكمة وإدارة المخاطر

تتطلب SAMA هياكل حوكمة موثقة تظهر:

  • إشراف مجلس الإدارة على مخاطر الأمن السيبراني والإبلاغ المنتظم (ربع سنوي على الأقل)
  • مسؤول أمن المعلومات الرئيسي (CISO) بولاية واضحة ومساءلة
  • بيانات شهية مخاطر الأمن السيبراني وحدود تحمل المخاطر
  • أدلة على تقييمات مخاطر الأمن السيبراني المتوافقة مع إدارة مخاطر المؤسسة
  • خطط الاستجابة للحوادث المختبرة سنويًا مع نتائج موثقة

احتفظ بمحاضر اجتماعات مجلس الإدارة وخطابات تعيين CISO وسجلات المخاطر وتقارير التقييم كأدلة أساسية. يجب أن تكون كل هذه موثقة وموقعة مع الاحتفاظ بسجلات التدقيق.

2. الضوابط التقنية والتشغيلية

تتوقع SAMA تطبيق ضوابط عبر:

  • التحكم في الوصول: سياسات التحكم في الوصول القائمة على الأدوار (RBAC)، والمصادقة متعددة العوامل (MFA) لجميع الحسابات المميزة، ومراجعات الوصول الدورية مع التوقيع
  • حماية البيانات: التشفير أثناء النقل والتخزين، ومصفوفات تصنيف البيانات، وأدلة على إجراءات الحذف الآمن
  • أمان الشبكة: جدران الحماية وأنظمة كشف/منع الاختراق (IDS/IPS)، وتقسيم الشبكة، وتكوينات DMZ مع خطوط أساس للتكوين
  • أمان نقاط النهاية: نشر Endpoint Detection and Response (EDR)، وجداول إدارة التصحيحات، وتقارير فحص الثغرات
  • مراقبة النظام: يتم الاحتفاظ بسجلات Security Information and Event Management (SIEM) لمدة 12 شهرًا على الأقل، مع إجراءات تنبيه وتصعيد موثقة

تتضمن الأدلة ملفات التكوين والمستندات السياسية لقطات الشاشة وسجلات النظام واستخراجات السجلات وتقارير الشهادات من جهات خارجية (مثل SOC 2 Type II لمقدمي الخدمات).

3. الامتثال لقانون حماية البيانات الشخصية السعودي

يفرض قانون حماية البيانات الشخصية التزامات معالجة بيانات محددة تتوقع عمليات تدقيق SAMA رؤيتها مدمجة في ضوابط الأمن السيبراني:

  • اتفاقيات معالجة البيانات مع جميع الأطراف الثالثة والمعالجات
  • إجراءات الوفاء بحقوق صاحب البيانات (الوصول والتصحيح وحذف الطلبات)
  • تقييمات تأثير الخصوصية للأنظمة الجديدة أو أنشطة المعالجة
  • سجلات إخطار الخرق وأدلة على الإبلاغ في الوقت المناسب إلى الهيئة الوطنية للأمن السيبراني (NCA)
  • جداول الاحتفاظ توضح متى يتم حذف البيانات الشخصية

4. إدارة الحوادث والإبلاغ

تفرض SAMA الإبلاغ عن حوادث الأمان إلى NCA في الأطر الزمنية المحددة. يجب أن تتضمن الأدلة:

  • سجلات الحوادث مع الطوابع الزمنية ومستويات التصنيف والخطورة
  • تقارير تحليل السبب الجذري
  • خطط المعالجة وأدلة الإغلاق
  • سجلات إخطار NCA وأي مراسلات متابعة

بناء مستودع أدلة جاهز للتدقيق

أنشئ مستودع أدلة امتثال مركزيًا ينظم:

  • مكتبة السياسات: جميع سياسات الأمن السيبراني وحماية البيانات والاستجابة للحوادث، مع إصدارات وتواريخ
  • سجلات التقييم: تقييمات الثغرات واختبارات الاختراق وتقييمات المخاطر وعمليات التدقيق على الامتثال
  • أدلة التدريب: سجلات إكمال التدريب على الوعي الأمني ونتائج محاكاة التصيد الاحتيالي وسجلات التدريب المتخصصة بالأدوار
  • سجلات التدقيق: سجلات النظام وسجلات الوصول وسجلات تغيير التكوين وسجلات الإجراءات الإدارية
  • شهادات الجهات الخارجية: شهادات SOC 2 و ISO 27001 وتقييمات أمان البائعين

استخدم نظام إدارة المستندات مع التحكم في الإصدارات وسياسات الاحتفاظ والتحكم في الوصول. تأكد من أن جميع الأدلة قابلة للاسترجاع في غضون 48 ساعة من طلب المنظم.

الوجبة الرئيسية لقادة الأمن

امتثال SAMA ليس تمرينًا للشهادة لمرة واحدة—بل هو إثبات مستمر لموقف أمان ناضج. ابدأ بمطابقة حالتك الحالية مقابل إطار SAMA، وحدد الفجوات، وحدد أولويات المعالجة، وادمج جمع الأدلة في إيقاع عملياتك. ستحافظ عمليات التدقيق الداخلي المنتظمة والمراجعات ربع السنوية لمجلس الإدارة والتقييمات السنوية للجهات الخارجية على مؤسستك جاهزة للتدقيق ومتوافقة مع التوقعات التنظيمية المتطورة في المملكة.