Question 1

ما هي ضوابط ECC ولماذا تخصّنا؟

Accepted Answer

هي الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، وتُعدّ الحد الأدنى الإلزامي لكل الجهات الوطنية والبنى التحتية الحساسة في المملكة. النسخة السارية حالياً هي ECC-2:2024 وحلّت محل إصدار 2018. تبنيها في أربعة نطاقات: الحوكمة، الدفاع، المرونة، والأطراف الثالثة والحوسبة السحابية — وهذا الرابع هو أكثر نطاق نراه يُغفل في التقييمات. السؤال العملي ليس «هل نطبّق ECC» بل «كم ضابطاً لدينا بأدلة قابلة للفحص» — والأدلة هي ما يُسقط معظم الجهات، لا الضوابط نفسها.

Question 2

هل ECC v4 هو الإصدار الأخير؟

Accepted Answer

لا يوجد إصدار يُسمّى «ECC v4». تسمية الإصدارات في ECC رقمية بنمط «الضوابط:السنة»، وآخر إصدار صادر هو ECC-2:2024 الذي حلّ محل ECC-1:2018. إن رأيت «v4.0» في أي مستند أو عرض فغالباً هو خطأ في التوثيق، ويستحق التحقق قبل بناء خطة امتثال عليه. رقم الإصدار ليس تفصيلاً شكلياً: خرائط الضوابط والأدلة تختلف بين الإصدارين.

Question 3

هل أنتم معتمدون من الهيئة الوطنية للأمن السيبراني؟

Accepted Answer

لا تُصدر الهيئة «اعتماداً» للشركات بالمعنى الذي يُفهم عادة — الالتزام يكون بتنفيذ ضوابط ECC-2:2024 وإثباته عبر تقييم، لا بشهادة تُمنح. ما نقدّمه هو تنفيذ الضوابط، وبناء الأدلة، وتجهيز الجهة للتقييم. لذلك السؤال الأدق ليس «هل أنتم معتمدون» بل «من يملك الأدلة، وبأي جودة» — وهذا ما يُقاس فعلاً عند المراجعة. حالة اعتماداتنا الخاصة موثّقة في صفحة الشهادات، ونرسلها كتابياً عند الطلب.

Question 4

ما الفرق بين ECC و SAMA CSF؟

Accepted Answer

ECC إطار وطني عام يصدر عن الهيئة الوطنية للأمن السيبراني ويشمل الجهات الوطنية والبنى الحساسة، بينما إطار ساما للأمن السيبراني يصدر عن البنك المركزي ويلزم المؤسسات المالية الخاضعة لإشرافه. الفرق العملي أن إطار ساما أكثر تفصيلاً في الحوكمة وإدارة المخاطر والأطراف الثالثة والضمان، ويُقرأ مع لوائح الاستمرارية والإسناد الخارجي. الجهة المالية عادةً تطبّق الاثنين معاً مع خريطة ربط بينهما، لا واحداً بدلاً من الآخر.

Question 5

على من ينطبق إطار ساما للأمن السيبراني؟

Accepted Answer

ينطبق على المؤسسات الخاضعة لإشراف البنك المركزي السعودي — البنوك والمصارف وشركات التمويل والتأمين وشركات المدفوعات والمحافظ الرقمية المرخّصة ضمن نطاق إشرافه. أما مزوّد الخدمة الذي يخدم جهة مالية فلا يخضع للإطار كجهة، لكنه يُسأل عنه تعاقدياً: الجهة المالية مطالبة بإدارة مخاطر الأطراف الثالثة، فينتقل جزء من المتطلبات إليك عبر العقد واستبيان المخاطر الذي تعبّئه.

Question 6

ماذا يتطلب ECC في المصادقة متعددة العوامل وإدارة الهوية؟

Accepted Answer

المصادقة متعددة العوامل وإدارة صلاحيات الوصول من أقدم ما يُسأل عنه في التقييمات، ويقع تحت نطاق الدفاع السيبراني في ECC-2:2024. الممارسة التي تُقبل عادةً: عوامل متعددة لكل وصول عن بُعد وللحسابات ذات الصلاحيات العالية، فصل مهام، مراجعة دورية للصلاحيات، وإلغاء وصول فوري عند انتهاء الخدمة. أكثر ملاحظة تتكرر عندنا ليست غياب MFA بل بقاء الحسابات القديمة نشطة — وهذا ما يُمسك به المراجع أولاً.

Question 7

هل نظام حماية البيانات الشخصية نافذ فعلاً الآن؟

Accepted Answer

نعم. صدر النظام بالمرسوم الملكي م/19، وسرى من ١٤ سبتمبر ٢٠٢٣، وانتهت المهلة التصحيحية في ١٤ سبتمبر ٢٠٢٤ ليصبح واجب النفاذ بالكامل، والجهة التنظيمية هي سدايا. أي حديث عن «مرحلة سماح» اليوم غير دقيق. عملياً أكثر ما يُسأل عنه هو الأساس النظامي للمعالجة، وإشعار أصحاب البيانات، والاتفاقيات مع المعالجين — وهي أمور تعاقدية أكثر منها تقنية.

Question 8

هل يمكننا نقل بيانات العملاء خارج المملكة؟

Accepted Answer

النقل خارج المملكة ممكن لكنه ليس حراً: النظام واللائحة التنفيذية يضعان ضوابط للنقل تشمل حدوداً على البيانات الحساسة، وتقييم مستوى الحماية في الجهة المستقبلة، ووجود أساس نظامي أو موافقة بحسب الحالة. ولأن ضوابط الهيئة الوطنية للأمن السيبراني للسحابة تربط التصنيف بمتطلبات التوطين، فالإجابة النهائية تعتمد على تصنيف البيانات لا على نوع الخدمة. عملياً: نبدأ بخريطة تصنيف، ثم نقرر ما يبقى داخل المملكة وما يمكن نقله.

Question 9

ما هي عقوبات مخالفة نظام حماية البيانات الشخصية؟

Accepted Answer

النظام يفرض غرامات مالية تصل في مخالفات البيانات الحساسة إلى خمسة ملايين ريال، مع مضاعفة الغرامة عند التكرار، وإمكانية عقوبات إضافية تشمل نشر المخالفة أو إيقاف النشاط جزئياً بحسب الجسامة. لكن الأثر الأكبر الذي نراه ليس الغرامة: هو تعليق المشاريع عند أي شك في مشروعية المعالجة، وهو ما يكلّف أكثر. لذلك نقيس الجاهزية بالسجلات والاتفاقيات، لا بالسياسات فقط.

Question 10

ما دور هيئة الاتصالات والفضاء والتقنية في الأمن السيبراني؟

Accepted Answer

هيئة الاتصالات والفضاء والتقنية هي المنظّم لقطاع الاتصالات والتقنية والفضاء في المملكة، وكانت تُعرف سابقاً بهيئة الاتصالات وتقنية المعلومات، وتغيّر اسمها بموجب قرار مجلس الوزراء رقم ٢٣٥ في نوفمبر ٢٠٢٢. دورها في الأمن السيبراني تنظيمي أكثر منه ضوابط تقنية: ترخيص وتصنيف مزوّدي الخدمات السحابية، ولوائح تقديم الخدمة، وحماية مصالح المستخدمين. لذلك حين يُسأل عن «الجهة المنظّمة للسحابة» فالجواب CST، وعن «ضوابط الأمن السيبراني» فالجواب NCA.

Question 11

كيف نتحقق أن مزوّد سحابي مرخّص في المملكة؟

Accepted Answer

CST تنشر سجلاً للمزوّدين المرخّصين والمصنّفين لتقديم خدمات الحوسبة السحابية في المملكة، وهو المرجع المباشر للتحقق. ننصح بأمرين قبل التوقيع: مطابقة اسم الكيان القانوني لا الاسم التجاري، وقراءة تصنيف الخدمة (فئة أ/ب/ج) لأن التصنيف يحدد ما يُسمح بمعالجته من بيانات. كثير من مفاجآت التوطين مصدرها التوقيع مع كيان إقليمي بينما الخدمة تُقدَّم من منطقة أخرى.

Question 12

ما الجديد في CCC-2:2024؟

Accepted Answer

أهم تحديث في ضوابط الأمن السيبراني للحوسبة السحابية هو تعزيز متطلبات توطين البيانات. عملياً يعني ذلك أن قرار «أي سحابة» لم يبق قراراً تقنياً بل قرار تصنيف بيانات: ما يُصنَّف حساساً أو يخص جهة وطنية يقيّد مكان معالجته وتخزينه. لذلك نبدأ دائماً بمصفوفة (تصنيف البيانات × نوع الخدمة × موقع المعالجة) قبل اختيار المزوّد، وهذا يوفّر إعادة تصميم لاحقة.

Question 13

ما هي ضوابط DCC ومتى تنطبق؟

Accepted Answer

DCC هي ضوابط الأمن السيبراني للبيانات الصادرة عن الهيئة الوطنية للأمن السيبراني، وتنظّم حماية البيانات عبر دورة حياتها من الإنشاء إلى الإتلاف، مع تصنيف يميّز مستوى الحماية المطلوب بحسب حساسية البيانات. تنطبق على الجهات المشمولة بـ ECC وتُستخدم عملياً كمرجع لسياسة تصنيف البيانات وسياسة الاحتفاظ. أكثر خطأ نراه: تطبيق سياسة واحدة على كل البيانات، فتتضخم التكلفة بلا فائدة، أو تُهمَل البيانات الحساسة لأنها لم تُصنَّف أصلاً.

Question 14

هل تنطبق ضوابط الأمن التشغيلي OTCC على مصانعنا؟

Accepted Answer

نعم، ضوابط الأمن السيبراني للتقنيات التشغيلية صادرة عن الهيئة الوطنية للأمن السيبراني وتخصّ بيئات التحكم والأنظمة التشغيلية كالمصانع ومحطات الطاقة وشبكات المرافق. الفرق الجوهري عن بيئات IT أن الأولوية للحماية والتوافر لا للسرية، وأن كثيراً من أدوات IT لا يمكن نشرها أصلاً على أجهزة التحكم. لذلك نبدأ بجرد الأصول التشغيلية وتقسيم الشبكة، لا بأدوات الكشف.

Question 15

ما الفرق بين CSCC وECC؟

Accepted Answer

ECC هي الحد الأدنى العام لكل الجهات المشمولة، بينما ضوابط الأمن السيبراني للأنظمة الحساسة أضيق نطاقاً وأعمق متطلباً: تخصّ الأنظمة التي يؤدي تعطّلها إلى أثر جسيم على الأرواح أو الأمن الوطني أو استمرارية خدمات حرجة. عملياً: تُطبّق ECC على المؤسسة كاملة، وتُطبّق CSCC إضافياً على الأنظمة التي تُصنَّف حساسة. الخطأ الشائع تطبيق الاثنين على كل شيء، فتتضاعف التكلفة بلا مبرر.

Question 16

هل يكفي ISO 27001 للامتثال السعودي؟

Accepted Answer

لا، ولا يقصد بذلك أنه بلا قيمة. ISO 27001 يبني نظام إدارة أمن معلومات ناضجاً، لكن ECC وإطار ساما يفرضان ضوابط محددة بمستوى تفصيل وأدلة لا يغطيها ISO بالضرورة، إضافة إلى متطلبات توطين وتبليغ للحوادث مرتبطة بالجهات التنظيمية. الطريق العملي الذي نستخدمه: بناء نظام إدارة على ISO، ثم خريطة ربط بين ضوابط ISO وضوابط ECC لسد الفجوات — لا مشروعان منفصلان.

Question 17

هل PCI-DSS مطلوب لنا إذا كنا نعالج بطاقات؟

Accepted Answer

ينطبق PCI-DSS على أي جهة تخزّن أو تعالج أو تنقل بيانات حامل البطاقة، ويُلزم به أساساً من شبكات البطاقات لا من جهة تنظيمية محلية — لكن الجهات المالية الخاضعة لإشراف ساما تُسأل عنه ضمن متطلبات الأمن والضمان. أسرع طريق لتقليل النطاق ليس شراء أدوات بل تقليص التعامل مع البيانات نفسها عبر التوكنة أو تفويض الدفع لمزوّد مؤهل، فينكمش النطاق من مؤسسة كاملة إلى تكامل واحد.

Question 18

ما المطلوب منا عند وقوع حادثة تسريب بيانات؟

Accepted Answer

الالتزام يتركّب من طبقتين: تبليغ الجهة التنظيمية القطاعية عن الحوادث السيبرانية الجسيمة وفق ضوابط القطاع، وإشعار أصحاب البيانات المتأثرين وفق نظام حماية البيانات الشخصية ولائحته. الترتيب الزمني هو ما يُسقط الجهات عادةً — يُطلب التبليغ السريع بينما التحقيق لا يزال جارياً، فيُنتظر «تحديد الحجم الكامل» وتضيع المهلة. لذلك نضع في خطة الاستجابة قالب تبليغ أولي يُرسل بمعطيات ناقصة، ثم تحديث لاحق.

الامتثال والأنظمة