المملكة العربية السعودية

إطار الأمن السيبراني للبنك المركزي السعودي (SAMA CSF)

يلزم إطار الأمن السيبراني للبنك المركزي السعودي كل مؤسسة تخضع لإشراف SAMA: البنوك وشركات التأمين وشركات التمويل ومقدمي خدمات الدفع وعملياتهم المسندة إلى جهات خارجية. وينظم الأمن السيبراني في أربعة نطاقات: القيادة والحوكمة، وإدارة المخاطر والامتثال، والعمليات والتقنية، والأطراف الثالثة، ويقيس كل ضابط على مقياس نضج من 0 إلى 5، حيث يمثل المستوى 3 خط الأساس المتوقع. وتجري المؤسسات تقييماً ذاتياً سنوياً ويراجع SAMA نتيجته.

يطلب الإطار نضجاً مُعرَّفاً ومُطبَّقاً ومُقاساً. وتوفر DECIMA القياس، كل يوم.

في لمحة

الجهة المصدرة

البنك المركزي السعودي (SAMA)

ينطبق على

جميع المؤسسات المالية الخاضعة لإشراف SAMA: البنوك وشركات التأمين وشركات التمويل ومقدمي خدمات الدفع وعملياتهم المسندة إلى جهات خارجية

ساري المفعول

منذ عام 2017، مع تحديثات يصدرها SAMA؛ ويُقيَّم سنوياً

الجهة المشرفة

SAMA، من خلال التقييم الذاتي السنوي ومراجعاته الخاصة

ما يتطلبه التشريع

الالتزامات كما تنص عليها اللائحة، بالترتيب الذي يستوفيها به البرنامج.

1. 01

   قيادة الأمن السيبراني وحوكمته

   استراتيجية وسياسة وهيكل تنظيمي للأمن السيبراني معتمدة من مجلس الإدارة، مع أدوار محددة، ولجنة للأمن السيبراني، وبرامج للتوعية والتدريب.

2. 02

   إدارة المخاطر والامتثال

   عملية لإدارة مخاطر الأمن السيبراني مدمجة مع إدارة المخاطر المؤسسية، ومتابعة الامتثال للإطار والإبلاغ عنه، وعمليات تدقيق داخلية وخارجية منتظمة.

3. 03

   العمليات والتقنية

   ضوابط تغطي إدارة الأصول، والهوية والوصول، وأمن التطبيقات والبنية التحتية، والتشفير، والتطوير الآمن، وإدارة الثغرات والتحديثات، ومراقبة الأحداث، وإدارة الحوادث.

4. 04

   الأمن السيبراني للأطراف الثالثة

   متطلبات الأمن السيبراني في العقود، والعناية الواجبة، والمراقبة المستمرة لمقدمي الخدمات الخارجيين والخدمات السحابية.

كيف توثّقه DECIMA

يُجاب عن كل متطلب من الأنظمة الحية بسجل مؤرخ قابل لإعادة التحقق، لا من استبيان يُستكمل من أجل التقييم.

• نضج مُقاس، لا مُدَّعى

  يُستمد نضج كل ضابط من قراءات مؤرخة للأنظمة التي تشغّله، فيكون المستوى المُبلَّغ إلى SAMA هو المستوى المرصود على مدار الفترة.

• قراءة ضوابط العمليات باستمرار

  تُقرأ ضوابط الوصول والتحديثات والتسجيل والثغرات والتهيئة وفق جدول زمني، وتُخزَّن كل قراءة مع طابعها الزمني وإصدار الإطار المطبق.

• التقييم الذاتي منتَج من السجل

  يُولَّد التقييم الذاتي السنوي من عام كامل من الأدلة المؤرخة، ضابطاً ضابطاً، بدلاً من استكماله من الذاكرة في الأسابيع السابقة للتقديم.

• أدلة الأطراف الثالثة مرفقة

  تُحفظ تقييمات مقدمي الخدمات والبنود التعاقدية ونتائج المراقبة كسجلات مهيكلة مرتبطة بالضوابط التي تستوفيها.

04

أسئلة يطرحها المشترون

إجابات موجزة يمكنكم اقتباسها.