الضوابط الأساسية للأمن السيبراني ECC v2 من الهيئة الوطنية — دليل الامتثال الكامل

نظرة عامة

تُعد الضوابط الأساسية للأمن السيبراني (ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA) الحدّ الأدنى الإلزامي لكل جهة حكومية، وكل جهة شبه حكومية، وكل مُشغّل بنية تحتية وطنية حساسة في المملكة العربية السعودية. الإصدار الحالي هو ECC-2:2024. عدم الامتثال يُعرّض الجهة لعقوبات إدارية بموجب صلاحيات الهيئة، ودورات التدقيق سنوية للقطاعات الحساسة وكل سنتين لما عداها.

على من يطبَّق

• جميع الجهات الحكومية وموظفيها ومتعاقديها.
• الجهات شبه الحكومية (الجامعات، الهيئات المستقلة).
• مشغّلو البنية التحتية الوطنية الحساسة (المصارف، الطاقة، المياه، الاتصالات، الصحة).
• أي جهة تُعالج أو تستضيف بيانات مصنّفة "سري للغاية" أو "سري" أو "مقيّد".

النطاقات الرئيسية والضوابط

تتألف ECC-2 من 5 نطاقات رئيسية و29 نطاقًا فرعيًا تنتج 114 ضابطًا. النطاقات الخمسة هي:

1. حوكمة الأمن السيبراني (1-x): الاستراتيجية، السياسات، الأدوار، إدارة المخاطر، الأطراف الثالثة.
2. تعزيز الأمن السيبراني (2-x): إدارة الأصول، الهويات والوصول، التحصين، أمن الشبكات، حماية البيانات، التشفير، النسخ الاحتياطي، إدارة الثغرات، اختبار الاختراق، إدارة السجلات، الاستجابة للحوادث، الأمن المادي.
3. صمود الأمن السيبراني (3-x): استمرارية الأعمال والتعافي من الكوارث.
4. الأمن السيبراني للأطراف الثالثة والسحابة (4-x).
5. الأمن السيبراني لأنظمة التحكم الصناعي (5-x) — موسَّع لاحقًا في OTCC.

الخطوة 1: تحديد النطاق

• اجرد كل نظام وصنّف بياناته وفق سياسة التصنيف الوطنية.
• حدّد "الأنظمة الوطنية الحساسة": تلك التي يُسبب تعطّلها أثرًا على الأمن الوطني أو الاقتصاد.
• استخرج الضوابط ذات العلامة C (إلزامية للحساسة) مقابل N (الحد الأدنى).

الخطوة 2: تحليل الفجوة

استخدم ورقة تقييم لكل ضابط وسجّل: حالة التطبيق، الدليل، المسؤول، تاريخ المعالجة المتوقع.

الخطوة 3: السياسات (مثال)

سياسة التحكم بالوصول (ECC 2-2-1)
1. كل وصول إلى أنظمة المعلومات يجب أن يكون مُصرّحًا، موثَّقًا، ومسجَّلًا.
2. الحسابات ذات الامتيازات تستخدم MFA وتُراجَع كل 90 يومًا.
3. حسابات الخدمة في خزائن أسرار تُدوَّر تلقائيًا.
4. الحسابات الخاملة لأكثر من 45 يومًا تُعطَّل تلقائيًا.
5. مراجعات الوصول تُحفظ 36 شهرًا.

الخطوة 4: التحصين التقني

طبّق معايير CIS Benchmarks لكل نظام تشغيل. مثال للينكس:

sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config
sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
systemctl reload sshd

الخطوة 5: إدارة السجلات (ECC 2-12)

12 شهرًا على الأقل ساخن + 24 شهرًا بارد، ومزامنة الساعات عبر NTP موثوق.

الخطوة 6: المطابقة مع ISO 27001

نحو 78% من ضوابط ECC تتطابق مع ISO 27001:2022. حافظ على مصفوفة واحدة بحيث يخدم الدليل الواحد كلا التدقيقين.

الخطوة 7: قائمة جاهزية التدقيق

• اعتماد رئيس الجهة لكل سياسة.
• تقرير KRI ربعي للإدارة التنفيذية.
• اختبار اختراق خلال آخر 12 شهرًا.
• مسح ثغرات خلال آخر 30 يومًا.
• اختبارات تعافٍ موثَّقة خلال آخر 3 أشهر.

أخطاء شائعة

• نسخ احتياطي بلا اختبار استعادة.
• سياسات قوالب عامة بلا اسم الجهة ونطاقها.
• MFA على VPN فقط دون الحسابات المحلية.

الأدلة الجاهزة للتدقيق

• سجل الأصول مع تصنيف لكل صف.
• خطوط أساس تحصين لكل نظام معتمَدة من رئيس الأمن السيبراني.
• اختبار اختراق سنوي مع أدلة معالجة لكل ملاحظة.

الخلاصة

ECC ليس مشروعًا بل برنامج دائم؛ اربط كل عملية تشغيل بضابط، وكل ضابط بدليل واحد، والباقي نظافة تشغيلية.

أدلة ذات صلة

• الضوابط السيبرانية للسحابة CCC
• بناء مركز عمليات SOC متوافق مع NCA
• مطابقة NCA مع NIST CSF و ISO 27001