إطار ساما للأمن السيبراني (SAMA CSF): دليل الامتثال للمؤسسات المالية السعودية

هذا المقال مُقدَّم لأغراض إعلامية عامة ولا يُعد استشارة قانونية. يُنصح المؤسسات بالتأكد من التزاماتها المحددة مباشرة لدى البنك المركزي السعودي (ساما) أو من خلال مستشار امتثال مرخّص.

إطار ساما للأمن السيبراني في لمحة: النطاق، والمجالات الأربعة الأساسية، ونموذج النضج، وخارطة طريق الامتثال 2026.

لماذا يهم هذا الموضوع الآن

يتزايد باطّراد خلال عام 2026 الاهتمام البحثي في السعودية بمصطلحات مثل “إطار ساما للأمن السيبراني” و“SAMA CSF” وما يرتبط بها من مواضيع كإدارة مخاطر الأطراف الثالثة السيبرانية، وإدارة السياسات الأمنية، وتقييم نضج الأمن السيبراني. ومع ذلك، فإن معظم المحتوى المتاح حول هذا الموضوع صادر عن مزودي حلول تقنية وليس من منظور تدريبي متخصص في الامتثال يعكس ما يتحقق منه المدققون فعليًا. هذه الفجوة مهمة لأن إطار ساما للأمن السيبراني ليس إرشادًا اختياريًا، بل هو الحد الأدنى الإلزامي للأمن السيبراني الذي يفرضه البنك المركزي السعودي على كل بنك وشركة تأمين وشركة تمويل ومزود خدمات دفع يخضع لترخيصه، وعدم الامتثال له تبعات رقابية حقيقية.

يشرح هذا الدليل ما يتطلبه إطار ساما للأمن السيبراني فعليًا، وكيف يختلف عن الإطار الوطني الآخر الرئيسي للأمن السيبراني في المملكة، وهو الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، وكيف تقيس ساما نضج الامتثال، والخطوات العملية التي ينبغي لأي جهة خاضعة للتنظيم اتخاذها لسد الفجوة قبل دورة التفتيش القادمة.

ما هو إطار ساما للأمن السيبراني؟

إطار ساما للأمن السيبراني هو الحد الأدنى لحوكمة وإدارة مخاطر الأمن السيبراني الصادر عن البنك المركزي السعودي (ساما) ضمن إطار الأمن السيبراني الخاص به، المنشور عبر دليل قواعد ساما الرسمي. وخلافًا للإرشادات العامة لأمن تقنية المعلومات، فإن إطار ساما أداة رقابية إشرافية: تستخدمه ساما لتقييم ما إذا كانت حوكمة الأمن السيبراني لدى الجهة الخاضعة للتنظيم وإدارة مخاطرها وضوابطها التقنية ترقى إلى المستوى المطلوب لحماية القطاع المالي في المملكة من المخاطر السيبرانية النظامية.

المصدر: دليل قواعد ساما – إطار الأمن السيبراني (rulebook.sama.gov.sa)

يقف هذا الإطار جنبًا إلى جنب مع الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA ECC)، لكنه يختلف عنها؛ إذ تُطبَّق ضوابط الهيئة الوطنية على نطاق أوسع يشمل الجهات الحكومية وقطاعات البنية التحتية الوطنية الحساسة. أما بالنسبة للمؤسسات المالية تحديدًا، فإن إطار ساما هو الأكثر تفصيلًا وتخصصًا بين الإطارين بشكل عام، ويُتوقع من الجهات الخاضعة لإشراف ساما الالتزام به إضافة إلى متطلبات الهيئة الوطنية المعمول بها، وليس بدلًا منها.

من يجب عليه الامتثال؟

المصدر: دليل قواعد ساما – إطار الأمن السيبراني؛ وتم التحقق من النطاق مقارنة بمصادر استشارية تنظيمية ثانوية موثوقة.

داخل الإطار: المجالات الأساسية

تصف المصادر الاستشارية التي تلخّص إطار ساما للأمن السيبراني هذا الإطار بشكل متسق بأنه منظَّم حول أربعة مجالات أساسية. وبما أن القائمة الكاملة لضوابط الإطار تُوزَّع مباشرة على الجهات الخاضعة للتنظيم عبر قنوات ساما الإشرافية، ولا تُنشر كوثيقة مفتوحة للعموم، فيجب على المؤسسات دائمًا التأكد من قائمة الضوابط الحالية مباشرة من ساما أو عبر مسؤول الامتثال لديها — إلا أن هيكل المجالات أدناه راسخ عبر عدة جهات استشارية مستقلة:

• قيادة وحوكمة الأمن السيبراني — إشراف على مستوى مجلس الإدارة، واستراتيجية موثقة للأمن السيبراني، وأدوار ومسؤوليات محددة، وتوعية وتدريب على مستوى المؤسسة بأكملها.

• إدارة مخاطر الأمن السيبراني والامتثال — تحديد المخاطر ومعالجتها، ومتابعة الامتثال التنظيمي، والتأكيد المستقل لبرنامج الأمن السيبراني.

• عمليات وتقنية الأمن السيبراني — أكبر المجالات من الناحية العملية، ويشمل إدارة الهوية والوصول، وأمن التطبيقات، وأمن البنية التحتية والشبكات، والتشفير، وضوابط أنظمة الدفع، وإدارة الحوادث.

• أمن الأطراف الثالثة السيبراني — العناية الواجبة، والضوابط التعاقدية، والمراقبة المستمرة للموردين وترتيبات الإسناد الخارجي ومزودي الخدمات السحابية.

تتناول بعض المصادر الاستشارية أيضًا المرونة السيبرانية واستمرارية الأعمال باعتبارها مجالًا ناشئًا خامسًا ضمن مجال العمليات في الإطار — وهو توجه ينسجم مع تركيز ساما الأوسع على المرونة التشغيلية في القطاع، ويستحق إدراجه ضمن برنامجكم حتى وإن لم يُفرَد بعد كمجال مستقل قائم بذاته.

المجالات الأربعة الأساسية لإطار ساما، ومقياس النضج الخماسي المستويات لدى ساما.

للاطلاع على نهج تدريجي لبناء الهيكل الحوكمي الذي ترتكز عليه المجالات الأربعة جميعها، راجعوا دليلنا حول كيفية بناء إطار حوكمة ومخاطر وامتثال خطوة بخطوة.

كيف تقيس ساما مستوى الامتثال: نموذج النضج

بدلًا من قائمة تحقق بسيطة بنمط النجاح/الفشل، تُقيّم ساما الجهات الخاضعة للتنظيم وفق مقياس نضج تصفه المصادر الاستشارية عادة بأنه يمتد من مستوى مبدئي/غير منظم إلى مستوى محسَّن/تكيّفي. والنقطة الثابتة عبر المصادر هي: تتوقع ساما من الجهات الخاضعة للتنظيم الوصول إلى المستوى 3 على الأقل (“مُحدَّد” أو “منظَّم وموثَّق رسميًا”) في جميع المجالات، بمعنى أن تكون الضوابط موثقة ومطبقة باستمرار ومدعومة بالأدلة، لا مجرد ممارسة غير رسمية.

يُتوقع عمومًا من الجهات الخاضعة للتنظيم إتمام تقييم ذاتي بشكل سنوي، والاحتفاظ بالأدلة الداعمة، والاستعداد لأن تتحقق ساما من النتائج عبر مراجعة المستندات أو التفتيش الميداني أو التقييم المستقل. ونظرًا لأن عدد الضوابط الدقيق وأوزان التقييم تختلف بين المصادر الثانوية، ولا تنشر ساما القائمة الكاملة للعموم، فيُنصح باعتبار الجدول أعلاه دليلًا استرشاديًا عامًا والتأكد من تفاصيل التقييم مباشرة من مراسلات ساما الرسمية.

إطار ساما مقابل الضوابط الأساسية للهيئة الوطنية: أيهما ينطبق عليكم؟

هذه واحدة من أكثر نقاط الالتباس شيوعًا لدى فرق الامتثال، وجزء كبير من الطلب البحثي وراء هذا المقال ناتج تحديدًا عن هذا السؤال.

الضوابط الأساسية للأمن السيبراني (NCA ECC) هي الحد الأدنى الوطني للأمن السيبراني الصادر عن الهيئة الوطنية للأمن السيبراني، وتُطبَّق على نطاق واسع يشمل الجهات الحكومية وقطاعات البنية التحتية الوطنية الحساسة. راجعوا شرحنا حول ما هي الضوابط الأساسية للهيئة الوطنية وأهميتها وكيفية الاستعداد لتدقيق الهيئة الوطنية.

إطار ساما للأمن السيبراني مخصص لقطاع المؤسسات المالية الخاضعة لإشراف ساما، وهو أكثر تفصيلًا بشكل عام فيما يخص ضوابط أنظمة الدفع والخدمات المصرفية الإلكترونية والأطراف الثالثة ذات الصلة بالقطاع المصرفي والمالي.

من الناحية العملية، ينبغي للبنك أو شركة التقنية المالية الخاضعة لإشراف ساما أن تتوقع تقييمها وفق الإطارين معًا حيثما تتقاطعان، مع أولوية إطار ساما فيما يخص المتطلبات الخاصة بالقطاع المالي. وبناء برنامج الحوكمة وفق الإطار الأكثر صرامة بينهما هو الخيار الأكثر أمانًا.

ماذا يحدث في حال عدم الامتثال؟

تعكس أدوات ساما الإشرافية للتعامل مع أوجه القصور في الأمن السيبراني الموقف الرقابي نفسه الذي تتبناه عبر مجالاتها التنظيمية الأخرى — راجعوا تغطيتنا لـنظام الإنفاذ الجديد لساما لعام 2026 وإطار العقوبات للاطلاع على السياق الأوسع للإنفاذ. وفيما يخص الأمن السيبراني تحديدًا، تصف المصادر الاستشارية باستمرار تبعات قد تشمل:

• ملاحظات إشرافية رسمية تستوجب خطة تصحيحية وجدولًا زمنيًا محددًا

• إشرافًا معززًا، وتقارير أكثر تكرارًا، أو عمليات تفتيش ميدانية إضافية

• في الحالات الجسيمة أو المتكررة، قيودًا على الأنشطة المرخَّصة

لا تُنشر هياكل العقوبات الدقيقة بالتفصيل، لذا فإن الافتراض التشغيلي الذي ينبغي لفرق الامتثال اعتماده هو أن برنامجًا موثقًا ومدعومًا بالأدلة عند المستوى 3 فأكثر أقل تكلفة بكثير من الكلفة الرقابية والسمعية للتقصير أثناء التفتيش.

بناء خارطة طريق الامتثال لإطار ساما للأمن السيبراني

1. تأكدوا من التزامكم: تحققوا من فئة ترخيص مؤسستكم لدى ساما بدقة، ومن المراسلات المحددة التي أرسلتها ساما إلى وحدة الامتثال لديكم بخصوص متطلبات الإطار.

2. حددوا وضعكم الحالي: أجروا تقييم فجوة داخلي مقابل المجالات الأربعة أعلاه، مع تقييم كل مجال ضوابط على مقياس النضج من 0 إلى 5.

3. أعطوا الأولوية لفجوات المستوى 3: ركّزوا جهود المعالجة على أي مجال ضوابط دون مستوى “محدَّد”، لأنه الحد الأدنى المتوقع من ساما.

4. أضفوا الطابع الرسمي على الحوكمة: تأكدوا من وجود اعتماد على مستوى مجلس الإدارة، ومالك مسؤول محدد بالاسم، وسياسات موثقة لكل مجال.

5. وسّعوا العناية الواجبة لتشمل الموردين: حدّثوا عقود الأطراف الثالثة وإجراءات المراقبة لتغطي مجال أمن الأطراف الثالثة السيبراني بشكل صريح.

6. جدولوا التقييم الذاتي السنوي: أدمجوا جمع الأدلة ضمن العمليات التشغيلية المعتادة بدلًا من التسابق لإنجازه مرة واحدة سنويًا.

7. درّبوا فريقكم: التدريب المنظّم والمخصص حسب الدور يسد الفجوة بين السياسة والتطبيق الفعلي بشكل أسرع من التوثيق وحده.

للحصول على نموذج عملي يغطي الخطوتين 1 و4، راجعوا قائمة التحقق العملية لامتثال البنوك لساما.

سبع خطوات للانتقال من تقييم الفجوة إلى الجاهزية لتدقيق إطار ساما.

قائمة تحقق الجاهزية

☐ استراتيجية وسياسات أمن سيبراني معتمدة من مجلس الإدارة

☐ مالك تنفيذي محدد بالاسم لحوكمة الأمن السيبراني

☐ درجة نضج موثقة لكل من المجالات الأربعة

☐ خطة معالجة قائمة لأي ضابط دون المستوى 3

☐ إضفاء الطابع الرسمي على إجراء العناية الواجبة السيبرانية للأطراف الثالثة/الموردين

☐ جدولة التقييم الذاتي السنوي مع تحديد مسؤولي جمع الأدلة

☐ اختبار إجراءات إدارة الحوادث والتصعيد خلال الأشهر الـ12 الماضية

الخاتمة

إطار ساما للأمن السيبراني ليس وثيقة تُحفظ بعد دورة تدقيق واحدة، بل توقع رقابي مستمر يقتضي من المؤسسات المالية السعودية بناء حوكمة الأمن السيبراني لديها وتوثيقها وتطويرها عامًا بعد عام. والمؤسسات التي تتعامل مع الالتزام بالإطار كبرنامج مستمر، لا كتمرين امتثال دوري، هي التي تدخل تفتيش ساما بثقة. دورتنا في الامتثال لإطار ساما للأمن السيبراني مصممة خصيصًا حول هذا الإطار — وتغطي الحوكمة، وإدارة المخاطر، والأمن التقني، والعمليات، والرقابة على الأطراف الثالثة — لتأخذ مسؤولي الامتثال وفرق المخاطر من أساسيات الإطار إلى تقييم النضج والاستعداد للتدقيق.