في أواخر عام 2023، أصدرت الهيئة الوطنية للأمن السيبراني إطار ضوابط الأمن السيبراني السحابي الهيئة الوطنية، وهو إطار تنظيمي شامل يهدف إلى تعزيز أمن البيئات السحابية في المملكة العربية السعودية. ومع ذلك، لا تزال العديد من الجهات السعودية — سواء كانت مؤسسات مالية أو صحية أو حكومية أو تجارية — تواجه حيرة حول نطاق انطباق هذا الإطار على عملياتها. هل ينطبق على مستأجر Microsoft 365 الذي تستخدمه المؤسسة؟ أم على البنية التحتية كخدمة التي تستضيف بوابة الدفع الإلكتروني؟ أم أنه موجّه فقط لمقدمي الخدمات السحابية المرخّصين من هيئة الاتصالات وتقنية المعلومات؟
هذا المقال يوضح بدقة ما هو إطار ضوابط الأمن السيبراني السحابي، ومن يجب عليه تطبيقه، وكيف يرتبط بضوابط الأمن السيبراني الأساسية الصادرة عن الهيئة الوطنية للأمن السيبراني، ويقدم مخططات قرار عملية لتحديد الانطباق بناءً على طبيعة نشاطكم.
ما هو إطار ضوابط الأمن السيبراني السحابي؟
إطار ضوابط الأمن السيبراني السحابي هو مجموعة من المتطلبات والضوابط التنظيمية التي أصدرتها الهيئة الوطنية للأمن السيبراني لحماية البيئات السحابية في المملكة. يغطي الإطار جانبين رئيسيين:
- مقدمي الخدمات السحابية: الجهات التي تقدم خدمات الحوسبة السحابية، سواء كانت بنية تحتية كخدمة أو منصة كخدمة أو برمجيات كخدمة.
- مستهلكي الخدمات السحابية: الجهات التي تستخدم الخدمات السحابية لتخزين بياناتها أو تشغيل تطبيقاتها أو إدارة عملياتها.
هذا التمييز مهم جدًا: الإطار ليس موجهًا فقط لمقدمي الخدمات، بل أيضًا للمستهلكين الذين يعالجون بيانات حساسة أو يقعون ضمن قطاعات منظّمة.
لماذا أصدرت الهيئة الوطنية للأمن السيبراني هذا الإطار؟
مع تسارع التحول الرقمي في المملكة، تزايد اعتماد الجهات الحكومية والخاصة على الخدمات السحابية. هذا الاعتماد يحمل فوائد كبيرة — مرونة، كفاءة تكلفة، قابلية توسع — لكنه يحمل أيضًا مخاطر أمنية جديدة:
- فقدان السيطرة المباشرة على البنية التحتية والبيانات.
- تعقيد المسؤوليات الأمنية بين المستهلك والمقدم.
- احتمالية تخزين البيانات الحساسة خارج المملكة أو في بيئات غير محمية بشكل كافٍ.
- صعوبة تطبيق الضوابط التقليدية على البيئات السحابية الديناميكية.
لذلك، جاء الإطار ليوفر مرجعًا واضحًا للضوابط الأمنية الواجب تطبيقها في البيئات السحابية، ويحدد مسؤوليات كل طرف، ويضمن أن البيانات الحساسة محمية وفقًا لمعايير الهيئة.
من يجب عليه تطبيق إطار ضوابط الأمن السيبراني السحابي؟
ينطبق الإطار على فئتين رئيسيتين:
مقدمو الخدمات السحابية
أي جهة تقدم خدمات سحابية — سواء كانت مرخّصة من هيئة الاتصالات وتقنية المعلومات أم لا — وتستهدف عملاء في المملكة أو تعالج بيانات تخضع للأنظمة السعودية. يشمل ذلك:
- مقدمي البنية التحتية كخدمة.
- مقدمي المنصة كخدمة.
- مقدمي البرمجيات كخدمة.
مستهلكو الخدمات السحابية
الجهات التي تستخدم الخدمات السحابية وتقع ضمن واحد أو أكثر من المعايير التالية:
- الجهات الحكومية: جميع الجهات الحكومية والهيئات العامة ملزمة بتطبيق الإطار عند استخدام الخدمات السحابية.
- الجهات الخاضعة لضوابط الأمن السيبراني الأساسية: أي جهة ملزمة بتطبيق ضوابط الأمن السيبراني الأساسية — مثل المؤسسات المالية والصحية والبنى التحتية الحرجة — يجب عليها تطبيق الإطار عند استخدام الخدمات السحابية.
- معالجة بيانات حساسة: الجهات التي تعالج أو تخزن بيانات مصنفة على أنها حساسة أو سرية وفقًا لتصنيف البيانات المعتمد في المملكة.
- البنية التحتية الحرجة: الجهات التي تشغل أنظمة تقنية تدعم خدمات حيوية أو بنى تحتية وطنية حرجة.
المجالات الخمسة لإطار ضوابط الأمن السيبراني السحابي
يتكون الإطار من خمسة مجالات رئيسية، كل منها يغطي جانبًا محددًا من الأمن السيبراني في البيئات السحابية:
1. الحوكمة وإدارة المخاطر
يتناول هذا المجال كيفية إدارة المخاطر الأمنية المرتبطة بالخدمات السحابية، بما في ذلك:
- تقييم المخاطر قبل اعتماد خدمة سحابية.
- تحديد المسؤوليات الأمنية بين المستهلك والمقدم (نموذج المسؤولية المشتركة).
- إدارة العقود والاتفاقيات مع مقدمي الخدمات.
- المراجعة الدورية لمستوى الأمان المقدم.
2. الأمن السيبراني للبنية التحتية السحابية
يركز على حماية البنية التحتية السحابية نفسها، ويشمل:
- تأمين الشبكات السحابية والفصل بين البيئات.
- إدارة الهوية والوصول في البيئات السحابية.
- حماية الأجهزة الافتراضية والحاويات.
- تشفير البيانات أثناء النقل والتخزين.
3. أمن البيانات والخصوصية
يتعلق بحماية البيانات المخزنة أو المعالجة في البيئات السحابية:
- تصنيف البيانات وتحديد موقع تخزينها.
- ضمان عدم نقل البيانات الحساسة خارج المملكة إلا بموافقة صريحة.
- حقوق الوصول إلى البيانات وسجلات المراجعة.
- إجراءات الحذف الآمن للبيانات عند إنهاء الخدمة.
4. الاستجابة للحوادث والاستمرارية
يحدد متطلبات الاستجابة للحوادث الأمنية واستمرارية الأعمال:
- آليات الكشف عن الحوادث والإبلاغ عنها.
- خطط الاستجابة للحوادث في البيئات السحابية.
- النسخ الاحتياطي واستعادة البيانات.
- اختبار خطط استمرارية الأعمال.
5. الامتثال والمراجعة
يضمن التحقق من الالتزام بالضوابط:
- التدقيق الدوري على الخدمات السحابية.
- الحصول على تقارير الامتثال من مقدمي الخدمات.
- توثيق الضوابط المطبقة وأدلة الامتثال.
- المراجعة المستقلة للبيئات السحابية.
العلاقة بين إطار ضوابط الأمن السيبراني السحابي وضوابط الأمن السيبراني الأساسية
إطار ضوابط الأمن السيبراني السحابي ليس بديلًا عن ضوابط الأمن السيبراني الأساسية، بل هو مكمّل ومفصّل لها. ضوابط الأمن السيبراني الأساسية تغطي جميع جوانب الأمن السيبراني في المؤسسة، بينما الإطار السحابي يركز على الضوابط الخاصة بالبيئات السحابية.
عمليًا، إذا كانت مؤسستك ملزمة بتطبيق ضوابط الأمن السيبراني الأساسية وتستخدم خدمات سحابية، فإنك ملزم بتطبيق كلا الإطارين. الإطار السحابي يوفر تفصيلًا أكثر دقة لكيفية تطبيق الضوابط في البيئات السحابية، ويعالج التحديات الفريدة لهذه البيئات.
الفرق بين الضوابط الأساسية والضوابط الاستباقية
يصنف الإطار الضوابط إلى مستويين:
الضوابط الأساسية
هي الضوابط الإلزامية التي يجب على جميع الجهات الخاضعة للإطار تطبيقها. تغطي الحد الأدنى من المتطلبات الأمنية لحماية البيانات والأنظمة في البيئات السحابية.
الضوابط الاستباقية
هي ضوابط إضافية موصى بها للجهات التي تعالج بيانات شديدة الحساسية أو تواجه تهديدات متقدمة. تطبيقها اختياري لكنه يعزز مستوى الحماية بشكل كبير.
التمييز بين المستويين يساعد المؤسسات على تحديد أولويات الاستثمار الأمني بناءً على مستوى المخاطر التي تواجهها.
مخططات القرار لتحديد الانطباق
لتسهيل تحديد ما إذا كان الإطار ينطبق على مؤسستك، إليك ثلاثة مخططات قرار عملية:
المخطط الأول: بناءً على تصنيف البيانات
- هل تعالج أو تخزن بيانات مصنفة على أنها سرية أو حساسة؟
- نعم: الإطار ينطبق عليك.
- لا: انتقل إلى المخطط الثاني.
المخطط الثاني: بناءً على موقع البنية التحتية ونوع الخدمة
- هل تستخدم خدمات سحابية (IaaS، PaaS، SaaS)؟
- لا: الإطار لا ينطبق.
- نعم: انتقل إلى السؤال التالي.
- هل أنت مقدم خدمة سحابية؟
- نعم: الإطار ينطبق عليك.
- لا: انتقل إلى المخطط الثالث.
المخطط الثالث: بناءً على نوع الجهة والالتزامات التنظيمية
- هل أنت جهة حكومية؟
- نعم: الإطار ينطبق عليك.
- لا: انتقل إلى السؤال التالي.
- هل أنت ملزم بتطبيق ضوابط الأمن السيبراني الأساسية؟
- نعم: الإطار ينطبق عليك.
- لا: انتقل إلى السؤال التالي.
- هل تشغل بنية تحتية حرجة أو خدمات حيوية؟
- نعم: الإطار ينطبق عليك.
- لا: الإطار قد لا ينطبق، لكن يُنصح بمراجعة المتطلبات.
أمثلة عملية على الانطباق
لتوضيح النطاق، إليك أمثلة واقعية:
مثال 1: مؤسسة مالية تستخدم Microsoft 365 لبريدها الإلكتروني ومستنداتها.
- الانطباق: نعم، لأنها جهة خاضعة لضوابط الأمن السيبراني الأساسية وتعالج بيانات حساسة.
مثال 2: شركة تجارة إلكترونية تستضيف بوابة الدفع على بنية تحتية كخدمة من AWS.
- الانطباق: نعم، إذا كانت تعالج بيانات بطاقات ائتمانية أو بيانات شخصية حساسة.
مثال 3: مستشفى خاص يستخدم نظام إدارة مستشفيات سحابي.
- الانطباق: نعم، لأنها جهة صحية تعالج بيانات طبية حساسة وخاضعة لضوابط الأمن السيبراني الأساسية.
مثال 4: شركة ناشئة تستخدم أدوات تعاون سحابية لإدارة مشاريعها الداخلية دون بيانات حساسة.
- الانطباق: قد لا ينطبق، لكن يُنصح بمراجعة التصنيف الدقيق للبيانات.
التحديات الشائعة في تطبيق الإطار
الجهات التي تبدأ في تقييم امتثالها للإطار تواجه عدة تحديات:
- عدم وضوح المسؤوليات: في نموذج المسؤولية المشتركة، قد لا يكون واضحًا أي الضوابط مسؤولية المستهلك وأيها مسؤولية المقدم.
- نقص الشفافية من مقدمي الخدمات: بعض مقدمي الخدمات السحابية العالميين لا يوفرون تقارير امتثال مفصلة تتوافق مع متطلبات الهيئة.
- تعقيد البيئات متعددة السحابات: الجهات التي تستخدم أكثر من مقدم خدمة سحابية تواجه صعوبة في تطبيق الضوابط بشكل موحد.
- الموارد والخبرات: تطبيق الإطار يتطلب خبرات متخصصة في أمن الحوسبة السحابية قد لا تكون متوفرة داخليًا.
كيف تبدأ في تقييم الامتثال؟
إذا حددت أن الإطار ينطبق على مؤسستك، فإن الخطوات الأولى تشمل:
- تحديد نطاق الخدمات السحابية: جرد شامل لجميع الخدمات السحابية المستخدمة، ونوع كل خدمة، والبيانات المعالجة فيها.
- تصنيف البيانات: تحديد مستوى حساسية البيانات المخزنة أو المعالجة في كل خدمة سحابية.
- مراجعة العقود والاتفاقيات: التأكد من أن العقود مع مقدمي الخدمات تتضمن بنودًا تغطي المتطلبات الأمنية والتنظيمية.
- تقييم الفجوات: مقارنة الضوابط المطبقة حاليًا مع متطلبات الإطار لتحديد الفجوات.
- وضع خطة امتثال: تحديد الإجراءات المطلوبة، والمسؤوليات، والجداول الزمنية لسد الفجوات.
المتابعة المستمرة للمتطلبات التنظيمية
الإطار التنظيمي في المملكة ديناميكي، والهيئة الوطنية للأمن السيبراني تصدر تحديثات وتوضيحات بشكل دوري. البنك المركزي السعودي وهيئة الاتصالات وتقنية المعلومات والهيئة السعودية للبيانات والذكاء الاصطناعي أيضًا تصدر متطلبات قد تتقاطع مع الإطار السحابي.
لذلك، من الضروري أن تكون لديك آلية لمتابعة هذه التغييرات وتقييم أثرها على التزاماتك. خدمة المستجدات التنظيمية تتابع متطلبات الأمن السيبراني وحماية البيانات في المملكة، وتقيّم كل تغيير مقابل التزاماتكم، وتحدد لكم ما يجب فعله وموعده.
تشمل الخدمة رصد إصدارات الجهات ذات العلاقة، ثم تقييم الأثر على التزاماتكم وضوابطكم، ثم التوصية بالاستجابة والمسؤول والموعد، وأخيرًا التوثيق عبر السجل وأدلة التنفيذ.
تحصلون من خلالها على نشرة تنظيمية شهرية، وتنبيهات للتغييرات المهمة، وتقييم أثر لكل تغيير، وسجل الالتزامات والمواعيد النهائية، وإحاطة ربع سنوية للإدارة. الخدمة تتابع إصدارات البنك المركزي السعودي والهيئة الوطنية للأمن السيبراني وسدايا، وتقدم ملخصات واضحة لكل تغيير، وتربط الأثر بضوابطكم وسياساتكم، وتقترح استجابة مع مسؤول وموعد، وتحتفظ بسجل الالتزامات والمواعيد النهائية. الاشتراك شهري.
