متطلبات الأمن السيبراني للشركات الناشئة وفق الهيئة الوطنية للأمن السيبراني

تسأل الشركات الناشئة: هل تنطبق علينا ضوابط الهيئة الوطنية للأمن السيبراني؟ والإجابة الدقيقة: ربما لا تنطبق عليكم اليوم بوصفكم جهة خاضعة مباشرة، لكنها ستنطبق عليكم في أول عقد مع عميل حكومي أو بنك أو شركة بنية تحتية حساسة، لأن هؤلاء ملزمون بتمرير المتطلبات إلى مورديهم. ومن يصل إلى ذلك العقد بلا منظومة أمنية موثقة يخسره. يشرح هذا الدليل ما ينطبق ومتى، وما الحد الأدنى الذي ينبغي أن تبنيه كل ناشئة.

خريطة الضوابط ومن تخاطب

الوثيقة	من تخاطب مباشرة	أثرها على الناشئة
الضوابط الأساسية للأمن السيبراني	الجهات الحكومية والبنى التحتية الحساسة والجهات التي تحددها الهيئة	تُنقل متطلباتها إلى الموردين عبر العقود
ضوابط الأمن السيبراني للأطراف الخارجية والحوسبة السحابية	الجهات الخاضعة في تعاملها مع مورديها ومزودي السحابة	الأكثر تأثيرًا في الناشئة التي تخدم عملاء خاضعين
ضوابط الحوسبة السحابية	مزودو الخدمات السحابية ومشتركوها بحسب مستوى التصنيف	تنطبق مباشرة على الناشئة التي تقدم خدمة سحابية لجهات خاضعة
ضوابط الأنظمة الحساسة والعمل عن بعد والتقنيات التشغيلية	الجهات الخاضعة بحسب طبيعة أنظمتها	تظهر في متطلبات العقود القطاعية
الإطار الوطني لتراخيص خدمات الأمن السيبراني	مقدمو خدمات الأمن السيبراني (استشارات، مراكز عمليات، اختبارات اختراق...)	ترخيص إلزامي لمن يقدم هذه الخدمات

متى تصبح الضوابط ملزمة لك؟

• عقد مع جهة خاضعة: سيُدرج العميل ملحقًا أمنيًا يطلب الالتزام بضوابط الأطراف الخارجية: تقييم مخاطر، وتشفير، وتسجيل أحداث، وحق تدقيق، وإشعار بالحوادث، ومكان البيانات داخل المملكة في حالات.
• تقديم خدمة سحابية: إذا كنت تستضيف بيانات جهات خاضعة فأنت مزود سحابة وتنطبق عليك الضوابط بحسب مستوى تصنيف البيانات.
• تقديم خدمات أمن سيبراني: تحتاج ترخيصًا من الهيئة قبل التسويق للخدمة.
• القطاعات المنظمة: التقنية المالية تخضع إضافة إلى ذلك لإطار البنك المركزي. راجع التزامات شركات التقنية المالية.

الحد الأدنى العملي لأي ناشئة

1. الحوكمة: مسؤول أمن معيّن ولو جزئيًا، وسياسة أمن معلومات من صفحات قليلة معتمدة من الإدارة، ومراجعة سنوية.
2. إدارة الهوية والوصول: حسابات فردية، تحقق ثنائي على كل الأنظمة، مبدأ أقل الصلاحيات، إلغاء فوري عند مغادرة الموظف.
3. إدارة الأصول والتحديثات: قائمة بالأجهزة والخدمات، وتحديثات أمنية خلال مدد محددة.
4. حماية البيانات: تشفير أثناء النقل والتخزين، وتصنيف البيانات، ونسخ احتياطي مختبر الاسترجاع.
5. تسجيل الأحداث والمراقبة: سجلات مركزية محفوظة لمدة كافية، وتنبيهات على السلوك غير المعتاد.
6. الاستجابة للحوادث: خطة مكتوبة بجهات الاتصال ومدد الإبلاغ للعملاء والجهات، وتمرين سنوي. راجع التصرف عند الاختراق.
7. التطوير الآمن: مراجعة الشفرة، فحص التبعيات مفتوحة المصدر، فصل بيئات التطوير والإنتاج.
8. الموردون: تقييم أمني للمزودين الرئيسين وبنود أمنية في عقودهم. راجع اتفاقيات مستوى الخدمة.
9. التوعية: تدريب الموظفين على التصيد مرتين سنويًا على الأقل.
10. التوثيق: ملف امتثال جاهز يُقدَّم لأي عميل: السياسات، نتائج آخر اختبار اختراق، شهادات المزود السحابي، سجل الحوادث.

العلاقة بنظام حماية البيانات الشخصية

الأمن السيبراني التزام مستقل في نظام حماية البيانات الشخصية أيضًا: فجهة التحكم ملزمة بتدابير تنظيمية وتقنية لحماية البيانات، وبالإبلاغ عن التسرب في مدة قصيرة. ولهذا فإن بناء الحد الأدنى أعلاه يخدم الامتثالين معًا. راجع عقوبات تسريب البيانات.

أخطاء شائعة

• تأجيل الأمن إلى ما بعد أول عميل كبير، ثم خسارة العقد في مرحلة التقييم.
• الاعتماد على شهادة المزود السحابي بوصفها شهادة للشركة نفسها.
• حسابات مشتركة بلا تحقق ثنائي.
• تقديم خدمات أمن سيبراني دون ترخيص.
• سياسات منسوخة لا تعكس الواقع، فتُكتشف في التدقيق.

متى تحتاج إلى محامٍ؟

عند التفاوض على الملاحق الأمنية في عقود العملاء الخاضعين، وتقييم انطباق الترخيص، وصياغة سياسات تتوافق مع ضوابط الهيئة ونظام حماية البيانات، وعند وقوع حادث. يعمل فريق التقنية والبيانات في شركة محمود عادل الثمالي للمحاماة مع مستشاري الأمن لبناء ملف امتثال قابل للتقديم. احجز استشارة.

هذا المقال للتوعية العامة ولا يُعد استشارة قانونية لحالتك.

أسئلة شائعة

المصادر

• الهيئة الوطنية للأمن السيبراني — الضوابط والأطر
• الهيئة السعودية للبيانات والذكاء الاصطناعي — نظام حماية البيانات الشخصية

تحتاج إلى رأي قانوني في حالتك؟

احجز استشارة مع الفريق المختص، ويصل طلبك مباشرة إلى المحامي المسؤول عن القطاع.

احجز استشارةواتساب