دليل الحوسبة السحابية من ساما — العامة والخاصة والهجينة للبنوك

نظرة عامة

يحدّد دليل الحوسبة السحابية من ساما (2019، مُحدَّث 2024) ما هو مسموح من استخدامات السحابة للبنوك ومتى تحتاج موافقة مسبقة. يعمل مع CCC من الهيئة الوطنية لكنه يضيف متطلبات بنكية حول التصنيف والإسناد الفرعي وخطة الخروج.

على من يطبَّق

• كل بنك وشركة تمويل وتأمين ومزوّد دفع مرخَّص من ساما.
• أي حِمل سحابي يعالج بيانات عملاء سعوديين أو بيانات دفع أو بيانات الدفتر الأساسي.

فئات الاستخدام

| الفئة | أمثلة | الموافقة المسبقة | |---|---|---| | غير عملاء وغير سري | الموقع التعريفي | لا | | دعم داخلي | البريد والإنتاجية | إخطار فقط | | واجهة عملاء غير حساسة | CRM التسويق | إخطار + تقييم | | بيانات عملاء حساسة | تطبيق الجوال البنكي | مطلوبة | | الدفتر الأساسي | المعاملات الرئيسية | مطلوبة + مراجعة موقعية |

تصنيف البيانات

| الفئة | الوصف | السحابة | |---|---|---| | عام | تسويقي | أي منطقة | | داخلي | وثائق داخلية | تفضيلًا داخل المملكة | | سرية | PII، الأرصدة | داخل المملكة فقط | | مقيّدة | بطاقات، مفاتيح، نماذج احتيال | داخل المملكة + استضافة مخصصة |

الخطوة 1: حزمة الموافقة

• مبرّر العمل والتكلفة-العائد.
• خريطة تصنيف البيانات.
• العناية الواجبة للمزود (SOC 2, ISO 27017/27018, ISO 22301).
• تقييم مقابل إطار ساما السيبراني.
• خطة BCM/DR.
• خطة خروج.
• إفصاح المعالجين الفرعيين.

النافذة الزمنية لقرار ساما: 30-60 يوم عمل.

الخطوة 2: شروط العقد

• حق التدقيق للبنك ولساما ومدققها.
• بقاء البيانات داخل المملكة.
• إخطار حوادث خلال 24 ساعة.
• خروج خلال 90 يومًا مع بيانات بصيغ مفتوحة.
• إخطار المعالجين الفرعيين قبل 60 يومًا.

الخطوة 3: ضوابط الجهة المستهلكة

• تشفير بمفاتيح يديرها البنك.
• تثبيت المنطقة عبر SCP.
• شحن السجلات إلى SIEM داخل محيط البنك.
• اتحاد هويات؛ لا حسابات محلية في وحدة التحكم.

{
  "Effect": "Deny",
  "Action": "*",
  "Condition": {
    "StringNotEquals": { "aws:RequestedRegion": ["me-central-1"] }
  }
}

الخطوة 4: مخاطر التركّز

تتبّع نسبة الإنفاق على Hyperscaler واحد، عدد الخدمات الحساسة، التركّز الجغرافي.

الخطوة 5: خطة الخروج

أحداث التشغيل، البدائل المحتملة، إجراءات استخراج البيانات، خطة التشغيل المتوازي.

أخطاء شائعة

• تخزين بيانات سرية في منطقة خارج المملكة "مؤقتًا".
• إفصاح متأخر عن معالج فرعي.
• مفاتيح يديرها المزوّد للبيانات المقيّدة.

التحقق

• خطاب موافقة ساما لكل حِمل.
• خريطة تصنيف لكل بكت.
• تطبيق SCP.
• ضمانات سنوية من المزود.
• اختبار BCM سحابي.

الخلاصة

السحابة عند ساما مسموحة لكن بضوابط محكَمة؛ احصل على الموافقة، ثبّت المنطقة، وأدِر مفاتيحك بنفسك.

أدلة ذات صلة

• NCA CCC
• إطار الأمن السيبراني لساما
• قواعد نقل البيانات عبر الحدود