شرح NCA ECC-2:2024

لإعادة الترقيم أثر عملي. فإذا كان سجل الفجوات لديك، أو خطة معالجة المخاطر، أو استبيانات الموردين، لا تزال تستخدم أرقام ضوابط ECC-1، فهي تشير إلى هيكل لم يعد موجودًا، ونقلها إلى الهيكل الجديد عمل حقيقي، لا مجرد بحث واستبدال.

يُقرأ مرجع الضابط هكذا: المكون الأساسي، ثم المكون الفرعي، ثم الضابط الأساسي، ثم الضابط الفرعي. فالمرجع 2-3-2-6 يعني المكون الأساسي 2، والمكون الفرعي 3، والضابط الأساسي 2، والضابط الفرعي 6. واستخدام المرجع الكامل في سجل الفجوات يستحق الأحرف الإضافية، لأنه يصمد أمام أي إعادة هيكلة مستقبلية، وهو ما لا يفعله عنوان الضابط.

بالنسبة إلى منشأة خاصة ليست لديها بنى تحتية وطنية حساسة، تصل ضوابط ECC عادة عبر عقد، لا بموجب القانون. فسلاسل التوريد الحكومية تنقلها نزولًا: المقاول الرئيسي الذي يجب عليه إثبات الامتثال ينقل متطلبات الضوابط إلى مورديه. هذا الالتزام حقيقي، وهو التزام تعاقدي. سمّه بدقة، بدل أن تصفه بأنه قانون ينطبق عليك.

وحيث تنطبق ضوابط ECC، فإنها تنطبق كاملة: كل ضابط منطبق على الجهة، لا مجموعة مختارة منها. والانطباق يتبع ما تقوم به، لا ما تفضل إدراجه في النطاق.

اقرأ قائمة المكونات الأساسية قبل تقييم الفجوات، لأنها تغير من يجب أن يكون في الغرفة. فالمنشأة التي تتوقع تدقيقًا تقنيًا تكتشف أن ثلث المكونات الفرعية يتعلق بالاستراتيجية، والإدارة، والسياسات، والأدوار، والمخاطر، وإدارة المشاريع، والامتثال، والتدقيق، والموارد البشرية، والتوعية.

تعامل بحذر مع أي عرض لشهادة ECC. فهو علامة موثوقة على أن من يقدمه لم يقرأ الوثيقة، ومن المفيد أن تسأل ما الذي ستستلمه بالضبط، ومن سيعترف به.

وتنشر NCA أداة لتقييم ECC-2:2024 والامتثال لها، لتنظيم عملية التقييم والقياس. وتقتضي الفقرة 3 من المادة 10 من تنظيم الهيئة الوطنية للأمن السيبراني، والأمر السامي رقم 57231 وتاريخ 10/11/1439هـ، الامتثال الدائم والمستمر. وعمليًا، يجب الحفاظ على الأدلة طوال العام، لا جمعها استعدادًا لزيارة.

ليس لأي منهما مقابل في ISO 27001، ولا يُعد أي منهما مشروعًا. إنهما التزامان تنظيميان تترتب عليهما آثار في الميزانية وعدد الموظفين وخط الارتباط الإداري، ولا يغلقهما أي إجراء.

ومتطلب الاستقلالية، المستند إلى الأمر السامي رقم 37140 وتاريخ 14/08/1438هـ، هو الذي يفاجئ في أغلب الأحيان الجهة متوسطة الحجم التي كان الأمن السيبراني فيها دائمًا جزءًا من عمل مدير تقنية المعلومات. والفصل بينهما يعني خط ارتباط مختلفًا، وميزانية مختلفة، وشخصًا مهمته أن يخالف تقنية المعلومات الرأي حين يكون الأمر مهمًا. وهذا هو المقصود.

خطط للاثنين مبكرًا. فالبرنامج الذي يؤجل ضابطي التوظيف والهيكل إلى النهاية يكتشف أن البندين اللذين يحتاجان إلى أطول مهلة للتنفيذ قد تُركا إلى الآخر.

والفجوات هيكلية لا تقنية. يقوم ISO 27001 على الانتقاء بحسب المخاطر: يجوز لك تبرير استبعاد ضابط، والتبرير نفسه خاضع للتدقيق. أما ضوابط ECC فتفرض ما تنص عليه: تمتثل لكل ضابط منطبق عليك. وهذا الفرق وحده يعيد تشكيل سجل الفجوات.

ثم هناك المتطلبات السعودية التي لا يتضمنها ISO 27001: وظيفة أمن سيبراني مستقلة، وشغل وظائف الأمن السيبراني بمواطنين سعوديين، ورفع التقارير إلى NCA عبر أداة الامتثال. ولا ينتج أي قدر من نضج نظام إدارة أمن المعلومات هذه المتطلبات.

وحين ينطبق الاثنان، فالطريق الأكفأ أن يكون ISO 27001 هو نظام الإدارة، مع مطابقة ECC-2:2024 فوقه، وسجل فجوات مفهرس بالمرجع الكامل للضابط. نظام واحد، والتزامان بالإبلاغ، والأدلة تُجمع مرة واحدة.

الإصدارات مهمة هنا بقدر أهميتها في ECC، لذلك تحقق من الإصدار الحالي في قائمة الضوابط لدى NCA قبل أي مطابقة. ونذكر رقم الإصدار لمجموعتي ECC وCCC فقط، لأنهما المجموعتان اللتان تحققنا منهما مقابل صفحات NCA نفسها.

وتدرج NCA أيضًا ضمن أطرها الإطار الوطني لإدارة مخاطر الأمن السيبراني، والإطار السعودي لكوادر الأمن السيبراني. وإذا سمى عقد أيًا من هذه الوثائق، فطابقها فوق سجل ECC نفسه بدل أن تفتح سجلًا ثانيًا. فمعظم الأدلة مشتركة، والسجلان اللذان يُحفظان جنبًا إلى جنب يتباعدان مع الوقت.

ينطبق نظام PDPL على أي منشأة تعالج بيانات شخصية في المملكة، أيًا كان حجمها، لذلك تكون الجهة الداخلة في نطاق ECC داخلة في نطاق PDPL أيضًا في كل الأحوال تقريبًا. ويجب إبلاغ SDAIA بتسرب البيانات الشخصية الذي قد يسبب ضررًا خلال 72 ساعة من العلم به، ولمكون التعزيز في ECC مكون فرعي خاص بإدارة الحوادث والتهديدات. وينبغي أن يحمل إجراء واحد للحوادث المسارين معًا.

والأمر نفسه ينطبق على السجلات. فالضوابط التي تحمي البيانات الشخصية ينبغي أن تظهر مرة واحدة، ويُشار إليها من سجل ضوابط ECC ومن سجلات المعالجة وفق PDPL معًا، فيجيب دليل واحد عن سؤال جهتين تنظيميتين.

القائمة التالية هي الترتيب الذي كنا سنعمل به. ولا يحتاج أي منها إلى أحد من خارج منشأتك.