تساعد قائمة مراجعة الامتثال لـ NCA ECC المؤسسات على تجهيز الأدلة مقابل ضوابط الأمن السيبراني الأساسية في المملكة العربية السعودية. وتربط قائمة المراجعة بين متطلبات الأمن السيبراني وبين المستندات والإعدادات التقنية ونتائج الاختبارات والمالكين المسؤولين.
يجب أن تتبع قائمة المراجعة إطار ECC-2:2024 الصادر عنالهيئة الوطنية للأمن السيبراني (NCA)
. ويغطي مجالات الحوكمة والدفاع والصمود والأمن السيبراني للأطراف الثالثة والحوسبة السحابية. غير أن سرد الضوابط المطبقة لا يكفي. فالمؤسسات تحتاج أيضًا إلى أدلة موثوقة تثبت كيفية تشغيل تلك الضوابط.
يشرح هذا الدليل ما يجب جمعه، وكيفية التحقق منه، وأين تظهر الفجوات الشائعة. وللتعلم المنظم، استكشف دورة NCA ECC (السعودية).
ما الذي تغطيه قائمة مراجعة NCA ECC؟
يحدد إطار NCA ECC متطلبات أساسية للأمن السيبراني للمؤسسات التي تقع ضمن نطاقه.
يحتوي هيكل ECC-2:2024 الحالي على أربعة مجالات، و28 مجالًا فرعيًا، و108 ضوابط رئيسية. كما يتضمن 92 ضابطًا فرعيًا.
ويتناول كل مجال جانبًا مختلفًا من الأمن السيبراني المؤسسي.
|
مجال ECC |
المجالات الفرعية |
الضوابط الرئيسية |
محور الأدلة |
|
حوكمة الأمن السيبراني |
10 |
35 |
السياسات المعتمدة، والمسؤوليات، وتقييمات المخاطر، والمراجعات |
|
الدفاع السيبراني |
15 |
61 |
الإعدادات التقنية، وسجلات الوصول، والمراقبة، والاختبارات الأمنية |
|
الصمود السيبراني |
1 |
4 |
تخطيط الاستمرارية، وترتيبات التعافي، والتمارين |
|
الأمن السيبراني للأطراف الثالثة والحوسبة السحابية |
2 |
8 |
تقييمات الموردين، والعقود، وترتيبات أمن السحابة |
|
الإجمالي |
28 |
108 |
يساعد هيكل المجالات المؤسسات على تجميع الأدلة بشكل منطقي. ومع ذلك، يحتاج كل ضابط ECC قابل للتطبيق إلى دراسة فردية.
لذلك، ينبغي لقائمة متطلبات ECC أن تتابع المتطلبات إلى جانب سجلاتها الداعمة.
كما تحتاج التقنيات التشغيلية إلى اهتمام منفصل. فقد نقل ECC-2:2024 مجال أنظمة التحكم الصناعي السابق إلى OTCC. وينبغي للمؤسسات التي تدير هذه البيئات أن تفهم الفرق بين NCA ECC وOTCC.
تتناول الأطر مخاطر أمنية ذات صلة، لكن نطاقيهما مختلف.
من يحتاج إلى الاستعداد لتدقيق NCA ECC؟
ينطبق NCA ECC على مؤسسات محددة تعمل ضمن النطاق التنظيمي للمملكة العربية السعودية.
وتشمل هذه الجهات الوكالات الحكومية والجهات التابعة لها. كما يشمل المؤسسات الخاصة التي تملك أو تُشغّل أو تستضيف البنية التحتية الوطنية الحرجة.
يوضحإطار ECC-2:2024 الرسمينطاقه وقواعد انطباقه.
وقد تواجه الشركات الأخرى توقعات متعلقة بـ ECC من خلال عقود العملاء أو متطلبات المشتريات. ومع ذلك، لا ينبغي الخلط بين التوقعات التعاقدية والالتزامات التنظيمية المباشرة.
قبل تجهيز الأدلة، أكّد نطاق المؤسسة. ثم حدد المتطلبات التي تنطبق على أنظمتها وخدماتها وبيئة تشغيلها.
على سبيل المثال، تعتمد المتطلبات الخاصة بالسحابة جزئيًا على استخدام الخدمات السحابية. وتساعد مراجعة الانطباق الموثقة على منع العمل غير الضروري وتجاهل الضوابط.
كيف يقيّم NCA الامتثال لـ ECC؟
يقيّم NCA الامتثال من خلال عدة آليات للتقييم.
وتشمل هذه الآليات التقييمات الذاتية للمؤسسات، وتقارير أدوات الامتثال الدورية، والزيارات الميدانية للتدقيق. ويعتمد الآلية المختارة على نهج التقييم لدى الهيئة.
كما يشير الإطار إلى أداة تقييم وامتثال لـ ECC-2:2024. ومع ذلك، ينبغي للمؤسسات التمييز بين حالة الامتثال المسجلة والأدلة الداعمة.
فالسياسة تثبت وجود متطلب معتمد. ويمكن لسجل الإعدادات أن يثبت التنفيذ. بينما تساعد سجلات الاختبار والمراقبة على إظهار الأداء التشغيلي.
لنأخذ مؤسسة تطلب المصادقة متعددة العوامل. تضع سياسة الوصول التوقعات. ويمكن لعمليات تصدير الإعدادات أن تثبت الإنفاذ. كما توفر اختبارات الوصول ضمانًا إضافيًا.
وتشكل هذه السجلات مجتمعة حزمة أدلة أقوى.
سلسلة أدلة مفيدة
1. الضابط
↓
2. المُخرَج/الدليل
↓
3. المالك
↓
4. تاريخ المراجعة
يربط هذا الهيكل كل ضابط بوثائق قابلة للتتبع. كما يجعل تحديد موقع الأدلة أسهل أثناء المراجعات.
يوفردليل تنفيذ GECC-2:2026 الصادر عن NCA أمثلة توضيحية للمخرجات.
تساعد هذه الأمثلة المؤسسات على فهم أدلة التنفيذ المحتملة. لكن الدليل لا يحدد حزمة أدلة واحدة شاملة وإلزامية. وقد يطلب المقيّمون سجلات داعمة إضافية عند الحاجة.
قائمة أدلة NCA ECC حسب المجال
تنظم قائمة مراجعة NCA ECC المفيدة الأدلة تحت المجالات الرسمية الأربعة.
ابدأ بالمتطلب المنطبق. ثم حدد الفريق المسؤول والسجلات الداعمة.
توفر الجداول أدناه أمثلة توضيحية للأدلة، وليست قائمة شاملة بالمخرجات الإلزامية. قارن كل مثال بالإطار الرسمي وإرشادات GECC-2:2026.
المجال 1: حوكمة الأمن السيبراني
تؤسس حوكمة الأمن السيبراني للمساءلة والتوجيه الإداري والإشراف المؤسسي.
ويغطي المجال استراتيجية الأمن السيبراني والسياسات وإدارة المخاطر والمسؤوليات والتوعية. وللتجهيز للتدقيق، اجمع المستندات المعتمدة إلى جانب سجلات التنفيذ والمراجعة.
تدعم الأدلة التالية مجالات رئيسية في حوكمة الأمن السيبراني:
-
استراتيجية الأمن السيبراني: جهّز الاستراتيجيات المعتمدة والأهداف الموثقة ومراجعات التقدم. ويدير قيادة الأمن السيبراني هذه السجلات عادةً.
-
السياسات والإجراءات: اجمع السياسات المعتمدة وسجلات المراجعات وسجل التحديثات. ويحافظ فريق الامتثال عادةً على هذه الوثائق.
-
الأدوار والمسؤوليات: احتفظ بالمخططات التنظيمية والوصوف الوظيفية وتعيينات المسؤوليات. وتدير فرق الموارد البشرية والأمن السيبراني هذه السجلات عادةً.
-
إدارة المخاطر: حافظ على تقييمات المخاطر وخطط المعالجة وسجلات المخاطر المحدثة. ويشرف فريق إدارة المخاطر عادةً على هذه الأدلة.
-
أمن المشاريع: جهّز متطلبات الأمن ومراجعات المشاريع وسجلات الموافقات. ويحافظ إدارة المشاريع عادةً على هذه المستندات.
-
الامتثال والتدقيق: اجمع سجلات المتطلبات المنطبقة وتقارير التدقيق. ويدير التدقيق الداخلي هذه السجلات عادةً.
-
أمن الموظفين: حافظ على سجلات التوظيف وأدلة المؤهلات ذات الصلة. وتتحمل الموارد البشرية عادةً مسؤولية هذه الوثائق.
-
التوعية والتدريب: احتفظ بخطط التدريب وسجلات الحضور ونتائج التقييم. ويحافظ فريق التدريب عادةً على هذه السجلات.
ما الذي ينبغي للمؤسسات التحقق منه؟
أولًا، تحقق مما إذا كانت مستندات السياسات قد حصلت على موافقة رسمية. ثم أكّد أنها لا تزال محدثة ومتاحة للموظفين المعنيين.
بعد ذلك، راجع سجلات المخاطر للتأكد من وجود مالكين معينين وقرارات معالجة موثقة.
وبالنسبة لضوابط الموظفين، تحقق من متطلبات التوظيف المنطبقة في ECC. ويجب أن تعكس السجلات الداعمة الترتيبات الفعلية للمؤسسة.
أخيرًا، تحقق مما إذا كانت أنشطة الحوكمة تتم كما هو موثق. ويمكن لسجلات الاجتماعات ونتائج المراجعة والإجراءات المكتملة أن تعزز حزمة الأدلة.
المجال 2: الدفاع السيبراني
يحتوي الدفاع السيبراني على أكبر مجموعة من الضوابط في الإطار. ويتناول الأمن عبر الأنظمة والشبكات والتطبيقات والهويات والمعلومات والعمليات التشغيلية.
لذلك، يتطلب هذا القسم أدلة تقنية مفصلة بشكل خاص.
|
مجال الضابط |
الأدلة التي يجب تجهيزها |
المالك المعتاد |
|
إدارة الأصول |
جرد الأصول، وتفاصيل الملكية، ومراجعات الجرد |
عمليات تقنية المعلومات |
|
الهوية والوصول |
مصفوفات الوصول، وسجلات الموافقات، والمراجعات الدورية |
فريق إدارة الهوية والوصول |
|
المصادقة متعددة العوامل |
إعدادات MFA، وتقييمات المصادقة، ونتائج الاختبار |
أمن الهوية |
|
حماية الأنظمة |
خطوط الأساس الأمنية، وإعدادات الأجهزة الطرفية، ومراجعات الإعدادات |
فريق البنية التحتية |
|
أمن الشبكات |
قواعد الجدران النارية، ومخططات الشبكات، وسجلات الحماية من DDoS |
أمن الشبكات |
|
أمن الأجهزة المحمولة |
سياسات الأجهزة، وإعدادات الإدارة، وسجلات الامتثال |
فريق الأجهزة الطرفية |
|
حماية البيانات |
ضوابط أمنية قائمة على التصنيف وسجلات التنفيذ |
أمن المعلومات |
|
التشفير |
إعدادات التشفير، وسجلات إدارة المفاتيح، والمراجعات |
هندسة الأمن |
|
النسخ الاحتياطي والتعافي |
جداول النسخ الاحتياطي، وسجلات الإنجاز، ونتائج الاستعادة |
فريق البنية التحتية |
|
إدارة الثغرات |
نتائج الفحص، وسجلات المعالجة، وموافقات الاستثناءات |
عمليات الأمن |
|
الأمن المادي |
صلاحيات الوصول، والضوابط المادية، وسجلات المراجعة |
أمن المرافق |
|
أمن تطبيقات الويب |
تقييمات التطبيقات، والاختبارات الأمنية، وسجلات المعالجة |
أمن التطبيقات |
تظهر هذه المجالات فيضوابط الدفاع في ECC الرسمية. وتعتمد متطلبات الأدلة الفردية على الضابط المنطبق.
ما الذي يجعل الأدلة التقنية موثوقة؟
يجب أن تثبت الأدلة التقنية التنفيذ الفعلي لا التنفيذ المخطط. فسياسة الوصول المعتمدة لا يمكنها وحدها إثبات إنفاذ المصادقة متعددة العوامل.
قد تحتوي الحزمة الأقوى على:
-
سياسة الوصول المنطبقة ومتطلبات الأمن المعتمدة.
-
عمليات تصدير حالية لإعدادات المصادقة.
-
تقييمات تأثير المصادقة ذات الصلة.
-
نتائج اختبار تثبت السلوك المُعد.
-
سجلات مراجعة مؤرخة تُظهر استمرار الإشراف.
وبالمثل، لا يؤكد جدول النسخ الاحتياطي نجاح الاستعادة.
يجب على المؤسسات الاحتفاظ بنتائج اختبارات الاستعادة المكتملة حيثما كان ذلك مناسبًا. وتساعد هذه النتائج على إثبات ما إذا كانت ترتيبات التعافي تعمل كما هو مقصود. أما في إدارة الثغرات، فتتبع النتائج حتى المعالجة أو المعالجة المعتمدة للمخاطر.
قد يترك تقرير الفحص وحده أسئلة مهمة بلا إجابة. كما يحتاج المراجعون إلى فهم المخاطر القائمة وحالة الإجراءات التصحيحية. وتجنب جمع معلومات حساسة غير ضرورية.
احذف الأسرار وبيانات الاعتماد والمعلومات الشخصية غير ذات الصلة قبل مشاركة الأدلة. وحافظ على قيود وصول مناسبة وتخزين آمن لسجلات التقييم.
وللموظفين المسؤولين عن فهم ضوابط ECC، يوفر دورة NCA ECC (السعودية) خيار تدريب مناسبًا.
المجال 3: الصمود السيبراني
يركز الصمود السيبراني على الحفاظ على العمليات التجارية الأساسية واستعادتها أثناء الاضطرابات السيبرانية.
يتناول الإطار الأمن السيبراني ضمن إدارة استمرارية الأعمال. ويجب أن تربط الأدلة بين ترتيبات التعافي الموثقة وأنشطة الاختبار والمراجعة الفعلية.
يجب على المؤسسات تجهيز أدلة تغطي هذه المجالات الرئيسية:
-
استمرارية الأمن السيبراني: جهّز خطط استمرارية الأعمال التي تغطي السيناريوهات السيبرانية المنطبقة. ويشرف مدير إدارة استمرارية الأعمال (BCM) عادةً على هذه المستندات.
-
ترتيبات التعافي: حافظ على إجراءات التعافي وأهداف التعافي الموثقة. ويدير فريق التعافي التقني عادةً هذه الأدلة.
-
التمارين والاختبارات: اجمع خطط التمارين ونتائج الاختبارات والدروس المستفادة الموثقة. وتدير فرق BCM والأمن السيبراني هذه السجلات عادةً.
-
مراجعات الخطط: احتفظ بالخطط المحدثة والإجراءات التصحيحية المعينة وموافقات المراجعة. ويشرف فرق المخاطر والاستمرارية عادةً على هذه الوثائق.
ابدأ بمراجعة ترتيبات استمرارية الأعمال في المؤسسة.
تحقق مما إذا كانت الحوادث السيبرانية ذات الصلة مدرجة. وقد تشمل الأمثلة برامج الفدية، واختراق البنية التحتية، والتعطيل الكبير للخدمات. بعد ذلك، راجع تمارين التعافي ونتائجها المسجلة.
يجب أن يكون لأي نقاط ضعف تم تحديدها إجراءات تصحيحية معينة. ويمكن لسجلات المتابعة أن تثبت ما إذا كانت التحسينات قد اكتملت.
يخلق ذلك ارتباطًا أوضح بين تخطيط الصمود والجاهزية التشغيلية.
المجال 4: الأمن السيبراني للأطراف الثالثة والحوسبة السحابية
يمكن للموردين الخارجيين إدخال مخاطر تتجاوز السيطرة التشغيلية المباشرة للمؤسسة. لذلك يتناول هذا المجال ترتيبات الأمن السيبراني ذات الصلة بالأطراف الثالثة والسحابة.
يجب على المؤسسات إثبات كيفية تحديد مخاطر الموردين المنطبقة وإدارتها.
|
مجال الضابط |
الأدلة التي يجب تجهيزها |
المالك المعتاد |
|
أمن الموردين السيبراني |
تقييمات المخاطر ومراجعات أمن الموردين |
مخاطر الأطراف الثالثة |
|
المتطلبات التعاقدية |
بنود الأمن والالتزامات والاتفاقيات المعتمدة |
المشتريات والشؤون القانونية |
|
الإشراف على الموردين |
سجلات المراقبة وتتبع الإجراءات التصحيحية |
إدارة الموردين |
|
أمن الحوسبة السحابية |
إعدادات السحابة وتقييمات الأمن ذات الصلة |
أمن السحابة |
|
المسؤوليات المشتركة |
ملكية الأمن الموثقة وخرائط المسؤوليات |
حوكمة السحابة |
أولًا، راجع تقييمات مخاطر الموردين والالتزامات الأمنية التعاقدية. ثم افحص السجلات التي تثبت الإشراف المستمر على الموردين.
وبالنسبة للخدمات السحابية، حدد المسؤوليات التي تعود لكل طرف. ويمكن لمصفوفة المسؤوليات أن تسهّل تقييم هذا التمييز.
ومع ذلك، تختلف ترتيبات السحابة بين الخدمات ومزودي الخدمة. لذلك يجب أن تعكس الأدلة النشر الفعلي والمتطلبات المنطبقة.
لمزيد من التفاصيل، راجعضوابط أمن الأطراف الثالثة والسحابة في ECC
.
ما الذي تغيّر في ECC-2:2024 ويؤثر على أدلتك؟
أدخل ECC-2:2024 تغييرات قد تؤثر على وثائق التدقيق الحالية. لذلك، ينبغي للمؤسسات التي تستخدم سجلات ECC-1:2018 مراجعة خرائط أدلتها.
يحدد ملحق التغييرات في الإطار الرسمي عدة تحديثات ذات صلة.
|
تغيير في ECC |
الأدلة التي يجب مراجعتها |
|
توضيح MFA |
تقييمات تأثير المصادقة وسجلات الإعدادات |
|
مصادقة البريد الإلكتروني |
أدلة إعدادات SPF وDKIM وDMARC |
|
الحماية من DDoS |
ضوابط حماية الشبكة ذات الصلة والسجلات الداعمة |
|
التوظيف في الأمن السيبراني |
سجلات المؤهلات المهنية والتوظيف المنطبقة |
|
إعادة هيكلة أمن OT |
انطباق OTCC وخرائط الضوابط المنفصلة |
|
تغييرات توطين البيانات |
متطلبات NDMO المنطبقة وسجلات الحوكمة ذات الصلة |
بالنسبة إلى MFA، يوضح ECC-2:2024 قرارات المصادقة باستخدام تقييمات التأثير ذات الصلة.
وبالنسبة إلى حماية البريد الإلكتروني، تم تحديد SPF وDKIM وDMARC صراحةً. لذلك يجب على المؤسسات التحقق من إعدادات مصادقة النطاقات الفعلية. كما يقدم الإطار الحماية من DDoS ضمن متطلبات أمن الشبكات.
ويتعلق تغيير آخر بالتوظيف في الأمن السيبراني. ويجب على المؤسسات مراجعة المتطلبات المحدثة للمهنيين السعوديين المؤهلين في الأمن السيبراني. علاوة على ذلك، انتقل مجال أنظمة التحكم الصناعي السابق إلى OTCC.
كما تغيرت أحكام توطين البيانات. وتحتاج المتطلبات ذات الصلة الآن إلى دراستها ضمن إطار NDMO المناسب. للاطلاع على مقارنة تفصيلية، اقرأما الذي تغيّر في ECC-2:2024
السياسات والقوالب التي يتوقعها المدققون
تحتاج حزمة الأدلة الفعالة إلى وثائق واضحة وسجلات قابلة للتتبع. ومع ذلك، تعتمد المستندات المطلوبة على ضوابط ECC المنطبقة.
يوفر دليل GECC-2:2026 أمثلة تنفيذية مفيدة ومخرجات توضيحية.
ويمكن للمؤسسات استخدام هذه الأمثلة عند تقييم وثائقها.
تشمل فئات الأدلة الشائعة:
-
السياسات الأمنية السيبرانية المعتمدة وسجلات المراجعة.
-
تقييمات مخاطر الأمن السيبراني وخطط المعالجة.
-
وثائق إدارة الهوية والوصول.
-
إجراءات النسخ الاحتياطي وأدلة الاستعادة.
-
خطط الاستجابة للحوادث وسجلات التعامل مع الحوادث.
-
وثائق التطوير الآمن وأمن المشاريع.
-
المراجعات الداخلية والتقييمات والإجراءات التصحيحية.
لا يعني وجود مستند بالضرورة إثبات التنفيذ الفعال. فسياسة النسخ الاحتياطي يجب أن ترتبط بأدلة النسخ الاحتياطي والتعافي ذات الصلة.
وبالمثل، يجب أن تعكس خطة الاستجابة للحوادث الترتيبات الفعلية للمؤسسة. ويمكن لإرشادات التنفيذ من NCA دعم هذه المراجعة للوثائق.
تعامل مع مخرجاته التوضيحية كإرشاد لا كقائمة إلزامية شاملة.
كيف تبني حزمة أدلة NCA ECC؟
يجعل سجل الأدلة المنظم تجهيز التدقيق أسهل في الإدارة. فبدلًا من تخزين ملفات غير مترابطة، اربط كل سجل بالمتطلب ذي الصلة.
استخدم العملية التالية لتنظيم متطلبات الامتثال لـ ECC.
سير عمل من خمس مراحل لتجهيز التدقيق:
01
تحديد النطاق
تحديد الضوابط والأنظمة المنطبقة
│
▼
02
تقييم الفجوات
مراجعة الضوابط والأدلة الحالية
│
▼
03
معالجة الفجوات
معالجة نقاط الضعف وتعيين المالكين
│
▼
04
التحقق من الأدلة
التحقق من الدقة والتواريخ والاكتمال
│
▼
05
صيانة السجلات
تنظيم الأدلة ومراجعتها وتحديثها
ابدأ بتحديد النطاق المؤسسي ومتطلبات NCA المنطبقة. ثم قارن الأدلة الحالية بكل ضابط ECC قابل للتطبيق. وعند وجود فجوات، وثّق الإجراءات التصحيحية وعيّن المسؤوليات.
بعد ذلك، تحقق من السجلات قبل تقديمها عبر أي عملية تقييم مطلوبة. وأخيرًا، حافظ على الأدلة مع تغير الأنظمة والضوابط.
فجوات الأدلة الشائعة التي قد تؤثر على الجاهزية للتدقيق
حتى الضوابط المطبقة قد تفتقر إلى وثائق داعمة كافية.
لذلك، ينبغي للمؤسسات تحديد نقاط ضعف الأدلة قبل أنشطة التقييم الرسمية.
تشمل المشكلات الشائعة:
-
سياسات غير معتمدة: المستندات تفتقر إلى معلومات واضحة عن الموافقة أو المراجعة.
-
غياب الملكية: لا أحد يحافظ على سجلات معينة أو يتحقق منها.
-
إعدادات قديمة: لقطات الشاشة لم تعد تعكس الأنظمة التشغيلية.
-
مراجعات وصول غير مكتملة: الصلاحيات تفتقر إلى مراجعة أو موافقة موثقة.
-
غياب اختبارات الاستعادة: توجد سجلات نسخ احتياطي دون أدلة استعادة داعمة.
-
ثغرات غير معالجة: النتائج تفتقر إلى معالجة موثقة أو معالجة مخاطر.
-
خرائط قديمة: الأدلة تشير إلى متطلبات ECC ملغاة.
-
ضعف قابلية التتبع: لا يمكن ربط السجلات بالضابط قيد التقييم.
لا تؤسس هذه المشكلات تلقائيًا نتائج تدقيق رسمية. لكنها قد تضعف قدرة المؤسسة على إثبات الامتثال. وتساعد مراجعة الأدلة الدورية على تحديد المشكلات قبل أن يصبح حلها صعبًا.
الخلاصة
تربط قائمة مراجعة الامتثال الموثوقة لـ NCA ECC المتطلبات المنطبقة بالأدلة القابلة للتحقق.
ابدأ بتأكيد النطاق. ثم راجع الوثائق والإعدادات التقنية والملكية والاختبارات المكتملة. وعالج السجلات المفقودة قبل أنشطة التقييم. وحافظ على الأدلة مع تغير أنظمة المؤسسة ومخاطرها.
الهدف ليس مجرد جمع المستندات، بل إثبات كيفية تشغيل ضوابط الأمن السيبراني المنطبقة. ولمزيد من التعلم، استكشف دورة NCA ECC (السعودية).
