ECC-2:2024 مقابل ECC-1:2018: ما الذي تغيّر وما الذي يعنيه ذلك لمؤسستك

مجال المقارنة	ECC-1:2018	ECC-2:2024
المجالات الرئيسية	5	4
المجالات الفرعية	29	28
الضوابط الرئيسية	114	108
الضوابط الفرعية	201	92
أنظمة التحكم الصناعي	مجال خامس مخصص	تُعالج من خلال OTCC-1:2022
التوظيف في الأمن السيبراني	متطلبات سابقة	تتطلب جميع وظائف الأمن السيبراني محترفين سعوديين مؤهلين بدوام كامل
المصادقة على البريد الإلكتروني	لا يوجد متطلب صريح مماثل	يلزم التحقق من SPF وDKIM وDMARC
الحماية من هجمات حجب الخدمة الموزعة	لا يوجد ضابط فرعي صريح مماثل	تضمين الحماية من هجمات حجب الخدمة الموزعة
المصادقة متعددة العوامل	متطلبات قائمة	مصادقة متعددة العوامل قائمة على المخاطر للوصول المميّز والبعيد
حوكمة البيانات	تضمّنت بعض المتطلبات ذات الصلة	يجب تقييم الالتزامات ذات الصلة أيضًا وفق أطر البيانات المنطبقة
التفسير العربي	تتوفر نسخة عربية	النسخة العربية ملزمة للمعنى والتفسير

المجالات الأربعة في ECC-2:2024

1. حوكمة الأمن السيبراني

يؤسس هذا المجال للمساءلة والتوجيه المؤسسي. وتتناول متطلباته استراتيجية الأمن السيبراني والإدارة والسياسات وإدارة المخاطر والامتثال والمسؤوليات.

2. دفاع الأمن السيبراني

يركّز هذا المجال على حماية الأنظمة والشبكات والتطبيقات والمعلومات. وتشمل المجالات ذات الصلة إدارة الأصول، وإدارة الهوية والوصول، وإدارة الثغرات، والضمانات التقنية.

3. مرونة الأمن السيبراني

يعالج هذا المجال قدرة المؤسسة على الاستعداد للحوادث السيبرانية والاستجابة لها والتعافي منها. ويغطي القدرات المتعلقة بالمرونة، بما في ذلك إدارة الحوادث وترتيبات استمرارية الأعمال.

4. أمن الطرف الثالث والحوسبة السحابية

يعالج هذا المجال المخاطر الناشئة عن مزودي الخدمات الخارجيين والخدمات السحابية. وينبغي للمؤسسات تقييم علاقات الموردين ومسؤوليات السحابة والأدلة الأمنية.

لأغراض التنفيذ، استخدم وثيقة ECC الرسمية للتحقق من كل ضابط منطبق ومتطلباته المحددة. فأسماء المجالات وحدها لا تكفي لإثبات الامتثال.

لماذا لا يعني انخفاض عدد الضوابط تقليل العمل

خفّضت ECC-2:2024 عدد الضوابط الرئيسية من 114 إلى 108. كما خفّضت الضوابط الفرعية من 201 إلى 92. وتعكس هذه التغييرات التوحيد والتوضيح ونقل متطلبات أنظمة التحكم الصناعي.

لذلك، لا تعامل الإطار الجديد كقائمة تحقق أبسط. بل اعمل على مطابقة الأدلة القائمة مع بنية الضوابط المعدّلة وتحديد ما لا يزال مفقودًا.

يمكن للفرق التي تسعى إلى بناء مهارات التنفيذ التفكير في دورة NCA ECC (السعودية). ويمكن للتدريب أن يساعد الكوادر المعنية على تفسير المتطلبات وتنسيق المعالجة وإعداد أدلة متسقة.

هل ما زالت ECC-2 تتضمن مجال أنظمة التحكم الصناعي؟

إلى أين انتقلت أنظمة التحكم الصناعي

ضمّنت ECC-1:2018 مجالًا خامسًا مخصصًا لحماية أنظمة التحكم الصناعي. بينما لم تعد ECC-2:2024 تتضمن ذلك المجال المنفصل.

بدلًا من ذلك، تعالج الهيئة الوطنية للأمن السيبراني التكنولوجيا التشغيلية من خلال ضوابط الأمن السيبراني للتكنولوجيا التشغيلية (OTCC-1:2022).

تضع OTCC متطلبات إضافية للأمن السيبراني في بيئات التكنولوجيا التشغيلية ذات الصلة. وهي امتداد لـECC، وليست بديلًا عن الإطار الرئيسي.

لذلك، ينبغي للمؤسسات التي تشغّل أنظمة تحكم صناعي تقييم كلا الإطارين عندما ينطبق ذلك. ويجب عليها تحقيق الامتثال لـECC أولًا، ثم تنفيذ متطلبات OTCC الإضافية.

للاطلاع على شرح أكثر تفصيلًا، راجع الدليل الداخلي NCA ECC مقابل OTCC. كما يدعم ملحق منهجية ومطابقة OTCC الرسمي فهم العلاقة بين الضوابط.

ما الجديد أو الأكثر صرامة في ECC-2:2024؟

تتطلب عدة تغييرات في ECC-2:2024 من المؤسسات مراجعة سياساتها القائمة وترتيبات التوظيف والضمانات التقنية. وتستحق المجالات التالية اهتمامًا خاصًا أثناء تقييم الفجوات.

السعودة لجميع وظائف الأمن السيبراني

تتطلب ECC-2:2024 شغل جميع وظائف الأمن السيبراني بمحترفي أمن سيبراني سعوديين مؤهلين بدوام كامل. وينبغي للمؤسسات مراجعة ترتيبات القوى العاملة لديها مقابل هذا المتطلب.

ابدأ بمراجعة:

• أدوار ومسؤوليات الأمن السيبراني الحالية.

• الوصف الوظيفي وسجلات المؤهلات.

• أدلة التوظيف بدوام كامل.

• مسؤوليات الأمن السيبراني الخارجية.

• الوظائف الشاغرة والفجوات في القدرات المتخصصة.

وثّق النتائج وحدّد المسؤول عن معالجة كل فجوة. وعندما تتطلب ترتيبات التوظيف تعديلًا، نسّق مع الموارد البشرية وفريق قيادة الأمن السيبراني.

المصادقة على البريد الإلكتروني: SPF وDKIM وDMARC

تتطلب ECC-2:2024 من المؤسسات التحقق من نطاقات البريد الإلكتروني باستخدام SPF وDKIM وDMARC. وتساعد هذه الآليات المؤسسات على التحكم في مصادر البريد الإلكتروني المشروعة والتحقق منها.

يخدم كل آلية غرضًا مختلفًا:

• SPF: تحدد الخوادم المصرح لها بإرسال البريد الإلكتروني نيابة عن النطاق.

• DKIM: تستخدم التوقيعات الرقمية لمساعدة المستلمين على التحقق من سلامة الرسالة وارتباطها بالنطاق.

• DMARC: تحدد كيف ينبغي للأنظمة المستقبلة التعامل مع الرسائل التي لا تجتاز فحوصات المصادقة المحددة.

ينبغي للمؤسسات مراجعة سجلات DNS وخدمات الإرسال المصرح بها ومواءمة المصادقة. كما ينبغي عليها فحص سياسات DMARC وترتيبات التقارير.

تحقق من كل نطاق إرسال ذي صلة، بما في ذلك الخدمات التي يشغّلها مزودون خارجيون. ويجب اختبار التغييرات بعناية لتجنب تعطيل البريد الإلكتروني التجاري المشروع.

الحماية من هجمات حجب الخدمة الموزعة كمتطلب محدد

تتضمن ECC-2:2024 الحماية من هجمات حجب الخدمة الموزعة (DDoS). ويمكن لهذه الهجمات أن تربك الخدمات عبر الإنترنت وتؤثر في توفرها.

ينبغي للمؤسسات تحديد الأنظمة المتاحة عبر الإنترنت وتقييم مدى تعرضها. كما ينبغي عليها مراجعة رؤية حركة البيانات وسعة المعالجة المتاحة.

قيّم ما إذا كان المزودون الحاليون قادرين على دعم متطلبات الحماية لدى المؤسسة. وتأكد من أن إجراءات الاستجابة للحوادث تغطي نشاط حجب الخدمة الموزعة المشتبه به ومسؤوليات التصعيد.

سجّل الترتيبات التقنية والأدلة الداعمة. فقد لا تثبت سياسة أمنية عامة وحدها وجود حماية فعالة.

المصادقة متعددة العوامل القائمة على المخاطر للوصول المميّز والبعيد

تتطلب ECC-2:2024 المصادقة متعددة العوامل للوصول البعيد والحسابات المميزة. ويجب اختيار عوامل وتقنيات المصادقة من خلال تقييم أثر فشل المصادقة أو تجاوزها.

ينبغي للمؤسسات مراجعة:

• الحسابات المميزة والوصول الإداري.

• خدمات الوصول البعيد ونقاط الدخول.

• حسابات الطوارئ أو حسابات الاسترجاع.

• حسابات الخدمة وطرق مصادقتها.

• قواعد الوصول المشروط والاستثناءات.

• إجراءات استرداد الحساب والطوارئ.

حدّد الاستثناءات ووثّق مبرراتها. ثم قيّم ما إذا كانت طرق المصادقة المختارة توفر الحماية المناسبة لكل سيناريو وصول.

المعايير الوطنية للتشفير

تشير ECC-2:2024 إلى المعايير الوطنية للتشفير. وينبغي للمؤسسات تقييم ترتيبات التشفير لديها مقابل المتطلبات المنطبقة.

توضح NCA أن معاييرها الوطنية للتشفير تعالج آليات التشفير لحماية البيانات والأنظمة والشبكات الوطنية.

ينبغي أن يغطي المراجعة العملية:

• أصول التشفير واستخداماتها المقصودة.

• اختيار الخوارزميات والبروتوكولات.

• توليد مفاتيح التشفير وتخزينها وتدويرها وإيقافها.

• إصدار الشهادات وتجديدها وإلغائها.

• الأنظمة القديمة التي تستخدم آليات تشفير متقادمة.

استخدم المعيار المنطبق وقيّم مستوى الحماية المطلوب. وسجّل الفجوات وحدّد إجراءات المعالجة للفرق التقنية المسؤولة.

ما الذي انتقل أو أُزيل؟

لا تقدّم جميع تغييرات ECC-2:2024 متطلبات جديدة. فبعضها يعالج الموضوعات من خلال أطر منفصلة، بينما يوضّح البعض الآخر التزامات قائمة.

انتقلت استضافة البيانات والخصوصية إلى الأطر ذات الصلة

لا يزال يتعين على المؤسسات تقييم التزامات حوكمة البيانات والتوطين والخصوصية المنطبقة.

توفر ضوابط أمن البيانات الصادرة عن NCA متطلبات منفصلة لحماية البيانات. كما ينبغي للمؤسسات مراجعة قواعد سدايا والمكتب الوطني لإدارة البيانات (NDMO) ذات الصلة.

لا يزيل النقل هذه الالتزامات. حافظ على مطابقات امتثال منفصلة لكل إطار منطبق.

الامتثال القانوني العام والاتفاقيات الدولية

أزالت ECC-2:2024 الضابط السابق العام بشأن الامتثال للقوانين الوطنية وجعلت الاتفاقيات الدولية مشروطة.

لا يزال يتعين على المؤسسات تقييم الالتزامات القانونية المنطبقة. فإزالة ضابط من ECC لا تلغي الواجبات بموجب قوانين أو لوائح أخرى.

توضيحات المصطلحات والنطاق

توضّح ECC-2:2024 نطاقها، بما في ذلك الجهات التابعة التي تعمل خارج المملكة. والنسخة العربية هي المرجع في التفسير.

عند تطوير السياسات أو أدلة التدقيق، راجع النص العربي عندما يكون المعنى غير واضح. ووثّق كيفية انطباق كل متطلب ذي صلة على المؤسسة والجهات التابعة لها.

من يجب أن يمتثل لـECC-2:2024؟

ينطبق ECC على جهات وطنية محددة ومنظمات البنية التحتية الحرجة. لكن ليس كل شركة خاصة تقع تلقائيًا ضمن نطاقه المباشر.

تشمل الفئات ذات الصلة:

• الجهات الحكومية: الهيئات الحكومية والجهات التابعة لها داخل السعودية وخارجها.

• البنية التحتية الوطنية الحرجة: الجهات في القطاع الخاص التي تملك أو تشغّل أو تستضيف بنية تحتية وطنية حرجة.

• الموردون ومقدمو الخدمات: المؤسسات التي تفرض عقودها مع الجهات الحكومية أو مشغلي البنية التحتية الوطنية الحرجة التزامات متعلقة بـECC.

• الشركات الخاصة الأخرى: المؤسسات التي ينبغي لها تقييم الأطر المنفصلة المنطبقة على أنشطتها، بما في ذلك NCNICC-1:2025 عندما يكون ذلك مناسبًا.

للاطلاع على مناقشة أكثر تفصيلًا للنطاق، راجع من يجب أن يمتثل لـECC-2:2024. وينبغي للمؤسسات تأكيد الانطباق مقابل إطار NCA الرسمي وظروفها الخاصة.

ماذا يعني ECC-2:2024 لمؤسستك؟

يعتمد الأثر العملي على الوضع التنظيمي للمؤسسة وضوابط الأمن القائمة وبيئة التشغيل.

إذا كنت جهة حكومية أو جهة تابعة

راجع حوكمة الأمن السيبراني والتوظيف وإدارة المخاطر والاستعداد للحوادث والإشراف على الأطراف الثالثة. وتأكد من أن إدارة الأمن السيبراني تظل مستقلة عن تقنية المعلومات والاتصالات.

يوصى بالتبعية المباشرة لرئيس الجهة. لكن الإطار لا يجعل هذا الترتيب إلزاميًا.

استعد للتقييم الذاتي من خلال الحفاظ على أدلة الضوابط محدثة وتحديد مسؤوليات واضحة. راجع منصة التقييم الذاتي حصين وعملية التقييم الذاتي لدى NCA.

إذا كنت تشغّل بنية تحتية وطنية حرجة

تعامل مع ECC كخط أساس عندما ينطبق ذلك. ثم حدّد ما إذا كانت متطلبات إضافية خاصة بالقطاع أو التكنولوجيا تنطبق.

بالنسبة للمؤسسات التي لديها تكنولوجيا تشغيلية، قيّم OTCC إلى جانب ECC. ووثّق الضوابط التي تنطبق على تقنية المعلومات المؤسسية والبيئات التشغيلية والأنظمة المشتركة.

إذا كنت موردًا أو شركة أجنبية في السعودية

راجع العقود المبرمة مع الجهات الحكومية ومشغلي البنية التحتية الوطنية الحرجة. وحدّد الضوابط المطلوبة وطلبات الأدلة والتزامات الإبلاغ وحقوق التدقيق.

افصل بين الالتزامات التنظيمية المباشرة والالتزامات التعاقدية. تساعد هذه المقارنة الفرق على ترتيب أولويات العمل دون إغفال المتطلبات التي يفرضها العملاء.

كيف تنتقل من ECC-1:2018 إلى ECC-2:2024؟

يساعد الانتقال المنظم المؤسسات على الحفاظ على الأدلة المفيدة مع معالجة المتطلبات الجديدة أو المعدّلة.

1. أعد مطابقة الأدلة القائمة

لا تبدأ برنامج الامتثال بالكامل من الصفر دون مراجعة العمل المنجز. طابق سياسات وإجراءات وتكوينات تقنية وسجلات تدقيق ECC-1 مع بنية ضوابط ECC-2.

تأكد من أن كل دليل لا يزال يدعم المتطلب ذا الصلة. وحدّد المطابقات المتقادمة والضوابط التي تتطلب أدلة جديدة.

2. رتّب أولويات أربعة مجالات للعمل الجديد

قيّم أدلة السعودة، والتحقق من SPF/DKIM/DMARC، والحماية من هجمات حجب الخدمة الموزعة، والمصادقة متعددة العوامل القائمة على المخاطر. وحدّد المسؤولين وتواريخ المعالجة ومتطلبات الأدلة بناءً على المخاطر وأولويات المؤسسة.

تجنب اعتبار هذه المجالات قائمة كاملة بالتغييرات. راجع وثيقة ECC-2 الكاملة لتحديد كل فجوة منطبقة.

3. أعد تنظيم الأدلة المتعلقة بالبيانات

انقل أدلة استضافة البيانات والتوطين والخصوصية إلى مطابقات الامتثال ذات الصلة. وحدّد متطلبات NDMO وسدايا ومتطلبات البيانات السعودية الأخرى المنطبقة.

حافظ على الإحالات المرجعية حيث تتداخل الضوابط. وهذا يقلل التكرار مع الحفاظ على إمكانية التتبع عبر الأطر.

4. حدّث أدوات الامتثال والوثائق

استبدل الإشارات القديمة إلى ECC-1 في مكتبات الضوابط وسجلات المخاطر ومطابقات السياسات وقوائم تدقيق المراجعة. وحدّث أي مطابقات لـISO 27001 أو قوالب داخلية تستخدم ترقيم ECC القديم.

ثم تحقق من أن كل وثيقة تحدد مالك الضابط الصحيح والدليل الداعم. يجعل الترقيم المتسق المراجعات المستقبلية أسهل.

5. أجرِ تقييمًا ذاتيًا

استخدم حصين وعملية التقييم الذاتي لدى NCA عندما ينطبق ذلك. وسجّل نتائج التقييم وحدّد إجراءات المعالجة.

يمكن أن تساعد قائمة التحقق من الامتثال لـECC الفرق على تنظيم مالكي الضوابط والأدلة والفجوات وإجراءات المتابعة. وتحقق من القائمة مقابل الإطار الرسمي قبل استخدامها كأساس نهائي للتقييم.

ما تكلفة الانتقال إلى ECC-2:2024؟

لا توجد رقم تكلفة واحد موثوق ينطبق على كل مؤسسة. فالتكلفة الإجمالية تعتمد على النضج القائم وتعقيد الأنظمة والالتزامات المنطبقة واحتياجات المعالجة.

تشمل عوامل التكلفة الرئيسية لـECC-2:2024:

• تقييم الفجوات وإعادة مطابقة الضوابط.

• المعالجة التقنية وتغييرات التكوين.

• السعودة والتوظيف والتدريب وإعادة هيكلة الأدوار.

• تحسينات المصادقة على البريد الإلكتروني وأمن النطاق.

• الحماية من هجمات حجب الخدمة الموزعة وسعة المعالجة.

• ضمانات الأطراف الثالثة والسحابة.

• تحديث السياسات والتوثيق والتدقيق الداخلي.

• التقييم الذاتي وإعداد الأدلة.

قد تعيد المؤسسات ذات الضوابط الراسخة استخدام بعض الأدلة القائمة. لكن عليها التحقق من أنها تلبي المتطلبات المعدّلة.

قد ترتفع التكاليف عند الحاجة إلى تغييرات كبيرة في التوظيف أو ترقيات تقنية. كما يؤثر وضع البنية التحتية الوطنية الحرجة والتعرض للتكنولوجيا التشغيلية والمواءمة القائمة مع ISO 27001 والقدرة الداخلية على التنفيذ في حجم الجهد المطلوب.

لأغراض التخطيط، قدّر كل بند معالجة على حدة. وضمّن التنفيذ والاختبار والتوثيق والصيانة المستمرة بدلًا من النظر في تكاليف الشراء وحدها.

الخلاصة والخطوة التالية

مقارنة ECC-2:2024 مقابل ECC-1:2018 هي مقارنة بين إطار سابق ومجموعة أكثر توحيدًا وتحديدًا من ضوابط الأمن السيبراني. فقد خفّض الإطار المعدّل عدد الضوابط الرئيسية مع تعزيز توقعات مهمة بشأن التوظيف والضمانات التقنية.

ينبغي للمؤسسات البدء بإعادة مطابقة الضوابط وتقييم مركّز للفجوات. كما ينبغي ترتيب أولويات السعودة والمصادقة على البريد الإلكتروني والحماية من هجمات حجب الخدمة الموزعة والمصادقة متعددة العوامل ومتطلبات OTCC المنطبقة.

بعد ذلك، حدّث وثائق الامتثال وأعد الأدلة وفق بنية الضوابط الحالية. واستخدم منشورات NCA الرسمية للتحقق من كل متطلب وتأكيد الانطباق.

قد تساعد دورة NCA ECC (السعودية) الفرق على بناء المعرفة اللازمة لتفسير متطلبات ECC-2 وتنفيذها وإثبات الامتثال لها. اختر تدريبًا يدعم المسؤوليات الفعلية وفجوات الامتثال لدى مؤسستك.