يُحدّث المركز الوطني للأمن السيبراني بشكل دوري صياغة ضوابط الإطار، ويوضح توقعات الأدلة، ويضيف مواصفات تقنية — لكن العديد من المؤسسات لا تكتشف تغييرات ضوابط المركز الوطني للأمن السيبراني 2025 إلا عندما يشير المُقيّم إلى فجوة في الأدلة أو عدم توافق في الإعدادات التقنية. تعرض هذه القائمة ثمانية تعديلات على الضوابط صدرت في الربع الأول من 2025، وتشرح ما تغيّر في كل منها، وتحدد السياسات أو الإجراءات أو الإعدادات التقنية التي يجب تحديثها، وتقدم مقارنة بسيطة قبل وبعد حتى تتمكن فرق الامتثال من تعديل مستودع الأدلة وإجابات التقييم الذاتي دون إعادة البرنامج بأكمله.
لماذا تهم هذه التغييرات
عندما يُعدّل المركز الوطني للأمن السيبراني ضابطًا، فإن التعديل قد يكون في أحد ثلاثة جوانب: النطاق — أي الأنظمة أو البيانات أو الأشخاص الذين ينطبق عليهم الضابط، أو نوع الأدلة — أي الوثائق أو السجلات أو الإعدادات التي يتوقع المُقيّم رؤيتها، أو العتبة التقنية — أي المواصفات الفنية الدنيا المطلوبة.
إذا لم تكتشف فرق الامتثال التعديل قبل التقييم الذاتي أو إعادة الاعتماد، فإن الأدلة المُعدّة مسبقًا قد لا تفي بالمتطلب الجديد، وقد تُصنّف الجهة على أنها غير ممتثلة لضابط كانت تعتقد أنها قد استوفته.
التغييرات الثمانية للربع الأول 2025
1. إدارة الأصول: توسيع النطاق ليشمل الأصول السحابية
ما تغيّر: أُضيفت عبارة صريحة تطلب إدراج الموارد السحابية — مثل الأجهزة الافتراضية والحاويات وخدمات التخزين — في سجل الأصول، مع تحديد الموقع الجغرافي للبيانات.
قبل: كان الضابط يتطلب سجلًا للأصول المادية والافتراضية دون تفصيل صريح للموارد السحابية.
بعد: يجب أن يتضمن السجل كل مورد سحابي مُستخدم، مع اسم الخدمة والموقع الجغرافي ومالك البيانات.
ما يجب تحديثه:
- تحديث نموذج سجل الأصول ليتضمن حقول: نوع المورد السحابي، اسم الخدمة، المنطقة الجغرافية، مالك البيانات.
- إجراء جرد للموارد السحابية الحالية في جميع الاشتراكات والحسابات.
- تحديث إجراءات إدارة الأصول لتشمل عملية الموافقة على الموارد السحابية الجديدة.
2. التحكم في الوصول: إضافة متطلب المراجعة الدورية للصلاحيات
ما تغيّر: أُضيف متطلب صريح بمراجعة صلاحيات المستخدمين كل ستة أشهر على الأقل، مع توثيق النتائج والإجراءات المتخذة.
قبل: كان الضابط يتطلب تطبيق مبدأ الحد الأدنى من الصلاحيات دون تحديد دورية المراجعة.
بعد: يجب إجراء مراجعة موثقة للصلاحيات كل ستة أشهر، مع إزالة أو تعديل الصلاحيات الزائدة.
ما يجب تحديثه:
- إضافة إجراء مراجعة الصلاحيات الدورية إلى سياسة التحكم في الوصول.
- إعداد نموذج لتوثيق المراجعة يتضمن: تاريخ المراجعة، المراجع، الصلاحيات المُعدّلة، الصلاحيات المُزالة.
- جدولة المراجعة الأولى إذا لم تكن قد أُجريت خلال الستة أشهر الماضية.
3. التشفير: رفع الحد الأدنى لطول المفاتيح
ما تغيّر: رُفع الحد الأدنى لطول مفاتيح التشفير المتماثل من 128 بت إلى 256 بت للبيانات المصنفة على أنها حساسة أو أعلى.
قبل: كان الحد الأدنى المقبول 128 بت لجميع مستويات التصنيف.
بعد: يجب استخدام مفاتيح 256 بت للبيانات الحساسة والسرية، مع بقاء 128 بت مقبولًا للبيانات العامة والداخلية فقط.
ما يجب تحديثه:
- مراجعة سياسة التشفير لتحديد الحد الأدنى حسب تصنيف البيانات.
- جرد أنظمة التشفير الحالية والتحقق من طول المفاتيح المستخدمة.
- ترقية الأنظمة التي تستخدم مفاتيح 128 بت لتشفير بيانات حساسة.
- تحديث إعدادات قواعد البيانات وأنظمة التخزين والنسخ الاحتياطي.
4. إدارة الثغرات: تقليص المهلة الزمنية لمعالجة الثغرات الحرجة
ما تغيّر: خُفّضت المهلة الزمنية لمعالجة الثغرات المصنفة على أنها حرجة من 30 يومًا إلى 14 يومًا من تاريخ الإعلان عنها.
قبل: كانت المهلة 30 يومًا للثغرات الحرجة.
بعد: يجب معالجة الثغرات الحرجة خلال 14 يومًا، مع توثيق الاستثناءات المُبرّرة.
ما يجب تحديثه:
- تحديث سياسة إدارة الثغرات لتعكس المهل الزمنية الجديدة.
- مراجعة عملية الترقيع الحالية للتأكد من القدرة على الالتزام بالمهلة الجديدة.
- تحديث مستويات الخدمة (SLA) مع فرق البنية التحتية والتطبيقات.
- إعداد خطة تصعيد للثغرات الحرجة التي تتطلب موافقات استثنائية.
5. الاستجابة للحوادث: إضافة متطلب التمارين الدورية
ما تغيّر: أُضيف متطلب إجراء تمرين عملي لخطة الاستجابة للحوادث مرة واحدة على الأقل سنويًا، مع توثيق النتائج والدروس المستفادة.
قبل: كان الضابط يتطلب وجود خطة موثقة دون تحديد دورية الاختبار.
بعد: يجب إجراء تمرين سنوي على الأقل، مع تقرير يتضمن السيناريو والمشاركين والفجوات المكتشفة والإجراءات التصحيحية.
ما يجب تحديثه:
- إضافة متطلب التمرين السنوي إلى سياسة الاستجابة للحوادث.
- إعداد سيناريوهات تمرين واقعية تغطي أنواع الحوادث المحتملة.
- جدولة التمرين الأول إذا لم يُجرَ خلال الاثني عشر شهرًا الماضية.
- إعداد نموذج لتوثيق التمرين والدروس المستفادة.
6. إدارة الموردين: توضيح متطلبات تقييم المخاطر السيبرانية
ما تغيّر: أُضيفت قائمة محددة بالعناصر التي يجب تقييمها في تقييم المخاطر السيبرانية للموردين، تشمل: ممارسات التشفير، إدارة الوصول، الاستجابة للحوادث، والامتثال التنظيمي.
قبل: كان الضابط يتطلب تقييم المخاطر دون تحديد العناصر المطلوبة.
بعد: يجب أن يغطي التقييم العناصر الأربعة المحددة، مع توثيق النتائج لكل عنصر.
ما يجب تحديثه:
- تحديث نموذج تقييم مخاطر الموردين ليتضمن الأسئلة المحددة لكل عنصر.
- مراجعة التقييمات السابقة للموردين الحاليين وإكمال العناصر الناقصة.
- تحديث عقود الموردين الجدد لتتضمن التزامات واضحة بتوفير المعلومات المطلوبة.
7. النسخ الاحتياطي: إضافة متطلب الاختبار الدوري للاستعادة
ما تغيّر: أُضيف متطلب اختبار عملية الاستعادة من النسخ الاحتياطية مرة واحدة على الأقل كل ستة أشهر، مع توثيق النتائج ومدة الاستعادة.
قبل: كان الضابط يتطلب إجراء نسخ احتياطي دوري دون تحديد دورية اختبار الاستعادة.
بعد: يجب اختبار الاستعادة كل ستة أشهر، مع تسجيل الوقت المستغرق ونسبة نجاح الاستعادة.
ما يجب تحديثه:
- إضافة إجراء اختبار الاستعادة الدوري إلى سياسة النسخ الاحتياطي.
- إعداد سيناريوهات اختبار تغطي الأنظمة الحرجة وقواعد البيانات الرئيسية.
- جدولة الاختبار الأول إذا لم يُجرَ خلال الستة أشهر الماضية.
- إعداد نموذج لتوثيق نتائج الاختبار يتضمن: النظام المُختبر، مدة الاستعادة، المشاكل المكتشفة، الإجراءات التصحيحية.
8. التوعية الأمنية: توسيع النطاق ليشمل المقاولين والموردين
ما تغيّر: أُضيف متطلب صريح بتقديم التوعية الأمنية للمقاولين والموردين الذين يصلون إلى أنظمة الجهة أو بياناتها، مع توثيق إتمامهم للتدريب.
قبل: كان الضابط يركز على الموظفين الدائمين دون ذكر صريح للمقاولين والموردين.
بعد: يجب تقديم التوعية الأمنية لجميع الأطراف التي تصل إلى الأنظمة، بما في ذلك المقاولون والموردون، مع توثيق الإتمام.
ما يجب تحديثه:
- تحديث سياسة التوعية الأمنية لتشمل المقاولين والموردين.
- إعداد نسخة مُكيّفة من التدريب تناسب الأطراف الخارجية.
- تحديث عقود المقاولين والموردين لتتضمن التزامًا بإتمام التدريب.
- إنشاء سجل لتتبع إتمام التدريب لجميع الأطراف الخارجية.
كيف تحافظ على التحديث المستمر
التعديلات الثمانية المذكورة أعلاه صدرت في ربع واحد فقط. يُصدر المركز الوطني للأمن السيبراني تحديثات على مدار العام — بعضها يوضح متطلبات قائمة، وبعضها يضيف توقعات جديدة، وبعضها يستجيب لتهديدات ناشئة.
الاعتماد على المراجعة اليدوية لموقع المركز أو على اكتشاف التغييرات أثناء التقييم يعني أن فرق الامتثال تعمل دائمًا بمعلومات متأخرة، وأن مستودع الأدلة قد يحتوي على فجوات لا تُكتشف إلا في وقت متأخر.
المستجدات التنظيمية خدمة رصد تنظيمي تتابع متطلبات الأمن السيبراني وحماية البيانات في المملكة، وتقيّم كل تغيير مقابل التزاماتكم، وتحدد لكم ما يجب فعله وموعده.
تشمل الخدمة متابعة إصدارات البنك المركزي السعودي والهيئة الوطنية للأمن السيبراني وسدايا، مع ملخصات واضحة لكل تغيير، وربط الأثر بضوابطكم وسياساتكم، واستجابة مقترحة مع مسؤول وموعد، وسجل الالتزامات والمواعيد النهائية.
تتلقون نشرة تنظيمية شهرية، وتنبيهات للتغييرات المهمة، وتقييم أثر لكل تغيير، وسجل الالتزامات والمواعيد النهائية، وإحاطة ربع سنوية للإدارة.
الخدمة متاحة كاشتراك شهري، وتُمكّن فرق الامتثال من تحديث مستودع الأدلة والسياسات والإجراءات بشكل استباقي، قبل التقييم الذاتي أو إعادة الاعتماد.
