من مهام الهيئة الوطنية للأمن السيبراني: ما يهم مؤسستك

حين يسأل مدير تقنية المعلومات عن متطلبات الامتثال في السعودية، يعود الجواب في الغالب إلى جهة واحدة. فمن مهام الهيئة الوطنية للأمن السيبراني وضع القواعد التي تعمل بها الجهات الحكومية والقطاعات الحيوية، ومتابعة تطبيقها.

لكن قائمة المهام الرسمية لا تشرح وحدها ما المطلوب منك فعليًا. في هذا الدليل نعرض المهام كما وردت، ثم نترجمها إلى خطوات يستطيع فريقك البدء بها هذا الأسبوع.

نبذة سريعة عن الهيئة

التأسيس والارتباط

أُنشئت الهيئة بأمر ملكي في 31 أكتوبر 2017، ولها شخصية اعتبارية مستقلة. وترتبط مباشرة بالملك، وهذا يمنح قراراتها وزنًا واضحًا لدى الجهات الحكومية والخاصة على حد سواء.

يرأس مجلس إدارتها وزير الدولة الدكتور مساعد العيبان، بحسب صفحة الهيئة الوطنية للأمن السيبراني على ويكيبيديا.

لماذا تهمك كمؤسسة؟

تحدد الضوابط التي يُقاس عليها مستوى أمنك السيبراني.

تتابع التزام الجهات الخاضعة لها وتطلب تقارير دورية.

تنشر التحذيرات من الثغرات والتهديدات الجديدة.

من مهام الهيئة الوطنية للأمن السيبراني

تتوزع مهام الهيئة على عدة محاور. بعضها تنظيمي بحت، وبعضها تشغيلي يمس يومك مباشرة.

1. الاستراتيجية الوطنية والسياسات

أول ما يرد ضمن من مهام الهيئة الوطنية للأمن السيبراني هو إعداد الاستراتيجية الوطنية للأمن السيبراني والإشراف على تنفيذها. ويتبع ذلك:

تحديث السياسات وآليات الحوكمة.

وضع أطر إدارة المخاطر السيبرانية.

تحديد القطاعات والجهات الحساسة التي تحتاج حماية أعلى.

2. الضوابط والأطر التنظيمية

هذا المحور هو الأقرب إلى عمل فرق الامتثال. تنشر الهيئة وثائقها التنظيمية على صفحة الوثائق التنظيمية في موقعها الرسمي.

الضوابط الأساسية للأمن السيبراني (ECC)

هي الحد الأدنى المطلوب من الجهات الخاضعة. وتضم النسخة الحالية 2-2024 أربعة مكونات رئيسية، بعد إزالة مكون الأنظمة الصناعية الذي كان في الإصدار الأول. شرحنا تفاصيلها في مقال الضوابط الأساسية للأمن السيبراني.

ضوابط القطاعات والسياقات الخاصة

إلى جانب الضوابط الأساسية، أصدرت الهيئة ضوابط متخصصة، منها:

ضوابط الأمن السيبراني للحوسبة السحابية.

ضوابط الأمن السيبراني للأنظمة الحساسة.

ضوابط الأمن السيبراني للأنظمة التشغيلية.

ضوابط الأمن السيبراني للعمل عن بعد.

ضوابط الأمن السيبراني لحسابات التواصل الاجتماعي للجهات.

3. الاستجابة للحوادث ومشاركة المعلومات

لا يقتصر دور الهيئة على كتابة القواعد. فهي تنبّه الجهات إلى التهديدات وتشارك في الاستجابة للحوادث وفق أطر محددة.

إنشاء مراكز عمليات وطنية للأمن السيبراني.

بناء آليات لتبادل المعلومات بين الجهات والقطاعات.

دعم التحقيقات في الجرائم السيبرانية.

4. معايير التشفير وترخيص الأجهزة

تضع الهيئة معايير التشفير المعتمدة. كما تحدد شروط ترخيص استيراد وتصدير الأجهزة والبرمجيات الحساسة.

قد يبدو هذا بعيدًا عن عملك اليومي. لكنه يظهر فجأة حين تشتري حلًا أمنيًا من مورد خارجي.

5. بناء الكوادر ونشر الوعي

يدخل ضمن من مهام الهيئة الوطنية للأمن السيبراني أيضًا تأهيل الكوادر الوطنية ورفع الوعي العام. ومن أمثلة ذلك:

برامج تدريب لموظفي الجهات الحكومية وطلاب الجامعات.

برنامج سايبر برو بالشراكة مع شركة تقنية المعلومات السعودية.

معرض توعوي متنقل أُطلق عام 2022.

ماذا تعني هذه المهام لمؤسستك على أرض الواقع؟

فهم من مهام الهيئة الوطنية للأمن السيبراني مفيد، لكن الأهم هو أثرها على قراراتك. نراه عادة في ثلاث مساحات.

الامتثال وقياس الفجوات

إذا كانت جهتك خاضعة للضوابط، فستُقاس على بنود محددة. والخطوة الأولى دائمًا تقييم الفجوات بين وضعك الحالي وما تطلبه الضوابط.

السياسات المكتوبة والمعتمدة

كثير من البنود يبدأ بعبارة "يجب تحديد وتوثيق واعتماد". أي أن السياسة المكتوبة المعتمدة من الإدارة شرط، وليست تفصيلًا إداريًا.

التوعية والتدريب المستمر

تشترط الضوابط برامج توعية للموظفين. والبرنامج الذي يُنفَّذ مرة في السنة لا يغير السلوك غالبًا.

الأدلة والتقارير

يطلب المراجع دليلًا لا وعدًا. احتفظ بسجلات التدريب، ومحاضر الاعتماد، ونتائج الاختبارات.

خطوات عملية للتوافق مع متطلبات الهيئة

هذه خطوات بالترتيب الذي نراه أنجح عند العمل مع الجهات:

حدد هل جهتك خاضعة للضوابط، وأي ضوابط متخصصة تنطبق عليها.

عيّن مسؤولًا عن الأمن السيبراني بصلاحيات واضحة.

أجرِ تقييم فجوات مكتوبًا لكل مكون من مكونات الضوابط.

اكتب السياسات الناقصة واعتمدها من الإدارة العليا.

أطلق برنامج توعية مستمرًا يشمل محاكاة هجمات التصيد.

وثّق كل شيء، وجهّز ملف أدلة قبل أي مراجعة.

أخطاء شائعة تؤخر الامتثال

نسخ سياسات جاهزة دون تكييفها مع واقع الجهة.

اعتبار الامتثال مشروعًا ينتهي، لا عملية مستمرة.

إسناد الملف كاملًا لقسم التقنية دون إشراك الإدارة.

كيف تقرأ من مهام الهيئة الوطنية للأمن السيبراني كإدارة عليا؟

كثير من المديرين يعتبرون الأمن السيبراني ملفًا تقنيًا خالصًا. لكن الضوابط توزع المسؤولية على أكثر من طرف داخل الجهة، وكل طرف يحتاج أن يعرف دوره.

ما الذي يقع على الإدارة العليا؟

اعتماد استراتيجية الأمن السيبراني للجهة وسياساتها.

تخصيص الميزانية والموارد البشرية الكافية.

متابعة مؤشرات الأداء ومستوى الامتثال بشكل دوري.

ما الذي يقع على إدارة الأمن السيبراني؟

تطبيق الضوابط التقنية ومراقبة فعاليتها.

إدارة الثغرات والحوادث والاستجابة لها.

رفع التقارير للإدارة والجهات المختصة.

ما الذي يقع على الموارد البشرية؟

إدخال متطلبات الأمن السيبراني في إجراءات التوظيف والمغادرة.

تنظيم برامج التوعية والتدريب للموظفين.

توثيق إقرار الموظفين بالسياسات.

هذا التوزيع هو ما يجعل من مهام الهيئة الوطنية للأمن السيبراني شأنًا يخص المؤسسة كلها، لا قسم التقنية وحده.

خطة 90 يومًا لبدء التوافق

إذا كنت تبدأ من الصفر، فهذه خطة واقعية نقترحها للأشهر الثلاثة الأولى.

الشهر الأول: الفهم والتقييم

اجمع الوثائق التنظيمية التي تنطبق على جهتك.

حدد الأنظمة والبيانات الأكثر حساسية.

أجرِ تقييم الفجوات الأولي ووثّق نتائجه.

الشهر الثاني: السياسات والأدوار

اكتب السياسات الناقصة بلغة يفهمها الموظف.

اعتمدها من الإدارة العليا ووزعها رسميًا.

حدد المسؤوليات بالأسماء، لا بالمسميات العامة.

الشهر الثالث: التوعية والقياس

أطلق برنامج التوعية بجلسة قصيرة لكل الموظفين.

نفّذ أول محاكاة تصيد لقياس الوضع الحالي.

اعرض النتائج على الإدارة مع خطة المعالجة.

الهيئة والجهات التنظيمية الأخرى

قد لا تكون الهيئة الجهة الوحيدة التي تضع متطلبات على مؤسستك. فبحسب القطاع، قد تخضع جهتك أيضًا لمتطلبات أخرى، منها:

البنك المركزي السعودي (ساما): إطار الأمن السيبراني للمؤسسات المالية الخاضعة لإشرافه.

سدايا: نظام حماية البيانات الشخصية ولوائحه.

الأفضل أن تبني برنامجًا واحدًا يغطي هذه المتطلبات معًا، بدل مشاريع امتثال منفصلة تتكرر فيها الجهود.

للصورة الأوسع، راجع مقالنا عن حوكمة الأمن السيبراني، ومقال الأمن السيبراني في السعودية.

أسئلة يطرحها المراجع عادة

عندما تُراجع جهتك مقابل الضوابط، تتكرر أسئلة بعينها. الاستعداد لها مسبقًا يوفر عليك كثيرًا من الوقت والتوتر.

عن الحوكمة

من المسؤول عن الأمن السيبراني، ولمن يرفع تقاريره؟

متى اعتُمدت السياسات آخر مرة، ومن اعتمدها؟

عن التطبيق

كيف تديرون صلاحيات الدخول، وكم مرة تراجعونها؟

ما آخر اختبار للثغرات، وما الذي عولج من نتائجه؟

عن الموظفين

كم نسبة الموظفين الذين أكملوا التوعية هذا العام؟

هل تقيسون أثر التوعية فعليًا، أم تكتفون بالحضور؟

إجابة هذه الأسئلة بالأدلة، لا بالكلام، هي الطريقة العملية لإثبات أنك فهمت من مهام الهيئة الوطنية للأمن السيبراني ما يخص جهتك.

الخلاصة

تختصر من مهام الهيئة الوطنية للأمن السيبراني في أربعة أدوار: تضع الاستراتيجية، وتكتب الضوابط، وتتابع الحوادث، وتبني الوعي.

أما بالنسبة لمؤسستك، فالترجمة العملية واضحة. سياسات مكتوبة ومعتمدة، وتوعية مستمرة، وأدلة جاهزة للمراجعة.

ابدأ بسياسات متوافقة مع ضوابط الهيئة

إدارة السياسات يدويًا عبر ملفات متفرقة هي أكثر ما يرهق فرق الامتثال. منصة PLCY-X لإدارة السياسات تجمع سياساتك في مكان واحد، وتتابع اطلاع الموظفين عليها وإقرارهم بها، وتحفظ سجلًا جاهزًا للمراجع.

تعرّف على حلول سايبراكس أو تواصل معنا لترتيب عرض يناسب جهتك.

الأسئلة الشائعة

ما أبرز مهام الهيئة الوطنية للأمن السيبراني؟

إعداد الاستراتيجية الوطنية، ووضع السياسات والضوابط، والاستجابة للحوادث وتبادل المعلومات، ووضع معايير التشفير، وتأهيل الكوادر ونشر الوعي.

متى أُنشئت الهيئة الوطنية للأمن السيبراني؟

أُنشئت بأمر ملكي في 31 أكتوبر 2017، وترتبط مباشرة بالملك.

هل تنطبق الضوابط الأساسية على القطاع الخاص؟

تنطبق على الجهات الحكومية والجهات الخاصة التي تملك بنى تحتية وطنية حساسة أو تشغّلها. وتستفيد منها بقية الشركات كمرجع لأفضل الممارسات.

أين أجد وثائق الضوابط الرسمية؟

في صفحة الوثائق التنظيمية على موقع الهيئة الرسمي nca.gov.sa.

هل من مهام الهيئة الوطنية للأمن السيبراني دعم التحقيقات؟

نعم. من بين مهامها المعلنة دعم التحقيقات في الجرائم السيبرانية، إلى جانب الاستجابة للحوادث وتبادل المعلومات بين الجهات.

ما أول خطوة للامتثال؟

تقييم الفجوات بين وضع جهتك الحالي ومتطلبات الضوابط، ثم ترتيب المعالجة حسب الأولوية.