مدير أمن المعلومات في شركة تأمين بجدة يسمع السؤال نفسه كل عام من مجلس الإدارة: «نحن نلتزم بمتطلبات ساما، فلماذا نحتاج أيضاً إلى الهيئة الوطنية للأمن السيبراني؟». الجواب أقصر مما تتوقع، وأهم مما تتخيل. تابع القراءة، فالخلط بين الجهتين يكلّف الشركات وقتاً ومالاً وغرامات.
من هي ساما ومن هي الهيئة الوطنية للأمن السيبراني؟
البنك المركزي السعودي (ساما) هو الجهة المنظِّمة للقطاع المالي: البنوك وشركات التأمين والتمويل والمدفوعات والتقنية المالية. وقد أصدر إطار ساما للأمن السيبراني (SAMA CSF) ليكون إلزامياً على الجهات الخاضعة لإشرافه.
أما الهيئة الوطنية للأمن السيبراني (NCA) فهي المرجع الوطني للأمن السيبراني في المملكة عبر جميع القطاعات. تصدر ضوابط مثل الضوابط الأساسية (ECC) وضوابط الحوسبة السحابية وضوابط حماية البيانات، وتشرف على تطبيقها.
الفرق الجوهري بين إطار ساما للأمن السيبراني وضوابط الهيئة
- النطاق: إطار ساما قطاعي يخص الجهات المالية، وضوابط الهيئة وطنية تشمل الجهات الحكومية وجهات البنية التحتية الحساسة وغيرها حسب طبيعة كل ضابط.
- الهيكل: يقوم إطار ساما على أربعة مجالات (القيادة والحوكمة، وإدارة المخاطر والامتثال، والعمليات والتقنية، والأطراف الخارجية).
- القياس: يعتمد إطار ساما على مستويات نضج من 0 إلى 5، ويُتوقع من الجهات بلوغ المستوى الثالث فأعلى في معظم المجالات، بينما تقيس الهيئة الالتزام بالضوابط.
- الجهة المشرفة: ساما تتابع جهاتها المالية بنفسها، والهيئة تتابع الجهات الداخلة في نطاقها.
أين يتقاطع إطار ساما للأمن السيبراني مع الهيئة؟
التقاطع كبير في الموضوعات الجوهرية: حوكمة الأمن، وإدارة المخاطر، وإدارة الهويات والصلاحيات، وحماية الشبكات، والاستجابة للحوادث، وأمن الأطراف الخارجية. هذا يعني أن عملك في أحد الإطارين يخدم الآخر إذا بنيته بطريقة ذكية، فسياسة واحدة لإدارة الصلاحيات يمكن أن تغطي بنوداً في الإطارين معاً.
“إقرا أيضا عن: ضوابط الأمن السيبراني الأساسية“
أي إطار يجب أن تتبع شركتك؟
اسأل نفسك ثلاثة أسئلة:
- هل أنت جهة مرخّصة من ساما؟ إذن إطار ساما للأمن السيبراني إلزامي عليك.
- هل أنت جهة حكومية أو مشغّل بنية تحتية وطنية حساسة؟ إذن ضوابط الهيئة الوطنية للأمن السيبراني مطلوبة منك.
- هل تقدّم خدمات لأي من الجهتين؟ ستُطالَب غالباً بالتوافق مع الإطار المعني ضمن العقد.
مثال سعودي: شركة تقنية مالية في الرياض
شركة ناشئة في التقنية المالية مرخّصة من ساما، وتتعاقد في الوقت نفسه مع جهة حكومية لتقديم خدمة دفع. هذه الشركة تقف عند تقاطع الجهتين: الإطار المالي إلزامي بحكم الترخيص، وتوافقها مع ضوابط الهيئة مطلوب بحكم العقد الحكومي. الحل الأذكى هنا ليس بناء مشروعين منفصلين، بل بناء مصفوفة تقاطع تربط كل ضابط في أحد الإطارين بما يقابله في الآخر، ثم تنفيذ الضابط مرة واحدة وتوثيقه مرتين.
خطوات عملية لتوحيد الامتثال
- ابنِ سجل ضوابط موحداً يربط متطلبات الإطارين بأدلة واحدة.
- اعتمد سياسات عامة تغطي المجالات المشتركة بدل سياسة لكل جهة.
- أسند ملكية كل ضابط إلى شخص محدد بدل الاكتفاء بقسم عام.
- خطّط لتقييم داخلي سنوي يغطي الإطارين في دورة واحدة.
أخطاء تُربك الشركات عند المقارنة بين الإطارين
أكثر الأخطاء شيوعاً هو افتراض أن الامتثال لجهة يعفيك من الأخرى. ثم يأتي خطأ ثانٍ: تكرار العمل بسبب غياب مرجع موحد. وثالثها أن بعض الشركات تتجاهل تحديثات الإطارين، فتبني على نسخة قديمة وتكتشف الفرق في يوم التدقيق. راجع الإصدارات المعتمدة بانتظام، فالمتطلبات الرقابية تتطور باستمرار.
مقارنة سريعة: متى ينظر المدقق إلى كل إطار؟
تخيّل بنكاً صغيراً في الرياض يستعد لتقييم من ساما، وفي الوقت نفسه يستضيف بياناته لدى مزود سحابي ويعمل مع جهة حكومية. يتعامل فريق التدقيق مع إطار ساما في مسائل الحوكمة المالية والتشغيل والموردين، ويتعامل مع ضوابط الهيئة عند الحديث عن السحابة والبنية التحتية الحساسة. فهم هذا التوزيع يوفر عليك أسئلة المدققين المتكررة.
أسئلة شائعة عن إطار ساما والهيئة الوطنية
هل يغني إطار ساما عن الالتزام بضوابط الهيئة؟
ليس دائماً. إطار ساما يخص الجهات المالية الخاضعة لإشرافها، بينما قد تُلزم الجهة بضوابط الهيئة بحكم نشاطها الحكومي أو تشغيلها بنية تحتية حساسة أو بحكم عقودها. القاعدة الآمنة أن تراجع نطاق كل إطار بشكل منفصل.
هل مستويات التكملة في إطار ساما موجودة في ضوابط الهيئة؟
مستويات التكملة من 0 إلى 5 أسلوب مميز في إطار ساما. أما الهيئة فتقيس عادة مدى تطبيق كل ضابط. لذلك قد تحتاج إلى مؤشرين مختلفين في تقاريرك الداخلية.
ما أسرع طريقة لمعرفة المشاكل في إطار ساما؟
تقييم فجوات منظّم يقارن وضعك الحالي بكل مجال في إطار ساما، ثم يربط الملاحظات بالضوابط المقابلة لدى الهيئة. بهذه الطريقة يتحول تقييم واحد إلى صورة كاملة عن الجهتين.
ماذا عن الشركات الناشئة؟
الشركة الناشئة المرخّصة في القطاع المالي تلتزم بإطار ساما من اليوم الأول، لكن بتصميم أمني بسيط يمكنها تحقيق ذلك دون فرق ضخمة: أدوات سحابية موثوقة، وصلاحيات مضبوطة، وسياسات مختصرة وواضحة.
كيف توفّر الجهد عبر الأدلة المشتركة؟
الأدلة هي أثقل ما في أي تدقيق. ولحسن الحظ، كثير منها يخدم الجهتين معاً. تقرير فحص الثغرات الربع سنوي، وسجل مراجعة الصلاحيات، ومحضر اختبار خطة الاستمرارية، ونتائج حملة التوعية بالتصيّد، كلها أدلة يمكن إبرازها أمام ساما وأمام الهيئة. الفكرة أن تخزّنها في مستودع واحد منظم بأسماء ثابتة وتواريخ واضحة، وأن تضع على كل دليل وسماً يبيّن الضوابط التي يغطيها في كل جهة.
وبهذه الطريقة يتحول الاستعداد للتدقيق من سباق مرهق قبل الموعد بأسبوعين إلى عمل روتيني هادئ يسير على مدار العام.
ولا تنسَ عنصر الأطراف الخارجية: كلا الجهتين تهتم بما يفعله مورّدوك. فإذا كان مزود خدمة الدفع أو الاستضافة لديك لا يلتزم بمعايير أمنية واضحة، فسيُحسب ذلك عليك أنت أمام المدقق. أدرج بنوداً أمنية في عقود الموردين، واطلب منهم أدلة دورية على التزامهم، وراجع قائمتهم مرة في السنة على الأقل.
الخلاصة
الفرق بين إطار ساما للأمن السيبراني وضوابط الهيئة الوطنية ليس تنافساً بل تكامل: الأول قطاعي مالي، والثاني وطني شامل. الشركة الذكية تحدد موقعها من الإطارين أولاً، ثم توحّد الجهد بدل مضاعفته.
إذا لم تكن متأكداً من الإطار الذي يخصّك، أو تريد خطة امتثال موحدة تغطي ساما والهيئة معاً، فخبراء سايبر أمان يساعدونك على الوصول إلى إجابة واضحة. تواصل معنا الآن لتحصل على استشارة تناسب نشاطك.