# ضوابط الأمن السيبراني السحابي للهيئة الوطنية 2-2-1 إلى 2-2-5: خمسة إعدادات للهوية والوصول يجب التحقق منها في كل استبيان لمزود الخدمة السحابية
عندما تطلب مؤسسة مالية خاضعة لرقابة البنك المركزي السعودي (ساما) من مزود خدمة سحابية تعبئة استبيان أمني، تحصل عادة على إجابات عامة حول الشهادات والسياسات والإجراءات. لكن ضوابط الأمن السيبراني السحابي الهيئة الوطنية — تحديداً الضوابط من 2-2-1 إلى 2-2-5 — لا تطلب مجرد سياسات، بل إعدادات تقنية محددة يمكن التحقق منها وقياسها. الفرق بين استبيان يسأل "هل لديكم سياسة للمصادقة متعددة العوامل؟" واستبيان يطلب "ما هي طرق المصادقة متعددة العوامل المفعّلة افتراضياً لجميع المستخدمين ذوي الصلاحيات المميزة، وما هي الاستثناءات الموثقة؟" هو الفرق بين الامتثال الشكلي والامتثال الفعلي.
هذا المقال موجه إلى مسؤولي أمن المعلومات وقادة حوكمة الحوسبة السحابية في المؤسسات المالية الذين يقيّمون أو يدققون مزودي الخدمات السحابية. سنوضح خمسة إعدادات تقنية محددة في إدارة الهوية والوصول يجب التحقق منها كتابياً قبل التوقيع على أي عقد، وكيف تتطابق مع متطلبات الهيئة الوطنية للأمن السيبراني.
متى تحتاج المؤسسة إلى تقييم تقني مفصل لمزود الخدمة السحابية
المؤسسات الخاضعة لرقابة البنك المركزي السعودي تحتاج إلى تقييم تقني مفصل لمزود الخدمة السحابية في ثلاثة مواقف رئيسية:
أولاً، عند التخطيط لنقل أي نظام أو بيانات إلى بيئة سحابية جديدة، سواء كانت سحابة عامة أو خاصة أو مقدم خدمة محلي. هذا التقييم يجب أن يتم قبل توقيع العقد وقبل أي نقل فعلي للبيانات، لأن تصحيح الإعدادات الأمنية بعد النقل يكون أكثر تعقيداً وتكلفة.
ثانياً، عند مراجعة العقود القائمة مع مزودي الخدمات السحابية الحاليين، خاصة إذا كانت هذه العقود قد وُقّعت قبل صدور ضوابط الحوسبة السحابية للهيئة الوطنية أو قبل تحديثها. كثير من المؤسسات اكتشفت أن الإعدادات الافتراضية التي قبلتها عند بداية العقد لا تتطابق مع المتطلبات التنظيمية الحالية.
ثالثاً، عند إعداد المؤسسة لفحص أو تدقيق من البنك المركزي السعودي أو من جهة تنظيمية أخرى. الفاحصون لا يكتفون بالشهادات العامة مثل ISO 27001 أو SOC 2؛ بل يطلبون أدلة على الإعدادات الفعلية المطبقة على بيئة المؤسسة المحددة.
العلامات التي تشير إلى الحاجة لمراجعة الإعدادات الأمنية السحابية
هناك علامات واضحة تشير إلى أن استبيان مزود الخدمة السحابية الحالي غير كافٍ:
- عندما تكون إجابات المزود عامة ولا تشير إلى إعدادات محددة قابلة للتحقق في بيئة المؤسسة.
- عندما يحيل المزود إلى شهادات أو تقارير امتثال عامة دون توضيح كيفية تطبيقها على خدمة المؤسسة المحددة.
- عندما لا يوجد توثيق واضح لنموذج المسؤولية المشتركة — أي من المسؤول عن كل إعداد أمني: المزود أم المؤسسة.
- عندما تكتشف المؤسسة أن بعض الإعدادات الأمنية الحرجة — مثل المصادقة متعددة العوامل أو التشفير — اختيارية وليست مفعّلة افتراضياً.
- عندما لا يستطيع فريق أمن المعلومات الإجابة بوضوح على أسئلة الفاحصين حول إعدادات محددة في البيئة السحابية.
الضوابط 2-2-1 إلى 2-2-5: ما الذي تتطلبه الهيئة الوطنية فعلياً
ضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن الهيئة الوطنية للأمن السيبراني تتضمن متطلبات محددة في إدارة الهوية والوصول. الضوابط من 2-2-1 إلى 2-2-5 تغطي خمسة مجالات تقنية يجب التحقق منها في كل تقييم:
الضابط 2-2-1: إدارة الهوية والوصول
هذا الضابط يتطلب أن تطبق المؤسسة آليات قوية لإدارة الهوية والوصول في البيئة السحابية. ليس المقصود مجرد وجود نظام لإدارة الهوية، بل إعدادات محددة تضمن أن كل مستخدم — سواء كان موظفاً أو حساباً خدمياً — له هوية فريدة وصلاحيات محددة بوضوح.
الإعدادات التي يجب التحقق منها:
- هل يدعم المزود التكامل مع نظام إدارة الهوية المؤسسي (مثل Active Directory أو نظام LDAP)، وهل هذا التكامل يشمل مزامنة الصلاحيات تلقائياً؟
- هل يمكن تطبيق سياسات الوصول بناءً على أدوار محددة (Role-Based Access Control)، وهل يوفر المزود قوالب جاهزة لهذه الأدوار أم يجب على المؤسسة بناؤها من الصفر؟
- هل يوجد سجل تدقيق كامل لجميع التغييرات على الهويات والصلاحيات، وهل يمكن الوصول إليه في الوقت الفعلي؟
- ما هي الإعدادات الافتراضية للحسابات الجديدة — هل تُمنح صلاحيات واسعة افتراضياً أم تتطلب موافقة صريحة؟
الضابط 2-2-2: المصادقة متعددة العوامل
الضابط يتطلب تطبيق المصادقة متعددة العوامل لجميع الوصولات الحرجة. لكن "جميع الوصولات الحرجة" تعريف واسع؛ الإعدادات الفعلية تحدد ما إذا كان الامتثال حقيقياً.
الإعدادات التي يجب التحقق منها:
- هل المصادقة متعددة العوامل مفعّلة افتراضياً لجميع المستخدمين ذوي الصلاحيات المميزة، أم أنها اختيارية؟
- ما هي طرق المصادقة الثانية المدعومة — رمز SMS، تطبيق مصادقة، مفتاح أمان فيزيائي — وهل يمكن للمؤسسة فرض طريقة محددة؟
- هل يمكن استثناء بعض الحسابات أو عناوين IP من المصادقة متعددة العوامل، ومن يملك صلاحية إنشاء هذه الاستثناءات؟
- هل توجد آلية لإنفاذ المصادقة متعددة العوامل على مستوى واجهة برمجة التطبيقات (API) وليس فقط على واجهة المستخدم الرسومية؟
الضابط 2-2-3: إدارة الوصول المميز
الوصول المميز — أي الحسابات التي تملك صلاحيات إدارية أو إمكانية الوصول إلى بيانات حساسة — يتطلب ضوابط إضافية.
الإعدادات التي يجب التحقق منها:
- هل يوفر المزود آلية للوصول المميز المؤقت (Just-In-Time Access)، بحيث تُمنح الصلاحيات الإدارية لفترة محددة فقط؟
- هل يوجد فصل واضح بين الحسابات العادية والحسابات المميزة، بحيث لا يستخدم المسؤول نفس الحساب للمهام اليومية والمهام الإدارية؟
- هل يمكن تطبيق سياسة الموافقة المسبقة (Approval Workflow) على منح الصلاحيات المميزة، وهل هذه الموافقات مسجلة ومراجعة؟
- هل توجد آلية لمراجعة دورية للحسابات المميزة وإلغاء الصلاحيات غير المستخدمة؟
الضابط 2-2-4: التسجيل والمراقبة
الضابط يتطلب تسجيلاً شاملاً لجميع الأحداث الأمنية ذات الصلة في البيئة السحابية.
الإعدادات التي يجب التحقق منها:
- ما هي الأحداث التي تُسجّل افتراضياً — محاولات تسجيل الدخول، التغييرات على الصلاحيات، الوصول إلى البيانات الحساسة، التغييرات على الإعدادات الأمنية؟
- هل يمكن تصدير السجلات إلى نظام إدارة المعلومات والأحداث الأمنية (SIEM) الخاص بالمؤسسة، وبأي تنسيق؟
- ما هي مدة الاحتفاظ بالسجلات، وهل يمكن تمديدها لتتوافق مع متطلبات البنك المركزي السعودي (عادة سنة واحدة على الأقل)؟
- هل السجلات محمية من التعديل أو الحذف، حتى من قبل المستخدمين ذوي الصلاحيات المميزة؟
الضابط 2-2-5: التشفير
الضابط يتطلب تشفير البيانات في حالة السكون وفي حالة النقل، لكن التفاصيل التقنية تحدد مستوى الحماية الفعلي.
الإعدادات التي يجب التحقق منها:
- هل التشفير مفعّل افتراضياً لجميع وحدات التخزين، أم يجب على المؤسسة تفعيله يدوياً؟
- ما هي خوارزميات التشفير المستخدمة، وهل تتوافق مع معايير الهيئة الوطنية (مثل AES-256)؟
- من يدير مفاتيح التشفير — المزود أم المؤسسة — وهل يمكن للمؤسسة استخدام نظام إدارة مفاتيح خاص بها؟
- هل التشفير يشمل النسخ الاحتياطية والصور الاحتياطية (Snapshots)، أم فقط البيانات الأساسية؟
كيف يبدو التقييم الفعال لمزود الخدمة السحابية
التقييم الفعال لا يعتمد على استبيان عام، بل على عملية منهجية تتحقق من الإعدادات الفعلية. العملية تتضمن عدة خطوات:
أولاً، مراجعة وثائق المزود التقنية — ليس المواد التسويقية، بل الأدلة التقنية التي توضح كيفية تكوين كل إعداد أمني. هذه المراجعة تكشف ما إذا كانت الإعدادات المطلوبة متاحة أصلاً، وما إذا كانت تتطلب ترخيصاً إضافياً أو تكوينات معقدة.
ثانياً، طلب عرض توضيحي فعلي (Demonstration) للإعدادات الأمنية في بيئة تجريبية. هذا العرض يجب أن يغطي كيفية تفعيل المصادقة متعددة العوامل، كيفية تكوين الأدوار والصلاحيات، كيفية الوصول إلى السجلات، وكيفية إدارة مفاتيح التشفير.
ثالثاً، إعداد مصفوفة المسؤولية المشتركة المحددة لكل خدمة. هذه المصفوفة توضح بدقة أي إعداد أمني هو مسؤولية المزود وأيها مسؤولية المؤسسة. على سبيل المثال، قد يكون المزود مسؤولاً عن توفير إمكانية التشفير، لكن المؤسسة مسؤولة عن تفعيله وإدارة المفاتيح.
رابعاً، توثيق الإعدادات الأساسية المطلوبة في ملحق تعاقدي. هذا الملحق يحدد الإعدادات الأمنية الدنيا التي يجب أن تكون مفعّلة قبل نقل أي بيانات، والإعدادات التي يجب أن تبقى ثابتة طوال مدة العقد.
خامساً، الاتفاق على آلية تدقيق دورية للإعدادات. بعض المزودين يسمحون بتدقيق مباشر من قبل المؤسسة أو من قبل طرف ثالث؛ آخرون يوفرون تقارير دورية تلقائية عن حالة الإعدادات الأمنية.
النتيجة المتوقعة من التقييم التقني المفصل
عندما يُنفّذ التقييم بشكل صحيح، تحصل المؤسسة على عدة مخرجات ملموسة:
تقرير تقييم أمن الحوسبة السحابية يوضح بدقة أي من الإعدادات المطلوبة متاحة ومفعّلة، وأيها تحتاج إلى تكوين إضافي، وأيها غير متاحة في الخدمة الحالية. هذا التقرير يكون مرجعاً واضحاً عند التفاوض على العقد أو عند الإجابة على أسئلة الفاحصين.
مصفوفة المسؤوليات المشتركة تزيل الغموض حول من المسؤول عن كل جانب من جوانب الأمن. هذه المصفوفة تكون مفيدة بشكل خاص عند حدوث حادثة أمنية، لأنها توضح حدود المسؤولية بوضوح.
سياسة أمن الحوسبة السحابية ومعايير الإعدادات الأساسية توثق الإعدادات الأمنية الدنيا التي يجب تطبيقها على جميع الخدمات السحابية التي تستخدمها المؤسسة. هذه المعايير تضمن الاتساق عبر مختلف المزودين والخدمات.
خارطة المعالجة واضحة تحدد الإجراءات المطلوبة لسد أي فجوات بين الإعدادات الحالية والمتطلبات التنظيمية، مع جدول زمني واقعي ومسؤوليات محددة.
الإطار الزمني للتقييم
التقييم التقني المفصل لمزود خدمة سحابية واحد، شاملاً مراجعة الوثائق والعروض التوضيحية وإعداد التقارير والمصفوفات، يستغرق عادة من 4 إلى 8 أسابيع. هذه المدة تعتمد على عدة عوامل:
- مدى تعقيد الخدمات السحابية المطلوب تقييمها (بنية تحتية فقط، أم منصة، أم تطبيقات كاملة).
- مدى توفر الوثائق التقنية من المزود وجودتها.
- مدى تعاون المزود في توفير العروض التوضيحية والإجابة على الأسئلة التقنية المفصلة.
- عدد الإعدادات الأمنية التي تحتاج إلى تحقق مفصل.
التكامل مع معايير التطوير الآمن
عندما تستخدم المؤسسة البيئة السحابية لتطوير أو استضافة تطبيقات، فإن التقييم يجب أن يشمل أيضاً كيفية دمج الأمن في دورة حياة التطوير. هذا يتضمن التحقق من إمكانية تطبيق ممارسات DevSecOps، ومدى دعم المزود لأدوات الفحص الأمني التلقائي، وكيفية إدارة الأسرار والمفاتيح في بيئة التطوير.
الخلاصة: من الشهادات إلى الإعدادات
الامتثال لضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن الهيئة الوطنية للأمن السيبراني لا يتحقق بمجرد الحصول على شهادات عامة من مزود الخدمة. الامتثال الفعلي يتطلب التحقق من إعدادات محددة قابلة للقياس في إدارة الهوية والوصول، والمصادقة متعددة العوامل، والوصول المميز، والتسجيل، والتشفير.
المؤسسات التي تعتمد على استبيانات عامة تكتشف الفجوات عادة عند الفحص التنظيمي أو — الأسوأ — عند حدوث حادثة أمنية. التقييم التقني المفصل قبل التوقيع على العقد يوفر وضوحاً كاملاً حول الإعدادات المتاحة والمسؤوليات المشتركة والفجوات التي يجب معالجتها.
أمن الحوسبة السحابية والتطبيقات
تقدم سيزو للاستشارات خدمة أمن الحوسبة السحابية والتطبيقات التي تشمل حوكمة أمن الحوسبة السحابية وتقييمها وفق ضوابط الأمن السيبراني للحوسبة السحابية، وممارسات تطوير التطبيقات الآمنة.
تشمل الخدمة تقييم البيئات السحابية وفق ضوابط الهيئة، وإعداد نموذج مسؤولية مشتركة محدد لكل خدمة، ومعالجة توطين البيانات والموافقات قبل الانتقال، ودمج الأمن في تصميم التطبيقات وتسليمها، مع خارطة معالجة واضحة.
المخرجات تشمل تقرير تقييم أمن الحوسبة السحابية، ومصفوفة المسؤوليات المشتركة، وسياسة أمن الحوسبة السحابية ومعايير الإعدادات الأساسية، ومعيار التطوير الآمن ونماذج التهديدات، وخارطة المعالجة. تستغرق الخدمة من 4 إلى 8 أسابيع.
تقيّم سيزو المنصات السحابية العامة الرئيسية ومقدمي الخدمات السحابية المحليين، وفق ضوابط الهيئة ونموذج الأمن الخاص بكل مقدّم.
