فهم توقعات SAMA الحالية

يحدد إطار البنك المركزي السعودي (SAMA) للأمن السيبراني الضوابط الإلزامية ومعايير الحوكمة لجميع المؤسسات المالية التي تعمل تحت إشرافه. بخلاف الإرشادات الاستشارية، يحمل إطار SAMA قوة تنظيمية ويخضع للفحص والإنفاذ. يجب على قادة المؤسسات المالية أن يعاملوه ليس كطموح بل كحد أدنى للامتثال.

يتوافق الإطار مع المعايير الدولية—بما في ذلك ISO/IEC 27001:2022 و NIST Cybersecurity Framework 2.0—مع عكس البيئة التنظيمية في المملكة العربية السعودية ومراقبات الأمن السيبراني المؤسسية (ECC) من هيئة الأمن السيبراني الوطنية (NCA). يعني هذا التقارب أن المؤسسات يمكنها غالباً تلبية عدة أطر من خلال هندسة تحكم واحدة مصممة بشكل جيد.

الركائز الأساسية ومتطلبات الإثبات

1. الحوكمة والإشراف على مستوى مجلس الإدارة

تتطلب SAMA مساءلة موثقة على مستوى مجلس الإدارة بشأن الأمن السيبراني. يشمل الإثبات:

  • ميثاق مجلس الإدارة أو ميثاق اللجنة يسند صراحة مسؤولية الأمن السيبراني
  • تقارير ربع سنوية أو نصف سنوية لمجلس الإدارة عن مخاطر الأمن السيبراني والحوادث وحالة المعالجة
  • موافقة مجلس الإدارة على استراتيجية الأمن السيبراني وبيان شهية المخاطر السنوي
  • قرارات موثقة لمجلس الإدارة بشأن حوادث الأمن السيبراني المادية والاستثمارات في المعالجة

يجب أن يقدم كبير مسؤول الأمن المعلومات (CISO) أو ما يعادله تقارير مباشرة لمجلس الإدارة أو لجنة التدقيق، وليس مدفوناً في عمليات تكنولوجيا المعلومات.

2. إدارة المخاطر والتقييم

تفرض SAMA عملية إدارة مخاطر رسمية وموثقة:

  • تقييمات المخاطر السنوية: تحديد شامل للتهديدات السيبرانية والثغرات والتأثير على الأعمال. يجب أن تكون التقييمات قابلة للتكرار وموثقة وقابلة للتتبع لتنفيذ الضوابط.
  • سجل المخاطر: جرد حي للمخاطر المحددة وتصنيفها والمسؤولين المعينين وخطط التخفيف مع تواريخ الإنجاز المستهدفة.
  • مخاطر الطرف الثالث والسلسلة الإمدادية: إثبات تقييم البائع والشروط الأمنية التعاقدية والمراقبة المستمرة لمزودي الخدمات الحرجين.
  • تخطيط السيناريوهات: اختبارات موثقة للاستمرارية والتعافي من الكوارث، مع مراجعة النتائج من قبل الإدارة العليا.

3. الضوابط التقنية والتشغيلية

تتوقع SAMA من المؤسسات تنفيذ وإثبات الضوابط عبر:

  • التحكم في الوصول: سياسات الوصول القائمة على الأدوار والمصادقة متعددة العوامل للأنظمة الحرجة وإدارة الحسابات ذات الامتيازات والمراجعات الدورية للوصول مع الموافقات الموثقة.
  • حماية البيانات: التشفير أثناء النقل والباقي وتصنيف البيانات وسياسات الاحتفاظ المتوافقة مع قانون حماية البيانات الشخصية السعودي (PDPL) ولوائحه التنفيذية.
  • المراقبة والتسجيل: إدارة معلومات الأمن والأحداث المركزية (SIEM) مع فترات الاحتفاظ التي تلبي المتطلبات التنظيمية والإجراءات الموثقة لتحقيق التنبيهات.
  • الاستجابة للحوادث: خطة استجابة للحوادث مختبرة وموثقة مع أدوار محددة ومسارات التصعيد وبروتوكولات الاتصال. يشمل الإثبات سجلات الحوادث ومراجعات ما بعد الحادثة والدروس المستفادة.

4. الامتثال والتدقيق

تتوقع SAMA:

  • تدقيق داخلي سنوي لبرنامج الأمن السيبراني مع تتبع النتائج والمعالجة حتى الإغلاق
  • اختبار اختراق خارجي وتقييمات الثغرات مرة واحدة على الأقل سنوياً مع توثيق النتائج والمعالجة
  • تقييم الامتثال لإطار SAMA نفسه مع تحليل الفجوات وخريطة طريق المعالجة
  • توثيق جميع اختبارات التحكم والنتائج والأدلة المحتفظ بها للفحص

خطوات عملية لإثبات الامتثال

إنشاء مصفوفة تحكم: ربط كل متطلب SAMA بالضوابط المنفذة والأطراف المسؤولة وعناصر الإثبات. حدّث ربع سنوياً.

الحفاظ على مستودع الامتثال: مركزية السياسات والإجراءات وتقارير التقييم وجلسات مجلس الإدارة وسجلات الحوادث والنتائج التدقيقية في نظام آمن وقابل للتدقيق.

إجراء تقييم أساسي: توظيف مقيّم مستقل لتقييم الحالة الحالية مقابل إطار SAMA وإنتاج تقرير فجوة مفصل. استخدمه لتحديد أولويات المعالجة.

المحاذاة مع NCA ECC: توفر مراقبات الأمن السيبراني المؤسسية من NCA مرجعاً تقنياً مفصلاً. تأكد من أن تصميم التحكم وجمع الأدلة يتوافق مع توقعات SAMA و NCA لتجنب التكرار.

دمج امتثال PDPL: وثّق كيف تلبي ضوابط حماية البيانات والخصوصية الخاصة بك قانون حماية البيانات الشخصية السعودي، خاصة بشأن الموافقة والمعالجة والإخطار بالخروقات.

النظر إلى الأمام

إطار SAMA ليس ثابتاً. يجب على المؤسسات مراقبة إرشادات NCA وتحديثات المعايير الدولية والمنشورات الدورية من SAMA لتوقعات متطورة. أصبح الأمن السيبراني الآن مخاطر عمل على مستوى مجلس الإدارة، وليس مربع اختيار تكنولوجيا المعلومات. القادة الماليون الذين يعاملون جمع الأدلة كجزء متكامل من تصميم التحكم—بدلاً من عبء الامتثال بأثر رجعي—سيثبتون المرونة الحقيقية ويلبون التوقعات التنظيمية بشكل مستدام.