مركز المساعدة
الأسئلة الشائعة
ابحث عن إجابات لأسئلتك حول الأمن السيبراني ومنصة سيزو للاستشارات
إجابة مقترحة
الامتثال واللوائح 6
إطار الأمن السيبراني لساما هو إطار شامل صادر عن البنك المركزي السعودي لمساعدة المؤسسات المالية على إدارة المخاطر السيبرانية. ويغطي الحوكمة وإدارة المخاطر والامتثال والعمليات وأمن الطرف الثالث.
هل كانت الإجابة مفيدة؟
ISO/IEC 27001 هو المعيار الدولي لأنظمة إدارة أمن المعلومات (ISMS). ليس إلزامياً في المملكة العربية السعودية بموجب القانون، لكنه موصى به بشدة ومطلوب في كثير من الأحيان من قبل العملاء المؤسسيين والمناقصات الحكومية. يُثبت تحقيق شهادة ISO 27001 وضعاً أمنياً ناضجاً ويمكن أن يسرّع الامتثال لـ SAMA CSF وNCA ECC.
هل كانت الإجابة مفيدة؟
تُعدّ شهادة ISO 27001:2022 المعيار الدولي المعترف به لأنظمة إدارة أمن المعلومات (ISMS)، وهي تعكس لشركات الفينتك السعودية نضجاً حقيقياً في ممارسات الأمن السيبراني. غير أن فهم كيفية تكاملها مع الأطر التنظيمية المحلية أمرٌ لا غنى عنه.
**أبرز متطلبات إصدار 2022:** جاء هذا الإصدار بـ 93 ضابطاً موزعةً على أربعة محاور: التنظيمي، والبشري، والمادي، والتقني. كما أضاف 11 ضابطاً جديداً تشمل استخبارات التهديدات، وأمن الحوسبة السحابية، وجاهزية تقنية المعلومات لاستمرارية الأعمال، وإخفاء البيانات — وهي مجالات ذات أهمية مباشرة لشركات الفينتك.
**التكامل مع SAMA CSF:** يوفر ISO 27001 إطار حوكمة راسخاً، إذ تتقاطع كثير من ضوابطه في الملحق (A) مع متطلبات SAMA CSF، مما يعني أن نظام ISMS المطبَّق جيداً يُغطّي جزءاً كبيراً من متطلبات SAMA. بيد أن SAMA CSF يتجاوز ذلك بضوابط قطاعية خاصة بأنظمة الدفع وأمن SWIFT والإبلاغ التنظيمي. بمعنى آخر، يمثّل ISO 27001 الأساس، فيما يُمثّل SAMA CSF الطبقة التنظيمية القطاعية فوقه.
**التكامل مع NCA ECC:** تتشارك ضوابط ECC الجوهرية تداخلاً واسعاً مع ISO 27001، لا سيما في مجالات إدارة الهوية والوصول، وإدارة الثغرات، والاستجابة للحوادث. وقد اعترفت NCA بأن شهادة ISO 27001 تُعدّ مؤشراً إيجابياً خلال عمليات التقييم، وإن كانت لا تُغني عن الامتثال الكامل لـ ECC.
**التوافق مع نظام PDPL:** يدعم الضابط 5.34 في الملحق (A) من ISO 27001:2022 الخاص بحماية البيانات الشخصية متطلبات نظام حماية البيانات الشخصية (PDPL) بشكل مباشر.
**نصيحة عملية:** استخدم منصة GRC لإجراء تحليل الفجوات بين ضوابط ISO 27001 الحالية ومتطلبات SAMA CSF وNCA ECC، مما يُجنّبك ازدواجية الجهد ويُبيّن للجهات التنظيمية نطاق التغطية الأمنية القائمة لديك.
هل كانت الإجابة مفيدة؟
تُعدّ إدارة مخاطر الأطراف الخارجية من أبرز المتطلبات التنظيمية التي تواجه شركات التقنية المالية في المملكة العربية السعودية. إذ يُرسي المتطلب 3.3 من SAMA CSF والمادة 2-13 من ضوابط NCA ECC إطاراً متكاملاً لتقييم المخاطر الناجمة عن الموردين والشركاء ومزودي الخدمات والسيطرة عليها.
**أبرز المتطلبات:**
1. **التحقق المسبق قبل التعاقد:** إجراء تقييم شامل للمخاطر السيبرانية قبل منح أي طرف خارجي صلاحيات الوصول إلى الأنظمة أو البيانات، بما يشمل مراجعة الشهادات الأمنية كـ ISO 27001 وSOC 2، وسجلات اختبارات الاختراق.
2. **الاشتراطات الأمنية في العقود:** يستلزم المتطلب 3.3.2 تضمين العقود بنوداً واضحة تتعلق بالحد الأدنى من معايير الأمن السيبراني، وحق التدقيق، والإخطار الفوري عن الحوادث خلال 72 ساعة، والامتثال لأحكام نظام حماية البيانات الشخصية (PDPL).
3. **المتابعة المستمرة:** إجراء تقييمات دورية للموردين عالي المخاطر على الأقل مرة سنوياً، مع مراقبة مستمرة للموردين ذوي الصلاحيات المتميزة وفق متطلبات NCA ECC.
4. **مخاطر التركز:** تُحذر توجيهات مؤسسة النقد من الاعتماد المفرط على مورد واحد، لا سيما في الخدمات السحابية ومنصات البنية المصرفية الجوهرية.
5. **مخاطر الأطراف الرابعة:** تتصاعد متطلبات تقييم المقاولين من الباطن والتبعيات الممتدة للموردين الرئيسيين في ظل تصاعد التدقيق التنظيمي.
**توصية عملية:** بناء تصنيف هرمي للموردين (حرج، مرتفع، متوسط، منخفض) وتكييف مستوى الرقابة وفقاً لهذا التصنيف، مع الحرص على توثيق نتائج التقييمات في سجل متخصص يُعدّ دليلاً داعماً خلال تقييمات SAMA.
هل كانت الإجابة مفيدة؟
أعاد ISO 27001:2022 هيكلة الملحق أ من 14 نطاقاً و114 ضابطاً إلى 4 محاور (تنظيمية وبشرية ومادية وتكنولوجية) و93 ضابطاً. تشمل الإضافات الرئيسية ضوابط لاستخبارات التهديدات، وأمن المعلومات للخدمات السحابية، واستعداد تقنية المعلومات لاستمرارية الأعمال، ومراقبة الأمن المادي، وإدارة التهيئة، وإخفاء البيانات. يجب على المؤسسات المعتمدة وفق إصدار 2013 الانتقال بحلول أكتوبر 2025.
هل كانت الإجابة مفيدة؟
تُعدّ برامج التوعية بالأمن السيبراني من الضوابط الأساسية التي أولاها كلٌّ من إطار ساما وضوابط الأمن السيبراني الوطني اهتماماً صريحاً، غير أن كثيراً من شركات الفنتك تتعامل معها باعتبارها إجراءً شكلياً لا برنامجاً حقيقياً لتغيير السلوك.
**الحد الأدنى من المتطلبات الرقابية:**
- **الضابط 3.1.4 من إطار ساما:** يشترط تدريب جميع الموظفين عند الالتحاق بالعمل وعلى فترات منتظمة، مع تخصيص المحتوى بحسب الأدوار الوظيفية.
- **الضابط 2-7 من ECC-1:2018:** يُلزم المنظمات بتطبيق برنامج توعية وتدريب يشمل الموظفين والمتعاقدين وأي طرف ثالث يملك صلاحية الوصول إلى الأنظمة.
**أفضل الممارسات في تصميم البرنامج:**
**أولاً: التدريب القائم على الأدوار** — صمّم مسارات تدريبية منفصلة للموظفين العامين (التصيد الاحتيالي وكلمات المرور)، والمطورين (OWASP وأمن البرمجيات)، والقيادات التنفيذية (المخاطر السيبرانية على مستوى مجلس الإدارة).
**ثانياً: محاكاة التصيد الاحتيالي** — نفّذ حملات محاكاة شهرية، وأحِل الموظفين الذين يقعون في الفخ إلى وحدات تدريبية مستهدفة بدلاً من مساءلتهم، لتعزيز ثقافة التعلم.
**ثالثاً: الاستمرارية والتنوع** — لا يكفي التدريب السنوي لإرضاء المفتشين؛ اعتمد نموذجاً مستمراً يشمل تنبيهات شهرية ووحدات ربع سنوية وتقييمات سنوية شاملة.
**رابعاً: المقاييس والتقارير** — تابع معدلات النقر في محاكاة التصيد ونسب إتمام التدريب، وارفع تقريراً ربع سنوياً للمسؤول عن الأمن السيبراني وتقريراً سنوياً للجنة مخاطر مجلس الإدارة.
**خامساً: التوعية بنظام حماية البيانات الشخصية** — أضف وحدات مخصصة لكيفية التعامل مع البيانات الشخصية وحقوق الأفراد، وهو أمر بالغ الأهمية لفرق الفنتك التي تتعامل مباشرة مع العملاء.
احتفظ بسجلات التدريب لمدة لا تقل عن 3 سنوات لدعم طلبات الأدلة خلال تدقيقات ساما والهيئة الوطنية للأمن السيبراني.
هل كانت الإجابة مفيدة؟
لم يتم العثور على أسئلة مطابقة.
لم تجد ما تبحث عنه؟
✉️ تواصل معنا