معيار الأمن السيبراني للأطراف الثالثة SACS-210 — شرح كامل

نظرة عامة

SACS-210 هو معيار الأمن السيبراني للأطراف الثالثة الصادر عن مشغّل وطني سعودي كبير في قطاع الطاقة، يحدد الحد الأدنى للأمن السيبراني الذي يجب أن يبلغه كل مورد IT أو OT قبل السماح له بالاتصال أو التوريد أو الخدمة. عدم الامتثال = حاجز تجاري نهائي.

على من يطبَّق

• أي طرف ثالث (IT، OT، خدمات احترافية، أجهزة، برمجيات، MSP، MSSP) يلامس بيانات المشغّل أو شبكاته أو أجهزته.
• المتعاقدون الفرعيون — التطبيق "النزولي" إلزامي.

أقسام النطاق الأربعة

| القسم | الوصف | أمثلة | |---|---|---| | A — حساس | مورد OT/ICS مباشر أو وصول عميق | OEM DCS، نظام سلامة | | B — جوهري | مورد IT أو OT غير حساس مع بيانات سرية | تطوير برمجيات مخصص، SaaS | | C — محدود | IT بتعرّض محدود | تدريب، خدمات بلا أنظمة حية | | D — أدنى | بلا بصمة IT/OT | تجهيزات، تموين |

الجدول الزمني للاعتماد

الشهر 0  : تحديد النطاق
الشهر 1  : التقييم الذاتي
الشهر 2-3: تقييم مستقل من مدقّق معتمَد
الشهر 4  : معالجة الملاحظات
الشهر 5-6: إعادة التقييم
الشهر 6+ : مورد معتمَد، تجديد كل سنتين

عائلات الضوابط

ثمانية: الحوكمة، إدارة الهويات، إدارة الأصول، أمن العمليات، أمن الشبكات، أمن التطبيقات، إدارة الحوادث، استمرارية الأعمال. يضيف القسم A متطلبات IEC 62443 الخاصة بـ OT.

الخطوة 1: حدّد القسم بصدق

تخفيض القسم ذاتيًا يقود إلى إعادة تصنيف لاحق ومضاعفة الجهد.

الخطوة 2: ابنِ إلى القسم B كأساس

إن كنت تخدم أكثر من جهة طاقة في المملكة، ابنِ برنامجًا يفي بأقوى قسم متوقَّع منذ البداية.

الخطوة 3: الأدلة المطلوبة

• سياسة سيبرانية معتمَدة.
• سجلات تدريب توعوي سنوي.
• برنامج ثغرات بـ SLA للترقيع.
• اختبار اختراق خلال 12 شهرًا.
• خطة استجابة بأسماء وأدلة طاولة.
• فحص خلفية للكوادر ذات الامتيازات.
• خطوط أساس تحصين للأجهزة.

الخطوة 4: المتعاقدون الفرعيون

التزام تعاقدي نزولي، سجل مخاطر، حزمة عناية واجبة، تقرير دوري إلى الجهة الرئيسية.

الخطوة 5: انضباط الوصول عن بُعد

Jumphost موفَّر من الجهة، MFA لكل جلسة، اعتماد لكل جلسة، تسجيل الجلسات، صحّة لابتوب المورد.

الخطوة 6: الإخطار بالحوادث

ساعات قليلة لإخطار الجهة الرئيسية حتى لو وقع الحادث في بنية المورد عندما يكون لبيانات الجهة احتمال تأثُّر.

الخطوة 7: الإشراف المستمر

إقرار ذاتي سنوي، إعادة تقييم مستقلة كل سنتين، إخطار التغيير الجوهري.

أخطاء شائعة

• معاملة SACS-210 كتدقيق لمرة واحدة.
• تخفيض ذاتي للقسم.
• بند تعاقدي نزولي بلا تطبيق.
• لابتوب واحد للعمل مع عملاء متعددين بلا عزل.

التحقق

• تقرير SACS-210 حديث خلال 24 شهرًا.
• خطاب اعتماد مورد من المشتريات.
• اختبار اختراق خلال 12 شهرًا.
• سجل المتعاقدين الفرعيين.
• إقرار ذاتي سنوي في الوقت.

الخلاصة

SACS-210 هو رسم دخول عقود الطاقة الكبرى في المملكة؛ ابنِ مرة لأقوى قسم متوقع وحوّل العائق إلى ميزة تنافسية.

أدلة ذات صلة

• تحليل فجوات SACS-210
• NCA OTCC
• مطابقة متعددة الأطر