الضوابط الأساسية للأمن السيبراني

تستهدف الضوابط الأساسية للأمن السيبراني (ECC) الجهات الحكومية في المملكة والجهات التي تشغّل بنية تحتية وطنية حساسة، إضافةً إلى مقاوليها ومقدمي الخدمات لها. وتتبناها مؤسسات كثيرة في القطاع الخاص طوعًا، إما لأن عميلًا حكوميًا يتوقع ذلك، أو لأنها خط الأساس الأوضح المتاح في المنطقة.

إذا كنت تقدّم خدمات إلى جهة حكومية سعودية أو إلى مشغّل بنية تحتية حساسة، فتوقّع أن تصل إليك مجموعة الضوابط عبر العقد حتى إن لم تصل إليك عبر التنظيم. وتحقّق من التزامك المحدد مع الهيئة الوطنية للأمن السيبراني أو مع مستشارك القانوني، بدلًا من استنتاجه من صفحة مورّد.

من الناحية العملية، يطلب منك برنامج ECC أربعة أمور وإثبات كل منها. أولًا، تحديد النطاق الذي تقيّمه. ثانيًا، التحقق ضابطًا ضابطًا من أن الممارسة المطلوبة مطبقة. ثالثًا، الاحتفاظ بأدلة على تطبيقها، مؤرخة ومنسوبة إلى شخص محدد. رابعًا، إثبات أن الفجوات تُغلق وفق خطة لها مالكون، لا أنها تُدوَّن ثم تُنسى.

الإثبات هو أكثر ما تتعثر فيه البرامج. فالضابط الذي يحمل حالة «مطبق» بلا أي دليل يظل مجرد ادعاء. أما الضابط نفسه مع تقرير إعدادات مؤرخ وسجل موافقة ومالك محدد فيقدم دليلًا موثقًا يمكن تبريره ويختصر التقييم.

والصعوبة الثانية المتكررة هي النطاق. فالضابط الذي يُقيَّم على مستوى «المؤسسة» كلها نادرًا ما يصمد أمام الفحص، لأن الإجابة تختلف بين بيئة الأنظمة المصرفية الأساسية وموقع تسويقي على الإنترنت. والتقييم ضمن نطاق محدد هو ما يمنح الإجابة معناها.

تأتي حزمة ECC ضمن المكتبة الأساسية، فهي متاحة دون تنزيل من المتجر، وتعمل في البيئات المعزولة عن الشبكات الخارجية كما تعمل في الخدمة السحابية (SaaS) تمامًا.

تربط الإطار بنطاق محدد في وحدة الحوكمة، ثم تعمل على التقييم متطلبًا تلو الآخر، فتسجّل الحالة والدرجة والملاحظات والأدلة لكل متطلب. وتُحفظ الأدلة مرة واحدة في مستودع الأدلة المُدار، ويُعاد استخدامها حيثما انطبقت، فتُرفع مراجعة الوصول ربع السنوية مرة واحدة بدلًا من أربع.

ويُعرض النضج في خريطة حرارية تقاطع النطاقات مع الأطر، وتتحول كل فجوة يكشفها التقييم إلى بند عمل له مالك على خارطة طريق بأسلوب كانبان، ويمكن تصديرها إلى CSV أو Excel لمن لن يسجّلوا الدخول.

عند تفعيل المراقبة المستمرة للضوابط، تتجدد أدلة الضوابط تلقائيًا من أدوات الأمن التي تستخدمها، ويحمل كل عنصر دليل آلي توثيق المصدر الذي سيطلبه المدقق: الموصّل، وعملية الجمع، والتوقيت.

تُعدّ التقارير بحسب الفئة المستهدفة. فقالب مجلس الإدارة، وقالب المدير، والقالب الفني، وقالب الجهة التنظيمية تستند كلها إلى التقييم نفسه، فلا يمكن أن تختلف النسخة التي يراها مجلس الإدارة عن النسخة التي يراها المُقيِّم.

تتضمن المكتبة الأساسية مجموعة الربط بين NCA ECC وISO/IEC 27001:2022. وعندما يكون لضابط قيّمته بموجب ECC ضوابط مرتبطة في ISO 27001، يعرضها المحرك كاقتراحات مع نوع كل علاقة (مطابقة أو أضيق أو أشمل أو متقاطعة أو ذات صلة) ودرجة قوتها، ثم ينتظر أن يقبلها شخص مختص.

وهذا الجزء الأخير أهم من الأتمتة نفسها. فالمُقيِّم الذي يُقال له إن ضابطًا في ISO اجتاز لأن ضابطًا في ECC اجتاز، سيسأل: من قرر أنهما متطابقان؟ ولأن العلاقة مسجّلة والقبول منسوب إلى شخص محدد، تكون الإجابة اسمًا وتاريخًا، لا إجابة مبهمة.

وبالنسبة للمؤسسات التي تطبّق ECC إلى جانب ISO 27001 وإطار خاص بالقطاع المالي، يكون التداخل كبيرًا، والإجابة عن المتطلبات المشتركة مرة واحدة هي في الغالب أكبر وفر متاح في البرنامج.