ضوابط الأمن السيبراني للأنظمة الحساسة (CSCC – 1: 2019)

كل مُنظَّمة ناجحة، بغض النظر عن طبيعة عملها، يوجد فيها أنظمة متعددة تتكامل وتتفاعل فيما بينها، مثل: الأنظمة الحاسوبية، والأنظمة الإلكترونية، والأنظمة الميكانيكية. وإن كان لكل نظام دور في المنظّمة، فإن لبعض هذه النُظم دور أكثر أهمية من غيرها، وتسمّى الأنظمة الحساسة، وتعدُّ حمايتها جزءاً لا يتجزأ من استراتيجية المنظّمة نحو بقاءها.

ونظراً لأهمية هذه النُظم والحاجة الماسة للحفاظ عليها من الوصول غير المصرح به؛ سعت الجهات المختصة إلى توفير الحماية لها من خلال توفير الأدوات والوسائل اللازمة لحماية المعلومات من المخاطر الداخلية أو الخارجية.

لذلك، وبعد أن قدمت الهيئة الوطنية للأمن السيبراني (NCA) في المملكة ضوابط الأمن السيبراني الأساسية، طورت أيضًا، في عام 2019، ضوابط الأمن السيبراني للأنظمة الحساسة (CSCC – 1: 2019)، والتي تفرض الحد الأدنى من متطلبات الأمن السيبراني للأنظمة الحسّاسة والحيوية داخل المُنشآت الوطنية.

هو أي نظام أساسي ولا غنى عنه في المنظمة. يتكامل مع عدة نُظم داخلية وخارجية. ويؤدي تعطلها، أو التغيير غير المشروع لطريقة عملها، أو الدخول غير المصرح به لها، أو للبيانات والمعلومات التي تحفظها أو تعالجها؛ إلى التأثير السلبي على تقديم خدمات، أو أعمال الجهة العامة، أو إحداث آثار اقتصادية، أو مالية، أو أمنية، أو اجتماعية سلبية كبيرة على المستوى الوطني.

ومن الأمثلة على أنظمة حساسة داخل المملكة: أنظمة الاتصال، الأجهزة الطبية، مراقبة حركة المرور، مراقبة الحركة الجوية، أنظمة التحكم بالسيارات، نظام حساب العملاء في المصرف.

يمكن اعتبار النظام حساساً إذا كان في تعطله، أو التغيير غير المشروع لطريقة عمله، أو الدخول غير المصرح به له، أو للبيانات والمعلومات التي يحفظها أو يعالجها، تؤدّي إلى واحدة أو أكثر من النتائج التالية:

• التأثير السلبي على الأمن الوطني
• تعريض حياة الإنسان أو سلامته للخطر
• التأثير السلبي على السمعة
• خسائر مالية كبيرة
• الإفشاء غير المصرح به لبيانات يكون تصنيفها سري أو سري للغاية
• التأثير السلبي على خدمات مقدمة لعدد كبير من المستخدمين

1. حماية المُنشآت الوطنية، بما في ذلك البُنى التحتية وأجهزة معالجة المعلومات، من الهجمات السيبرانية
2. حماية الأصول المعلوماتية والتقنية
3. تحقيق المتطلبات التشريعية والتنظيمية
4. تضمين ضوابط الأمن السيبراني في منهجية إدارة مشاريع المُنشآت
5. إدارة ومعالجة المخاطر السيبرانية بفعالية وتقليل آثارها
6. منع الوصول غير المصرح، وتقييد الوصول إلى الأصول المعلوماتية والتقنية
7. تقييم مدى فعالية قدرات الأمن السيبراني داخل المُنشآت
8. ضمان توافر متطلبات الأمن السيبراني في إدارة استمرارية أعمال المُنشآت

يجب على جميع المُنشآت المالكة أو المُشغّلة للأنظمة الحساسة تطبيق جميع الضوابط القابلة للتطبيق عليها، وتشمل:

• جميع الجهات الحكومية داخل المملكة وخارجها
• الشركات والمؤسسات التابعة (كليًا أو جزئيًا) لجهات حكومية
• شركات/مؤسسات القطاع الخاص

تحقيقاً لما ورد في الفقرة الثالثة من المادة العاشرة في تنظيم الهيئة الوطنية للأمن السيبراني، وكذلك ما ورد في الأمر السامي الكريم رقم 57231 وتاريخ 10/11/1439 هـ وما ورد عن الأمر السامي الكريم ذي رقم 7732 وتاريخ 12/2/1440 هـ، يجب على جميع الجهات، ضمن نطاق عمل هذه الضوابط ما يلي:

1. تحديد أنظمتها الحساسة.
2. تنفيذ ما يحقق الالتزام بهذه الضوابط على الأنظمة الحساسة المحددة؛ خلال فترة تحقيق الالتزام التي تحددها الهيئة الوطنية للأمن السيبراني، على أن يتم تقييم المخاطر السيبرانية وإدارتها، خلال هذه الفترة لتقليل المخاطر المحتملة.
3. تنفيذ ما يحقق الالتزام الدائم والمستمر، بعد فترة تحقيق الالتزام.

والجدير بالذكر، أن هذه الضوابط مرتبطة ارتباطًا وثيقًا بالضوابط الأساسية للأمن السيبراني، الصادرة عن الهيئة الوطنية للأمن السيبراني. إذ لا يمكنك تحقيق الالتزام بضوابط الأمن السيبراني للأنظمة الحساسة إلّا من خلال الالتزام المستمر بالضوابط الأساسية للأمن السيبراني.

تقدم شركة ريناد المجد الخدمات التالية لمساعدة المنظمات من خلال التقييم والتنفيذ المناسبين لمعايير الهيئة الوطنية للأمن السيبراني:

1. تحليل الفجوات (Gap Analysis) وإجراء تقييم النضج، واختبارات الاختراق
2. تطبيق ضوابط الأمن السيبراني للأنظمة الحساسة
3. تصميم وتطبيق أُطر الأمن السيبراني اللازمة
4. تصميم وتطوير وتطبيق وتشغيل أنظمة الجودة الأمنية (الآيزو)
5. خدمات تأهيل وتوظيف الكوادر الأمنية المُؤهّلة، وتأسيس أقسام الأمن السيبراني الداخلية
6. برامج تدريب تخصصي لنقل المعرفة وتوعية العامل البشري في المُنشأة
7. التدقيق ومراجعة نُظم الجودة والحوكمة وإدارة المخاطر في المُنشآت
8. تركيب وتشغيل الحلول الأمنية (المادية والإلكترونية)
9. إجراء مراجعة مفصلة وشاملة لوضع الأمن السيبراني في مؤسستك
10. تقديم الاستشارات الموضوعية

1. عند طلبك لخدمات شركة ريناد المجد (RMG)، تُتاح لك فرصة الاستفادة من +60 استشاري وخبير في مجالات الأمن السيبراني، وتقنية المعلومات، ومعايير الآيزو العالمية.
2. تمتاز الشركة بالمرونة، ودقة التنفيذ، وإظهار النتائج بشكل سريع، كونها تُدرك جيداً الأبعاد العميقة للمحاور والمؤشّرات الواردة في الوثيقة.
3. فريق خبير في تنفيذ تقييم الثغرات (Vulnerability Assessment).
4. خبرة طويلة في مجال تنفيذ اختبارات الاختراق (Penetration Test).
5. مركز عمليات يعمل بشكل مستمر (24 ساعة/ 7 أيام).
6. معايير عالية في تقديم الخدمات، وتخصيص الخدمة بناءً على احتياجات العمل.