Arabia Saudita
Controles Esenciales de Ciberseguridad de la NCA
Los Controles Esenciales de Ciberseguridad son la línea base mínima de la Autoridad Nacional de Ciberseguridad de Arabia Saudita para las entidades gubernamentales y las organizaciones que poseen u operan infraestructuras críticas nacionales. Emitidos por primera vez en 2018 y revisados en 2024, los ECC organizan más de cien controles en cinco dominios: gobernanza, defensa, resiliencia, terceros y computación en la nube, y sistemas de control industrial. Las organizaciones evalúan su cumplimiento y lo reportan a la NCA.
Los ECC preguntan si cada control está implantado y es eficaz. DECIMA responde desde el sistema, no desde la política.
De un vistazo
- Emitido por
- Autoridad Nacional de Ciberseguridad (NCA), Arabia Saudita
- Se aplica a
- Entidades gubernamentales y organizaciones que poseen, operan o alojan infraestructuras críticas nacionales, incluidos los operadores del sector privado
- En vigor
- ECC-1 desde 2018; los ECC-2 revisados, emitidos en 2024
- Supervisado por
- La NCA, mediante evaluaciones de cumplimiento y reportes
Qué exige el mandato
Las obligaciones tal como las enuncia la norma, en el orden en que un programa las cumple.
01
Gobernanza de la ciberseguridad
Estrategia, gestión, políticas, funciones, gestión de riesgos, seguridad en proyectos y cambios, cumplimiento, auditoría, seguridad de los recursos humanos y concienciación.
02
Defensa de la ciberseguridad
Gestión de activos, identidad y acceso, protección de sistemas de información e instalaciones de procesamiento, seguridad del correo electrónico y de la red, dispositivos móviles, protección de datos, criptografía, copias de seguridad, gestión de vulnerabilidades y pruebas de penetración, registro y supervisión de eventos, gestión de incidentes y amenazas, y seguridad física.
03
Resiliencia de la ciberseguridad
Ciberseguridad integrada en la gestión de la continuidad del negocio, con capacidades de recuperación probadas.
04
Terceros y computación en la nube
Requisitos de ciberseguridad para proveedores terceros y para servicios en la nube, incluidas las condiciones de ubicación de datos y alojamiento.
05
Sistemas de control industrial
Controles para la tecnología operativa y los entornos de control industrial allí donde la organización los opera.
Cómo lo evidencia DECIMA
Cada requisito se responde desde sistemas en vivo con un registro fechado y reverificable, no con un cuestionario cumplimentado para la evaluación.
Controles de defensa leídos de forma continua
Los controles de identidad, red, endpoints, registro, copias de seguridad y vulnerabilidades se leen periódicamente de los sistemas que los operan, y cada lectura se almacena con su marca de tiempo y la versión de los ECC aplicada.
Evaluación producida desde el registro
La evaluación de cumplimiento que se reporta a la NCA se genera control por control a partir de evidencia fechada, y no de un cuestionario cumplimentado para la evaluación.
Condiciones de terceros y nube evidenciadas
Las evaluaciones de proveedores, las ubicaciones de alojamiento y las condiciones contractuales se conservan como registros estructurados vinculados a los controles que satisfacen.
Pruebas de continuidad registradas
Las pruebas de recuperación se registran con su alcance, resultados y remediación, vinculadas a los controles de resiliencia que ejercitaron.
04
Preguntas que hacen los compradores
Respuestas breves que puede citar.
Asigne este mandato a sus propios controles
Tráiganos un requisito y un sistema; le mostraremos el mismo control como declaración de política y como veredicto fechado y reverificable.
Hable con nosotros