Saudi-Arabien

SAMA Cyber Security Framework

Das Cyber Security Framework der saudischen Zentralbank bindet jedes Institut, das SAMA reguliert: Banken, Versicherer, Finanzierungsgesellschaften, Zahlungsdienstleister und ihre ausgelagerten Betriebe. Es gliedert Cybersicherheit in vier Domänen – Führung und Governance, Risikomanagement und Compliance, Betrieb und Technologie sowie Dritte – und misst jede Kontrolle auf einer Reifegradskala von 0 bis 5, wobei Stufe 3 die erwartete Basis ist. Die Institute bewerten sich jährlich selbst, und SAMA überprüft das Ergebnis.

Das Framework verlangt Reife, die definiert, umgesetzt und gemessen ist. DECIMA liefert die Messung – jeden Tag.

Auf einen Blick

Erlassen von

Saudische Zentralbank (SAMA)

Gilt für

Alle von SAMA regulierten Finanzinstitute: Banken, Versicherer, Finanzierungsgesellschaften, Zahlungsdienstleister und ihre ausgelagerten Betriebe

In Kraft

Seit 2017, mit von SAMA herausgegebenen Aktualisierungen; jährlich bewertet

Beaufsichtigt von

SAMA, durch die jährliche Selbstbewertung und eigene Überprüfungen

Was die Vorgabe verlangt

Die Pflichten, wie die Regulierung sie formuliert, in der Reihenfolge, in der ein Programm sie erfüllt.

1. 01

   Cybersicherheitsführung und Governance

   Eine vom Leitungsorgan gebilligte Cybersicherheitsstrategie, -richtlinie und -organisation mit definierten Rollen, einem Cybersicherheitsausschuss sowie Sensibilisierungs- und Schulungsprogrammen.

2. 02

   Risikomanagement und Compliance

   Ein in das unternehmensweite Risikomanagement integrierter Cybersicherheits-Risikoprozess, eine verfolgte und berichtete Einhaltung des Frameworks sowie regelmäßige interne und externe Audits.

3. 03

   Betrieb und Technologie

   Kontrollen für Asset-Management, Identität und Zugriff, Anwendungs- und Infrastruktursicherheit, Kryptografie, sichere Entwicklung, Schwachstellen- und Patch-Management, Ereignisüberwachung und Vorfallmanagement.

4. 04

   Cybersicherheit bei Dritten

   Cybersicherheitsanforderungen in Verträgen, Due Diligence und laufende Überwachung ausgelagerter Dienstleister und Cloud-Dienste.

Wie DECIMA es belegt

Jede Anforderung wird aus laufenden Systemen mit einer datierten, erneut verifizierbaren Aufzeichnung beantwortet – nicht aus einem für die Prüfung ausgefüllten Fragebogen.

• Reifegrad gemessen, nicht behauptet

  Der Reifegrad jeder Kontrolle wird aus datierten Auslesungen der Systeme abgeleitet, die sie betreiben – die an SAMA gemeldete Stufe ist damit die über den gesamten Zeitraum beobachtete Stufe.

• Betriebskontrollen kontinuierlich ausgelesen

  Zugriffs-, Patch-, Protokollierungs-, Schwachstellen- und Konfigurationskontrollen werden nach Zeitplan ausgelesen; jede Auslesung wird mit Zeitstempel und angewandter Framework-Version gespeichert.

• Selbstbewertung aus der Aufzeichnung erzeugt

  Die jährliche Selbstbewertung wird Kontrolle für Kontrolle aus einem Jahr datierter Nachweise erzeugt, statt in den Wochen vor der Einreichung aus dem Gedächtnis ausgefüllt zu werden.

• Nachweise zu Dritten angehängt

  Dienstleisterbewertungen, Vertragsklauseln und Überwachungsergebnisse werden als strukturierte Datensätze vorgehalten und mit den Kontrollen verknüpft, die sie erfüllen.

04

Fragen, die Käufer stellen

Kurze Antworten, die Sie zitieren können.