الجاهزية لضوابط NCA ECC والأدلة التي تستند إليها
تحديد الوضع مقابل ECC-2:2024 ضابطًا ضابطًا، ووثائق الحوكمة التي تتطلبها، وخطة معالجة لكل سطر فيها مسؤول.
- مجموعة الضوابط
- ECC-2:2024، 4 مكونات أساسية و28 مكونًا فرعيًا
- الضوابط
- 108 ضوابط أساسية و92 ضابطًا فرعيًا
- شهادة ECC
- غير موجودة، ولا يمكن لأحد إصدارها
- كيف تتحقق NCA
- التقييم الذاتي، وأداة الامتثال، والتدقيق الميداني
- التغطية
- الرياض والمنطقة الشرقية، وتُقرأ الوثائق عن بعد
ECC-2:2024 هي مجموعة الضوابط التي تمثل الحد الأدنى الإلزامي لدى NCA: 4 مكونات أساسية، و28 مكونًا فرعيًا، و108 ضوابط أساسية، و92 ضابطًا فرعيًا. وهي ملزمة للجهات الحكومية والجهات التابعة لها، ولجهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغلها أو تستضيفها. لا توجد شهادة ECC. والجاهزية تعني أن كل ضابط منطبق إما مثبت بالأدلة، أو مدرج في خطة مؤرخة وله مسؤول.
- 01 المكالمة
- 02 النطاق
- 03 القراءة
- 04 السجل
- 05 الوثائق
- 06 الخطة
موقع الجاهزية لضوابط NCA ECC والأدلة التي تستند إليها هو الخطوة 4 من كيف يسير التعاقد. تستلم السجل.
ضابطان لا تكفي الكتابة لاستيفائهما
يتطلب الضابط 1-2-1 إدارة للأمن السيبراني مستقلة عن إدارة تقنية المعلومات، ويُفضل أن ترتبط برئيس الجهة. ويتطلب الضابط 1-2-2 أن يشغل وظائف الأمن السيبراني مختصون سعوديون متفرغون ومؤهلون.
لا يكفي إجراء لإغلاق أي منهما. فكلاهما يعني خط ارتباط إداريًا، وميزانية، وتوظيفًا. وفي الجهة متوسطة الحجم التي كان الأمن فيها دائمًا جزءًا من عمل مدير تقنية المعلومات، يكون الضابط 1-2-1 هو مصدر الخلاف. نضع الاثنين في مقدمة الخطة، لأنهما يحتاجان إلى أطول مهلة للتنفيذ، ويحددان المسؤول عن كل ما سواهما.
ومعظم الضوابط الأخرى تتعثر عند الأدلة، لا عند التطبيق. فعبارة «تُجرى مراجعات الصلاحيات بالبريد الإلكتروني ولا تُسجل» تعني حالة جزئية، والحل سجل لا منتج. كان العمل يُنجز. لكن أحدًا لم يستطع إثباته.
سبعة مجالات عمل، ينتهي كل منها بوثيقة
العمود الثالث هو ما يحتفظ به فريقك ويحافظ عليه بعد انتهاء التعاقد.
| المجال | ما نقوم به | ما تحتفظ به |
|---|---|---|
| مطابقة الضوابط | تقييم كل ضابط منطبق بأنه مثبت بالأدلة أو جزئي أو غير موجود، مع تسجيل الأدلة التي اطلعنا عليها مقابله. | سجل الضوابط |
| وثائق الحوكمة | السياسات والمعايير والإجراءات التي تتطلبها مجموعة الضوابط، تُعد وفق مسار الاعتماد لديك. | مجموعة الوثائق |
| حصر الأصول والبيانات | ما لديك، وأين يوجد، ومن المسؤول عنه، وأي الضوابط تنطبق عليه. | قائمة الحصر |
| بنية الأدلة | كيف ينتج كل ضابط سجلًا يستطيع المراجع فتحه، وأين يُحفظ ذلك السجل. | خريطة الأدلة |
| الأطراف الثالثة والخدمات السحابية | وضعك التعاقدي والتوثيقي مع الموردين وجهات الاستضافة، مقروءًا مقابل المكون الأساسي 4. | صفوف الموردين والخدمات السحابية في السجل |
| اختبار الاختراق وإدارة الثغرات | الإجراء الذي تتطلبه هذه الضوابط، ونطاق للاختبار، ومقارنة بين المزودين الذين يمكنك التعاقد معهم. | نطاق اختبار جاهز للإرسال |
| المعالجة | الفجوات مرتبة حسب المخاطر والجهد، لكل منها مسؤول، ومكتوبة بحيث يستطيع فريق تقنية المعلومات لديك أو موردوه تنفيذ البنود الفنية. | خطة المعالجة |
الوثائق التي تبقى في يدك في النهاية
سجل الضوابط
كل ضابط منطبق مع حالته، والأدلة التي اطلعنا عليها، والمسؤول عنه، وفق ترقيم NCA نفسه. إنه وثيقة العمل، لا التقرير.
سجل الفجوات
الفجوات وحدها، مرتبة، مع ما يتطلبه إغلاق كل منها. وهو قصير بما يكفي لاجتماع الإدارة.
مجموعة وثائق الحوكمة
السياسات والمعايير والإجراءات التي تتطلبها ضوابط ECC، تُعد وفق مسار الاعتماد لديك، لا تُنقل من حزمة نماذج جاهزة.
خريطة الأدلة
لكل ضابط، السجل الذي يثبته ومكان حفظ ذلك السجل. وهذا ما يفتحه المراجع.
خطة المعالجة
الفجوات مرتبة، لكل منها مسؤول وتاريخ، ومكتوبة بحيث يستطيع مورد آخر تنفيذ البنود الفنية.
نطاق اختبار
لضوابط اختبار الاختراق: الأهداف، والاستثناءات، وفترة الاختبار، جاهز للإرسال إلى المزودين.
من بند العقد إلى جلسة الاستعراض
تُحدد المدة من تحديد النطاق حتى جلسة الاستعراض عند تحديد النطاق. ومجموعة الشركات التي تتشارك الخدمات ولا تملك قائمة أصول تستغرق وقتًا أطول، وقائمة الأصول هي الجزء الذي يستغرق الوقت.
- 01
النطاق
أي كيان قانوني، وأي مواقع وأنظمة، مقروءة مقابل الالتزام أو بند العقد. والمخرج بيان النطاق.
- 02
جمع الوثائق
سياساتك وسجلاتك وعقودك ولقطات الشاشة القائمة، نقرؤها قبل أن نطرح سؤالًا واحدًا. والمخرج فهرس وثائق.
- 03
المقابلات
جلسات قصيرة مع الأشخاص الذين يطبقون كل ضابط، لأن الوثائق والتطبيق نادرًا ما يتطابقان.
- 04
تحديد حالة كل ضابط
مثبت بالأدلة أو جزئي أو غير موجود، مع تسجيل الأدلة. والحالة الجزئية هي الأكثر شيوعًا والأكثر فائدة، لأنها تسمي ما ينقص.
- 05
كتابة الفجوات
كل فجوة مع الجهد اللازم لإغلاقها، حتى تُناقش الخطة على أساس التكلفة لا على أساس المبدأ.
- 06
إعداد الوثائق
وثائق حوكمة لكل ما هو ناقص أو غير صالح للاستخدام، تُعد وفق مسار الاعتماد لديك.
- 07
استعراض النتائج
جلسة مع الإدارة، وهي التي تقرر ترتيب المعالجة. والمخرج خطة المعالجة.
حين يتوقف تجديد العقد مع العميل على ذلك
شركة خدمات في الرياض يبلغها عميل تابع لجهة حكومية أن تجديد العقد مرهون بعرض وضعها مقابل ECC-2:2024.
أما هل تُلزم ضوابط ECC الشركة مباشرة، فهذا سؤال لمستشاريها القانونيين، ونقول لها ذلك. ويحسم بند العقد النطاق العملي: كيان قانوني واحد، ومكتبان، ونظام ERP، والبريد الإلكتروني.
نقرأ السياسات القائمة، وعقود الخدمات السحابية، وجدول بيانات الأصول قبل المقابلة الأولى. يتوقف الجدول عند الحواسيب المحمولة ويغفل الحسابات السحابية، لذلك يُعاد بناء الحصر أولًا. ثم تأتي المقابلات مع مدير تقنية المعلومات والموارد البشرية والمالية.
تُصنف معظم الضوابط جزئية. ويُصنف الضابطان 1-2-1 و1-2-2 غير موجودين، لأن الأمن جزء من دور مدير تقنية المعلومات، فتضع الخطة قرارًا بشأن ذلك أمام الإدارة أولًا. ولا يمكن إثبات ضوابط اختبار الاختراق بالأدلة دون اختبار، لذلك تتضمن الخطة نطاق اختبار ومقارنة بين المزودين.
تحتفظ الشركة بسجل للضوابط، وسجل للفجوات، ومجموعة وثائق حوكمة معدة لاعتمادها هي، وخريطة أدلة، وخطة معالجة يستطيع عميلها قراءتها.
من تُلزمه، ومن تصل إليه
النطاق القانوني ضيق. أما النطاق العملي فأوسع بكثير، وتشجع NCA كل الجهات الأخرى في المملكة على تبني الضوابط.
الجهات الحكومية والجهات التابعة لها
الوزارات والهيئات وغيرها من الجهات الحكومية، والشركات والجهات التابعة لها، داخل المملكة وخارجها. وعليها تنطبق ضوابط ECC كاملة: كل ضابط ذي صلة بالجهة، لا مجموعة مختارة منها.
مالكو البنى التحتية الوطنية الحساسة ومشغلوها ومستضيفوها
جهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغلها أو تستضيفها ملزمة مباشرة. والانطباق يتبع ما تقوم به الجهة، لا ما تفضل إدراجه في النطاق.
بند ECC في عقد جهة أخرى
مقاول لدى وزارة، ومورد برمجيات لمشغل بنية تحتية وطنية حساسة، ومزود خدمات لوجستية لجهة تابعة لجهة حكومية، كلهم يجدون بنود ECC في عقودهم. هذا الالتزام حقيقي، وهو التزام تعاقدي. نقرأ البند أولًا، لأنه يسمي عادة الأنظمة المشمولة بالنطاق، ونادرًا ما تكون الإجابة الشركة كلها.
حين يسمي العقد مجموعة ضوابط أخرى
ضوابط ECC هي الأساس. وتنشر NCA أيضًا ضوابط الأمن السيبراني للحوسبة السحابية CCC-2:2024، التي تنطبق على مقدمي الخدمات السحابية وعلى الجهات التي تستخدمها معًا، إضافة إلى المجموعات المذكورة أدناه. وإذا سمى عقد أو جهة تنظيمية إحداها، نطابقها فوق السجل نفسه بدل أن نبدأ سجلًا ثانيًا.
- ضوابط الأمن السيبراني للأنظمة الحساسة
- ضوابط الأمن السيبراني للأنظمة التشغيلية
- ضوابط الأمن السيبراني للبيانات
- ضوابط الأمن السيبراني للعمل عن بعد
- ضوابط الأمن السيبراني لحسابات التواصل الاجتماعي للجهات
- المعايير الوطنية للتشفير
أسئلة قبل تقييم ECC
هل توجد شهادة ECC؟
لا. لا يمكن الحصول على شهادة في ECC، ولا تصدرها أي جهة منح شهادات. تتحقق NCA من الامتثال عبر التقييم الذاتي، وأداة الامتثال لديها، والتدقيق الميداني. وإذا عُرضت عليك شهادة ECC، فهذا سبب لتسأل ما الذي ستستلمه بالضبط.
هل تنطبق ضوابط ECC علينا؟
تُلزم الجهات الحكومية والجهات التابعة لها، ومالكي البنى التحتية الوطنية الحساسة أو مشغليها أو مستضيفيها من القطاع الخاص. أما غيرهم فتصلهم عادة عبر عقد. وهل تُلزمك قانونًا أم لا، فهذا سؤال لمستشاريك القانونيين. ونحن نعمل انطلاقًا من الالتزام القائم عليك فعلًا.
هل يجعلنا ISO 27001 ممتثلين لضوابط ECC؟
يقطع بك شوطًا طويلًا، لا الطريق كله. يسمح لك ISO 27001 بتبرير استبعاد ضابط، أما ECC فتطبق كل ضابط ذي صلة بك. وليس للضابطين 1-2-1 و1-2-2 مقابل في ISO.
هل تستطيعون تعبئة أداة الامتثال لدى NCA نيابة عنا؟
التقييم الذاتي يخص جهتك، وهي التي تقدمه. نحن نعد الأدلة والإجابات، ليستطيع الشخص الذي يقدمه أن يتحمل مسؤولية كل سطر فيه.
من ينفذ اختبار الاختراق الذي تطلبه ضوابط ECC؟
مزود اختبار تتعاقد معه أنت. نكتب النطاق، ونساعدك في مقارنة المزودين، ونراجع التقرير معك، لتدخل كل ملاحظة في خطة المعالجة ولها مسؤول.
ما الذي يحدد التكلفة؟
الكيانات والمواقع ضمن النطاق، وحجم الوثائق الموجودة بالفعل، وعدد المسؤولين عن الضوابط الذين يجب مقابلتهم، وما إذا كان النطاق يشمل الموردين والخدمات السحابية.
إلى جانب هذا العمل
السياسات الأمنية والحوكمة
مجموعة السياسات التي يطلبها مكون الحوكمة في ECC، مكتوبة لتُعتمد وتُستخدم.
اقرأ المزيدITF Cyberالتكليف باختبار الاختراق
النطاق، ومقارنة المزودين، وقراءة التقرير وصولًا إلى إعادة الاختبار.
اقرأ المزيدITF Cyberأمن الأطراف الثالثة والموردين
المكون الأساسي 4 عمليًا: ما يلتزم به موردوك وجهات الاستضافة تجاهك كتابة.
اقرأ المزيددليلشرح NCA ECC-2:2024
المكونات الأساسية، والنطاق، وقائمة بالخطوات الأولى، في قراءة واحدة مطولة.
اقرأ المزيدITF Consultالجاهزية لمعيار ISO 27001
نظام الإدارة الذي تقوم عليه، مع مطابقة ECC فوقه.
اقرأ المزيدITF Trainingدورة التوعية بالأمن السيبراني
يطلب المكون الفرعي 1-10 برنامجًا للتوعية، والدورة جزء منه.
اقرأ المزيدجزء من نظام واحد
كل قطاع يحفظ سجلاته وفق المعيار نفسه، فيعمل القطاع الثاني الذي تحتاجه بالطريقة التي عمل بها الأول.
ابدأ من البند الذي وصلك
شاركنا بند العقد أو خطاب الجهة التنظيمية في المكالمة الأولى. فهو يحسم أي كيان وأي مواقع وأنظمة تدخل في النطاق، وتُبنى كل وثيقة بعده على بيان النطاق ذاك.