نظرة عامة
تجد المؤسسات المُنظَّمة في المملكة نفسها مسؤولة عن خمسة أطر في وقت واحد: NCA ECC + SAMA CSF + PDPL + ISO 27001 + PCI-DSS، وأحيانًا SACS-210 فوقها. التعامل مع كل إطار كبرنامج منفصل يُنهك الفريق. مصفوفة موحَّدة تختزل ~85% من العمل.
على من يطبَّق
- البنوك السعودية.
- مشغّلو البنية التحتية الحساسة.
- شركات التقنية المالية متعددة الجنسيات.
- أقسام تقنية المعلومات الراغبة في ترشيد الإنفاق.
نظرة عامة على الأطر
| الإطار | الإلزام في المملكة | نطاق الأدلة | |---|---|---| | NCA ECC | إلزامي للحكومي والحساس | شامل | | SAMA CSF | إلزامي للمؤسسات المالية | شامل البنك | | PDPL | إلزامي لمعالجي بيانات المملكة | أنشطة المعالجة | | ISO 27001 | اختياري للشهادة | نطاق ISMS | | PCI-DSS | تعاقدي مع شبكات البطاقات | بيئة بيانات البطاقة |
قاعدة 80/20
~80% من الأهداف مشتركة: الوصول، الجرد، الترقيع، التشفير، السجلات، الحوادث، الاستمرارية، الأطراف الثالثة، التوعية. ~20% خاص: سيادة بيانات NCA، مدفوعات SAMA، حقوق أصحاب البيانات في PDPL، وثائق ISMS في ISO، بيئة CDE في PCI.
الخطوة 1: مصفوفة موحَّدة
| الموضوع | ECC | SAMA | PDPL | ISO | PCI | الدليل | المالك | الإيقاع | الحالة |
| مراجعة الوصول الربعية | 2-2-1-4 | 3-3-1-3 | art.31 | A.5.18 | 7.2.4 | access-review-q1.xlsx | فريق IAM | ربعيًا | مُطبَّق |
| تشفير الراحة (CMK) | 2-6-1 | 3-6-1 | TOM | A.8.24 | 3.5 | kms-inventory.xlsx | المنصة | فحص ليلي | مُطبَّق |
الخطوة 2: مكتبة أدلة واحدة
تنظَّم حسب هدف الضابط لا حسب الإطار. كل ملف مُعلَّم بكل الإطار الذي يخدمه.
الخطوة 3: برنامج تدقيق داخلي واحد
خطة 3 سنوات تغطي 100% من الضوابط مع 33% سنويًا.
الخطوة 4: اختبار اختراق واحد
سنويًا بنطاق يساوي اتحاد نطاقات الأطر؛ كل ملاحظة تُربط بكل ضابط ذي صلة.
الخطوة 5: برنامج توعية واحد
LMS واحد، تقويم واحد، KPI واحد للإكمال يشمل نظافة NCA + سيناريوهات SAMA + حقوق PDPL + أدوار ISO + بطاقات PCI.
الخطوة 6: تراكب خاص بكل إطار
- PDPL: خط DSR + سجل DPIA + ROPA + خرق 72 ساعة.
- PCI: مخطط CDE + فحوصات ربعية ASV + جدول SAQ/RoC.
- SAMA: حزمة المجلس + تصميم مصادقة العميل.
- NCA: نسخ سياسات بالعربية + دليل سيادة البيانات.
- ISO: ملف ISMS + محاضر مراجعة الإدارة.
الخطوة 7: نوافذ التدقيق
موازنة جدول التدقيق: تقييم NCA + تقييم ساما + مراقبة ISO + فحوصات PCI ضمن دورة سنوية واحدة.
أخطاء شائعة
- جداول منفصلة لكل إطار.
- مالكو سياسات مختلفون لنفس الهدف.
- تدقيقات عشوائية على مدار السنة.
التحقق
- مصفوفة موحدة في GRC.
- مكتبة أدلة بوسوم الإطار.
- تقويم تدقيق واحد.
- تقرير سنوي للمجلس بمنظور خمس أطر.
الخلاصة
إجهاد الامتثال يصنعه المنظِّم بنفسه؛ خريطة الأطر مرة واحدة، ومكتبة أدلة واحدة، وبرنامج تدقيق واحد يحوّل الخمسة إلى عدسات على عملية منضبطة واحدة.
Comments
0 total · 0 threads