دليل ارشادي للمدعى عليه

الأمن السيبراني للشركات في السعودية: التزام تنظيمي يحمي السمعة ويمنع «توقف الأعمال» لم يعد الأمن السيبراني شأنًا تقنيًا محضًا يُترك لقسم تقنية المعلومات، بل أصبح ملفًا إداريًا وتنظيميًا له أثر مباشر على العقود، واستمرارية الأعمال، وثقة العملاء، وحتى قابلية الشركة للفوز بالمناقصات والشراكات، اختراق واحد أو هجوم فدية يوقف الأنظمة، أو تسرب بيانات عملاء، أو انتحال بريد إلكتروني يحرّك تحويلات مالية قد يجرّ الشركة إلى خسائر تشغيلية وسمعية، والتزامات تعاقدية، ومسارات مساءلة وفق الأطر التنظيمية ذات العلاقة لذلك، تتعامل الشركات الناضجة مع الأمن السيبراني بوصفه «حوكمة مخاطر» تُدار وتُوثّق وتُراجع، لا مجرد أدوات حماية تُشترى وتُركّب. أولاً: لماذا أصبح الأمن السيبراني «ملف مجلس إدارة» وليس ملف قسم تقني؟ · لأن الخطر السيبراني يضرب «القيمة» لا «الأجهزة»: توقف الأنظمة، تعطل سلاسل الإمداد، انكشاف أسرار تجارية، وغرامات أو مطالبات تعويضية وفق العقود. · لأن الجهات المنظمة والمشترون الكبار يطلبون أدلة امتثال (سياسات، تقييم مخاطر، سجلات، اختبارات) قبل التعاقد خصوصًا في القطاعات الحساسة أو عند التعامل مع بيانات. · لأن الحماية وحدها لا تكفي: الشركة تُحاسَب على «الجاهزية» و«الاستجابة» و«التوثيق» بقدر ما تُحاسَب على وقوع الحادث نفسه. ثانياً: الإطار التنظيمي في السعودية… أين تبدأ التزامات الشركة؟ تتولى الهيئة الوطنية للأمن السيبراني في المملكة وضع الأطر والضوابط ذات العلاقة، ومن أبرزها الضوابط الأساسية للأمن السيبراني (ECC 2-2024) التي تهدف إلى تعزيز الأمن السيبراني وحماية الأصول المعلوماتية والتقنية. عمليًا، تتعامل كثير من الجهات المتعاقدة (خصوصًا الحكومية وشبه الحكومية) مع مواءمة هذه الضوابط بوصفها «شرط ثقة» في التوريد والتشغيل، حتى عندما تختلف درجة الانطباق حسب طبيعة الجهة ونطاقها. · الحوكمة وإدارة المخاطر: سياسة أمن سيبراني معتمدة، أدوار ومسؤوليات، منهجية تقييم مخاطر، ومراجعات دورية. · الدفاع والحماية: إدارة الهوية والصلاحيات، حماية الشبكات والأنظمة، التحديثات والثغرات، النسخ الاحتياطي والتشفير حيث يلزم. · الصمود والاستجابة: خطط استمرارية الأعمال والتعافي، وإجراءات استجابة للحوادث وتمارين محاكاة. · الأطراف الثالثة والسحابة: ضبط مخاطر الموردين ومقدمي الخدمات السحابية بعقود وضوابط وأدلة امتثال. · أنظمة التحكم الصناعي (عند الانطباق): متطلبات إضافية للبيئات التشغيلية والأنظمة الصناعية في القطاعات ذات الحساسية العالية. ثالثاً: الحوكمة السيبرانية… كيف تُترجم المسؤولية إلى قرارات قابلة للإثبات؟ في النزاعات والتحقيقات وما بعد الحوادث، السؤال لا يكون: «هل اشترت الشركة حلولًا أمنية؟» بل: «هل أدارت الخطر وفق منهج واضح ومثبت؟». الحوكمة السيبرانية تعني أن لدى الشركة قرارًا إداريًا واضحًا بشأن مستوى المخاطر المقبول، وخارطة مسؤوليات، ومؤشرات قياس، وأدلة تطبيق، والأهم: أن الأمن السيبراني مرتبط بسير العمل اليومي (التوظيف، الصلاحيات، المشتريات، التعاقد، المشاريع التقنية)، وليس معزولًا في دائرة تقنية. · مالك مخاطر سيبرانية على مستوى الإدارة: تعيين مسؤول/لجنة تُتابع المخاطر وتقرّ الأولويات والميزانيات وتراجع التقارير. · سجل أصول ومعلومات مُصنّف: ما الذي نحميه؟ أنظمة حرجة، بيانات حساسة، مفاتيح وصول، وواجهات تكامل. · قرارات موثقة وإثباتات تطبيق: سياسات، سجلات مراجعة صلاحيات، تقارير ثغرات، نتائج اختبارات نسخ احتياطي وتمارين استجابة. · إدارة مخاطر الموردين: إدخال متطلبات أمنية في المشتريات والعقود، واشتراط الإبلاغ عن الحوادث، وحق التدقيق حيث يلزم. رابعاً: عند اختراق البيانات… أين ينتهي «الأمني» ويبدأ «القانوني»؟ غالبًا ما تكون «حادثة الأمن السيبراني» هي نفسها «حادثة بيانات» في نظر العميل والشريك والجهة الرقابية: تسرب بيانات شخصية، أو انكشاف أسرار تجارية، أو تعديل غير مصرح به في سجلات مالية، هنا تظهر ثلاثة مسارات متداخلة يجب أن تكون الشركة مستعدة لها: (1) مسار تقني لاحتواء الحادث واستعادة التشغيل. (2) مسار قانوني/تنظيمي لتقييم الالتزامات ذات العلاقة (ومنها حماية البيانات). (3) مسار تعاقدي لإدارة الإخطارات والمسؤوليات مع العملاء والموردين ومقدمي الخدمات. · تعريف ما يُعد «حادثة» داخليًا: معايير واضحة للتصنيف (تسرب بيانات، فدية، انتحال، فقدان جهاز، إساءة صلاحيات). · فريق استجابة وأدوار اتصال: تقنية + قانوني/امتثال + علاقات عامة + إدارة عليا؛ مع قنوات اتصال بديلة عند تعطل البريد. · قرار الإخطار وإدارة الرسائل: متى نخطر العميل/الشريك؟ وماذا نقول دون الإضرار بالتحقيق أو الاعتراف غير المقصود بالمسؤولية؟ · توثيق أدلة الحادث: حفظ السجلات والقرائن الرقمية بما يدعم التحقيق الداخلي ويُفيد عند النزاع. · تحسينات ما بعد الحادث: إجراءات تصحيحية موثقة (تعديل صلاحيات، إغلاق ثغرات، تدريب، تحديث سياسات) مع جدول زمني ومسؤوليات. خامساً: برنامج أمن سيبراني قابل للتدقيق… كيف تبنيه الشركة وفق نهج ECC؟ الامتثال الحقيقي لا يُقاس بوجود «أداة» بل بوجود برنامج متكامل: سياسات معتمدة، إجراءات تشغيلية، ضوابط تقنية، وأدلة تنفيذ قابلة للمراجعة، وتُعد الضوابط الأساسية للأمن السيبراني (ECC 2-2024) الصادرة عن الهيئة الوطنية للأمن السيبراني مرجعًا وطنيًا مهمًا يحدد الحد الأدنى المتوقع لحماية الأصول المعلوماتية والتقنية، وبصرف النظر عن تفاصيل نطاق الانطباق على كل منشأة، فإن تبني منطق ECC كإطار عمل داخلي يساعد الشركة على (1) تحديد الفجوات، (2) ترتيب الأولويات، (3) إنتاج «حزمة أدلة» تُستخدم في المناقصات والتعاقدات والتدقيق الداخلي. · إدارة الهوية والوصول: مبدأ أقل صلاحية، تفعيل المصادقة متعددة العوامل للحسابات الحساسة، ومراجعات دورية للصلاحيات—خصوصًا عند ترك الموظف للعمل. · إدارة الثغرات والتحديثات: دورة واضحة للمسح، التصنيف، المعالجة، وإثبات الإغلاق، بدل الاعتماد على تحديثات متقطعة. · الرصد والتسجيل والاستجابة: سجلات (Logs) كافية، تنبيهات، وإجراءات استجابة مُجرّبة (Runbooks) لتقليل زمن الاكتشاف والاحتواء. · النسخ الاحتياطي والتعافي: نسخ احتياطي معزول/محمي ضد الفدية، واختبار استعادة فعلي وفق أهداف زمنية (RTO/RPO) تناسب الأعمال. · الموردون والسحابة: تقييم مخاطر المورد قبل التعاقد، وبنود تعاقدية للأمن السيبراني، واشتراطات للإبلاغ عن الحوادث وإدارة الوصول. قائمة تنفيذ عملية خلال 30 يومًا: الحد الأدنى الذي يغيّر وضع الشركة 1. تحديد النطاق والأصول الحرجة: ما الأنظمة التي يؤدي تعطلها إلى توقف الأعمال؟ وما البيانات الأكثر حساسية؟ 2. تقييم فجوة سريع مقابل ECC (على مستوى عناوين): أين نحن من الحوكمة، الهوية، النسخ الاحتياطي، الرصد، وإدارة الموردين؟ 3. إجراءات «نظافة سيبرانية» فورية: تفعيل MFA، إغلاق الحسابات غير المستخدمة، تحديثات حرجة، ومراجعة صلاحيات الوصول للبيانات. 4.نسخ احتياطي قابل للاستعادة: إنشاء/تحسين نسخ احتياطي مع اختبار استعادة فعلي (وليس نظريًا) للأنظمة الحرجة. 5.خطة استجابة للحوادث + تمرين طاولة: أدوار، قنوات اتصال بديلة، خطوات احتواء، ونموذج قرار للإخطار. 6.بنود أمن سيبراني في العقود الجديدة: التزامات المورد بالإبلاغ، ضوابط الوصول، التشفير عند الحاجة، وحق التدقيق/التقارير حيث يلزم. الأمن السيبراني استثمار في الاستمرارية… وليس كلفة طارئة. كل شركة تعمل رقميًا لديها «سطح هجوم»—سواء أدركت ذلك أم لا. الفارق الحقيقي هو: هل لدى الشركة برنامج يحكم المخاطر ويُثبت الضوابط ويقلّل أثر الحوادث؟ تبنّي نهج وطني مثل ECC كخارطة طريق داخلية (سياسات + إجراءات + ضوابط + أدلة) يساعد الشركة على تقليل احتمالات الاختراق، وتسريع الاستعادة عند وقوعه، ورفع جاهزيتها للتعاقدات والتدقيقات. الأمن السيبراني في جوهره هو حماية الاستمرارية والسمعة—وهما أصلان لا تُقدّر خسارتهما بثمن. تنبيه: هذا المقال لأغراض التوعية العامة ولا يُعد استشارة قانونية أو تقنية متخصصة. تختلف المتطلبات وحدود الانطباق بحسب نوع الشركة ونشاطها والجهات المنظمة ذات العلاقة، ويُستحسن الرجوع إلى الوثائق التنظيمية الرسمية ذات الصلة واستشارة مختصين مرخّصين قبل اتخاذ قرارات أو إجراءات.