📚 قاعدة المعرفة
أسئلة وأجوبة شاملة في الأمن السيبراني والامتثال للأنظمة السعودية
يجب على المؤسسات المالية تنفيذ برنامج شامل للأمن السيبراني للأطراف الثالثة يشمل: 1) إنشاء إطار لإدارة مخاطر الموردين مع تصنيف الموردين بناءً على الأهمية والوصول إلى البيانات، 2) إجراء العناية الواجبة للأمن السيبراني قبل التعاقد مع أي مزود خدمة طرف ثالث، 3) تضمين بنود الأمن السيبراني الإلزامية في جميع عقود الموردين التي تحدد متطلبات الأمان وحقوق التدقيق والتزامات الإخطار بالحوادث، 4) مطالبة الموردين بإثبات الامتثال لمعايير الأمان ذات الصلة ومتطلبات ساما، 5) إجراء تقييمات وعمليات تدقيق أمنية دورية للموردين الحرجين، 6) مراقبة الأداء الأمني للأطراف الثالثة من خلال مؤشرات الأداء الرئيسية واتفاقيات مستوى الخدمة، 7) ضمان استيفاء متطلبات توطين البيانات للموردين الذين يعالجون بيانات العملاء السعوديين، 8) الاحتفاظ بجرد محدث لجميع علاقات الأطراف الثالثة وتصنيفات مخاطرها، و9) إنشاء إجراءات لإنهاء التعامل الآمن مع الموردين. يجب إيلاء اهتمام خاص لمزودي الخدمات السحابية وشركاء التكنولوجيا المالية العاملين في السوق السعودي.
يجب على المؤسسات المالية السعودية إنشاء مراقبة مستمرة للامتثال من خلال: 1) تنفيذ أدوات مراقبة الامتثال الآلية لتتبع فعالية الضوابط عبر جميع مجالات إطار ساما، 2) إجراء تقييمات داخلية ربع سنوية للأمن السيبراني وعمليات تدقيق شاملة سنوية، 3) الإبلاغ عن حوادث الأمن السيبراني الكبيرة لساما ضمن الأطر الزمنية المحددة (الحوادث الحرجة خلال ساعة واحدة)، 4) تقديم تقارير الامتثال السنوية للأمن السيبراني لساما توضح الالتزام بجميع متطلبات الإطار، 5) الاحتفاظ بلوحات معلومات فورية تظهر حالة الامتثال ومؤشرات المخاطر الرئيسية، 6) إجراء مراجعات إدارية منتظمة لوضع الأمن السيبراني مع تقارير على مستوى مجلس الإدارة ربع سنوية على الأقل، 7) تتبع والإبلاغ عن تقدم المعالجة للفجوات والثغرات المحددة، 8) المشاركة في تمارين الأمن السيبراني لساما ومبادرات مشاركة معلومات التهديدات، 9) تحديث تقييمات المخاطر عند حدوث تغييرات كبيرة في مشهد التهديدات أو العمليات التجارية، و10) الاحتفاظ بسجلات التدقيق والسجلات لجميع أنشطة الامتثال. يجب تصعيد عدم الامتثال فوراً مع تقديم خطط الإجراءات التصحيحية لساما.
تفرض المملكة العربية السعودية متطلبات صارمة لإقامة البيانات والسيادة عليها للخدمات السحابية. بموجب نظام حماية البيانات الشخصية (PDPL) ولوائح الهيئة الوطنية للأمن السيبراني، يجب تخزين البيانات الشخصية الحساسة والبيانات الحكومية داخل الحدود الجغرافية للمملكة العربية السعودية. يُطلب من مشغلي البنية التحتية الحيوية والجهات الحكومية استخدام مراكز البيانات المحلية أو المناطق السحابية الموجودة في المملكة. بالنسبة للبيانات الحكومية المصنفة، يعد استخدام البنية التحتية السحابية المملوكة للحكومة (G-Cloud) أو حلول السحابة الخاصة المعتمدة داخل الحدود السعودية إلزامياً. يجب على المؤسسات ضمان حدوث عمليات معالجة البيانات والنسخ الاحتياطي والتعافي من الكوارث داخل المنشآت السعودية المعتمدة. تتطلب عمليات نقل البيانات عبر الحدود موافقة صريحة ويجب أن تمتثل للمادة 26 من نظام حماية البيانات الشخصية، والتي تسمح بالنقل الدولي فقط إلى البلدان ذات مستويات حماية البيانات الكافية أو من خلال آليات معتمدة. أنشأ مزودو الخدمات السحابية الرئيسيون مثل AWS وMicrosoft Azure وGoogle Cloud وOracle مناطق محلية في المملكة العربية السعودية لتلبية هذه المتطلبات، مع مراكز بيانات في الرياض والدمام.
يضع إطار ضوابط الأمن السيبراني للحوسبة السحابية (CCC) التابع للهيئة الوطنية للأمن السيبراني متطلبات أمنية شاملة لبيئات الحوسبة السحابية في المملكة العربية السعودية. تشمل الضوابط الرئيسية: إدارة الهوية والوصول (IAM) مع المصادقة متعددة العوامل (MFA) للحسابات المميزة، والتحكم في الوصول القائم على الأدوار (RBAC)، ومراجعات الوصول المنتظمة. تتطلب حماية البيانات تشفير البيانات أثناء التخزين باستخدام AES-256 أو ما يعادله، والتشفير أثناء النقل باستخدام TLS 1.2 أو أعلى، وإدارة آمنة للمفاتيح. يفرض أمن الشبكات تقسيم الشبكة، وأنظمة كشف/منع التطفل (IDS/IPS)، والحماية من هجمات DDoS. يتطلب التسجيل والمراقبة جمع السجلات المركزية، والاحتفاظ بها لمدة سنة واحدة على الأقل، والمراقبة الأمنية في الوقت الفعلي. تشمل إدارة الثغرات تقييمات الثغرات المنتظمة، وإدارة التصحيحات ضمن أطر زمنية محددة، واختبار الاختراق. تتطلب الاستجابة للحوادث إجراءات موثقة، والإبلاغ عن الحوادث للهيئة الوطنية للأمن السيبراني ضمن أطر زمنية محددة، وقدرات الطب الشرعي. تفرض استمرارية الأعمال استراتيجيات النسخ الاحتياطي، وخطط التعافي من الكوارث التي يتم اختبارها سنوياً، وأهداف وقت الاسترداد (RTO) وأهداف نقطة الاسترداد (RPO) المحددة. يتطلب الامتثال والمراجعة عمليات تدقيق أمنية منتظمة، وتقييمات الامتثال، وتوثيق الضوابط الأمنية.
يجب على المؤسسات في المملكة العربية السعودية تنفيذ مراقبة شاملة لأمن الحوسبة السحابية والاستجابة للحوادث بما يتماشى مع متطلبات الهيئة الوطنية للأمن السيبراني. يجب أن تشمل المراقبة الأمنية: نشر أدوات إدارة الوضع الأمني السحابي (CSPM) لتقييم امتثال التكوين بشكل مستمر، وأنظمة إدارة معلومات الأمن والأحداث (SIEM) لتحليل السجلات المركزية، وحلول وسيط أمن الوصول السحابي (CASB) لمراقبة استخدام الخدمات السحابية، والتنبيه الآلي للأنشطة المشبوهة. يجب جمع السجلات من جميع موارد الحوسبة السحابية بما في ذلك مثيلات الحوسبة وقواعد البيانات والتخزين وحركة مرور الشبكة واستدعاءات API، والاحتفاظ بها لمدة سنة واحدة كحد أدنى، وحمايتها من التلاعب. بالنسبة للاستجابة للحوادث: إنشاء مركز عمليات أمنية (SOC) مخصص أو استخدام خدمات أمنية مُدارة، وتطوير كتيبات الاستجابة للحوادث الخاصة ببيئات الحوسبة السحابية، وتنفيذ قدرات الكشف عن الحوادث والاستجابة لها تلقائياً، وضمان تغطية المراقبة على مدار الساعة طوال أيام الأسبوع. يجب الإبلاغ عن الحوادث الحرجة للهيئة الوطنية للأمن السيبراني في غضون ساعة واحدة من الاكتشاف، مع تقديم تقارير مفصلة عن الحوادث في غضون 72 ساعة. يجب على المؤسسات إجراء تدريبات منتظمة للاستجابة للحوادث، والحفاظ على الجاهزية الشرعية في بيئات الحوسبة السحابية، وإنشاء بروتوكولات اتصال مع مزودي الخدمات السحابية للحوادث الأمنية. يُوصى بالتكامل مع المركز الوطني للأمن السيبراني التابع للهيئة الوطنية للأمن السيبراني لتبادل معلومات التهديدات.
وفقاً للضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، تتكون الاستجابة للحوادث من خمس مراحل رئيسية: 1) التحضير - إنشاء قدرات وسياسات وفرق الاستجابة للحوادث؛ 2) الكشف والتحليل - تحديد وتقييم الحوادث الأمنية؛ 3) الاحتواء - الحد من نطاق وتأثير الحادث؛ 4) الإزالة والاستعادة - إزالة التهديدات واستعادة العمليات الطبيعية؛ 5) النشاط اللاحق للحادث - إجراء الدروس المستفادة وتحسين الدفاعات. يجب على المؤسسات في المملكة العربية السعودية توثيق هذه الإجراءات وضمان التوافق مع متطلبات الهيئة، بما في ذلك الإبلاغ الإلزامي عن الحوادث الكبيرة ضمن الأطر الزمنية المحددة.
يجب على المؤسسات العاملة في المملكة العربية السعودية الإبلاغ عن الحوادث السيبرانية الحرجة للهيئة الوطنية للأمن السيبراني خلال ساعة واحدة من اكتشافها عبر منصة الإبلاغ الرسمية (فريق الاستجابة لطوارئ الحاسب الآلي). بالنسبة للحوادث عالية الخطورة، يجب أن يتم الإبلاغ خلال 24 ساعة، والحوادث متوسطة الخطورة خلال 72 ساعة. تشمل الحوادث الحرجة تلك التي تؤثر على البنية التحتية الحرجة أو الأمن الوطني أو الخدمات الأساسية أو التي تتضمن اختراقات بيانات كبيرة. يجب على المؤسسات تقديم إخطار أولي يتبعه تقارير مفصلة تتضمن الجدول الزمني للحادث وتقييم التأثير وإجراءات الاحتواء وخطط المعالجة. قد يؤدي عدم الامتثال لمتطلبات الإبلاغ إلى عقوبات بموجب أنظمة الأمن السيبراني السعودية.
يجب أن يتضمن فريق الاستجابة للحوادث السيبرانية في المملكة العربية السعودية: 1) مدير الاستجابة للحوادث - ينسق أنشطة الاستجابة والاتصالات مع الهيئة الوطنية للأمن السيبراني؛ 2) محللو الأمن - يجرون التحقيق التقني وتحليل التهديدات؛ 3) عمليات تقنية المعلومات - يتعاملون مع الاحتواء واستعادة الأنظمة؛ 4) المستشار القانوني - يضمن الامتثال للقوانين السعودية ومتطلبات حماية البيانات؛ 5) مسؤول الاتصالات - يدير الاتصالات الداخلية والخارجية؛ 6) ممثل الإدارة - يوفر الصلاحية التنفيذية وتخصيص الموارد. يجب أن يكون الفريق متاحاً على مدار الساعة طوال أيام الأسبوع للأنظمة الحرجة، مع إجراءات تصعيد موثقة وقنوات اتصال آمنة وتدريب منتظم. يجب على المؤسسات الاحتفاظ بقوائم اتصال محدثة وضمان فهم أعضاء الفريق لالتزامات الإبلاغ للهيئة والمتطلبات التنظيمية الخاصة بالمملكة بما في ذلك الامتثال لنظام حماية البيانات الشخصية.
يجب على المؤسسات اتباع إجراءات سليمة من الناحية الجنائية: 1) تنفيذ توثيق سلسلة الحفظ لجميع الأدلة؛ 2) إنشاء صور جنائية للأنظمة المتأثرة دون تغيير البيانات الأصلية؛ 3) جمع السجلات من جدران الحماية وأنظمة كشف ومنع التسلل والخوادم ونقاط النهاية مع طوابع زمنية دقيقة؛ 4) توثيق جميع الإجراءات المتخذة أثناء التحقيق؛ 5) تخزين الأدلة بشكل آمن مع وصول محدود. يجب الحفاظ على الأدلة لدعم الإجراءات القانونية المحتملة بموجب القانون السعودي وتحقيقات الهيئة الوطنية للأمن السيبراني. يجب على المؤسسات استخدام أدوات منع الكتابة لنسخ الأقراص، والاحتفاظ بقيم التجزئة (SHA-256) للتحقق من السلامة، وضمان أن معالجة الأدلة تتوافق مع المعايير القانونية السعودية. التنسيق مع الهيئة والسلطات السعودية عند الاشتباه في نشاط إجرامي، والاحتفاظ بالأدلة للفترة المحددة في الأنظمة السعودية (عادة 3-5 سنوات).
يجب أن تتضمن المراجعات اللاحقة للحوادث في المملكة العربية السعودية: 1) جدول زمني مفصل للحادث من الكشف إلى الحل؛ 2) تحليل السبب الجذري لتحديد الثغرات المستغلة؛ 3) تقييم فعالية الاستجابة والالتزام بالإجراءات؛ 4) تقييم التأثير المالي والتشغيلي؛ 5) تحديد الدروس المستفادة وفرص التحسين؛ 6) تقييم محدث للمخاطر يعكس التهديدات الجديدة؛ 7) توصيات لتعزيز الضوابط الأمنية؛ 8) مراجعة الامتثال لمتطلبات الإبلاغ للهيئة الوطنية للأمن السيبراني. يجب على المؤسسات توثيق النتائج في تقرير رسمي، وتحديث خطط الاستجابة للحوادث وفقاً لذلك، وتنفيذ الإجراءات التصحيحية ضمن أطر زمنية محددة، وإجراء تدريب متابعة. يجب أن تقيّم المراجعة التنسيق مع الهيئة والسلطات السعودية الأخرى، وضمان أن التحسينات تتماشى مع متطلبات الضوابط الأساسية وتحديثات إطار الأمن السيبراني السعودي.
يخضع أمن الحوسبة السحابية في المملكة العربية السعودية لعدة أنظمة رئيسية: الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، والتي تفرض ضوابط أمنية محددة للخدمات السحابية؛ والإطار التنظيمي للحوسبة السحابية الذي يحدد متطلبات مزودي الخدمات السحابية العاملين في المملكة؛ ونظام حماية البيانات الشخصية الذي يتطلب توطين البيانات وتدابير الحماية. يجب على المؤسسات التأكد من امتثال مزودي الخدمات السحابية لديهم لضوابط الأمن السيبراني السحابي التابعة للهيئة الوطنية للأمن السيبراني، وتنفيذ متطلبات إقامة البيانات والحفاظ على البيانات الحساسة داخل الحدود السعودية، وإجراء تقييمات أمنية منتظمة، والحفاظ على قدرات الاستجابة للحوادث. كما توفر الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) إرشادات للجهات الحكومية التي تستخدم الخدمات السحابية.
يوفر إطار الحوسبة السحابية السعودي، الذي طورته الهيئة الوطنية للأمن السيبراني، إرشادات شاملة للاعتماد الآمن للحوسبة السحابية في المملكة. يصنف الخدمات السحابية إلى ثلاثة مستويات من المخاطر (عالية، متوسطة، منخفضة) بناءً على حساسية البيانات ويتطلب من المؤسسات: تصنيف بياناتها وفقاً للإطار الوطني لتصنيف البيانات؛ اختيار مزودي الخدمات السحابية الذين يستوفون متطلبات اعتماد الهيئة الوطنية للأمن السيبراني؛ تنفيذ ضوابط أمنية مناسبة بناءً على تصنيف البيانات؛ ضمان سيادة البيانات مع تخزين البيانات الحكومية الحرجة داخل المملكة العربية السعودية؛ إجراء تقييمات أمنية للموردين والعناية الواجبة؛ إنشاء اتفاقيات مستوى خدمة واضحة تغطي المسؤوليات الأمنية؛ والحفاظ على قدرات مسارات التدقيق والتسجيل. يفرض الإطار على الجهات الحكومية إعطاء الأولوية لمزودي الخدمات السحابية المعتمدين من الهيئة ويتطلب من مؤسسات القطاع الخاص التي تتعامل مع البيانات الحساسة الامتثال لمعايير مماثلة.
تفرض المملكة العربية السعودية متطلبات صارمة لإقامة البيانات وتوطينها للخدمات السحابية لضمان سيادة البيانات والأمن القومي. وفقاً لأنظمة الهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية: يجب تخزين ومعالجة جميع البيانات الحكومية المصنفة على أنها 'سرية' أو 'سرية للغاية' داخل المملكة العربية السعودية؛ يجب أن تتواجد بيانات البنية التحتية الحرجة والبيانات الشخصية للمواطنين السعوديين بشكل أساسي في مراكز البيانات المحلية؛ يجب أن يكون لدى مزودي الخدمات السحابية بنية تحتية مادية داخل المملكة للتعامل مع البيانات الحساسة؛ تتطلب عمليات نقل البيانات خارج المملكة موافقة صريحة ويجب أن تمتثل لأنظمة نقل البيانات عبر الحدود؛ يجب أيضاً أن تكون أنظمة النسخ الاحتياطي والتعافي من الكوارث للبيانات الحرجة موجودة داخل الحدود السعودية؛ ويجب على المؤسسات الاحتفاظ بسجلات مفصلة لموقع البيانات وحركتها. أنشأ مزودو الخدمات السحابية الرئيسيون مثل AWS وMicrosoft Azure وGoogle Cloud مناطق محلية في المملكة العربية السعودية لتلبية هذه المتطلبات.
يجب على المؤسسات في المملكة العربية السعودية تنفيذ قدرات شاملة لمراقبة أمن الحوسبة السحابية والاستجابة للحوادث بما يتوافق مع متطلبات الهيئة الوطنية للأمن السيبراني. تشمل خطوات التنفيذ الرئيسية: نشر حلول إدارة معلومات وأحداث الأمن (SIEM) لجمع وتحليل السجلات من الخدمات السحابية؛ تنفيذ أدوات إدارة وضع أمن الحوسبة السحابية (CSPM) لمراقبة الامتثال للتكوين بشكل مستمر؛ إنشاء قدرات مركز عمليات الأمن (SOC) على مدار الساعة أو الشراكة مع مزودي خدمات الأمن المُدارة المرخصين من الهيئة؛ تكوين تنبيهات تلقائية للأنشطة المشبوهة وانتهاكات السياسات؛ الاحتفاظ بسجلات تدقيق مفصلة لمدة 365 يوماً كحد أدنى وفقاً لأنظمة الهيئة؛ تنفيذ حلول وسيط أمن الوصول السحابي (CASB) لمراقبة الوصول إلى البيانات وحركتها؛ إنشاء إجراءات الاستجابة للحوادث بما يتماشى مع متطلبات الإبلاغ عن الحوادث للهيئة (خلال ساعة واحدة للحوادث الحرجة)؛ إجراء تقييمات أمنية منتظمة واختبارات الاختراق؛ التكامل مع المركز الوطني للعمليات السيبرانية لتبادل معلومات التهديدات؛ والتأكد من تسجيل جميع الأحداث الأمنية باللغتين العربية والإنجليزية للامتثال التنظيمي.
يتطلب تأمين بيئات الحوسبة السحابية المتعددة والهجينة في المملكة العربية السعودية نهجاً شاملاً يتماشى مع إرشادات الهيئة الوطنية للأمن السيبراني: تنفيذ إدارة موحدة للهوية والوصول عبر جميع المنصات السحابية باستخدام الاتحاد والدخول الموحد؛ نشر سياسات وضوابط أمنية متسقة عبر جميع البيئات السحابية باستخدام أدوات أصلية وخارجية؛ إنشاء إطار حوكمة أمنية مركزي يغطي جميع مزودي الخدمات السحابية؛ تنفيذ التشفير للبيانات الثابتة والمتنقلة باستخدام خوارزميات معتمدة من الهيئة؛ استخدام منصات حماية أحمال العمل السحابية للحصول على أمان متسق عبر بيئات مختلفة؛ الحفاظ على تقسيم الشبكة والتقسيم الدقيق بين الموارد السحابية والمحلية؛ تنفيذ مبادئ بنية الثقة المعدومة مع التحقق المستمر؛ التأكد من أن جميع مزودي الخدمات السحابية يستوفون متطلبات اعتماد الهيئة؛ إجراء تقييمات أمنية منتظمة عبر جميع المنصات السحابية؛ إنشاء إجراءات واضحة لتصنيف البيانات والتعامل معها لتدفقات البيانات متعددة السحابة؛ تنفيذ مراقبة الامتثال والإبلاغ الآلي؛ الاحتفاظ بجرد مفصل للأصول عبر جميع البيئات السحابية؛ والتأكد من أن خطط التعافي من الكوارث واستمرارية الأعمال تغطي جميع المنصات السحابية.
وفقاً لضوابط الأمن السيبراني الأساسية (ECC) وإرشادات مركز العمليات الأمنية الصادرة عن الهيئة الوطنية للأمن السيبراني، تشمل المكونات الأساسية: 1) قدرات المراقبة على مدار الساعة طوال أيام الأسبوع مع موظفين سعوديين مؤهلين، 2) أنظمة إدارة معلومات وأحداث الأمن (SIEM) المتكاملة مع مصادر معلومات التهديدات، 3) إجراءات الاستجابة للحوادث متوافقة مع متطلبات الإبلاغ عن الحوادث للهيئة، 4) إدارة السجلات والاحتفاظ بها لمدة 365 يوماً على الأقل كما تفرضه الأنظمة، 5) التكامل مع المنصات الوطنية للأمن السيبراني وآليات مشاركة التهديدات، 6) التقييمات الأمنية المنتظمة واختبارات الاختراق، 7) كتيبات إجراءات موثقة لسيناريوهات الهجمات الشائعة، و8) مراقبة الامتثال للأنظمة السعودية بما في ذلك نظام حماية البيانات الشخصية والمتطلبات الخاصة بالقطاعات.
تشمل أفضل الممارسات لتصنيف الحوادث في مراكز العمليات الأمنية السعودية: 1) تطبيق نظام خطورة من أربع مستويات (حرج، عالي، متوسط، منخفض) متوافق مع عتبات الإبلاغ عن الحوادث للهيئة الوطنية للأمن السيبراني، 2) يجب الإبلاغ عن الحوادث الحرجة التي تؤثر على الخدمات الأساسية للهيئة خلال ساعة واحدة، 3) يجب أن تأخذ معايير التصنيف في الاعتبار حساسية البيانات بموجب نظام حماية البيانات الشخصية، والتأثير على البنية التحتية الحرجة، والآثار المحتملة على الأمن الوطني، 4) التصنيف الآلي باستخدام قواعد الربط في أنظمة SIEM مع التحقق اليدوي، 5) مسارات تصعيد واضحة إلى مسؤول أمن المعلومات والإدارة التنفيذية والهيئة عند الحاجة، 6) التوثيق باللغتين العربية والإنجليزية للامتثال التنظيمي، 7) التكامل مع أطر الاستجابة الوطنية للحوادث، و8) المراجعة والتحديث المنتظم لمصفوفات التصنيف بناءً على المشهد المتطور للتهديدات في المنطقة.