المملكة العربية السعودية

الضوابط الأساسية للأمن السيبراني (NCA ECC)

الضوابط الأساسية للأمن السيبراني هي الحد الأدنى الذي تفرضه الهيئة الوطنية للأمن السيبراني في السعودية على الجهات الحكومية والمنظمات التي تملك أو تشغّل البنى التحتية الوطنية الحساسة. صدرت لأول مرة في عام 2018 ورُوجعت في عام 2024، وتنظم أكثر من مئة ضابط في خمسة نطاقات: الحوكمة، وتعزيز الأمن السيبراني، وصمود الأمن السيبراني، والأطراف الثالثة والحوسبة السحابية، وأنظمة التحكم الصناعي. وتقيّم المنظمات امتثالها وتبلغ الهيئة به.

تسأل الضوابط الأساسية عما إذا كان كل ضابط مُطبَّقاً وفعالاً. وتجيب DECIMA من النظام، لا من السياسة.

في لمحة

الجهة المصدرة

الهيئة الوطنية للأمن السيبراني (NCA)، المملكة العربية السعودية

ينطبق على

الجهات الحكومية والمنظمات التي تملك أو تشغّل أو تستضيف البنى التحتية الوطنية الحساسة، بما في ذلك مشغّلو القطاع الخاص

ساري المفعول

ECC-1 منذ عام 2018؛ والإصدار المُراجَع ECC-2 صدر في عام 2024

الجهة المشرفة

الهيئة الوطنية للأمن السيبراني، من خلال تقييمات الامتثال والإبلاغ

ما يتطلبه التشريع

الالتزامات كما تنص عليها اللائحة، بالترتيب الذي يستوفيها به البرنامج.

1. 01

   حوكمة الأمن السيبراني

   الاستراتيجية، والإدارة، والسياسات، والأدوار، وإدارة المخاطر، وأمن المشاريع والتغييرات، والامتثال، والتدقيق، والأمن المتعلق بالموارد البشرية، والتوعية.

2. 02

   تعزيز الأمن السيبراني

   إدارة الأصول، والهوية والوصول، وحماية أنظمة المعلومات ومرافق المعالجة، وأمن البريد الإلكتروني والشبكات، والأجهزة المحمولة، وحماية البيانات، والتشفير، والنسخ الاحتياطي، وإدارة الثغرات واختبار الاختراق، وتسجيل الأحداث ومراقبتها، وإدارة الحوادث والتهديدات، والأمن المادي.

3. 03

   صمود الأمن السيبراني

   دمج الأمن السيبراني في إدارة استمرارية الأعمال، مع اختبار قدرات التعافي.

4. 04

   الأطراف الثالثة والحوسبة السحابية

   متطلبات الأمن السيبراني لمقدمي الخدمات من الأطراف الثالثة وللخدمات السحابية، بما في ذلك شروط موقع البيانات والاستضافة.

5. 05

   أنظمة التحكم الصناعي

   ضوابط للتقنيات التشغيلية وبيئات التحكم الصناعي حيثما تشغّلها المنظمة.

كيف توثّقه DECIMA

يُجاب عن كل متطلب من الأنظمة الحية بسجل مؤرخ قابل لإعادة التحقق، لا من استبيان يُستكمل من أجل التقييم.

• قراءة ضوابط التعزيز باستمرار

  تُقرأ ضوابط الهوية والشبكات ونقاط النهاية والتسجيل والنسخ الاحتياطي والثغرات من الأنظمة التي تشغّلها وفق جدول زمني، وتُخزَّن كل قراءة مع طابعها الزمني وإصدار ECC المطبق.

• التقييم منتَج من السجل

  يُولَّد تقييم الامتثال المُبلَّغ إلى الهيئة الوطنية للأمن السيبراني ضابطاً ضابطاً من أدلة مؤرخة، لا من استبيان يُستكمل من أجل التقييم.

• توثيق شروط الأطراف الثالثة والسحابة

  تُحفظ تقييمات مقدمي الخدمات ومواقع الاستضافة والشروط التعاقدية كسجلات مهيكلة مرتبطة بالضوابط التي تستوفيها.

• تسجيل اختبارات الاستمرارية

  تُسجَّل اختبارات التعافي مع نطاقها ونتائجها ومعالجتها، مرتبطة بضوابط الصمود التي اختبرتها.

04

أسئلة يطرحها المشترون

إجابات موجزة يمكنكم اقتباسها.