إدارة استمرارية الأعمال لساما — أهداف زمن الاسترداد للبنوك

نظرة عامة

يحدّد إطار إدارة استمرارية الأعمال من ساما كيف تحمي البنوك خدماتها الحساسة من التعطّل، مع تعيين RTO و RPO صريحَين لكل فئة خدمة بنكية وتمارين دورية واختبار سنوي شامل.

على من يطبَّق

• كل بنك أو شركة تمويل أو تأمين أو مزوّد دفع مرخَّص من ساما.

فئات الخدمات وأهداف التعافي

| الفئة | أمثلة | RTO أقصى | RPO أقصى | |---|---|---|---| | 1 — حساس | سويتش الدفع، اعتماد ATM، تطبيق الجوال | ساعة | 0 | | 2 — مهم | الدفتر المصرفي، التسوية، الصرف | 4 ساعات | 15 دقيقة | | 3 — اعتيادي | التقارير، الفروع | 24 ساعة | 4 ساعات | | 4 — غير حساس | CRM التسويق، التدريب | 72 ساعة | 24 ساعة |

الخطوة 1: تحليل أثر الأعمال (BIA)

نفّذ BIA سنويًا لكل عملية:

العملية: اعتماد البطاقات
الأثر المالي/ساعة: 4.2 مليون ريال
الأثر التنظيمي: خرق إبلاغ ساما عند >2 ساعة
RTO: 30 دقيقة
RPO: 0
الإستراتيجية: نشط-نشط بين الرياض والدمام

الخطوة 2: معمارية التعافي

• الدفتر الأساسي: نشط-نشط في موقعين بالمملكة.
• سويتش الدفع: نشط-نشط.
• HSM: عنقود بموقعين مع نسخ المفاتيح.
• محرّك الاحتيال: نشط-بانتظار ساخن.

الخطوة 3: وتيرة الاختبار

| النوع | التكرار | |---|---| | طاولة | ربعيًا | | Failover مكوّن واحد | ربعيًا | | Failover موقع كامل | سنويًا | | تعافٍ شامل | كل سنتين | | سيناريو سيبراني (فدية) | سنويًا |

الاختبارات مكتوبة وتُشهَد؛ إعادة تشغيل خادم لا تُعدّ اختبارًا.

الخطوة 4: ربط الحوادث بالاستمرارية

P1 لخدمة T1 يتجاوز 15 دقيقة → تفعيل جزئي لـ BCP. P1+ لخدمة T1 يتجاوز 60 دقيقة → تفعيل كامل.

إبلاغ ساما خلال 4 ساعات حسب إجراء الإبلاغ.

الخطوة 5: سيناريوهات سيبرانية

• فدية تشفّر الأساسي والنسخة.
• DDoS مستمر >4 ساعات.
• تدمير داخلي للبيانات.
• اختراق مزوّد.

نسخ احتياطي غير قابل للتعديل (S3 Object-Lock أو WORM Tape) خارج نطاق الإنتاج مع اختبار استعادة ربعي.

الخطوة 6: التقارير إلى ساما

تقديم سنوي يشمل BIA وخطة الاختبار ونتائجها وأي حادث فعّل BCP.

أخطاء شائعة

• موقع DR مهيَّأ لكنه لم يُختبر تحت حمل حقيقي.
• BIA مبنيّ على الأنظمة لا على العمليات.
• نسخ احتياطية 90 يومًا فقط.

التحقق

• BIA خلال 12 شهرًا.
• أدلة BCP لكل خدمة.
• جدول اختبارات مشهود.
• تقارير ربعية إلى CRO.
• إقرار التقديم السنوي إلى ساما.

الخلاصة

استمرارية الأعمال ذاكرة عضلية تُبنى بالتكرار وتُختبر تحت ضغط حقيقي.

أدلة ذات صلة

• إطار الأمن السيبراني لساما
• إطار حوكمة تقنية المعلومات لساما
• دليل الحوسبة السحابية من ساما