النتيجة · أمن سيبراني جاهز للجهة التنظيمية
اجتز تقييم الهيئة الوطنية للأمن السيبراني. من المرة الأولى.
انتقلت الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA) من الإرشاد إلى الإلزام. تخضع الجهات الحكومية السعودية والبنوك المنظَّمة وشركات الاتصالات والبنية التحتية الحيوية للتقييم الآن — والفجوة بين الالتزام بالمعيار والقدرة على إثبات ذلك هي ما تُقلل معظم الفرق من شأنه. نحن نسد هذه الفجوة.
المشكلة التي نحلّها.
أما إثبات ذلك للمدقق فمسألة أخرى تمامًا.
تغطي ضوابط الأمن السيبراني الأساسية الصادرة عن NCA 47 ضابطًا موزّعة على خمسة مجالات. ومعظم فرق الأمن لديها تطبيقات قائمة لغالبية هذه الضوابط. لكن ما يفتقر إليه معظمها، وما يُعطّل تعاقدات رؤية 2030 كل ربع سنة، هو سلسلة الأدلة التي تُمكّن الجهة التنظيمية من التحقق منها دون أي لبس.
المعيار لا يسأل عمّا إذا كنت تُشفّر البيانات. بل يطلب إثباتًا للسياسة، والتنفيذ، ونتائج الاختبار، ومراجعات الوصول، وتدريبات الاستجابة للحوادث. ثمانية عناصر يجب توثيقها لكل ضابط. وأكثر من أربعمائة مُستند عبر الإطار بأكمله. وجهة تنظيمية لن تقبل عبارة «نحن نعمل على ذلك».
وضعية يمكنك إثباتها.
ليست مجرد ضوابط قائمة، بل وضع كامل وجاهز للتدقيق يُطابق كل متطلبات ECC.
PILLAR.01
100%
تغطية ضوابط ECC
تطبيق جميع الضوابط الـ47 وربطها عبر مكوّنات ECC الخمسة — الحوكمة، والتعزيز، والصمود، والأطراف الخارجية، وأنظمة التحكم الصناعي.
PILLAR.02
حزمة
أدلة جاهزة للجهة التنظيمية
ربط الضوابط، ونتائج الاختبارات، وأدلة التشغيل، وتمارين الحوادث، ووثائق السياسات — مجمّعة ومفهرسة وجاهزة للتقديم.
PILLAR.03
0
ملاحظات معالجة
عبر كل تعاقد ECC قادته ناس حتى الآن، لم تُطلب أي ملاحظة جوهرية بعد التقديم.
PILLAR.04
ربع سنوي
وتيرة إعادة التقييم
الامتثال لا يتوقف بعد التقديم. نُدمج إعادة التقييم ربع السنوية في نموذج التشغيل.
0
ملاحظات معالجة، حتى الآن.
عبر كل تعاقد ECC قادته ناس، لم تُصدر الجهة التنظيمية أي ملاحظة جوهرية بعد التقديم.
// سجل الإنجاز
خمسة مجالات. 47 ضابطًا. إطار واحد.
يقع كل ضابط من ضوابط NCA ECC ضمن أحد هذه المجالات الخمسة. ويجب أن تكون سلسلة الأدلة كاملة عبر كل واحد منها، فالتغطية الجزئية تُعادل انعدام التغطية في نظر الجهة التنظيمية.
الحوكمة
الاستراتيجية، والمخاطر، والسياسات، والملكية. هيكل المساءلة الذي يرتكز عليه باقي الإطار.
الدفاع
حماية الأصول والهوية والشبكة والتطبيقات والبيانات، أي الضوابط التقنية ذاتها.
المرونة
استمرارية الأعمال والنسخ الاحتياطي والتعافي من الكوارث. القدرة على تحمّل الصدمة والتعافي منها، مُثبتة عبر اختبارات تحويل فعلية.
الطرف الثالث
مزوّدو الخدمات السحابية، وموردو SaaS، وشركات التكامل. المخاطر لا تتوقف عند حدود مؤسستك، ولا كذلك الأدلة.
ICS
أنظمة التحكم الصناعي، وSCADA، وOT. تحصين متخصص للأحمال التي لا يمكن إعادة تشغيلها بسهولة.
كيف يبدو هذا عند التسليم.
يمر كل تعاقد ECC عبر المراحل الأربع نفسها، مُرتّبة بحيث تُلتقط الأدلة لحظة تنفيذ الضابط، لا أن تُعاد بناؤها بعد أسابيع. مدة التعاقد النموذجية 8-14 أسبوعًا حسب حجم الجهة ونضجها الحالي.
01 · الرصد
- خط الأساس التنظيمي
- تحليل فجوات الضوابط
- تقييم النضج
02 · التصميم
- ضوابط البنية
- مكتبة السياسات
- نموذج التشغيل
03 · الأدلة
- مصفوفة الضوابط
- نتائج الاختبار
- أدلة التشغيل والتدريبات
04 · الاستدامة
- إعادة تقييم ربع سنوية
- تتبع التغييرات التنظيمية
- دعم دورة التدقيق
في القطاع المصرفي السعودي، لا يمكننا تحمّل ملاحظة عند التقديم الأول. سلّمت ناس حزمة الأدلة جاهزة للجهة التنظيمية في الأسبوع الثاني عشر. وهو ما غيّر طريقة تخطيطنا لكل دورة تدقيق منذ ذلك الحين.
بنك سعودي من الفئة الأولى · حُجب اسم العميل
· CISO
ثلاث خدمات. نتيجة واحدة مُسلَّمة.
هذه النتيجة مُركَّبة من خدماتنا. كل خدمة تُتقن شيئًا واحدًا، ومعًا تُحقق الوضعية أعلاه.
// service.01
خدمات البنية التحتية
تطبيق خط الأساس الأمني — الضوابط التقنية التي يطلب إطار ECC أدلة على تطبيقها.
استكشف خدمات البنية التحتية // service.02الاستشارة
استشارات الامتثال والتدقيق — تحليل الفجوات، وحزم الأدلة، والسرد المقدَّم للجهة التنظيمية.
استكشف الاستشارة // service.03ممارسة الامتثال
الممارسة الشاملة — الأطر والشهادات والفريق الذي يدير العلاقة مع الجهات التنظيمية.
استكشف ممارسة الامتثالأسئلة صريحة.
Q.01كم تستغرق مدة تعاقد جاهزية ECC؟
يستغرق التعاقد النموذجي 8-14 أسبوعًا حسب حجم الجهة ونضجها الحالي، مع تسليم مرحلي يُبقي جاهزية التدقيق مستمرة حتى في البرامج الأطول.
Q.02ما الذي تحتويه حزمة الأدلة بالتحديد؟
تعيين الضوابط لكل ضابط من ضوابط ECC الـ47، ومكتبة السياسات، ومستندات التنفيذ، ونتائج الاختبار، وسجلات تدريبات الاستجابة للحوادث، ومراجعات الوصول، والسرد الموجّه للجهة التنظيمية، مُجمَّعة ومُفهرسة وجاهزة للتقديم.
Q.03كيف تمنعون انحراف الامتثال بعد التقديم؟
إعادة التقييم ربع السنوية مُدمجة في نموذج التشغيل. نُعيد اختبار كل ضابط وفق وتيرته الخاصة، ونتتبع التغييرات التنظيمية، ونُحدّث حزمة الأدلة باستمرار حتى يبقى الوضع حاضرًا لا مجرد لقطة عابرة.
Q.04هل تغطون الأطر القطاعية الإضافية مثل SAMA SCF وNHA وPDPL؟
نعم. يُشكّل NCA ECC الأساس. وحيثما يتطلب العمل ذلك، نُضيف أطرًا قطاعية إضافية (SAMA SCF للخدمات المالية، وNHA للرعاية الصحية، وPDPL للبيانات الشخصية) دون إعادة بناء سلسلة الأدلة الأساسية.
Q.05ماذا عن ICS، المجال الخامس؟
يحصل ICS على مسار تقييم خاص به. فأنظمة التحكم الصناعي تتطلب تحصينًا متخصصًا، وتجزئة للشبكة، ومراقبة تُراعي طبيعة تقنية التشغيل OT، وتُغطى ضمن إطار الأدلة نفسه لكنها مُصمَّمة خصيصًا لواقع OT.
// 07 · تواصل
تريد مراجعة جاهزية؟
مراجعة مدتها 30 دقيقة لموقعك مقابل الضوابط الـ47، وما هو قائم، وما هو موثّق بالأدلة، وما الذي سيكون ملاحظة اليوم. لا شرائح، لا عرض مبيعات.