Arabie saoudite

SAMA Cyber Security Framework

Le cadre de cybersécurité de la Banque centrale saoudienne s'impose à chaque institution régulée par la SAMA : banques, assureurs, sociétés de financement, prestataires de services de paiement et leurs activités externalisées. Il organise la cybersécurité en quatre domaines (leadership et gouvernance, gestion des risques et conformité, opérations et technologie, tiers) et mesure chaque contrôle sur une échelle de maturité de 0 à 5, le niveau 3 étant la référence attendue. Les institutions s'auto-évaluent chaque année et la SAMA examine le résultat.

Le cadre exige une maturité définie, mise en œuvre et mesurée. DECIMA fournit la mesure, chaque jour.

En bref

Émis par

Banque centrale saoudienne (SAMA)

S'applique à

Toutes les institutions financières régulées par la SAMA : banques, assureurs, sociétés de financement, prestataires de services de paiement et leurs activités externalisées

En vigueur

Depuis 2017, avec des mises à jour publiées par la SAMA ; évalué chaque année

Supervisé par

La SAMA, par l'auto-évaluation annuelle et ses propres examens

Ce que la réglementation exige

Les obligations telles que le cadre les énonce, dans l'ordre où un programme y répond.

1. 01

   Leadership et gouvernance de la cybersécurité

   Une stratégie, une politique et une organisation de cybersécurité approuvées par le conseil d'administration, avec des rôles définis, un comité de cybersécurité et des programmes de sensibilisation et de formation.

2. 02

   Gestion des risques et conformité

   Un processus de gestion des risques de cybersécurité intégré à la gestion des risques de l'entreprise, une conformité au cadre suivie et rapportée, et des audits internes et externes réguliers.

3. 03

   Opérations et technologie

   Des contrôles sur la gestion des actifs, les identités et les accès, la sécurité des applications et de l'infrastructure, la cryptographie, le développement sécurisé, la gestion des vulnérabilités et des correctifs, la surveillance des événements et la gestion des incidents.

4. 04

   Cybersécurité des tiers

   Des exigences de cybersécurité dans les contrats, une diligence raisonnable et une surveillance continue des prestataires externalisés et des services cloud.

Comment DECIMA le prouve

Chaque exigence reçoit une réponse issue des systèmes en production, sous forme d'enregistrement daté et re-vérifiable, et non d'un questionnaire rempli pour l'évaluation.

• Une maturité mesurée, pas déclarée

  La maturité de chaque contrôle est dérivée de lectures datées des systèmes qui l'exécutent : le niveau rapporté à la SAMA est le niveau observé sur toute la période.

• Les contrôles opérationnels lus en continu

  Les contrôles d'accès, de correctifs, de journalisation, de vulnérabilités et de configuration sont lus selon un calendrier, chaque lecture étant conservée avec son horodatage et la version du cadre appliquée.

• L'auto-évaluation produite à partir de l'enregistrement

  L'auto-évaluation annuelle est générée à partir d'une année de preuves datées, contrôle par contrôle, plutôt que remplie de mémoire dans les semaines précédant la soumission.

• Les preuves relatives aux tiers jointes

  Les évaluations des prestataires, les clauses contractuelles et les résultats de surveillance sont conservés sous forme d'enregistrements structurés, reliés aux contrôles qu'ils satisfont.

04

Les questions que posent les acheteurs

Des réponses courtes que vous pouvez citer.