Arabia Saudita
Marco de Ciberseguridad de SAMA
El Marco de Ciberseguridad del Banco Central de Arabia Saudita obliga a todas las instituciones que SAMA regula: bancos, aseguradoras, compañías financieras, proveedores de servicios de pago y sus operaciones externalizadas. Organiza la ciberseguridad en cuatro dominios (liderazgo y gobernanza, gestión de riesgos y cumplimiento, operaciones y tecnología, y terceros) y mide cada control en una escala de madurez de 0 a 5, siendo el nivel 3 la línea base esperada. Las instituciones se autoevalúan anualmente y SAMA revisa el resultado.
El marco exige una madurez definida, implantada y medida. DECIMA aporta la medición, cada día.
De un vistazo
- Emitido por
- Banco Central de Arabia Saudita (SAMA)
- Se aplica a
- Todas las instituciones financieras reguladas por SAMA: bancos, aseguradoras, compañías financieras, proveedores de servicios de pago y sus operaciones externalizadas
- En vigor
- Desde 2017, con actualizaciones emitidas por SAMA; evaluado anualmente
- Supervisado por
- SAMA, mediante la autoevaluación anual y sus propias revisiones
Qué exige el mandato
Las obligaciones tal como las enuncia la norma, en el orden en que un programa las cumple.
01
Liderazgo y gobernanza de la ciberseguridad
Una estrategia, una política y una organización de ciberseguridad respaldadas por el consejo, con funciones definidas, un comité de ciberseguridad y programas de concienciación y formación.
02
Gestión de riesgos y cumplimiento
Un proceso de gestión del riesgo de ciberseguridad integrado con el riesgo empresarial, seguimiento y reporte del cumplimiento del marco, y auditorías internas y externas periódicas.
03
Operaciones y tecnología
Controles sobre gestión de activos, identidad y acceso, seguridad de aplicaciones e infraestructura, criptografía, desarrollo seguro, gestión de vulnerabilidades y parches, supervisión de eventos y gestión de incidentes.
04
Ciberseguridad de terceros
Requisitos de ciberseguridad en los contratos, diligencia debida y supervisión continua de los proveedores externalizados y los servicios en la nube.
Cómo lo evidencia DECIMA
Cada requisito se responde desde sistemas en vivo con un registro fechado y reverificable, no con un cuestionario cumplimentado para la evaluación.
Madurez medida, no afirmada
La madurez de cada control se deriva de lecturas fechadas de los sistemas que lo operan, de modo que el nivel reportado a SAMA es el nivel observado a lo largo del periodo.
Controles de operaciones leídos de forma continua
Los controles de acceso, parcheo, registro, vulnerabilidades y configuración se leen periódicamente, y cada lectura se almacena con su marca de tiempo y la versión del marco aplicada.
Autoevaluación producida desde el registro
La autoevaluación anual se genera a partir de un año de evidencia fechada, control por control, en lugar de cumplimentarse de memoria en las semanas previas a la presentación.
Evidencia de terceros adjunta
Las evaluaciones de proveedores, las cláusulas contractuales y los resultados de supervisión se conservan como registros estructurados vinculados a los controles que satisfacen.
04
Preguntas que hacen los compradores
Respuestas breves que puede citar.
Asigne este mandato a sus propios controles
Tráiganos un requisito y un sistema; le mostraremos el mismo control como declaración de política y como veredicto fechado y reverificable.
Hable con nosotros