قائمة السياسات الإلزامية الضوابط الأساسية: المجال الأول

يتطلب المجال الأول من الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني أربع عشرة سياسة منفصلة تغطي الحوكمة والمخاطر وإدارة الأصول والتحكم في الوصول والتشفير والأمن المادي والعمليات والاتصالات والمشتريات وعلاقات الموردين وإدارة الحوادث واستمرارية الأعمال والامتثال والخصوصية. لكن العديد من المؤسسات تواجه تحدياً مزدوجاً: إما أن تنشئ وثائق متكررة تضخّم حجم الإطار دون إضافة قيمة، أو تفوّت بنوداً إلزامية تظهر في التقييم الذاتي أو المراجعة الخارجية. هذه القائمة المرجعية توضح قائمة السياسات الإلزامية الضوابط الأساسية للأمن السيبراني التي يتطلبها المجال الأول فعلياً، وأي ثلاث سياسات يمكن دمجها في وثائق أوسع دون فقدان سجل المراجعة، والبنود الأحد عشر التي يجب أن تحتويها كل سياسة لتحقيق النجاح في التقييم.

السياسات الأربع عشرة المطلوبة في المجال الأول

تُنظّم السياسات التالية في ثلاث مجموعات: الحوكمة والضوابط الفنية والضوابط التشغيلية. كل سياسة مطلوبة بشكل صريح أو ضمني في ضوابط المجال الأول، ويجب أن تكون موثّقة ومعتمدة ومراجَعة دورياً.

المجموعة الأولى: الحوكمة والمخاطر والامتثال

1. سياسة الحوكمة الأمنية تحدد البنية التنظيمية للأمن السيبراني والأدوار والمسؤوليات وخطوط الإبلاغ. مطلوبة لإثبات أن الأمن السيبراني يُدار كوظيفة مستقلة تُرفع تقاريرها إلى الإدارة العليا.

2. سياسة إدارة المخاطر السيبرانية تصف منهجية تحديد المخاطر وتقييمها ومعالجتها ومراقبتها، وتحدد مستوى المخاطر المقبول. مطلوبة لإثبات أن القرارات الأمنية تُبنى على تقييم موثّق للمخاطر.

3. سياسة الامتثال التنظيمي والقانوني تحدد كيف تحدّد المؤسسة المتطلبات التنظيمية المنطبقة عليها وتراقب الامتثال لها وتُبلغ عن أي انحرافات. مطلوبة لإثبات أن الامتثال للضوابط الأساسية وغيرها من الأطر يُدار بشكل منهجي.

4. سياسة حماية البيانات الشخصية تحدد كيف تُجمع البيانات الشخصية وتُعالج وتُخزّن وتُحذف وفق نظام حماية البيانات الشخصية السعودي. مطلوبة لإثبات الامتثال لمتطلبات الخصوصية المحلية.

المجموعة الثانية: الضوابط الفنية

5. سياسة إدارة الأصول تحدد كيف تُحدّد الأصول المعلوماتية وتُصنّف وتُسجّل وتُحمى طوال دورة حياتها. مطلوبة لإثبات أن المؤسسة تعرف ما تحميه.

6. سياسة التحكم في الوصول تحدد كيف تُمنح صلاحيات الوصول إلى الأنظمة والبيانات وتُراجع وتُلغى، وتشمل المصادقة والتفويض والمراجعة الدورية. مطلوبة لإثبات أن الوصول يُمنح وفق مبدأ الحد الأدنى من الصلاحيات.

7. سياسة التشفير وإدارة المفاتيح تحدد متى يُستخدم التشفير وأي خوارزميات مقبولة وكيف تُدار المفاتيح التشفيرية. مطلوبة لإثبات أن البيانات الحساسة محمية أثناء التخزين والنقل.

8. سياسة الأمن المادي والبيئي تحدد كيف تُحمى المرافق والمعدات من الوصول غير المصرح به والأضرار المادية والبيئية. مطلوبة لإثبات أن الضوابط الفنية مدعومة بحماية مادية.

9. سياسة أمن الشبكات والاتصالات تحدد كيف تُصمّم الشبكات وتُقسّم وتُراقب، وكيف تُحمى الاتصالات الداخلية والخارجية. مطلوبة لإثبات أن البنية التحتية الشبكية محمية من التهديدات الداخلية والخارجية.

المجموعة الثالثة: الضوابط التشغيلية

10. سياسة العمليات الأمنية تحدد الإجراءات اليومية لتشغيل الضوابط الأمنية ومراقبتها وصيانتها، وتشمل إدارة التغيير والنسخ الاحتياطي وإدارة الثغرات. مطلوبة لإثبات أن الضوابط تُدار بشكل منهجي.

11. سياسة الأمن في المشتريات وعلاقات الموردين تحدد كيف تُقيّم المخاطر الأمنية للموردين والمتعاقدين، وما المتطلبات الأمنية التي تُدرج في العقود، وكيف يُراقب أداؤهم الأمني. مطلوبة لإثبات أن المخاطر الخارجية تُدار بنفس صرامة المخاطر الداخلية.

12. سياسة إدارة الحوادث السيبرانية تحدد كيف تُكتشف الحوادث وتُصنّف وتُحتوى وتُحلّل ويُبلّغ عنها، وتشمل متطلبات الإبلاغ للهيئة الوطنية للأمن السيبراني. مطلوبة لإثبات الجاهزية للاستجابة للحوادث والامتثال لمتطلبات الإبلاغ.

13. سياسة استمرارية الأعمال والتعافي من الكوارث تحدد كيف تُحدّد الوظائف الحرجة وتُحمى، وكيف تُستعاد الخدمات بعد انقطاع كبير. مطلوبة لإثبات أن المؤسسة قادرة على الاستمرار في تقديم خدماتها الحرجة في ظل الأزمات.

14. سياسة التوعية والتدريب الأمني تحدد كيف يُوعّى الموظفون والمتعاقدون بمسؤولياتهم الأمنية، وما التدريب الإلزامي، وكيف يُقاس الوعي. مطلوبة لإثبات أن الضوابط الفنية مدعومة بثقافة أمنية.

أي ثلاث سياسات يمكن دمجها

يمكن دمج ثلاث سياسات في وثائق أوسع دون فقدان سجل المراجعة، شريطة أن تبقى البنود الإلزامية واضحة وقابلة للتتبع:

السياسة الأولى القابلة للدمج: الأمن المادي والبيئي يمكن دمجها في سياسة إدارة الأصول كقسم مستقل يغطي حماية الأصول المادية، شريطة أن يبقى القسم واضحاً وشاملاً لجميع المتطلبات المادية والبيئية.

السياسة الثانية القابلة للدمج: أمن الشبكات والاتصالات يمكن دمجها في سياسة العمليات الأمنية كقسم يغطي العمليات الشبكية، شريطة أن يبقى القسم مفصّلاً بما يكفي لتغطية التقسيم والمراقبة والحماية.

السياسة الثالثة القابلة للدمج: التوعية والتدريب الأمني يمكن دمجها في سياسة الحوكمة الأمنية كقسم يغطي بناء القدرات والثقافة الأمنية، شريطة أن يبقى القسم واضحاً في تحديد البرامج والمسؤوليات.

تحذير مهم: الدمج يوفّر الوقت في الصيانة، لكنه يزيد خطر تفويت بنود عند المراجعة. لا تدمج إلا إذا كان لديكم نظام تتبع قوي يربط كل ضابط بالقسم المناسب في السياسة المدمجة.

البنود الأحد عشر الإلزامية لكل سياسة

يجب أن تحتوي كل سياسة — سواء كانت مستقلة أو مدمجة — على البنود التالية لتحقيق النجاح في التقييم الذاتي والمراجعة الخارجية:

1. الغرض والنطاق جملتان إلى ثلاث جمل تحدد لماذا توجد هذه السياسة وما تغطي وما لا تغطي. يجب أن يكون النطاق واضحاً: هل تشمل الفروع والشركات التابعة والمتعاقدين؟

2. الجهات المنطبقة قائمة صريحة بمن تنطبق عليهم السياسة: الموظفون، المتعاقدون، الموردون، أعضاء مجلس الإدارة. عدم الوضوح هنا يخلق ثغرات في الامتثال.

3. الأطر والمتطلبات التنظيمية ذكر الأطر التي تستوفيها السياسة (الضوابط الأساسية، إطار البنك المركزي السعودي، نظام حماية البيانات الشخصية). يربط السياسة بالالتزام التنظيمي.

4. التعريفات تعريف المصطلحات الرئيسية المستخدمة في السياسة. يمنع التفسيرات المتضاربة عند التطبيق.

5. المبادئ والمتطلبات صلب السياسة: ما يجب فعله وما لا يجوز فعله. استخدم صيغة الأمر الواضحة: "يجب"، "لا يجوز"، "يُحظر".

6. الأدوار والمسؤوليات من يملك السياسة، من يطبّقها، من يراقب الامتثال، من يراجعها. يجب أن يكون كل دور مسمّى بوضوح (مثلاً: "مدير أمن المعلومات"، "مدير العمليات").

7. الاستثناءات كيف يُطلب استثناء، من يوافق عليه، كم يدوم، كيف يُوثّق. حتى لو كانت المؤسسة لا تسمح بأي استثناءات، يجب ذكر ذلك صراحة.

8. الامتثال والعقوبات ما عواقب عدم الامتثال، وكيف تُكتشف المخالفات، وما الإجراءات التأديبية. يجب أن يكون متسقاً مع سياسة الموارد البشرية.

9. المراجعة والتحديث كم مرة تُراجع السياسة (عادة سنوياً)، من يراجعها، من يعتمد التحديثات. يجب أن يكون هناك تاريخ مراجعة قادم محدد.

10. الوثائق المرتبطة قائمة بالإجراءات والمعايير والأدلة التي تفصّل كيفية تطبيق السياسة. يربط السياسة بالتنفيذ الفعلي.

11. سجل التغييرات جدول يوثّق كل نسخة من السياسة وتاريخ اعتمادها والتغييرات الرئيسية. يوفّر سجل مراجعة واضحاً للمراجعين الخارجيين.

الأخطاء الشائعة التي تفشل التقييم

حتى مع وجود السياسات الأربع عشرة، تفشل بعض المؤسسات في التقييم بسبب:

السياسات العامة جداً سياسة تقول "يجب حماية البيانات" دون تحديد كيف أو بأي معايير. المراجع يبحث عن متطلبات قابلة للقياس والتدقيق.

غياب الربط بالإجراءات سياسة تحدد "ما" يجب فعله لكن لا توجد إجراءات توضح "كيف". السياسة بلا إجراءات هي نية حسنة، لا ضابط قابل للتدقيق.

تواريخ اعتماد قديمة سياسة لم تُراجع منذ ثلاث سنوات تشير إلى أن الحوكمة ضعيفة، حتى لو كان المحتوى لا يزال صالحاً.

مالك غير واضح سياسة لا تحدد من يملكها أو من يراجعها. المراجع يسأل: من المسؤول عن هذه السياسة؟ إذا لم يكن الجواب واضحاً في الوثيقة، هذا نقص.

عدم الاتساق بين السياسات سياسة التحكم في الوصول تقول "مراجعة ربع سنوية" وسياسة إدارة المخاطر تقول "مراجعة سنوية للصلاحيات". التناقض يشير إلى ضعف التنسيق.

كيف نساعدكم في بناء إطار السياسات

عندما تحتاجون إلى بناء أو تحديث إطار السياسات للمجال الأول من الضوابط الأساسية، نحوّل المتطلبات التنظيمية والتزاماتكم ومشهد التهديدات إلى استراتيجية أمن سيبراني مرتبة الأولويات ومقدّرة التكلفة وخارطة طريق متعددة السنوات.

تبدأ العملية بالفهم: مقابلات مع القيادة ومراجعة خطة الأعمال ومستوى المخاطر المقبول والوضع التنظيمي. ثم التقييم: خط أساس للنضج وفق الأطر المنطبقة وصورة التهديدات الحالية. بعدها التصميم: الأهداف والمبادرات والتسلسل والاستثمار، مع اختبارها مع أصحاب العلاقة. وأخيراً الاعتماد: استراتيجية وخارطة ومؤشرات جاهزة لمجلس الإدارة، تُعرض وتُعدّل حتى الاعتماد.

تشمل المخرجات وثيقة استراتيجية الأمن السيبراني، وخارطة طريق لثلاث سنوات مع تقديرات الميزانية، ونموذج التشغيل المستهدف، وحزمة عرض لمجلس الإدارة، وتعريف لوحة مؤشرات الأداء والمخاطر. تستغرق العملية من ستة إلى عشرة أسابيع.

تُدمج متطلبات البنك المركزي السعودي والهيئة الوطنية للأمن السيبراني وغيرها مما ينطبق عليكم في الأهداف وخارطة الطريق، ليسير الالتزام والأمن معاً. النتيجة: توجه أمني لثلاث سنوات يعتمده مجلس الإدارة وينفذه الفريق، يشمل إطار السياسات الأربع عشرة المطلوبة في المجال الأول، مع خط أساس للوضع الحالي والنضج، ومواءمة مع الأعمال والمتطلبات التنظيمية، وأولويات مبنية على التهديدات والمخاطر، وخارطة مبادرات متعددة السنوات مقدّرة التكلفة، ومؤشرات أداء ومخاطر لمجلس الإدارة.