الضوابط السيبرانية للسحابة CCC من الهيئة الوطنية — كيفية الامتثال للـ SaaS و IaaS

نظرة عامة

تُنظّم الضوابط السيبرانية للحوسبة السحابية (CCC-1:2020) كل استخدام للسحابة في المملكة، سواء كان المستخدِم جهة حكومية أو شبه حكومية أو من القطاع الخاص الحساس، وسواء أُديرت السحابة محليًا أو خارجيًا. CCC مكمّلة لضوابط ECC لا بديلة عنها.

على من تطبَّق

• مستهلكو الخدمة السحابية (CST-T): كل جهة حكومية وكل مشغّل قطاع حساس.
• مزوّدو الخدمة السحابية (CST-P) المرخّصون من هيئة الاتصالات.
• مستثنى: الاستخدام الشخصي ومنصات SaaS التي لا تحفظ بيانات تنظيمية.

نطاقات الضوابط

37 ضابطًا موزّعة على أربعة نطاقات:

1. الحوكمة (1-x): الإستراتيجية، العقود، الخروج، المخاطر.
2. التعزيز (2-x): الهويات، التصنيف، التشفير، العزل، الثغرات.
3. الصمود (3-x): النسخ الاحتياطي خارج السحابة، الاستمرارية.
4. الأطراف الثالثة (4-x): المعالجون الفرعيون، ضمانات المزود.

الخطوة 1: نموذج النشر

| تصنيف البيانات | عامة | خاصة | هجينة | |---|---|---|---| | سري للغاية | لا | داخل المملكة فقط | لا | | سري | لا | داخل المملكة فقط | مقيّد | | مقيّد | بشروط داخل المملكة | نعم | نعم | | عام | نعم | نعم | نعم |

الخطوة 2: ضوابط جهة المستهلك

• SSO عبر SAML/OIDC وإلغاء الحسابات المحلية في وحدة تحكم السحابة.
• تشفير بمفاتيح يتحكم بها العميل (CMK) ولا يصل إليها المزوّد.
• سيادة البيانات: تثبيت المنطقة عبر BLueprints وسياسات حسابية (SCP).

# مثال AWS KMS: منع الوصول خارج me-central-1
Statement:
  - Sid: DenyOutsideKSA
    Effect: Deny
    Action: ['kms:Decrypt']
    Resource: '*'
    Condition:
      StringNotEquals: { 'aws:RequestedRegion': 'me-central-1' }

الخطوة 3: متطلبات المزوّد

• ترخيص هيئة الاتصالات (A/B/C).
• دعم محلي بالعربية.
• إفصاح قائمة المعالجين الفرعيين خلال 30 يومًا من أي تغيير.
• بند حق التدقيق يشمل الهيئة الوطنية.
• SOC 2 Type II وISO 27017/27018 سنويًا.

الخطوة 4: بنود العقد والخروج

• شهادة حذف بيانات خلال 30 يومًا من إنهاء العقد.
• استخراج البيانات بصيغ مفتوحة خلال 90 يومًا.
• إخطار الحوادث خلال 6 ساعات من اكتشافها.

الخطوة 5: السجلات وSIEM

أرسل CloudTrail / Activity Log إلى SIEM داخل المملكة، 12 شهرًا ساخن + 24 شهرًا بارد.

أخطاء شائعة

• الاعتماد على تشفير المزوّد الافتراضي بدلًا من CMK.
• السماح بالقراءة عبر المناطق دون SCP.
• بكت تخزين خارج المملكة "للنسخ".

الأدلة الجاهزة

• وثيقة مبرّر الاستخدام السحابي معتمدة من رئيس الأمن.
• مصفوفة تصنيف لكل بكت / قاعدة بيانات.
• مستودع IaC يثبت تثبيت المنطقة.
• جرد المفاتيح ودوران المفاتيح.
• اختبار تعافٍ خلال آخر 6 أشهر.

الخلاصة

CCC هي الجسر القانوني بين سيادة البيانات والمرونة السحابية؛ مصفوفة الضوابط هي عقدك التشغيلي.

أدلة ذات صلة

• NCA ECC v2 — دليل الامتثال الكامل
• دليل الحوسبة السحابية من ساما
• قواعد نقل البيانات عبر الحدود