📚 قاعدة المعرفة
أسئلة وأجوبة شاملة في الأمن السيبراني والامتثال للأنظمة السعودية
يتطلب الامتثال للضوابط السيبرانية الأساسية عمليات تدقيق وتقييم صارمة: 1) التقييم الذاتي - يجب على المنظمات إجراء تقييمات داخلية باستخدام القوالب المقدمة من الهيئة وتوثيق حالة تنفيذ الضوابط؛ 2) التقييم المستقل - التعاقد مع مقدمي خدمات الأمن السيبراني المرخصين من الهيئة لإجراء عمليات تدقيق امتثال موضوعية؛ 3) جمع الأدلة - الاحتفاظ بتوثيق شامل يشمل السياسات والإجراءات والتكوينات التقنية والسجلات وسجلات التدريب؛ 4) إعداد تقارير الامتثال - تقديم نتائج التقييم عبر منصة إدارة الامتثال التابعة للهيئة ضمن الأطر الزمنية المحددة؛ 5) تخطيط المعالجة - تطوير خطط إجراءات تصحيحية للفجوات المحددة مع جداول زمنية؛ 6) إعادة التقييم الدورية - إجراء مراجعات سنوية أو بعد تغييرات كبيرة في الأنظمة أو العمليات التجارية؛ 7) التحقق من الهيئة - عمليات تفتيش محتملة في الموقع من قبل مدققي الهيئة للجهات الحيوية. يجب على المنظمات تحقيق الحد الأدنى من عتبات الامتثال بناءً على مستوى تصنيفها والحفاظ على برامج مراقبة الامتثال المستمرة.
يتناول المجال الرابع من الضوابط السيبرانية الأساسية على وجه التحديد الأمن السيبراني للجهات الخارجية والحوسبة السحابية بضوابط مخصصة تتطلب: 1) تقييمات شاملة لمخاطر الموردين قبل التعاقد ومراجعات دورية؛ 2) متطلبات أمنية تعاقدية تشمل حماية البيانات وإخطار الحوادث وحقوق التدقيق؛ 3) الامتثال لتوطين البيانات لضمان بقاء البيانات الحساسة داخل المملكة أو الولايات القضائية المعتمدة؛ 4) تقييم مقدمي الخدمات السحابية وفقاً للمعايير المعترف بها (ISO 27001، CSA STAR)؛ 5) المراقبة المستمرة للوضع الأمني للجهات الخارجية وأدائها؛ 6) التعامل الآمن مع البيانات أثناء الترحيل والمعالجة والحذف؛ 7) الحق في تدقيق واختبار اختراق أنظمة الجهات الخارجية؛ 8) آليات تنسيق الاستجابة للحوادث. يجب على المنظمات الاحتفاظ بقائمة موردين معتمدة، وإجراء العناية الواجبة، وتنفيذ تصنيف البيانات، وضمان توافق تكوينات السحابة مع الضوابط التقنية عبر إدارة الهوية والتشفير والتسجيل وأمن الشبكات.
يتطلب نظام حماية البيانات الشخصية من المؤسسات تنفيذ تدابير أمنية تقنية وتنظيمية شاملة تتناسب مع المخاطر المرتبطة بمعالجة البيانات. تشمل متطلبات الأمان: (1) تشفير البيانات الشخصية الحساسة أثناء النقل والتخزين؛ (2) ضوابط الوصول لضمان وصول الموظفين المصرح لهم فقط للبيانات الشخصية؛ (3) تقييمات ومراجعات أمنية منتظمة؛ (4) تدريب الموظفين على ممارسات حماية البيانات؛ (5) خطط الاستجابة للحوادث واستمرارية الأعمال؛ (6) تقليل البيانات واستخدام الأسماء المستعارة حيثما أمكن. بالنسبة لانتهاكات البيانات، يجب على المؤسسات إخطار سدايا في غضون 72 ساعة من علمها بانتهاك يشكل مخاطر على حقوق الأفراد. يجب أن يتضمن الإخطار: طبيعة الانتهاك، وفئات وعدد تقريبي للأفراد المتأثرين، والعواقب المحتملة، والتدابير المتخذة أو المقترحة لمعالجة الانتهاك. إذا شكل الانتهاك مخاطر عالية على الأفراد، يجب على المؤسسات أيضاً إخطار أصحاب البيانات المتأثرين دون تأخير لا مبرر له، مع توفير معلومات واضحة حول الانتهاك والتدابير الوقائية التي يجب عليهم اتخاذها. قد يؤدي عدم تطبيق الأمان الكافي أو الإبلاغ عن الانتهاكات إلى عقوبات تصل إلى 3 ملايين ريال سعودي.
يضع نظام حماية البيانات الشخصية عقوبات كبيرة للمخالفات لضمان الامتثال. يمكن أن تصل الغرامات المالية إلى 5 ملايين ريال سعودي حسب خطورة وطبيعة المخالفة. تشمل المخالفات المحددة: (1) معالجة البيانات الشخصية دون أساس قانوني - حتى 2 مليون ريال؛ (2) عدم تطبيق تدابير الأمان المناسبة - حتى 3 ملايين ريال؛ (3) نقل البيانات خارج المملكة دون ضمانات مناسبة - حتى 2 مليون ريال؛ (4) عدم الإبلاغ عن اختراقات البيانات للهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) ضمن الإطار الزمني المطلوب - حتى 2 مليون ريال؛ (5) عرقلة أنشطة التفتيش أو التحقيق لسدايا - حتى مليون ريال. قد تفرض الجهة المختصة أيضاً عقوبات إضافية تشمل تعليق أنشطة معالجة البيانات والإجراءات التصحيحية الإلزامية ونشر المخالفات. يواجه المخالفون المتكررون عقوبات مشددة، وفي الحالات الخطيرة التي تنطوي على مخالفات متعمدة تسبب ضرراً كبيراً، قد تتم الملاحقة الجنائية بموجب القانون السعودي.
يمنح نظام حماية البيانات الشخصية الأفراد (أصحاب البيانات) عدة حقوق أساسية فيما يتعلق ببياناتهم الشخصية: (1) حق الوصول - يمكن للأفراد طلب معلومات حول البيانات الشخصية التي تتم معالجتها والحصول على نسخ منها؛ (2) حق التصحيح - القدرة على تصحيح البيانات غير الدقيقة أو غير الكاملة؛ (3) حق المحو - طلب حذف البيانات الشخصية في ظروف معينة؛ (4) حق الاعتراض - الاعتراض على المعالجة بناءً على المصالح المشروعة أو للتسويق المباشر؛ (5) حق تقييد المعالجة - الحد من كيفية استخدام البيانات في ظروف محددة؛ (6) حق نقل البيانات - الحصول على البيانات الشخصية بتنسيق منظم ونقلها إلى مراقب آخر؛ (7) حق سحب الموافقة - إلغاء الموافقة الممنوحة سابقاً في أي وقت. يجب على المراقبين الرد على هذه الطلبات في غضون 30 يوماً وتوفير آليات واضحة لممارسة هذه الحقوق.
يجب على المؤسسات السعودية دمج إدارة الثغرات مع الاستجابة للحوادث والامتثال من خلال: (1) إنشاء قنوات اتصال مباشرة بين فرق إدارة الثغرات ومركز العمليات الأمنية، (2) إدخال بيانات الثغرات في أنظمة SIEM للربط مع الأحداث الأمنية ومعلومات التهديدات، (3) تضمين نتائج تقييم الثغرات في تحليلات ما بعد الحوادث لتحديد الأسباب الجذرية، (4) تفعيل إجراءات الاستجابة للحوادث عند اكتشاف ثغرات حرجة في أنظمة الإنتاج، (5) الحفاظ على قاعدة بيانات مركزية للثغرات يمكن للمستجيبين للحوادث الوصول إليها، (6) إنشاء تقارير امتثال منتظمة لعمليات تدقيق الهيئة الوطنية للأمن السيبراني توضح حالة الثغرات ومعدلات المعالجة والامتثال لاتفاقيات مستوى الخدمة، (7) توثيق الاستثناءات وقرارات قبول المخاطر مع الموافقات المناسبة، (8) التكامل مع متطلبات الإبلاغ للهيئة الوطنية للأمن السيبراني للثغرات الكبيرة التي تؤثر على البنية التحتية الحيوية، (9) استخدام اتجاهات الثغرات لتوجيه التدريب على الوعي الأمني، (10) مواءمة مقاييس إدارة الثغرات مع لوحات معلومات امتثال الضوابط الأساسية، (11) إجراء تمارين نظرية تجمع بين سيناريوهات الثغرات وإجراءات الاستجابة للحوادث.
تشمل أدوات وممارسات فحص الثغرات الموصى بها للمؤسسات السعودية: (1) ماسحات على مستوى المؤسسات: Qualys أو Tenable Nessus أو Rapid7 InsightVM أو OpenVAS للمؤسسات ذات الميزانية المحدودة، (2) ماسحات تطبيقات الويب: Burp Suite أو OWASP ZAP أو Acunetix لأمن التطبيقات، (3) أدوات خاصة بالسحابة: AWS Inspector أو Azure Security Center أو Prisma Cloud للبيئات السحابية، (4) تنفيذ الفحص المصادق عليه لتقييم أعمق للأنظمة، (5) جدولة فحوصات منتظمة: أسبوعياً للأنظمة الحيوية، شهرياً للأخرى، (6) إجراء الفحوصات خلال نوافذ الصيانة لتقليل الاضطراب، (7) دمج الفحص مع أنظمة إدارة التصحيحات لسير عمل معالجة آلي، (8) التأكد من تحديث الماسحات بأحدث توقيعات الثغرات، (9) استخدام منظور الفحص الداخلي والخارجي، (10) التحقق من النتائج لتقليل الإيجابيات الكاذبة، (11) التأكد من امتثال الأدوات لمتطلبات الهيئة الوطنية للأمن السيبراني ودعم التقارير باللغة العربية عند الحاجة.
يجب على المؤسسات السعودية تحديد أولويات معالجة الثغرات باستخدام نهج قائم على المخاطر: (1) تقييم خطورة الثغرة باستخدام درجات CVSS (حرجة: 9.0-10.0، عالية: 7.0-8.9، متوسطة: 4.0-6.9، منخفضة: 0.1-3.9)، (2) النظر في أهمية الأصول - إعطاء الأولوية للثغرات في الأنظمة التي تتعامل مع بيانات حساسة أو بنية تحتية حيوية أو خدمات أساسية وفقاً لتصنيفات الهيئة الوطنية للأمن السيبراني، (3) تقييم قابلية الاستغلال - إعطاء الأولوية للثغرات ذات الاستغلالات المعروفة أو النشطة، (4) تقييم الأثر على الأعمال - النظر في الأضرار المالية والتشغيلية والسمعة المحتملة، (5) مراعاة الضوابط التعويضية - تعديل الأولوية إذا كانت هناك ضوابط تخفيفية، (6) اتباع الجداول الزمنية الموصى بها من الهيئة: الثغرات الحرجة في 15-30 يوماً، العالية في 30-90 يوماً، المتوسطة في 90-180 يوماً، (7) الحفاظ على نظام تتبع للمعالجة مع ملكية ومواعيد نهائية واضحة، (8) إجراء مراجعات منتظمة لتعديل الأولويات بناءً على التهديدات الناشئة.
بموجب إطار الضوابط الأساسية للأمن السيبراني في المملكة، تشمل متطلبات إدارة الثغرات: (1) إجراء تقييمات منتظمة للثغرات واختبارات الاختراق سنوياً على الأقل للأنظمة الحيوية، (2) تطبيق أدوات فحص آلية للثغرات للمراقبة المستمرة، (3) إنشاء عملية تحديد أولويات قائمة على المخاطر باستخدام درجات CVSS أو أطر مماثلة، (4) معالجة الثغرات الحرجة ضمن أطر زمنية محددة (عادة 30 يوماً للحرجة و90 يوماً للعالية المخاطر)، (5) الحفاظ على سياسة وإجراءات لإدارة الثغرات، (6) توثيق جميع الثغرات المحددة وإجراءات المعالجة، (7) الإبلاغ عن الثغرات الكبيرة للهيئة الوطنية للأمن السيبراني عند الحاجة، (8) ضمان تغطية إدارة الثغرات لجميع الأصول بما في ذلك الخدمات السحابية والشبكات والتطبيقات ونقاط النهاية.
يتطلب إطار ساما من المؤسسات المالية إنشاء برنامج شامل لإدارة مخاطر الأطراف الثالثة يشمل: إجراء العناية الواجبة للأمن السيبراني قبل التعامل مع الموردين، والاحتفاظ بسجل لجميع مزودي الخدمات من الأطراف الثالثة الذين لديهم وصول إلى الأنظمة أو البيانات، وتنفيذ متطلبات أمنية تعاقدية بما في ذلك حق التدقيق، وإجراء تقييمات أمنية منتظمة للموردين الحيويين. يجب على المؤسسات التأكد من امتثال الأطراف الثالثة لمتطلبات إطار ساما بما يتناسب مع الخدمات المقدمة، وتنفيذ متطلبات توطين البيانات للمعلومات الحساسة التي يعالجها الموردون، وإنشاء إجراءات إخطار الحوادث التي تتطلب من الموردين الإبلاغ عن الاختراقات ضمن أطر زمنية محددة، والحفاظ على المراقبة المستمرة للوضع الأمني للأطراف الثالثة. يجب إيلاء اهتمام خاص لمزودي الخدمات السحابية وشراكات التكنولوجيا المالية، مع ضمان استيفائهم لمتطلبات ساما لإقامة البيانات والأمن داخل المملكة العربية السعودية.
يجب على المؤسسات المالية إعداد وثائق شاملة تشمل: سياسات وإجراءات الأمن السيبراني التي تغطي جميع مجالات إطار ساما، وتقارير تقييم المخاطر مع التهديدات المحددة واستراتيجيات التخفيف، وجرد الأصول الذي يوثق جميع أنظمة تقنية المعلومات وتصنيفات البيانات، ومخططات بنية الشبكة التي توضح المناطق الأمنية والضوابط، وخطط الاستجابة للحوادث وسجلات التعامل مع الحوادث، وخطط استمرارية الأعمال والتعافي من الكوارث مع نتائج الاختبار، واتفاقيات الأطراف الثالثة مع المتطلبات الأمنية، وتقارير اختبار الاختراق وتقييم الثغرات، وسجلات التدريب على التوعية الأمنية لجميع الموظفين، ومصفوفات التحكم في الوصول ومراجعات امتيازات المستخدمين، وأدلة تنفيذ النسخ الاحتياطي والتشفير للبيانات، وتكوينات المراقبة الأمنية والتسجيل. بالإضافة إلى ذلك، يجب على المؤسسات الاحتفاظ بأدلة التقارير على مستوى مجلس الإدارة، والتقييمات الذاتية للامتثال مقابل جميع الضوابط البالغ عددها 114، وخطط المعالجة للفجوات المحددة، ومسارات التدقيق التي تثبت الامتثال المستمر. يجب أن تكون جميع الوثائق باللغة العربية أو مترجمة رسمياً، ومحدثة بانتظام، ومتاحة بسهولة لتفتيش ساما.
يجب أن يتبع تنفيذ إطار ساما نهج تحديد الأولويات القائم على المخاطر على مدى 12-24 شهراً. يجب على المؤسسات أولاً معالجة الضوابط الأساسية بما في ذلك هيكل الحوكمة وتقييم المخاطر وتحديد الأصول الحرجة خلال الأشهر الثلاثة الأولى. بعد ذلك، تنفيذ الضوابط التقنية الأساسية مثل إدارة الوصول وأمن الشبكات وحماية البيانات خلال 6-9 أشهر. يجب أن تتبع الضوابط المتقدمة بما في ذلك المراقبة الأمنية والمعلومات الاستخبارية عن التهديدات واختبار الاختراق خلال 12-18 شهراً. يجب إعطاء الأولوية للضوابط التي تحمي بيانات العملاء وأنظمة الدفع والعمليات المصرفية الأساسية. يجب على المؤسسات تصنيف نفسها وفقاً لتصنيف ساما (بناءً على الحجم والتعقيد والأهمية النظامية) حيث يحدد ذلك الجداول الزمنية المحددة للامتثال. التقارير المنتظمة عن التقدم إلى ساما مطلوبة، ويجب على المؤسسات إجراء تقييمات ذاتية ربع سنوية لتتبع مستويات الامتثال. يجب تسريع الضوابط الحرجة المحددة أثناء تقييم المخاطر أو تلك التي تعالج الثغرات المعروفة. يجب أن تتضمن خطة التنفيذ تخصيص الموارد والموافقة على الميزانية وشراء التكنولوجيا وتدريب الموظفين وتدابير الطوارئ للتأخيرات.
يتضمن تقييم الامتثال: 1) إجراء تقييمات ذاتية سنوية مقابل جميع ضوابط إطار ساما المعمول بها، وتوثيق أدلة التنفيذ، 2) إشراك مدققين خارجيين مستقلين مؤهلين لإجراء تقييمات خارجية والتحقق من ادعاءات الامتثال، 3) الحفاظ على لوحة معلومات الامتثال لتتبع حالة تنفيذ كل ضابط مع مستويات النضج (مقياس 0-5)، 4) تقديم تقارير الامتثال السنوية إلى ساما عبر القنوات الرسمية، بما في ذلك الملخص التنفيذي ونتائج تقييم الضوابط التفصيلية والفجوات المحددة مع خطط المعالجة والجداول الزمنية، 5) الإبلاغ عن حوادث الأمن السيبراني لساما ضمن الأطر الزمنية المحددة (الحوادث الحرجة خلال ساعة واحدة)، 6) إجراء مراجعات داخلية ربع سنوية وعرض النتائج على لجنة المخاطر أو المراجعة بمجلس الإدارة، 7) الاحتفاظ بمستودع الأدلة لمدة 7 سنوات كحد أدنى، و8) المشاركة في المراجعات الإشرافية لساما وتقديم الوثائق المطلوبة. يجب تقديم التقارير باللغة العربية وتتضمن شهادة من الرئيس التنفيذي ومجلس الإدارة بشأن الدقة والاكتمال.
يتطلب التنفيذ التقني: 1) تقسيم الشبكة بتطبيق المنطقة المنزوعة السلاح، وفصل بيئات الإنتاج عن بيئات التطوير، وعزل الأنظمة الحرجة، 2) نشر ضوابط أمنية متعددة الطبقات بما في ذلك جدران الحماية من الجيل التالي، وأنظمة كشف ومنع التسلل، وحلول مكافحة البرمجيات الخبيثة، وجدران حماية تطبيقات الويب، 3) تنفيذ آليات مصادقة قوية بما في ذلك المصادقة متعددة العوامل للوصول المميز والاتصالات عن بُعد، 4) إنشاء نظام إدارة معلومات وأحداث الأمن للتسجيل والمراقبة المركزية، 5) نشر حلول منع فقدان البيانات، 6) تطبيق التشفير للبيانات الثابتة والمتنقلة باستخدام خوارزميات معتمدة من ساما، 7) إنشاء برامج إدارة الثغرات والتصحيحات مع اتفاقيات مستوى خدمة محددة، و8) تكوين خطوط أساس آمنة لجميع الأنظمة وفقاً لمعايير CIS أو ما يعادلها. يجب أن تدعم جميع الحلول الواجهات العربية حيثما ينطبق ذلك وأن تمتثل لمتطلبات إقامة البيانات السعودية.
يجب على البنوك إنشاء تسلسل هرمي شامل من ثلاث مستويات للوثائق: 1) السياسات المعتمدة من مجلس الإدارة التي تحدد التوجه الاستراتيجي والحوكمة للأمن السيبراني، 2) المعايير والإجراءات التي توضح متطلبات التنفيذ لكل مجال من مجالات ضوابط إطار ساما، و3) تعليمات العمل والإرشادات للتنفيذ التشغيلي. تشمل الوثائق المطلوبة: سياسة الأمن السيبراني، وسياسة أمن المعلومات، وخطة الاستجابة للحوادث، وخطط استمرارية الأعمال والتعافي من الكوارث، وسياسة التحكم في الوصول، وسياسة التشفير، وسياسة إدارة مخاطر الأطراف الثالثة، وسياسة حماية البيانات والخصوصية، وبرنامج التوعية الأمنية، وإجراءات إدارة التغيير. يجب أن تكون جميع الوثائق باللغة العربية أو ثنائية اللغة، ومراجعتها سنوياً، والتحكم في إصداراتها، وإتاحتها للموظفين المعنيين مع الحفاظ على سرية المعلومات الأمنية الحساسة.
يجب على المؤسسات إجراء تقييم شامل لمخاطر الأمن السيبراني يغطي جميع أصول المعلومات والأنظمة والعمليات. يشمل ذلك: تحديد وجرد جميع الأصول، وتصنيف البيانات وفقاً لمستويات الحساسية (عامة، داخلية، سرية، مقيدة)، وإجراء نمذجة التهديدات وتقييمات الثغرات، وحساب المخاطر الكامنة والمتبقية، وتوثيق قرارات معالجة المخاطر. يجب أن يتماشى التقييم مع النهج القائم على المخاطر لدى ساما، مع تحديد أولويات الضوابط بناءً على ملف المخاطر الخاص بالمؤسسة. يجب توثيق النتائج في سجل المخاطر، ومراجعتها ربع سنوياً، وعرضها على الإدارة العليا ومجلس الإدارة. يجب أن تأخذ العملية في الاعتبار التهديدات الخاصة بالمملكة والمتطلبات التنظيمية والسياق التجاري داخل القطاع المالي بالمملكة.
بموجب لوائح الهيئة الوطنية للأمن السيبراني، يجب على المؤسسات في المملكة العربية السعودية الإبلاغ عن الحوادث السيبرانية بناءً على تصنيف خطورتها. يجب الإبلاغ عن الحوادث الحرجة التي تؤثر على البنية التحتية الوطنية أو الجهات الحكومية أو الخدمات الأساسية فوراً (خلال ساعة واحدة من الاكتشاف) إلى الهيئة الوطنية للأمن السيبراني من خلال قنوات الإبلاغ الرسمية. يجب الإبلاغ عن الحوادث متوسطة الخطورة خلال 24 ساعة، بينما تتطلب الحوادث منخفضة الخطورة الإبلاغ خلال 72 ساعة. يجب أن يتضمن التقرير تفاصيل الحادث والأنظمة المتأثرة والتأثير المحتمل وإجراءات الاستجابة الأولية المتخذة. يجب على المؤسسات أيضاً تقديم تقارير متابعة وتحليل نهائي للحادث. قد يؤدي عدم الامتثال لمتطلبات الإبلاغ إلى عقوبات كما هو محدد في نظام الأمن السيبراني. توفر الهيئة الوطنية للأمن السيبراني منصة مخصصة للإبلاغ عن الحوادث يمكن الوصول إليها من خلال بوابتها الرسمية.
يجب أن يتضمن فريق الاستجابة لحوادث أمن الحاسوب في المملكة العربية السعودية أدواراً ومسؤوليات محددة بوضوح تتماشى مع متطلبات الهيئة الوطنية للأمن السيبراني. يجب أن يتكون الفريق الأساسي من: 1) مدير الفريق - مسؤول عن التنسيق العام واتخاذ القرارات؛ 2) محللو الأمن - للكشف عن الحوادث وتحليلها؛ 3) معالجو الحوادث - للاحتواء والمعالجة؛ 4) متخصصو الطب الشرعي الرقمي - لجمع الأدلة وتحليلها؛ 5) منسق الاتصالات - للاتصالات الداخلية والخارجية، بما في ذلك الإبلاغ للهيئة الوطنية للأمن السيبراني. يجب أن يكون الفريق متاحاً على مدار الساعة طوال أيام الأسبوع للأنظمة الحرجة، مع إجراءات تصعيد موثقة وبرامج تدريب منتظمة. يجب على المؤسسات الاحتفاظ بمعلومات الاتصال بفريق الاستجابة للحوادث التابع للهيئة الوطنية للأمن السيبراني وإنشاء قنوات اتصال آمنة. يجب على الفريق إجراء تدريبات منتظمة وتمارين نظرية، والاحتفاظ بأدلة الاستجابة للحوادث باللغتين العربية والإنجليزية، وضمان الامتثال لمتطلبات إقامة البيانات والخصوصية السعودية أثناء التعامل مع الحوادث.
يجب أن يمتثل الطب الشرعي الرقمي في المملكة العربية السعودية لنظام مكافحة جرائم المعلوماتية وإرشادات الهيئة الوطنية للأمن السيبراني لضمان قبول الأدلة في الإجراءات القانونية. تشمل الإجراءات الرئيسية: 1) العزل الفوري للأنظمة المتأثرة مع الحفاظ على حالتها؛ 2) توثيق سلسلة الحفظ لجميع الأدلة مع التوثيق باللغة العربية؛ 3) إنشاء نسخ طبق الأصل للطب الشرعي باستخدام أدوات منع الكتابة قبل التحليل؛ 4) تسجيل جميع الإجراءات مع طوابع زمنية متزامنة مع التوقيت الرسمي للمملكة العربية السعودية؛ 5) الحفاظ على السجلات والمصنوعات للفترة المطلوبة قانونياً (عادةً من 6 أشهر إلى 3 سنوات حسب نوع الحادث). يجب على المؤسسات استخدام أدوات طب شرعي معتمدة والاحتفاظ بالأدلة في بيئات آمنة ومحكومة الوصول. عند التنسيق مع جهات إنفاذ القانون السعودية أو الهيئة الوطنية للأمن السيبراني، يجب نقل الأدلة من خلال القنوات الرسمية مع التوثيق المناسب. يجب تدريب جميع محللي الطب الشرعي على المتطلبات القانونية السعودية والاحتفاظ بتقارير مفصلة باللغة العربية للإجراءات القضائية المحتملة.
تتطلب حوادث برامج الفدية في المملكة العربية السعودية الإبلاغ الفوري للهيئة الوطنية للأمن السيبراني والالتزام ببروتوكولات استجابة محددة. يجب على المؤسسات: 1) عزل الأنظمة المصابة فوراً وتعطيل اتصالات الشبكة لمنع الانتشار؛ 2) الإبلاغ عن الحادث للهيئة الوطنية للأمن السيبراني خلال ساعة واحدة كحادث حرج؛ 3) الحفاظ على جميع الأدلة بما في ذلك مذكرات الفدية والملفات المشفرة وسجلات النظام؛ 4) تفعيل إجراءات استعادة النسخ الاحتياطية إن وجدت. فيما يتعلق بدفع الفدية، تثني الهيئة الوطنية للأمن السيبراني بشدة عن الدفع لأنه يمول الأنشطة الإجرامية ولا يضمن استعادة البيانات. يجب على المؤسسات التشاور مع الهيئة الوطنية للأمن السيبراني قبل اتخاذ أي قرارات دفع، حيث قد تنتهك المدفوعات اللوائح المالية السعودية والعقوبات الدولية. بدلاً من ذلك، ركز على: استخدام النسخ الاحتياطية غير المتصلة بالإنترنت المخزنة بما يتوافق مع متطلبات حماية البيانات للهيئة الوطنية للأمن السيبراني، وإشراك شركاء الاستجابة للحوادث المعتمدين من الهيئة، وتنفيذ خطة استمرارية الأعمال للمؤسسة. بعد الحادث، قم بإجراء تقييمات أمنية شاملة، وتحديث الضوابط الأمنية، وتقديم تقارير مفصلة عن الحادث للهيئة الوطنية للأمن السيبراني بما في ذلك الجدول الزمني للاستعادة والدروس المستفادة. يجب على المؤسسات أيضاً مراجعة بوالص التأمين السيبراني الخاصة بها لمعرفة تفاصيل التغطية بموجب اللوائح السعودية.