ما هو NCA ECC ولماذا يهم؟

يمنح NCA ECC المنظمات السعودية خط أساس لإدارة الأمن السيبراني بطريقة منظمة، ومسؤولة، وقائمة على الأدلة. فهو ليس مجرد قائمة من الضوابط التقنية. بل هو إطار وطني لضوابط الأمن السيبراني يربط الحوكمة، وإدارة المخاطر، والسياسات، والضمانات التقنية، والاستجابة للحوادث، ورقابة الأطراف الخارجية، وأدلة التدقيق، والامتثال المستمر.

وهذا مهم لأن فشل الأمن السيبراني نادرًا ما يبدأ من نظام واحد فقط. غالبًا ما يبدأ من ملكية غير واضحة، أو ضعف في ضوابط الوصول، أو ضعف في رؤية الأصول، أو نسخ احتياطية غير مختبرة، أو ثغرات غير مُدارة، أو تأخر في تصعيد الحوادث، أو مورّدين لديهم وصول مفرط. وبحلول الوقت الذي تصبح فيه المشكلة واضحة للقيادة، قد يكون الضرر قد أصبح تشغيليًا، أو متعلقًا بالسمعة، أو تنظيميًا، أو ماليًا.

بالنسبة للجهات السعودية الواقعة ضمن النطاق، يُعد NCA ECC متطلب امتثال. وبالنسبة لكثير من المنظمات الأخرى، يظل معيارًا مفيدًا لتعزيز الانضباط والمرونة في الأمن السيبراني.

ما هو NCA ECC في السعودية؟

يرمز NCA ECC إلى ضوابط الأمن السيبراني الأساسية الصادرة عن الهيئة الوطنية للأمن السيبراني. وقد تم تطوير الإصدار الحالي ECC 2-2024 لتعزيز الأمن السيبراني على المستوى الوطني وحماية أصول المعلومات والتقنية لدى الجهات الوطنية. وتحدد صفحة NCA الرسمية الخاصة بضوابط الأمن السيبراني الأساسية الإصدار ECC 2-2024 باعتباره الإصدار المحدث، وتوفر وثيقة ECC الرئيسية ودليل التطبيق.

بعبارة بسيطة، يحدد NCA ECC الحد الأدنى من متطلبات الأمن السيبراني التي يجب على الجهات المشمولة تطبيقها لحماية الأنظمة، والشبكات، والتطبيقات، والبيانات، والأصول التقنية. ويدعم ذلك سرية المعلومات والبيئات التقنية وسلامتها وتوافرها.

تنص وثيقة ECC 2-2024 الرسمية على أن الضوابط تتكون من أربعة مجالات رئيسية للأمن السيبراني، وثمانية وعشرين مجالًا فرعيًا، و108 ضوابط رئيسية، و92 ضابطًا فرعيًا. وترتبط هذه الضوابط بالمتطلبات التشريعية والتنظيمية الوطنية والدولية ذات الصلة. ويوضح هذا الهيكل سبب عدم التعامل مع ECC كقائمة تحقق تقنية ضيقة. فهو يغطي الحوكمة، والدفاع، والمرونة، والأطراف الخارجية، والتزامات الأمن السيبراني المتعلقة بالسحابة.

صُمم الإطار حول واقع عملي: أصبحت المنظمات السعودية تعتمد أكثر من أي وقت مضى على الأنظمة الرقمية، والمنصات السحابية، والتقنية التشغيلية، وتبادل البيانات، والخدمات المتصلة. لذلك يجب إدارة الأمن السيبراني من خلال مسؤوليات واضحة، وسياسات معتمدة، وضوابط مبنية على المخاطر، ومراقبة، وأدلة.

ما المنظمات التي يجب عليها الامتثال لـ NCA ECC؟

ينطبق NCA ECC على جهات محددة في السعودية.

تنص وثيقة ECC 2-2024 الرسمية على أن الضوابط تنطبق على الجهات الحكومية في المملكة، بما في ذلك الوزارات، والهيئات، والمؤسسات، وما في حكمها، إلى جانب الشركات والكيانات التابعة لها داخل السعودية وخارجها. كما تنطبق على جهات القطاع الخاص التي تمتلك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة.

هذا النطاق مهم للمنظمات في القطاعات التي تُعد فيها الخدمات الرقمية، أو البنية التحتية، أو الخدمات العامة، أو المعلومات الحساسة، أو الأنظمة الحرجة جزءًا من المرونة الوطنية. فإذا كانت الجهة تمتلك أو تشغل أو تستضيف بنية تحتية وطنية حساسة، فإن ضوابط الأمن السيبراني لا تكون مجرد ممارسة داخلية جيدة. بل تصبح جزءًا من التزام أوسع بالحماية الوطنية.

كما يذكر قسم النطاق نفسه في ECC أن الهيئة الوطنية للأمن السيبراني تشجع بقوة جميع الجهات الأخرى في المملكة على استخدام الضوابط كأفضل ممارسات لتحسين وتعزيز الأمن السيبراني. وهذا مهم للأعمال السعودية التي قد لا تكون ضمن النطاق الإلزامي مباشرة، لكنها لا تزال تواجه تهديدات سيبرانية، ومخاطر مورّدين، وتعرضًا لبرمجيات الفدية، وواجبات حماية البيانات، وتوقعات ثقة العملاء، ومخاوف مخاطر على مستوى مجلس الإدارة.

حتى عندما لا يكون ECC إلزاميًا للأعمال، يمكنه أن يساعد القيادة على طرح الأسئلة الصحيحة. هل لدينا حوكمة للأمن السيبراني؟ هل الأدوار معتمدة؟ هل تُقيّم المخاطر قبل تغييرات التقنية؟ هل تُطبّق السياسات؟ هل تُختبر الضوابط؟ هل تتم مراقبة الأطراف الخارجية؟ هل الأدلة متاحة؟

هذه الأسئلة مفيدة لأي منظمة تعتمد على الأنظمة الرقمية.

لماذا يهم امتثال NCA ECC للمنظمات السعودية؟

يهم امتثال NCA ECC لأنه يؤسس خط أساس متسقًا للأمن السيبراني عبر المنظمات المشمولة.

من دون هيكل ضوابط مشترك، يمكن أن يصبح الأمن السيبراني مجزأً. قد يدير فريق الجدران النارية. ويدير فريق آخر حماية نقاط النهاية. ويتعامل فريق ثالث مع الوصول إلى الهوية. وتدير المشتريات المورّدين. ويراجع التدقيق الداخلي الأدلة لاحقًا. وتتلقى الإدارة العليا التقارير، لكن الصورة الكاملة تبقى غير واضحة.

يساعد ECC على تقليل هذا التجزؤ من خلال تنظيم الأمن السيبراني ضمن مجالات، ومتطلبات، ومسؤوليات، وتوقعات مراقبة محددة. فهو يمنح الجهات رؤية أوضح لما يجب حوكمته، وتطبيقه، ومراجعته، وإثباته بالأدلة.

بالنسبة للمنظمات المشمولة، يدعم الامتثال أيضًا المرونة السيبرانية الوطنية. يربط الملخص التنفيذي لـ ECC الحاجة إلى الأمن السيبراني بالتحول الرقمي في السعودية، وحماية البنية التحتية الحساسة، والأمن الوطني، والقطاعات ذات الأولوية العالية، والخدمات الحكومية. وهذا الربط مهم لأن الحوادث السيبرانية يمكن أن تؤثر في أكثر من جهة واحدة. فقد يؤثر ضعف في منظمة واحدة في الخدمات، والبيانات، وسلاسل الإمداد، وثقة الجمهور.

لا ينبغي التعامل مع امتثال NCA ECC كمشروع تدقيق لمرة واحدة. قد تُعتمد السياسة، لكنها لا تزال تحتاج إلى تطبيق. وقد يُجرى فحص للثغرات، لكن الملاحظات لا تزال تحتاج إلى معالجة. وقد توجد نسخة احتياطية، لكن الاستعادة لا تزال تحتاج إلى اختبار. وقد يتضمن عقد المورّد شروطًا للأمن السيبراني، لكن ضوابط الأطراف الخارجية لا تزال تحتاج إلى مراقبة.

الهدف الحقيقي هو أداء مستمر لضوابط الأمن السيبراني.

وهنا تصبح دورة الضوابط الأساسية للأمن السيبراني وفق متطلبات الهيئة الوطنية للأمن السيبراني (NCA ECC) ذات صلة بالفرق التي تحتاج إلى فهم كيفية عمل الضوابط عبر الحوكمة، والمخاطر، والأمن التقني، والاستجابة للحوادث، والأطراف الخارجية، والأدلة، والجاهزية للتدقيق. لا يكون ضابط الأمن السيبراني مفيدًا إلا عندما يعرف الأشخاص ما الذي يتطلبه، ومن يملكه، وكيف يثبتون أنه يعمل.

حوكمة NCA ECC وإدارة المخاطر والمساءلة

يركز NCA ECC بقوة على الحوكمة لأن ضوابط الأمن السيبراني لا يمكن أن تعمل من دون ملكية.

يتوقع الإطار تحديد سياسات وإجراءات الأمن السيبراني، وتوثيقها، واعتمادها، وإبلاغها، وتطبيقها، ومراجعتها. كما يتوقع أن تكون الأدوار والمسؤوليات محددة بوضوح للأطراف المشاركة في تطبيق ضوابط الأمن السيبراني.

هذا مهم لأن كثيرًا من فجوات الأمن السيبراني ليست تقنية بحتة. إنها إخفاقات حوكمة. لا أحد يملك الضابط. السياسة قديمة. مالك النظام غير واضح. يتم تجاوز تقييم المخاطر قبل المشروع. يمر موعد معالجة دون تصعيد. يُقبل استثناء أمني بصورة غير رسمية. هذه المسائل تضعف بيئة الضوابط حتى عندما تكون الأدوات متاحة.

تتطلب وثيقة ECC 2-2024 من إدارة الأمن السيبراني تحديد وتوثيق سياسات وإجراءات الأمن السيبراني، بما في ذلك الضوابط والمتطلبات، واعتمادها من المسؤول المفوض في الجهة. كما تتطلب من المسؤول المفوض تحديد هيكل حوكمة الأمن السيبراني، والأدوار، والمسؤوليات، وتوثيقها واعتمادها مع تجنب تعارض المصالح.

إدارة مخاطر الأمن السيبراني مركزية أيضًا. يتطلب NCA ECC منهجية وإجراءات موثقة لإدارة مخاطر الأمن السيبراني بناءً على اعتبارات السرية، والسلامة، والتوافر. كما يحدد حالات يجب فيها إجراء تقييم لمخاطر الأمن السيبراني، بما في ذلك المراحل المبكرة من المشاريع التقنية، وقبل التغييرات الكبرى في البنية التحتية التقنية، وأثناء التخطيط لخدمات الأطراف الخارجية، وقبل إطلاق الخدمات والمنتجات التقنية الجديدة.

وهذا يجعل ECC ذا صلة كبيرة بحوكمة المشاريع. لا ينبغي مراجعة الأمن السيبراني فقط بعد تشغيل الأنظمة. بل يجب بناؤه داخل التخطيط، والمشتريات، وتغيير الأنظمة، وتصميم البنية التحتية، وقرارات إطلاق الخدمات.

لذلك يجب أن يحدد برنامج امتثال NCA ECC القوي من يملك استراتيجية الأمن السيبراني، ومن يعتمد السياسات، ومن يجري تقييمات المخاطر، ومن يراقب الضوابط، ومن يتحقق من المعالجة، ومن يرفع المخاطر غير المحلولة إلى القيادة.

ضوابط الأمن السيبراني الأساسية المطلوبة بموجب NCA ECC

يشمل NCA ECC ضوابط تشغيلية وتقنية مصممة لحماية أصول المعلومات والتقنية.

تغطي هذه الضوابط مجالات مثل إدارة الهوية والوصول، وإدارة الأصول، والتهيئة الآمنة، وحماية الشبكات، والتشفير، وإدارة الثغرات، واختبار الاختراق، والتسجيل، والمراقبة، والنسخ الاحتياطي، والاستعادة، وإدارة أحداث الأمن السيبراني. ولا يتمثل الهدف في نشر الأدوات فقط. بل في ضبط كيفية حماية الأنظمة، والمستخدمين، والبيانات، والشبكات.

بالنسبة إلى ضوابط الوصول، يجب أن تعرف المنظمات من لديه وصول إلى الأنظمة الحرجة، ولماذا يحتاج إلى ذلك الوصول، ومتى تم اعتماده، وما إذا كان الوصول يُراجع ويُلغى عندما لا يعود مطلوبًا. وبالنسبة إلى إدارة الأصول، يجب أن تعرف ما الأنظمة، والأجهزة، والتطبيقات، وأصول البيانات الموجودة، ومن يملكها، وكيف تتم حمايتها. وبالنسبة إلى إدارة الثغرات، يجب أن تعرف أي نقاط ضعف لا تزال مفتوحة، ومن يملك معالجتها، وما إذا كانت المواعيد النهائية تُنفذ.

كما تربط وثيقة ECC التشفير بالمعايير الوطنية للتشفير الصادرة عن الهيئة الوطنية للأمن السيبراني، وتتطلب تشفير البيانات أثناء النقل وعند التخزين وفقًا للتصنيف والمتطلبات ذات الصلة. وهذا مثال مفيد على كيفية ربط ECC للضوابط التقنية بحساسية البيانات، وتقييم المخاطر، والتوقعات التنظيمية.

المراقبة السيبرانية مهمة بالقدر نفسه. لا ينبغي أن تبقى السجلات، والتنبيهات، والأحداث الأمنية داخل الأدوات فقط. فهي تحتاج إلى مراجعة، وتصعيد، وتحقيق، وأدلة. وإذا لم تستطع المنظمة إظهار كيفية التعامل مع الأحداث الأمنية، فقد لا تستطيع إثبات فعالية المراقبة.

الضوابط الأساسية هي الأساس، لكنها ليست الإطار كاملًا. فهي تحتاج إلى حوكمة، وإدارة مخاطر، واستجابة للحوادث، ورقابة على الأطراف الخارجية، وعمليات تدقيق، وتدريب، ومراجعة مستمرة حتى تبقى فعالة.

الاستجابة للحوادث والمرونة السيبرانية بموجب NCA ECC

يتطلب NCA ECC من المنظمات الاستعداد للحوادث السيبرانية قبل وقوعها.

يجب أن تحدد قدرة الاستجابة للحوادث كيف يتم اكتشاف أحداث الأمن السيبراني، والإبلاغ عنها، وتصنيفها، وتصعيدها، واحتواؤها، والتحقيق فيها، وحلها. كما يجب أن توضح أي الفرق تتخذ القرارات، وكيف تُحفظ الأدلة، ومتى تُبلغ القيادة، وكيف تعود الأنظمة المتأثرة إلى العمل الطبيعي.

هذا الاستعداد مهم لأن الحوادث السيبرانية نادرًا ما تتبع حدود الأقسام. قد يشمل الحساب المخترق الأمن السيبراني، وتقنية المعلومات، والموارد البشرية، والشؤون القانونية، والاتصالات، واستمرارية الأعمال، والإدارة العليا. ومن دون مسؤوليات ومسارات تصعيد معتمدة، قد تفقد الفرق وقتًا ثمينًا في تحديد من يجب أن يتصرف.

يجب أن تحتفظ المنظمات بخطة استجابة للحوادث مدعومة بقوائم اتصال، ومعايير شدة، وإجراءات تواصل، وخطوات تحقيق، وترتيبات استعادة، ومسؤوليات تقارير. ويجب أن تعكس الخطة أنظمة المنظمة، وخدماتها، وبياناتها، ومورّديها، واعتمادياتها التشغيلية بدلًا من الاعتماد على قالب عام.

تشمل مجموعات أدوات الأمن السيبراني الرسمية الصادرة عن NCA قوالب تغطي إدارة حوادث وتهديدات الأمن السيبراني، وتسجيل الأحداث ومراقبتها، والنسخ الاحتياطية، واستمرارية أعمال الأمن السيبراني. وتوضح هذه المواد كيف ترتبط الاستجابة للحوادث بالسياسات، والإجراءات، والمراقبة التقنية، والاستعادة، والحوكمة.

الاختبار ضروري. يمكن أن تكشف تمارين المحاكاة المكتبية، والمحاكاة التقنية، واختبارات الاستعادة، ومراجعات ما بعد الحوادث ما إذا كان الموظفون يفهمون التصعيد، وما إذا كان يمكن استعادة بيانات النسخ الاحتياطي، وما إذا كان صانعو القرار يتلقون معلومات كافية.

بعد الحادث، يجب على المنظمات توثيق ما حدث، وأي الضوابط فشلت، وكيف تم احتواء الحادث، وما الإجراءات التصحيحية التي تم اعتمادها. ويجب أن تُحدث الدروس المستفادة السياسات، وتقييمات المخاطر، والتهيئات التقنية، وتدريب الموظفين، وضوابط الأطراف الخارجية.

لا تُثبت المرونة السيبرانية بمجرد وجود وثيقة استجابة. بل تُثبت عندما تستطيع المنظمة مواصلة الخدمات الحرجة، واستعادة الأنظمة، ومنع تكرار نقطة الضعف نفسها.

متطلبات الأمن السيبراني للأطراف الخارجية والسحابة وسلسلة الإمداد

تظل المنظمات معرضة لمخاطر الأمن السيبراني عندما تصل أطراف خارجية إلى الأنظمة، أو تعالج البيانات، أو تستضيف الخدمات، أو تطور التطبيقات، أو تدعم العمليات الحرجة.

لذلك، يجب أن يكون المقاولون، ومورّدو التقنية، ومزودو الخدمات السحابية، ومزودو الخدمات المُدارة، والمستشارون، والعمليات المُسندة إلى أطراف خارجية جزءًا من برنامج امتثال NCA ECC. لا يمكن إدارة مخاطر المورّدين فقط أثناء مرحلة المشتريات أو توقيع العقد.

قبل منح الوصول أو مشاركة المعلومات، يجب على المنظمات تقييم قدرات المورّد في الأمن السيبراني، واعتماديات الخدمة، ووصوله إلى البيانات، ومواقع الاستضافة، والمقاولين من الباطن، وسجل الحوادث، وقدرته على تلبية الضوابط المطلوبة.

يجب أن تحدد العقود مسؤوليات الأمن السيبراني، ومتطلبات السرية، وقيود الوصول، وواجبات الإشعار بالحوادث، وتوقعات المراقبة، وحقوق التدقيق، ومتطلبات استمرارية الخدمة، وإجراءات الإنهاء الآمن. كما يجب أن يقتصر الوصول على ما يحتاجه المورّد فقط، وأن يُزال عند انتهاء الخدمة أو العقد.

تحتاج الخدمات السحابية إلى عناية إضافية لأن مسؤوليات الأمن قد تكون مقسمة بين المزود والعميل. يجب أن تفهم المنظمات من يدير الهويات، والتشفير، والتهيئات، والنسخ الاحتياطي، والمراقبة، والثغرات، والاستجابة للحوادث، وحماية البيانات.

تُعد ضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن NCA امتدادًا لـ ECC، وتحدد الحد الأدنى من متطلبات الأمن السيبراني لمزودي الخدمات السحابية ومشتركي الخدمات السحابية. لذلك، يجب على المنظمات التي تستخدم الخدمات السحابية تقييم ما إذا كانت متطلبات CCC الإضافية تنطبق إلى جانب التزاماتها بموجب ECC.

يجب أن تستمر مراقبة سلسلة الإمداد بعد مرحلة التأهيل. قد يغير المورّد بنيته التحتية، أو يستخدم مقاولًا فرعيًا جديدًا، أو يتعرض لحادث، أو يغير طريقة تقديم الخدمات. تساعد إعادة التقييم الدورية المنظمة على التأكد من أن الضمانات لا تزال فعالة طوال العلاقة.

تدقيق NCA ECC والأدلة واختبار الضوابط

يجب أن يكون امتثال NCA ECC مدعومًا بالأدلة.

قد تُظهر السياسة أن المتطلب قد تم توثيقه، لكنها لا تثبت التطبيق. يجب أن تكون المنظمة قادرة أيضًا على إظهار الاعتمادات، وإعدادات الأنظمة، ومراجعات الوصول، وتقييمات المخاطر، وسجلات الأمن، وتقارير الثغرات، ونتائج اختبارات الاختراق، واختبارات النسخ الاحتياطي، وسجلات الحوادث، ومراجعات المورّدين، وأدلة الإجراءات التصحيحية.

يجب جمع الأدلة أثناء عمل الضوابط، لا تجميعها فقط عند بدء التدقيق. غالبًا ما يكشف جمع الأدلة المتأخر عن اعتمادات مفقودة، أو مراجعات غير مكتملة، أو ملاحظات غير محلولة، أو ضوابط كان يُفترض أنها تعمل لكنها لم تُختبر مطلقًا.

يجب أن تحتفظ المنظمات بسجل ضوابط منظم يوضح المتطلب المطبق، ومالك الضابط، وحالة التطبيق، ومصدر الدليل، وتكرار المراجعة، وأوجه القصور المحددة، وإجراء المعالجة، والتحقق من الإغلاق.

يمكن أن تساعد التقييمات الذاتية الأقسام على تحديد الفجوات، لكن المراجعة المستقلة مهمة أيضًا. تهدف أدلة التطبيق الخاصة بضوابط الأمن السيبراني الصادرة عن NCA إلى مساعدة الجهات المستهدفة على تطبيق متطلبات الضوابط وتحديد أدوات NCA الداعمة. ويمكن للمنظمات استخدام هذه الإرشادات لتحسين الاتساق بين تفسير الضوابط، وتطبيقها، وتقديم الأدلة عليها.

يجب أن يؤكد الاختبار تصميم الضابط وفعاليته التشغيلية معًا. قد تكون عملية وصول المستخدمين مصممة جيدًا، لكن الاختبار قد يُظهر أن المراجعات متأخرة أو أن حسابات المستخدمين المنتهية خدماتهم لا تزال نشطة. وقد تكون سياسة النسخ الاحتياطي معتمدة، لكن اختبار الاستعادة قد يكشف أن أهداف الاسترداد لا يمكن تحقيقها.

يجب أن تبقى الملاحظات مفتوحة حتى تُستكمل الإجراءات التصحيحية ويتم التحقق منها. إغلاق فجوة لأن المالك قدم تحديثًا لا يكفي. يجب أن تُظهر الأدلة أن نقطة الضعف قد عولجت وأن المخاطر المتبقية مفهومة.

التدريب والوعي بالأمن السيبراني بموجب NCA ECC

الموظفون جزء من بيئة ضوابط الأمن السيبراني.

حتى الضمانات التقنية القوية يمكن أن تضعف بسبب التصيد الاحتيالي، أو ممارسات كلمات المرور الضعيفة، أو مشاركة البيانات بشكل غير مناسب، أو عدم الإبلاغ عن الحوادث، أو عدم اتباع الإجراءات المعتمدة. لذلك يجب أن يكون الوعي بالأمن السيبراني مستمرًا ومرتبطًا بمسؤوليات الموظفين.

يمكن أن يغطي الوعي العام التصيد، والهندسة الاجتماعية، وحماية كلمات المرور، والاستخدام المقبول، والعمل الآمن عن بُعد، والتعامل مع المعلومات، والإبلاغ عن الحوادث. أما التدريب المخصص حسب الدور فيجب أن يذهب إلى مستوى أعمق.

يحتاج مسؤولو الأنظمة إلى إرشادات حول الوصول ذي الامتيازات، والتهيئة الآمنة، والتسجيل، وإدارة التغيير. وتحتاج فرق المشتريات إلى فهم متطلبات الأمن السيبراني للأطراف الخارجية. ويحتاج المطورون إلى ممارسات آمنة في البرمجة والاختبار. ويحتاج كبار القادة إلى فهم المخاطر السيبرانية، وأداء الضوابط، وتصعيد الحوادث.

يجب أن تُظهر سجلات التدريب من حضر، وما المحتوى الذي قُدم، ومتى حدث ذلك، وما إذا تم تقييم الفهم. ويمكن أيضًا مراجعة أداء الوعي من خلال محاكاة التصيد، واتجاهات الحوادث، ومخالفات السياسات، وسلوك الموظفين في الإبلاغ.

يمكن أن تساعد دورة الضوابط الأساسية للأمن السيبراني وفق متطلبات الهيئة الوطنية للأمن السيبراني (NCA ECC) فرق الأمن السيبراني، والامتثال، والمخاطر، والتدقيق، والتقنية، والمشتريات، والإدارة على فهم كيفية عمل الحوكمة، والضوابط التقنية، ورقابة الأطراف الخارجية، والأدلة، والمراقبة المستمرة معًا.

الامتثال المستمر لـ NCA ECC والتحسين

يجب أن يعمل تطبيق NCA ECC كبرنامج مستمر للأمن السيبراني.

تتغير الأنظمة، وينتقل الموظفون بين الأدوار، ويغير المورّدون خدماتهم، وتظهر ثغرات جديدة، وتؤثر تهديدات جديدة في ضوابط كانت موثوقة سابقًا. قد لا يعود الضابط الذي كان فعالًا خلال التقييم السابق يوفر حماية كافية.

يجب على المنظمات مراجعة مخاطر الأمن السيبراني، والسياسات، وقوائم الأصول، وصلاحيات الوصول، والتهيئات التقنية، والحوادث، وأداء المورّدين، وملاحظات التدقيق، وخطط المعالجة بانتظام. كما يجب أن تؤدي المشاريع التقنية الجوهرية، وتغييرات البنية التحتية، والخدمات الجديدة، وقرارات الإسناد الخارجي إلى مراجعة إضافية.

يجب أن تركز تقارير الإدارة على المخاطر غير المحلولة. يجب أن يفهم القادة أي الضوابط غير فعالة، وأي الملاحظات متأخرة، وأي المخاطر تتجاوز الحدود المعتمدة، وما القرارات أو الموارد المطلوبة.

يجب أن يستخدم التحسين المستمر ملاحظات التدقيق، والحوادث، ومعلومات التهديدات، واختبار الضوابط، وملاحظات الموظفين، والدروس المستفادة. فالهدف ليس الحفاظ على درجة امتثال فقط. بل جعل ضوابط الأمن السيبراني أكثر موثوقية مع تغير المنظمة وبيئة التهديدات.

الخاتمة

يهم NCA ECC لأن الأمن السيبراني لا يمكن أن يعتمد على أدوات معزولة أو فرق تقنية فردية.

يربط الإطار الحوكمة، وتقييم المخاطر، والسياسات، والضمانات التقنية، والاستجابة للحوادث، والمرونة، وضوابط الأطراف الخارجية، وأمن السحابة، والأدلة، والتدريب، والتحسين المستمر.

بالنسبة للجهات السعودية المشمولة، يُعد تطبيق ECC مسؤولية امتثال. وبالنسبة للمنظمات الأخرى، يوفر الإطار خط أساس قويًا لتقييم ما إذا كانت مخاطر الأمن السيبراني تُحوكم وتُضبط بصورة متسقة.

أقوى البرامج لا تستعد للتدقيق فقط. بل تحافظ على أدلة محدثة، وتختبر الضوابط، وتعالج نقاط الضعف، وتراقب المورّدين، وتدرب الموظفين، وتحدث إطار الأمن السيبراني مع تغير المخاطر.

بالنسبة للفرق المسؤولة عن التطبيق، تقدم دورة الضوابط الأساسية للأمن السيبراني وفق متطلبات الهيئة الوطنية للأمن السيبراني (NCA ECC)  تعلمًا مركزًا حول المتطلبات، والمسؤوليات، والضوابط، والأدلة اللازمة لتعزيز امتثال الأمن السيبراني والمرونة.