الضوابط الأساسية للأمن السيبراني NCA: شرح مبسّط
114 ضابط مقسمة على 5 محاور. نشرح أهم الضوابط لمزودي الاستضافة والشركات التقنية — بدون مصطلحات معقّدة.
الضوابط الأساسية: ما الذي تتطلبه NCA فعلا
الهيئة الوطنية للأمن السيبراني أصدرت الضوابط الأساسية للأمن السيبراني (ECC-1:2018) كإطار إلزامي لكل الجهات الحكومية والشركات التي تتعامل مع بيانات حكومية أو بنية تحتية حرجة. هذا المقال يفصل المتطلبات الفعلية ويشرح كيفية تطبيقها عمليا على بنيتك التحتية الرقمية.
لمن تنطبق هذه الضوابط
ضوابط NCA إلزامية على:
- كل الجهات الحكومية بدون استثناء
- الشركات المشغلة للبنية التحتية الحرجة مثل الطاقة والمياه والاتصالات
- مزودي الخدمات لجهات حكومية
- القطاع المالي بالتوازي مع متطلبات ساما
- أي جهة تعالج أو تخزن بيانات حكومية
إذا كنت شركة تقنية تبني أنظمة لجهات حكومية، فأنت ملزم بهذه الضوابط حتى لو كنت شركة خاصة.
المحور الأول: حوكمة الأمن السيبراني
هذا المحور يتطلب إطارا مؤسسيا واضحا:
سياسة الأمن السيبراني
- وثيقة مكتوبة معتمدة من أعلى سلطة في المؤسسة
- تحدث سنويا على الأقل
- تغطي كل جوانب الأمن السيبراني
- موزعة على كل الموظفين
استراتيجية الأمن السيبراني
- خطة متعددة السنوات بأهداف قابلة للقياس
- ميزانية مخصصة للأمن السيبراني
- مراجعة سنوية وتحديث حسب المتغيرات
الأدوار والمسؤوليات
- تعيين مسؤول أمن سيبراني على مستوى تنفيذي
- فصل واضح بين المسؤوليات التشغيلية والأمنية
- تحديد مصفوفة المسؤوليات لكل ضابط
إدارة المخاطر السيبرانية
- تقييم مخاطر شامل سنوي كحد أدنى
- سجل مخاطر محدث بالتهديدات والثغرات
- خطط معالجة مع مواعيد تنفيذ محددة
المحور الثاني: تعزيز الأمن السيبراني
إدارة الهويات والوصول
| الضابط | التفاصيل |
|---|---|
| المصادقة الثنائية | إلزامية على كل الأنظمة الحرجة والحسابات الإدارية |
| أقل الصلاحيات | كل مستخدم يحصل على الحد الأدنى فقط |
| مراجعة الصلاحيات | كل 90 يوما كحد أقصى |
| سجلات الوصول | محفوظة 12 شهرا كحد أدنى |
| الحسابات الخاملة | تعطل بعد 90 يوما بدون استخدام |
التشفير
- TLS 1.2 كحد أدنى لكل الاتصالات مع تفضيل TLS 1.3
- تشفير البيانات الحساسة أثناء التخزين بمعيار AES-256
- إدارة مفاتيح التشفير بنظام مخصص
- تدوير المفاتيح كل 90 يوما
أمن الشبكات
- تقسيم الشبكة إلى مناطق أمنية معزولة
- جدار ناري بين كل منطقة
- نظام كشف التسلل IDS على الشبكات الحرجة
- مراقبة حركة المرور على مدار الساعة
المحور الثالث: صمود الأمن السيبراني
إدارة الثغرات الأمنية
- فحص ثغرات شامل شهريا على الأقل
- معالجة الثغرات الحرجة خلال 72 ساعة من الاكتشاف
- معالجة الثغرات العالية خلال 30 يوما
- اختبار اختراق سنوي من جهة خارجية مستقلة
النسخ الاحتياطي والاستعادة
- نسخ يومي لكل البيانات الحرجة
- تخزين النسخ في موقع منفصل جغرافيا
- اختبار الاستعادة ربع سنوي كحد أدنى
- تشفير كل النسخ الاحتياطية
- احتفاظ بالنسخ سنة كاملة للبيانات الحكومية
إدارة الحوادث الأمنية
- فريق استجابة معرف ومدرب
- إبلاغ NCA خلال ساعة واحدة من اكتشاف حادثة كبرى
- توثيق كل حادثة مع تحليل الأسباب الجذرية
- دروس مستفادة وتحديث الإجراءات بعد كل حادثة
المحور الرابع: أمن الأطراف الخارجية
قبل التعاقد
- تقييم أمني شامل لمزود الخدمة
- التحقق من شهاداته ومعايير الأمان
- مراجعة سياسات الأمان الخاصة به
أثناء العقد
- متطلبات أمنية واضحة في العقد
- حق التدقيق على ممارسات المزود
- مراقبة مستمرة لالتزام المزود
- إشعار فوري عند أي حادثة أمنية
عند الخروج
- خطة نقل بيانات واضحة ومجدولة
- تأكيد حذف البيانات من أنظمة المزود
- توثيق كامل لعملية الخروج
تطبيق الضوابط على البنية التحتية
ما يجب أن يوفره مزود الاستضافة
- مركز بيانات في السعودية بتصنيف Tier III
- تشفير SSL/TLS مجاني أو مدعوم
- نسخ احتياطي يومي مع خيارات احتفاظ مختلفة
- سجلات وصول متاحة للعميل
- دعم فني يفهم متطلبات NCA
ما يجب أن توفره المؤسسة
- سياسات وإجراءات مكتوبة ومحدثة
- تدريب منتظم للموظفين
- مراجعة دورية للصلاحيات والأنظمة
- خطة استجابة للحوادث جاهزة ومختبرة
تكلفة الامتثال مقابل عدم الامتثال
| البند | تكلفة الامتثال السنوية | تكلفة عدم الامتثال |
|---|---|---|
| سيرفر سعودي | 3,450 إلى أسعار تنافسية — الأسعار والباقات | غرامة حتى 5 مليون ريال |
| نظام مراقبة | 1,200 إلى 5,000 ريال | اختراق بدون كشف |
| اختبار اختراق | 5,000 إلى 20,000 ريال | ثغرات غير مكتشفة |
| تدريب | وقت الموظفين | 90% من الاختراقات تبدأ بخطأ بشري |
كلاود يوفر البنية التحتية المتوافقة مع متطلبات NCA. سيرفرات سعودية في مراكز بيانات معتمدة بالرياض وجدة. تشفير SSL مجاني. نسخ احتياطي يومي. دعم فني محلي يتحدث لغتك ويفهم متطلبات الامتثال. ابدأ من أسعار تنافسية — الأسعار والباقات في السنة.
ابدأ الآن
تبي بيئة آمنة لتطبيقاتك؟ اختر سيرفر محمي بحماية DDoS وجدار ناري متقدم. راجع اتفاقية مستوى الخدمة وسياسة الخصوصية.
