أصدر المركز الوطني للأمن السيبراني مطلع عام ٢٠٢٥ الإصدار ٢.٠ من إطار ضوابط الأمن السيبراني السحابي، وهو تحديث إطار ضوابط الأمن السيبراني السحابي المركز الوطني الذي يحكم استخدام الخدمات السحابية في المؤسسات السعودية الخاضعة للتنظيم. يتضمن هذا الإصدار ثلاثة تغييرات جوهرية تؤثر بشكل مباشر على العقود السحابية الحالية وطلبات عروض الشراء الجديدة: متطلبات إلزامية لاستخدام مفاتيح التشفير المُدارة من العميل لتصنيفات بيانات معينة، أدلة توثيقية جديدة لإثبات إقامة البيانات داخل المملكة تتجاوز الإفادات التعاقدية، ونموذج مصفوفة مسؤولية مشتركة محدّث يجب إكماله لكل خدمة سحابية. أشار المركز بشكل غير رسمي إلى فترة انتقالية مدتها ستة أشهر للمؤسسات لمراجعة ترتيباتها السحابية وتحديثها.
يستعرض هذا المقال التغييرات الثلاثة الأساسية في الإصدار ٢.٠، ويوضح أي العقود السحابية الحالية تحتاج إلى تعديل، وكيف تُحدّث طلبات عروض الشراء الجديدة، والخطوات العملية التي يجب على مديري أمن المعلومات ومديري شراء تقنية المعلومات والمستشارين القانونيين اتخاذها خلال الأشهر الستة المقبلة.
التغيير الأول: مفاتيح التشفير المُدارة من العميل إلزامياً لتصنيفات بيانات معينة
يُلزم الإصدار ٢.٠ المؤسسات باستخدام مفاتيح التشفير المُدارة من العميل (Customer-Managed Encryption Keys أو CMEK) لحماية البيانات المصنفة على أنها "سرية" أو "سرية للغاية" وفق تصنيف البيانات الداخلي للمؤسسة، وكذلك البيانات الشخصية الحساسة المحددة في نظام حماية البيانات الشخصية.
في الإصدار السابق، كان استخدام مفاتيح التشفير المُدارة من مزود الخدمة السحابية مقبولاً بشرط توفر ضمانات تعاقدية معينة. الإصدار ٢.٠ يزيل هذا الخيار للبيانات الحساسة، ويشترط أن تحتفظ المؤسسة بالسيطرة الكاملة على دورة حياة المفاتيح التشفيرية: الإنشاء، التخزين، التدوير، الإلغاء، والحذف.
الأثر على العقود الحالية
المؤسسات التي تستخدم حالياً خدمات سحابية لتخزين أو معالجة بيانات حساسة دون مفاتيح تشفير مُدارة من العميل يجب عليها:
- مراجعة جميع العقود السحابية الحالية لتحديد الخدمات التي تخزن أو تعالج بيانات مصنفة على أنها سرية أو سرية للغاية أو بيانات شخصية حساسة.
- التحقق من قدرات مزود الخدمة السحابية على توفير خيار مفاتيح التشفير المُدارة من العميل للخدمات المعنية.
- إعداد طلب تعديل تعاقدي لتفعيل خدمة إدارة المفاتيح، مع الانتباه إلى أن هذا قد يترتب عليه تكاليف إضافية لم تكن مدرجة في العقد الأصلي.
- تقييم البنية التحتية الداخلية لإدارة المفاتيح، بما في ذلك نظام إدارة المفاتيح (Key Management System) أو خدمة إدارة المفاتيح السحابية التي يوفرها المزود، والتأكد من توافقها مع سياسات التشفير الداخلية.
الأثر على طلبات عروض الشراء الجديدة
يجب أن تتضمن جميع طلبات عروض الشراء الجديدة للخدمات السحابية التي ستعالج بيانات حساسة متطلباً صريحاً لتوفير مفاتيح التشفير المُدارة من العميل، مع تحديد:
- آليات إنشاء المفاتيح وتخزينها وتدويرها.
- موقع تخزين المفاتيح الرئيسية (يُفضل داخل المملكة).
- إجراءات الطوارئ في حال فقدان المفتاح أو تعطل خدمة إدارة المفاتيح.
- التكاليف الإضافية المرتبطة بخدمة إدارة المفاتيح المُدارة من العميل.
التغيير الثاني: أدلة توثيقية جديدة لإقامة البيانات داخل المملكة
يشدد الإصدار ٢.٠ على متطلبات إقامة البيانات (Data Residency) داخل المملكة العربية السعودية، ويضيف متطلبات توثيقية جديدة تتجاوز الإفادات التعاقدية التي كانت مقبولة سابقاً.
يطلب المركز الوطني للأمن السيبراني الآن من المؤسسات الحصول على أدلة تقنية وتوثيقية تثبت أن البيانات الأساسية والنسخ الاحتياطية تُخزن فعلياً داخل المملكة، وأن عمليات المعالجة تتم داخل مراكز بيانات محلية. تشمل الأدلة المطلوبة:
- تقارير تدقيق تقنية من جهة مستقلة تؤكد موقع تخزين البيانات الجغرافي.
- سجلات تفصيلية من مزود الخدمة السحابية توضح المناطق الجغرافية (Regions) والمناطق الفرعية (Availability Zones) المستخدمة لتخزين البيانات ومعالجتها.
- إفادات امتثال من مزود الخدمة السحابية تؤكد عدم نقل البيانات خارج المملكة لأي غرض، بما في ذلك النسخ الاحتياطي أو التعافي من الكوارث أو الدعم التقني.
- ضوابط تقنية قابلة للتدقيق تمنع نقل البيانات خارج المملكة، مثل سياسات الشبكة وقواعد جدران الحماية وإعدادات التشفير الجغرافي.
الأثر على العقود الحالية
المؤسسات التي تعتمد حالياً على إفادات تعاقدية عامة حول إقامة البيانات يجب عليها:
- طلب تقارير تدقيق تقنية محدثة من مزود الخدمة السحابية تثبت موقع البيانات الجغرافي الفعلي.
- مراجعة إعدادات الخدمات السحابية الحالية للتأكد من أن جميع الموارد (التخزين، قواعد البيانات، الخوادم الافتراضية) مُعينة لمناطق جغرافية داخل المملكة.
- التحقق من سياسات النسخ الاحتياطي والتعافي من الكوارث للتأكد من عدم نقل البيانات خارج المملكة حتى بشكل مؤقت.
- إعداد ملف توثيقي شامل يحتوي على جميع الأدلة المطلوبة، جاهز للتقديم عند طلب المركز الوطني للأمن السيبراني أو الجهات التنظيمية الأخرى.
الأثر على طلبات عروض الشراء الجديدة
يجب أن تتضمن طلبات عروض الشراء الجديدة جدولاً أمنياً محدثاً يشترط على مزود الخدمة السحابية تقديم:
- قائمة محددة بمراكز البيانات المستخدمة داخل المملكة، مع عناوينها الفعلية وتراخيص التشغيل.
- التزاماً تعاقدياً بتقديم تقارير تدقيق تقنية دورية (ربع سنوية أو نصف سنوية) تؤكد إقامة البيانات.
- آليات تقنية قابلة للتدقيق تمنع نقل البيانات خارج المملكة، مع وصف تفصيلي لهذه الآليات.
- إجراءات إشعار فوري في حال حدوث أي نقل غير مخطط للبيانات خارج المملكة لأي سبب (مثل فشل تقني أو خطأ تشغيلي).
التغيير الثالث: نموذج مصفوفة المسؤولية المشتركة المحدّث
يقدم الإصدار ٢.٠ نموذجاً موحداً لـ مصفوفة المسؤولية المشتركة (Shared Responsibility Matrix) يجب على المؤسسات إكماله لكل خدمة سحابية تستخدمها. هذا النموذج يوضح بدقة توزيع المسؤوليات الأمنية بين المؤسسة ومزود الخدمة السحابية عبر طبقات متعددة: البنية التحتية، المنصة، التطبيقات، البيانات، الهوية والصلاحيات، الشبكة، والامتثال.
في الإصدار السابق، كانت مصفوفات المسؤولية المشتركة تُعد بشكل حر وتختلف من مؤسسة لأخرى، مما أدى إلى عدم وضوح في بعض الحالات حول من يتحمل مسؤولية ضوابط أمنية معينة. النموذج الموحد الجديد يحدد بوضوح:
- المسؤوليات التي يتحملها مزود الخدمة السحابية بالكامل.
- المسؤوليات التي تتحملها المؤسسة العميلة بالكامل.
- المسؤوليات المشتركة التي تتطلب تنسيقاً بين الطرفين.
- آليات التحقق والتدقيق لكل مسؤولية.
الأثر على العقود الحالية
المؤسسات التي لديها عقود سحابية حالية يجب عليها:
- الحصول على النموذج الموحد لمصفوفة المسؤولية المشتركة من موقع المركز الوطني للأمن السيبراني.
- إكمال المصفوفة لكل خدمة سحابية مستخدمة حالياً، بالتعاون مع مزود الخدمة السحابية.
- تحديد أي فجوات في الضوابط الأمنية حيث لا يوجد طرف واضح يتحمل المسؤولية، ووضع خطة لمعالجة هذه الفجوات.
- توثيق المصفوفة المكتملة وإرفاقها كملحق للعقد السحابي، أو كوثيقة مرجعية رسمية متفق عليها بين الطرفين.
- مراجعة سياسات وإجراءات الأمن السيبراني الداخلية للتأكد من أن المؤسسة تفي فعلياً بالمسؤوليات المحددة لها في المصفوفة.
الأثر على طلبات عروض الشراء الجديدة
يجب أن تتضمن طلبات عروض الشراء الجديدة:
- طلباً صريحاً من مزود الخدمة السحابية لإكمال نموذج مصفوفة المسؤولية المشتركة الموحد كجزء من العرض التقني.
- معايير تقييم واضحة تعطي وزناً لدقة واكتمال المصفوفة المقدمة.
- شرطاً تعاقدياً يلزم مزود الخدمة بتحديث المصفوفة عند أي تغيير جوهري في الخدمة أو البنية التحتية.
- آلية مراجعة دورية (سنوية على الأقل) للمصفوفة للتأكد من استمرار دقتها.
الجدول الزمني الانتقالي والخطوات العملية
أشار المركز الوطني للأمن السيبراني بشكل غير رسمي إلى فترة انتقالية مدتها ستة أشهر من تاريخ نشر الإصدار ٢.٠ (مطلع ٢٠٢٥)، مما يعني أن المؤسسات يجب أن تكون ممتثلة بالكامل بحلول الربع الثالث من عام ٢٠٢٥. خلال هذه الفترة، يُنصح مديرو أمن المعلومات ومديرو شراء تقنية المعلومات بتنفيذ الخطوات التالية:
المرحلة الأولى: الجرد والتقييم (الشهران الأولان)
- إعداد جرد شامل لجميع الخدمات السحابية المستخدمة حالياً، مع تصنيف البيانات المخزنة أو المعالجة في كل خدمة.
- تحديد الخدمات التي تتطلب مفاتيح تشفير مُدارة من العميل بناءً على تصنيف البيانات.
- مراجعة الأدلة المتوفرة حالياً لإقامة البيانات وتحديد الفجوات التوثيقية.
- جمع مصفوفات المسؤولية المشتركة الحالية (إن وُجدت) ومقارنتها بالنموذج الموحد الجديد.
المرحلة الثانية: التفاوض والتعديل (الشهران الثالث والرابع)
- التواصل مع مزودي الخدمات السحابية لمناقشة المتطلبات الجديدة وطلب عروض أسعار لتفعيل مفاتيح التشفير المُدارة من العميل.
- التفاوض على تعديلات تعاقدية تتضمن المتطلبات التوثيقية الجديدة لإقامة البيانات.
- إكمال نماذج مصفوفة المسؤولية المشتركة بالتعاون مع كل مزود خدمة.
- مراجعة التعديلات التعاقدية المقترحة مع المستشارين القانونيين للتأكد من حماية مصالح المؤسسة.
المرحلة الثالثة: التنفيذ والتوثيق (الشهران الخامس والسادس)
- تنفيذ التغييرات التقنية المطلوبة، بما في ذلك تفعيل مفاتيح التشفير المُدارة من العميل وتحديث إعدادات إقامة البيانات.
- الحصول على تقارير التدقيق التقنية والأدلة التوثيقية المطلوبة من مزودي الخدمات السحابية.
- إعداد ملف امتثال شامل لكل خدمة سحابية يتضمن: العقد المحدث، مصفوفة المسؤولية المشتركة المكتملة، أدلة إقامة البيانات، وإثباتات تفعيل مفاتيح التشفير المُدارة من العميل.
- إجراء مراجعة داخلية أو تدقيق خارجي للتحقق من الامتثال الكامل للإصدار ٢.٠ قبل انتهاء الفترة الانتقالية.
العلاقة بين الإصدار ٢.٠ والأطر التنظيمية الأخرى
يجب على المؤسسات الخاضعة لأطر تنظيمية متعددة أن تنتبه إلى التقاطعات بين متطلبات الإصدار ٢.٠ من إطار ضوابط الأمن السيبراني السحابي والأطر الأخرى:
- الضوابط الأساسية للأمن السيبراني (Essential Cybersecurity Controls أو ECC) الصادرة عن المركز الوطني للأمن السيبراني: تتطلب ضوابط معينة في ECC استخدام التشفير لحماية البيانات الحساسة؛ الإصدار ٢.٠ يوضح كيفية تطبيق هذا المتطلب في البيئات السحابية.
- إطار الأمن السيبراني (Cyber Security Framework أو CSF) الصادر عن البنك المركزي السعودي (ساما): يتضمن متطلبات لحماية بيانات العملاء والمعاملات المالية؛ المؤسسات المالية يجب أن تتأكد من أن ترتيباتها السحابية المحدثة تفي بمتطلبات كلا الإطارين.
- نظام حماية البيانات الشخصية: يحدد النظام متطلبات لحماية البيانات الشخصية ونقلها خارج المملكة؛ متطلبات إقامة البيانات في الإصدار ٢.٠ تدعم الامتثال لهذا النظام.
- معيار أمن بيانات صناعة بطاقات الدفع (PCI DSS): المؤسسات التي تعالج معاملات بطاقات الدفع في بيئات سحابية يجب أن تتأكد من أن مفاتيح التشفير المُدارة من العميل ومصفوفة المسؤولية المشتركة تتوافق مع متطلبات PCI DSS.
الحاجة إلى كفاءات متخصصة لتنفيذ التحديثات
تنفيذ التغييرات الثلاثة الجوهرية في الإصدار ٢.٠ يتطلب كفاءات متخصصة في عدة مجالات: الأمن السيبراني السحابي، إدارة المفاتيح التشفيرية، الامتثال التنظيمي، وإدارة العقود التقنية. العديد من المؤسسات تواجه تحدياً في توفر هذه الكفاءات داخلياً، خاصة في ظل الجدول الزمني الانتقالي المحدود.
تشمل الكفاءات المطلوبة:
- مهندسو أمن سحابي يفهمون بنية الخدمات السحابية وآليات التشفير وإعدادات إقامة البيانات.
- مستشارو امتثال يعرفون متطلبات المركز الوطني للأمن السيبراني والجهات التنظيمية الأخرى ويستطيعون تفسيرها بدقة.
- مديرو مشاريع تقنية قادرون على تنسيق العمل بين الفرق الداخلية ومزودي الخدمات السحابية والمستشارين القانونيين.
- مدققو أمن معلومات يستطيعون التحقق من صحة الأدلة التوثيقية واكتمال مصفوفات المسؤولية المشتركة.
المؤسسات التي لا تمتلك هذه الكفاءات داخلياً أو تحتاج إلى تعزيز فرقها الحالية خلال الفترة الانتقالية قد تحتاج إلى البحث عن كفاءات خارجية — إما عبر التوظيف الدائم أو عبر إسناد مختصين يعملون ضمن الفريق الداخلي لفترة محددة.
الخلاصة: الاستعداد للربع الثاني ٢٠٢٥
الإصدار ٢.٠ من إطار ضوابط الأمن السيبراني السحابي يمثل تطوراً جوهرياً في النهج التنظيمي للحوسبة السحابية في المملكة. التغييرات الثلاثة — مفاتيح التشفير المُدارة من العميل، أدلة إقامة البيانات الموسعة، ومصفوفة المسؤولية المشتركة الموحدة — تتطلب جهداً منسقاً من مديري أمن المعلومات ومديري شراء تقنية المعلومات والمستشارين القانونيين.
المؤسسات التي تبدأ الآن في مراجعة ترتيباتها السحابية وتحديث عقودها وطلبات عروض الشراء ستكون في وضع أفضل للامتثال الكامل بحلول نهاية الفترة الانتقالية. التأخير في اتخاذ الإجراءات قد يؤدي إلى ضغط تشغيلي في الأشهر الأخيرة، وربما إلى تحديات في التفاوض مع مزودي الخدمات السحابية الذين سيواجهون طلبات متزامنة من عملاء متعددين.
للمؤسسات التي تحتاج إلى تعزيز فرقها بكفاءات متخصصة في الأمن السيبراني السحابي والامتثال التنظيمي خلال الفترة الانتقالية، نقدم خدمة كفاءات الأمن السيبراني — التوظيف والإسناد، حيث نبحث عن كفاءات الأمن السيبراني ونقيّمها ونعيّنها لكم — توظيفًا دائمًا، أو مختصين على كفالتنا يعملون ضمن فريقكم. هذا النهج يتيح للمؤسسات الوصول السريع إلى الخبرات المطلوبة دون الالتزام طويل الأجل، مما يساعد على تنفيذ متطلبات الإصدار ٢.٠ ضمن الجدول الزمني المحدد.
